# Ciberestafas

## Glosario

## Catfishing

Definición:

  Práctica na que unha persoa crea unha identidade falsa en internet para enganar a outras, facéndose pasar por alguén que non é, coa finalidade de manipulala emocionalmente e estafala ou obter algún tipo de beneficio.

Exemplo:

  O rapaz foi vítima de catfishing a través dunha aplicación de citas, onde o ciberdelincuente se fixo pasar por unha persoa que se estaba namorando del.

## Credencial

Definición:

  Conxunto de datos que permiten identificar a unha persoa nun sistema dixital, como o nome de usuario e o contrasinal.

Exemplo:

  Para acceder ao correo do centro, o profesorado debe introducir correctamente as súas credenciais.

## Usuario marioneta

Definición:

  É unha conta falsa controlada por outra persoa para manipular opinións, difundir información ou realizar accións sen ser identificada.

Exemplo:

  Nun foro, varias contas publicaban as mesmas mensaxes; e descubriuse que eran usuarios marioneta controlados pola mesma persoa.

# Que son as ciberestafas?

As ciberestafas son aqueles enganos feitos empregando medios dixitais para conseguir datos persoais, acceso a contas ou diñeiro.

Moitos problemas nos dispositivos non son fallos técnicos, senón que detrás deles está a ciberdelincuencia. A continuación, vas ver varios casos de ciberestafas cheos de pistas que che axudarán a adestrar o teu instinto para a investigación dixital. Nas seguintes cartas contas cun resumo do que che espera.

Desliza o rato por enriba das imaxes para descubrir os tipos de ciberestafas agachados en cada categoría.

## Lectura facilitada

As ciberestafas son enganos feitos usando medios dixitais.

As ciberestafas buscan conseguir:

- Datos persoais.
- Acceso a contas.
- Diñeiro.

Moitos problemas nos dispositivos non son fallos técnicos.

Ás veces están causados pola ciberdelincuencia.

A continuación, tes varios casos de ciberestafas.

Neses casos hai pistas que che axudarán a aprender.

Estas pistas serviranche para mellorar na investigación dixital.

Nas seguintes cartas podes ver un resumo.

Pasa o rato por enriba das imaxes.

Así descubrirás os tipos de ciberestafas de cada grupo.

## Audio

audio/mpeg

# Ciberestafas por mensaxería

Os ciberenganos baseados en mensaxes teñen como obxectivo manipular a persoa usuaria para que facilite información persoal ou realice accións que comprometan a súa seguridade dixital. Estas mensaxes aparentan ser fiables, pois adoitan suplantar a identidade de persoas ou entidades coñecidas. Porén, a súa finalidade é ben distinta.

A continuación, podes analizar os principais tipos de ciberenganos, xunto con algúns exemplos, sobre os que podes deslizar o rato por enriba e atopar algúns indicios de cada tipo de ciberestafa.

## Phishing

Un dos ciberenganos máis habituais é o phishing, onde a vítima recibe un correo electrónico falso no que a persoa delincuente se fai pasar unha empresa ou algún servizo descoñecido coa finalidade de conseguir datos persoais, contrasinais ou información bancaria.

De: soporte@amaz0n-seguridad.com

Para: direccioncentroeducativo@edu.xunta.gal

Asunto: ⚠️ URXENTE: a túa conta será bloqueada hoxe

Estimado/a cliente/a,

Detectamos un acceso sospeitoso á súa conta e, por motivos de seguridade, será bloqueada nas próximas 24 horas se non verifica os seus datos.

Para evitar a suspensión, debe acceder inmediatamente ao seguinte enlace e confirmar a súa información: http://amazon-verificacion-segura.net/login

Unha vez dentro, solicitaremos que introduza:

- O seu usuario e contrasinal.
- Os seus datos bancarios.
- O código de verificación que recibirá por SMS.

Se non realiza este proceso, perderá o acceso á súa conta de forma permanente.

Lamentamos as molestias.

Atentamente,
Equipo de seguridade de Amazon

Suplanta a identidade da empresa cambiando un carácter do dominio real para parecer lexítimo.

Presenta o asunto como urxencia para xerar sensación de alarma.

Intenta xerar sensación de presión e inmediatez para reducir a capacidade de reacción.

A URL non pertence á páxina oficial e pode redirixir a unha páxina fraudulenta na que se soliciten datos persoais. A páxina web non conta co protocolo "https".

Solicítanse datos de acceso e contrasinais, uns datos que a empresa real nunca solicita.

Solicítase información sensible, coma datos bancarios, que a empresa real non pediría nun correo á súa clientela.

Pretende obter o código de verificación para saltar a autenticación en dous pasos.

Pretende aumentar a sensación de presión psicolóxica mediante esta ameaza final das consecuencias que pode ter o feito de non seguir as instrucións do correo.

Usa unha firma xenérica que non permite comprobar a identidade real da persoa ou entidade remitente.

## Smishing

A vítima recibe a estafa a través dunha mensaxe SMS ou dunha aplicación de mensaxería instantánea (Whatsapp, Telegram...), na que se solicita información persoal ou se inclúe unha ligazón fraudulenta. Fíxate no seguinte exemplo dunha empresa de mensaxería e atopa os indicios de ciberestafa:

21:26 84%
‹
SEUR

sábado, 3 de xaneiro

A súa entrega foi suspendida debido á falta do número da casa.

Por favor, verifique e complete a súa dirección o antes posible.

https://seurfe.icu/es

Suplanta a identidade dunha empresa coñecida para que a mensaxe pareza lexítima.

A ligazón non pertence ao dominio oficial da empresa e pode redirixir a unha páxina fraudulenta para roubar datos persoais. Aínda que na ligazón escrita aparece o protocolo "https" no momento de acceder dirixe a unha páxina "http".

Presenta unha escusa dun erro na entrega dun produto para chamar a atención da vítima e dar un motivo para solicitar datos persoais.

Solicita datos persoais, como a dirección.

Crea urxencia para reducir a capacidade de reacción da vítima.

## Vishing

A vítima recibe a estafa a través dunha chamada telefónica na que se solicitan datos persoais, bancarios ou credenciais de acceso. Nalgúns casos tamén se lle indica que realice determinadas accións, como facer unha transferencia bancaria ou acceder a unha ligazón fraudulenta.

Chamada entrante

Banco · Número oculto

Bos días, chamámoslle do banco porque detectamos un problema na conta do centro.

Se non o resolvemos agora mesmo, quedarán bloqueados os pagos e recibos do centro educativo.

Para validar a operación, necesito que me diga agora o código que lle vai chegar por SMS.

Confírmeme tamén o usuario de banca en liña e os últimos catro díxitos da clave para verificar a identidade.

Isto é confidencial. Non colgue nin chame á oficina.

Número oculto que dificulta a súa identificación, polo que se debe aumentar a cautela.

## QR-shing

A vítima recibe a estafa a través dun código QR que, unha vez escaneado, redirixe a unha web fraudulenta ou descarga contido malicioso. Estes códigos adoitan camuflarse en carteis informativos ou superpoñerse sobre os códigos lexítimos, por exemplo, en cartas de menú de restaurantes.

Suplanta a identidade dunha entidade de confianza, o banco, para dar credibilidade á chamada.

Emprega a urxencia e consecuencias importantes para exercer presión sobre a vítima.

Solicita un código de verificación por SMS, o que pode permitir autorizar operacións ou acceder á conta.

Pide credenciais e datos de autenticación que a entidade bancaria lexítima non solicita por teléfono.

Intenta evitar que a vítima verifique por outra canle oficial a veracidade da chamada.

## Lectura facilitada

Os ciberenganos por mensaxes buscan manipular ás persoas.

Queren que dean información persoal ou fagan accións perigosas.

Estas mensaxes parecen reais.

Moitas veces fanse pasar por persoas ou empresas coñecidas.

Pero o seu obxectivo é enganar.

A continuación verás diferentes tipos de ciberenganos.

Hai algúns exemplos.

Tamén hai pistas que permiten identificar cada tipo.

Pasa o rato por enriba para descubrir esas pistas.

## Phishing

O phishing é un engano por correo electrónico.

A persoa delincuente faise pasar por unha empresa ou algún servizo descoñecido.

Quere conseguir:

- Datos persoais.
- Contrasinais.
- Información bancaria.

De: soporte@amaz0n-seguridad.com

Para: direccioncentroeducativo@edu.xunta.gal

Asunto: ⚠️ URXENTE: a túa conta será bloqueada hoxe

Estimado/a cliente/a,

Detectamos un acceso sospeitoso á súa conta e, por motivos de seguridade, será bloqueada nas próximas 24 horas se non verifica os seus datos.

Para evitar a suspensión, debe acceder inmediatamente ao seguinte enlace e confirmar a súa información: http://amazon-verificacion-segura.net/login

Unha vez dentro, solicitaremos que introduza:

- O seu usuario e contrasinal.
- Os seus datos bancarios.
- O código de verificación que recibirá por SMS.

Se non realiza este proceso, perderá o acceso á súa conta de forma permanente.

Lamentamos as molestias.

Atentamente,
Equipo de seguridade de Amazon

Suplanta a identidade da empresa cambiando un carácter do dominio real para parecer lexítimo.

Presenta o asunto como urxencia para xerar sensación de alarma.

Intenta xerar sensación de presión e inmediatez para reducir a capacidade de reacción.

A URL non pertence á páxina oficial e pode redirixir a unha páxina fraudulenta na que se soliciten datos persoais. A páxina web non conta co protocolo "https".

Solicítanse datos de acceso e contrasinais, uns datos que a empresa real nunca solicita.

Solicítase información sensible, coma datos bancarios, que a empresa real non pediría nun correo á súa clientela.

Pretende obter o código de verificación para saltar a autenticación en dous pasos.

Pretende aumentar a sensación de presión psicolóxica mediante esta ameaza final das consecuencias que pode ter o feito de non seguir as instrucións do correo.

## Smishing

O smishing é un engano por SMS ou mensaxes.

Pode chegar por WhatsApp, Telegram ou outras aplicacións.

Pide datos persoais ou leva a unha ligazón falsa.

Mira o exemplo e busca as pistas.

21:26 84%
‹
SEUR

sábado, 3 de xaneiro

A súa entrega foi suspendida debido á falta do número da casa.

Por favor, verifique e complete a súa dirección o antes posible.

https://seurfe.icu/es

Suplanta a identidade dunha empresa coñecida para que a mensaxe pareza lexítima.

A ligazón non pertence ao dominio oficial da empresa e pode redirixir a unha páxina fraudulenta para roubar datos persoais. Aínda que na ligazón escrita aparece o protocolo "https" no momento de acceder dirixe a unha páxina "http".

Presenta unha escusa dun erro na entrega dun produto para chamar a atención da vítima e dar un motivo para solicitar datos persoais.

Solicita datos persoais, como a dirección.

Crea urxencia para reducir a capacidade de reacción da vítima.

## Vishing

O vishing é un engano por chamada telefónica.

A persoa que chama pide algún destes datos:

- Datos persoais.
- Datos bancarios
- Credenciais de acceso.

Ás veces pide facer accións como:

- Facer unha transferencia.
- Entrar en ligazóns falsas.

Chamada entrante

Banco · Número oculto

Bos días, chamámoslle do banco porque detectamos un problema na conta do centro.

Se non o resolvemos agora mesmo, quedarán bloqueados os pagos e recibos do centro educativo.

Para validar a operación, necesito que me diga agora o código que lle vai chegar por SMS.

Confírmeme tamén o usuario de banca en liña e os últimos catro díxitos da clave para verificar a identidade.

Isto é confidencial. Non colgue nin chame á oficina.

Número oculto que dificulta a súa identificación, polo que se debe aumentar a cautela.

Suplanta a identidade dunha entidade de confianza, o banco, para dar credibilidade á chamada.

Emprega a urxencia e consecuencias importantes para exercer presión sobre a vítima.

Solicita un código de verificación por SMS, o que pode permitir autorizar operacións ou acceder á conta.

Pide credenciais e datos de autenticación que a entidade bancaria lexítima non solicita por teléfono.

Intenta evitar que a vítima verifique por outra canle oficial a veracidade da chamada.

## QR-shing

O QR-shing usa códigos QR para enganar.

Ao escanear o código pode:

- Levar a unha páxina falsa.
- Descargar algo perigoso.

Estes códigos acostuman a estar en:

- Carteis.
- Enriba doutros códigos reais.

Ciberseguridade Galicia. QR-shing (Licenza estándar de YouTube)

## Audio

audio/mpeg

## Hardware phishing

No seguinte vídeo podes ver o hardware phishing, que pode chegar ao teu equipo a través de diferentes periféricos que conectas nel.

## Lectura facilitada

No seguinte vídeo podes ver o hardware phishing.

O hardware phishing pode chegar ao teu equipo a través de diferentes periféricos que conectas nel.

## Audio

audio/mpeg

# Perfís falsos e roubo de contas

Este tipo de ciberenganos teñen por obxectivo acceder á información persoal ou tomar o control de contas mediante técnicas de enxeñaría social e manipulación da identidade. Unha das técnicas empregadas é a suplantación de identidade, onde a persoa atacante se fai pasar por outra persoa ou entidade real coa finalidade de gañar a confianza da vítima. Isto pode facer que a vítima desvele datos persoais, coma contrasinais, derivando nun roubo de contas, que tamén pode ser derivado de algunha das ciberestafas explicadas anteriormente. Deste xeito a vítima convértese nun "usuario marioneta".

A continuación podes analizar os principais exemplos de suplantación de identidade e roubos de contas, cun exemplo de cada un deles. Desliza o rato por enriba de cada un para atopar o principais indicios.

## Suplantación de identidade

A continuación hai unha mensaxe que aparenta ser de Marta, a coordinadora TIC do centro. Porén, hai algúns indicios de que alguén puido suplantar a súa identidade. Atopa as pistas e anótaas no teu caderno forense.

Instagram

Chat con: @martaprof_oficial

M

Marta Rodríguez

Activa agora

Ola! Son Marta, a coordinadora TIC. Escríboche desde esta conta porque perdín o acceso ao correo oficial. Hai un problema na aula virtual e estou intentando arranxalo.

Ante todo, isto é confidencial, así que non o comentes co resto do profesorado.

Preciso que me envíes urxentemente os códigos que che van chegar por SMS para reactivar o acceso do alumnado aos teus cursos.

Tamén debes confirmarme o teu correo e contrasinal da AV.

Se che é máis cómodo, entra e cúbreo ti directamente: https://edu.xuntaa.gal/acceso

Non me respondas a miña conta habitual, pois non teño acceso.

Moitas grazas!

## Romance "scam"

Neste tipo de estafa, a persoa delincuente crea un perfil falso na rede coa finalidade de establecer unha relación afectiva coa vítima, empregando a técnica do catfishing. Tras gañar a súa confianza e o control emocional, solicítalle diñeiro, alegando unha situación financeira complicada e urxente, como por exemplo unha enfermidade grave.

Fíxate no seguinte exemplo e atopa as diferentes pistas que poden facer sospeitar que se trata dun caso de romance scam.

Chat · Citas App
Match recente

Xavier, 29

En liña

Non sei como explicalo… pero nunca sentín esta conexión con ninguén ❤️

Encantaríame verte en persoa, pero estou traballando no estranxeiro… tampouco funcionan as videochamadas.

Ademais, tiven un accidente e teño que pagar un tratamento urxente. Estou desesperado.

Sei que é moito pedir co pouco tempo que levamos falando, pero non teño a quen máis recorrer… Se me envías 500€, xúroche que chos devolvo en canto me recupere. O primeiro que farei será ir verte!

Mostra unha alta conexión afectiva nun tempo moi curto, xerando vínculo emocional e confianza.

Evita un encontro presencial e as videochamadas para ocultar a súa verdadeira identidade.

Existe un problema grave e urxente para xustificar unha petición de diñeiro.

Intenta crear dependencia emocional facendo ver que só a vítima pode axudarlle no seu problema.

Solicita diñeiro apelando á confianza e á pena.

## SIM "Swapping"

O SIM swapping ou duplicado da tarxeta SIM ten lugar cando a persoa atacante se fai co control da tarxeta SIM da vítima. Para iso, suplanta a identidade da persoa propietaria da tarxeta ante a súa operadora móbil. Unha vez feito o cambio, a persoa ciberdelincuente pode interceptar as chamadas e SMS, incluídos os códigos de autenticación en dous factores (2FA), o que permite o acceso e control das contas vencelladas a este número, tales como as contas bancarias. O primeiro indicio deste problema é que a vítima queda sen cobertura e deixa de recibir notificacións no móbil.

No seguinte exemplo, preséntase o caso dunha vítima de SIM swapping. Ao quedar sen servizo no seu móbil, a vítima deixa de recibir os avisos habituais por SMS. Porén, neste caso, tivo sorte e recibiu as seguintes notificacións por correo electrónico tanto da súa compañía telefónica avisando do duplicado da súa tarxeta SIM coma dos movementos bancarios.

De: soporte@aureatelecom.gal

Para: usuario@gmail.com

Asunto: Solicitude de duplicado da SIM

Estimado/a cliente/a,

Informámolo de que se solicitou un duplicado da súa tarxeta SIM asociado ao seu número de teléfono.

Se vostede non realizou esta xestión, contacte co noso servizo de atención ao cliente canto antes.

Atentamente,

Áurea Telecom

De: seguridade@abanca.es

Para: usuario@gmail.com

Asunto: Novo acceso á súa banca en liña

Estimado/a cliente/a,

Detectamos un acceso á súa conta desde un dispositivo non habitual. Se non recoñece esta actividade, revise a seguridade da súa conta de inmediato.

Atentamente,

Atención ao cliente de ABANCA

De: notificacions@abanca.es

Para: usuario@gmail.com

Asunto: Transferencia realizada correctamente

Estimado/a cliente/a,

Confirmámoslle que se realizou unha transferencia por importe de 950 € desde a súa conta.

Se vostede non autorizou esta operación, contacte inmediatamente coa súa entidade bancaria.

Cordialmente,

Atención ao cliente de ABANCA

O nome intenta aparentar oficial ao facer referencia a conta de profesor/a oficial.

Emprega unha escusa derivada de problemas técnicos para xustificar o feito de estar usando unha conta e medio de contacta diferente ao habitual.

Non se emprega a canle oficial de comunicación, algo sospeitoso tratándose dunha comunicación institucional.

Reforza confidencialidade, evitando así que a vítima contacte con outras persoas que traballan na mesma institución e dea conta da estafa.

Solicita unha resposta urxente, reducindo así o tempo de reacción e posibles comprobacións por parte da vítima.

Solicita códigos de verificación SMS que permiten á persoa ciberdelincuente saltar verificación en dous pasos.

Solicita as credenciais da aula virtual, datos confidenciais que ningún profesional lexítimo pediría.

A ligazón imita o dominio oficial, pero conta cun carácter de máis polo que seguramente dirixa a unha páxina web fraudulenta.

Intenta evitar o envío da resposta á conta oficial, para evitar levantar sospeitas e a vítima saiba que a súa identidade foi suplantada.

## Lectura facilitada

Estes ciberenganos buscan acceder á información persoal.

Tamén poden buscar controlar contas.

Para facelo, usan técnicas de engano e manipulación da identidade.

Unha destas técnicas é a suplantación de identidade.

Neste caso, a persoa atacante faise pasar por outra persoa ou por unha entidade real.

Así consegue a confianza da vítima.

Isto pode facer que a vítima dea datos persoais, como contrasinais.

Isto pode producir un roubo de contas.

Este roubo tamén pode vir doutras ciberestafas que xa viches antes.

Nestes casos, a vítima pasa a ser un "usuario marioneta".

A continuación, podes ver exemplos de suplantación de identidade e roubo de contas.

En cada caso hai un exemplo.

Desliza o rato por enriba para descubrir os indicios principais.

## Suplantación de identidade

A continuación hai unha mensaxe que parece enviada por Marta, a coordinadora TIC do centro.

Pero hai sinais que fan sospeitar.

Busca esas pistas e anótaas no teu caderno forense.

Instagram

Chat con: @martaprof_oficial

M

Marta Rodríguez

Activa agora

Ola! Son Marta, a coordinadora TIC. Escríboche desde esta conta porque perdín o acceso ao correo oficial. Hai un problema na aula virtual e estou intentando arranxalo.

Ante todo, isto é confidencial, así que non o comentes co resto do profesorado.

Preciso que me envíes urxentemente os códigos que che van chegar por SMS para reactivar o acceso do alumnado aos teus cursos.

Tamén debes confirmarme o teu correo e contrasinal da AV.

Se che é máis cómodo, entra e cúbreo ti directamente: https://edu.xuntaa.gal/acceso

Non me respondas a miña conta habitual, pois non teño acceso.

Moitas grazas!

## Romance "scam"

Nesta estafa, a persoa delincuente crea un perfil falso.

Quere iniciar unha relación afectiva coa vítima.

Para iso pode usar a técnica do catfishing.

Cando gaña a confianza da vítima, pídelle diñeiro.

Adoita dicir que ten un problema grave e urxente.

Por exemplo, pode falar dunha enfermidade.

Mira o seguinte exemplo e busca as pistas que fan sospeitar.

Chat · Citas App
Match recente

Xavier, 29

En liña

Non sei como explicalo… pero nunca sentín esta conexión con ninguén ❤️

Encantaríame verte en persoa, pero estou traballando no estranxeiro… tampouco funcionan as videochamadas.

Ademais, tiven un accidente e teño que pagar un tratamento urxente. Estou desesperado.

Sei que é moito pedir co pouco tempo que levamos falando, pero non teño a quen máis recorrer… Se me envías 500€, xúroche que chos devolvo en canto me recupere. O primeiro que farei será ir verte!

Mostra unha alta conexión afectiva nun tempo moi curto, xerando vínculo emocional e confianza.

Evita un encontro presencial e as videochamadas para ocultar a súa verdadeira identidade.

Existe un problema grave e urxente para xustificar unha petición de diñeiro.

Intenta crear dependencia emocional facendo ver que só a vítima pode axudarlle no seu problema.

Solicita diñeiro apelando á confianza e á pena.

## SIM "Swapping"

O SIM swapping é un duplicado da tarxeta SIM.

Neste caso, a persoa atacante consegue controlar a SIM da vítima.

Para facelo, faise pasar pola persoa dona da tarxeta ante a compañía telefónica.

Despois do cambio, a persoa ciberdelincuente pode recibir chamadas e SMS que ían dirixidas á vítima.

Así tamén pode conseguir os códigos de verificación en dous pasos.

Isto permite entrar en contas ligadas a ese número, como as bancarias.

O primeiro sinal adoita ser que a vítima queda sen cobertura.

Tamén deixa de recibir avisos no móbil.

No seguinte exemplo, a vítima tivo sorte.

Aínda que non recibiu os SMS habituais, si recibiu avisos por correo electrónico.

Eses correos informan do duplicado da SIM e de movementos bancarios.

De: soporte@aureatelecom.gal

Para: usuario@gmail.com

Asunto: Solicitude de duplicado da SIM

Estimado/a cliente/a,

Informámolo de que se solicitou un duplicado da súa tarxeta SIM asociado ao seu número de teléfono.

Se vostede non realizou esta xestión, contacte co noso servizo de atención ao cliente canto antes.

Atentamente,

Áurea Telecom

De: seguridade@abanca.es

Para: usuario@gmail.com

Asunto: Novo acceso á súa banca en liña

Estimado/a cliente/a,

Detectamos un acceso á súa conta desde un dispositivo non habitual. Se non recoñece esta actividade, revise a seguridade da súa conta de inmediato.

Atentamente,

Atención ao cliente de ABANCA

De: notificacions@abanca.es

Para: usuario@gmail.com

Asunto: Transferencia realizada correctamente

Estimado/a cliente/a,

Confirmámoslle que se realizou unha transferencia por importe de 950 € desde a súa conta.

Se vostede non autorizou esta operación, contacte inmediatamente coa súa entidade bancaria.

Cordialmente,

Atención ao cliente de ABANCA

O nome intenta aparentar oficial ao facer referencia a conta de profesor/a oficial.

Emprega unha escusa derivada de problemas técnicos para xustificar o feito de estar usando unha conta e medio de contacto diferente ao habitual.

Non se emprega a canle oficial de comunicación, algo sospeitoso tratándose dunha comunicación institucional.

Reforza confidencialidade, evitando así que a vítima contacte con outras persoas que traballan na mesma institución e dea conta da estafa.

Solicita unha resposta urxente, reducindo así o tempo de reacción e posibles comprobacións por parte da vítima.

Solicita códigos de verificación SMS que permiten á persoa ciberdelincuente saltar verificación en dous pasos.

Solicita as credenciais da aula virtual, datos confidenciais que ningún profesional lexítimo pediría.

A ligazón imita o dominio oficial, pero conta cun carácter de máis polo que seguramente dirixa a unha páxina web fraudulenta.

Intenta evitar o envío da resposta á conta oficial, para evitar levantar sospeitas e a vítima saiba que a súa identidade foi suplantada.

## Audio

audio/mpeg

## Coidado coa careta dixital!

No seguinte vídeo podes ver técnicas de enxeñería social empregadas polos ciberdelincuentes e que poden ser indicios dunha suplantación de identidade:

## Audio

audio/mpeg

# Ciberestafas a través de premios, ofertas e gangas

Alén dos analizados anteriormente, tamén existen cibercalotes baseados en premios inexistentes, gangas e ofertas falsas ou mesmo a través de xogos en liña. Todas elas teñen como finalidade atraer a vítima a través de reclamos moi rechamantes, para o cal acostuman empregar, en moitos casos, a suplantación da identidade de empresas e marcas coñecidas. Estas campañas tenden a difundirse por medios de correos electrónicos, redes sociais, anuncios en páxinas web que aparentemente son lexítimas ou videoxogos en liña.

## Lectura facilitada

Ademais dos casos anteriores, tamén hai outros ciberenganos.

Algúns baséanse en premios que non existen.

Outros usan gangas e ofertas falsas.

Outros aparecen en xogos en liña.

Todas estas estafas buscan chamar a atención da vítima.

Para conseguilo, usan mensaxes moi rechamantes.

Moitas veces fanse pasar por empresas ou marcas coñecidas.

Estas estafas poden chegar por diferentes medios:

- Correos electrónicos.
- Redes sociais.
- Anuncios en páxinas web que parecen reais.
- Videoxogos en liña.

## Audio

audio/mpeg

## Premios inexistentes

A vítima recibe unha comunicación na que se lle indica que foi seleccionada para recibir un premio, coma sorteos, tarxetas regalo ou outro tipo de obxectos, principalmente de electrónica. Para obtelo, pídese que cubra un formulario con datos persoais, credenciais de acceso ou mesmo detalles bancarios coa escusa de facer un pequeno pago como os gastos de envío. Estes premios non existen, e a información proporcionada é empregada con fins fraudulentos.

A continuación, contas cun exemplo dun correo no que Uxía supostamente gaña unha consola. Desliza o rato por enriba para descubrir os indicios de que este premio non existe.

De: premios@promo-gaming2026.com

Para: uxia_gamer@gmail.com

Asunto: Parabéns! Acabas de gañar unha consola de última xeración

Estimada Uxía,

Foi seleccionada como gañadora dun sorteo exclusivo entre usuarios activos.

Como recompensa, recibirá unha PlayStation 5 completamente gratuíta.

Para reclamar o seu premio, só ten que cubrir os seus datos na seguinte ligazón:

http://promo-consola-gratis.net

Debe completar o proceso nas próximas 24 horas ou perderá o dereito ao premio.

Solicitaráselle unha taxa de envío para completar a entrega.

Atentamente,
Equipo de promocións Gaming

## Gangas e ofertas falsas

A vítima preme en anuncios ou mensaxes que publicitan produtos a prezos moi inferiores aos do mercado, frecuentemente de marcas coñecidas. Estas ofertas redirixen a páxinas web fraudulentas que imitan tendas en liña reais. Porén, unha vez feita a compra, o produto non se entrega ou non corresponde co anunciado, alén de ter enviado os datos persoais, incluídos os bancarios, ás persoas ciberdelincuentes.

## Estafas a través de xogos en liña

A vítima recibe mensaxes dentro de xogos en liña que suplantan servizos oficiais ou outras persoas usuarias, prometendo recompensas dixitais, como melloras no propio xogo ou, incluso, moedas virtuais. Para obtelas, solicítase introducir credenciais, descargar ficheiros ou acceder a ligazóns externas, derivando no roubo da conta ou na instalación de malware.

Dominio non oficial que non corresponde á entidade que supostamente entrega o premio.

Afirma que a vítima foi escollida sen constar participación previa nun sorteo.

A ligazón non pertence a unha páxina oficial, non ten o protocolo "https" e pode redirixir a un sitio fraudulento.

Emprega urxencia para exercer presión sobre a vítima e evitar que comprobe a veracidade da mensaxe.

Solicita un pago para recibir un premio supostamente gratuíto, un indicio típico de estafa.

## Lectura facilitada

## Premios inexistentes

Nesta estafa, a vítima recibe unha mensaxe.

Nesa mensaxe din que gañou un premio.

O premio típicos poden ser dun sorteo, unha tarxeta regalo ou un aparello electrónico.

Para recibir o premio, pídenlle cubrir un formulario.

A través deste formulario piden datos persoais.

Ás veces tamén lle piden contrasinais ou datos bancarios.

Moitas veces usan a escusa dun pequeno pago, por exemplo os gastos de envío.

Pero o premio non existe.

A información que a vítima dá úsase para enganar.

A continuación, tes un exemplo dun correo.

Nese correo, Uxía supostamente gaña unha consola.

Desliza o rato por enriba para descubrir os indicios de que ese premio non existe.

De: premios@promo-gaming2026.com

Para: uxia_gamer@gmail.com

Asunto: Parabéns! Acabas de gañar unha consola de última xeración

Estimada Uxía,

Foi seleccionada como gañadora dun sorteo exclusivo entre usuarios activos.

Como recompensa, recibirá unha PlayStation 5 completamente gratuíta.

Para reclamar o seu premio, só ten que cubrir os seus datos na seguinte ligazón:

http://promo-consola-gratis.net

Debe completar o proceso nas próximas 24 horas ou perderá o dereito ao premio.

Solicitaráselle unha taxa de envío para completar a entrega.

Atentamente,
Equipo de promocións Gaming

## Gangas e ofertas falsas

A vítima ve anuncios ou mensaxes con prezos moi baixos.

Eses produtos parecen moi baratos comparados co seu prezo real.

Moitas veces son de marcas coñecidas.

Estas ofertas levan a páxinas web falsas.

Esas páxinas imitan tendas en liña reais.

Pero, despois da compra, o produto non chega.

Ás veces chega algo diferente do anunciado.

Ademais, a vítima xa entregou os seus datos persoais.

Entre eses datos poden estar tamén os bancarios.

## Estafas a través de xogos en liña

A vítima recibe mensaxes dentro de xogos en liña.

As mensaxes poden facerse pasar por servizos oficiais ou por outras persoas usuarias.

Prometen recompensas dixitais.

Por exemplo, poden ofrecer melloras no xogo ou moedas virtuais.

Para conseguilas, piden introducir credenciais.

Ás veces tamén piden descargar arquivos ou entrar en ligazóns externas.

Isto pode acabar no roubo da conta.

Tamén pode provocar a instalación de malware.

Dominio non oficial que non corresponde á entidade que supostamente entrega o premio.

Afirma que a vítima foi escollida sen constar participación previa nun sorteo.

A ligazón non pertence a unha páxina oficia, non ten o protocolo "https" e pode redirixir a un sitio fraudulento.

Emprega urxencia para exercer presión sobre a vítima e evitar que comprobe a veracidade da mensaxe.

Solicita un pago para recibir un premio supostamente gratuíto, un indicio típico de estafa.

## Audio

audio/mpeg

# Informe forense: hardware e software afectado

Desde o punto de vista da ciberseguridade forense, as ciberestafas non só afectan á confidencialidade de datos, senón que poden ter consecuencias tanto no software como no hardware.

## Lectura facilitada

As ciberestafas non afectan só a datos confidenciais.

Tamén poden ter consecuencias:

- No software.
- No hardware.

A nivel de software, o impacto ten lugar, principalmente, sobre os mecanismos de autenticación, as aplicacións e o sistema operativo. Varias destas ciberestafas permiten obter credenciais de acceso, promovendo a entrada non autorizada a diferentes servizos. Alén diso, no caso de acceso a ligazóns falsas, pode derivar na descarga de malware, chegando a comprometer o sistema.

## Lectura facilitada

A nivel de software, afecta a varias partes:

- Sistemas de acceso.
- Aplicacións
- Sistema operativo.

Moitas das estafas permiten conseguir datos de acceso.

Por exemplo, usuario e contrasinal.

Isto pode permitir entrar sen permiso en diferentes servizos.

Se accedes a ligazóns falsas, pode haber máis riscos.

Podes descargar malware sen darte conta.

O malware pode danar o sistema.

Tamén pode deixar o equipo sen protección.

En canto ao hardware, o impacto acostuma a ser indirecto pero crítico. O acceso a determinadas ligazóns pode derivar no uso intensivo de compoñentes coma a CPU ou a memoria RAM, así como a explotación de periféricos coma a cámara ou o micrófono, así como o caso particular da SIM swapping que afecta á tarxeta da persoa usuaria.

## Lectura facilitada

O impacto no hardware non sempre é directo.

Pero pode ser moi importante.

Entrar en ligazóns perigosas pode afectar ao equipo.

Pode facer que a CPU traballe moito.

Tamén pode usar moita memoria RAM.

Isto pode facer que o equipo vaia lento.

Algúns ataques usan periféricos do dispositivo.

Por exemplo, a cámara ou o micrófono.

Outro caso é o SIM swapping.

Nese caso, o ataque afecta á tarxeta SIM da persoa usuaria.

## Audio

audio/mpeg

# Como podes protexerte?

A continuación, contas cunha serie de medidas que se deben ter en conta para evitar ser vítima dalgunha destas ciberestafas:

## Medidas preventivas

- Desconfía dos correos electrónicos, SMS ou mensaxes en redes sociais que procedan de persoas ou entidades descoñecidas ou que non esperabas recibir. Antes de realizar calquera acción, comproba que a mensaxe é verídica.
- Non envíes información sensible (datos persoais, contrasinais, números de conta...) a través de mensaxes nin por medio de chamadas telefónicas, aínda que parezan fiables.
- Antes de actuar, verifica de xeito fiable a identidade da persoa coa que estás contactando, asegurándote de que non é unha suplantación de identidade.
- Non accedas a ligazóns de correos electrónicos sen antes pasar o rato por enriba e comprobar a onde levan realmente.
- Non descargues arquivos adxuntos sospeitosos.
- Mantén o software dos teus dispositivos actualizado.
- Activa a autenticación de dobre factor (2FA) nos servizos que empregues.
- Non te deixes influenciar por mensaxes urxentes ou alarmistas e tómate o tempo que precises para verificar a información antes de actuar.

## Rexeita o phishing

No seguinte vídeo contas con algunhas recomendacións para evitar ser vítima do phishing:

:

## Lectura facilitada

A continuación, tes algunhas medidas para evitar estas estafas:

## Medidas preventivas

- Desconfía das mensaxes descoñecidas.
- Poden ser correos, SMS ou redes sociais.
- Se non a esperabas, comproba antes de actuar.
- Non envíes datos persoais.
- Tampouco envíes contrasinais nin datos bancarios.
- Aínda que a mensaxe pareza real, pode ser falsa.
- Comproba quen che escribe.
- Asegúrate de quen é a persoa ou entidade real.
- Non premas en ligazóns sen comprobar antes.
- Pasa o rato por enriba da ligazón para ver a dirección real.
- Non descargues arquivos sospeitosos.
- Mantén o software actualizado.
- Activa a verificación en dous pasos (2FA).
- Non te deixes levar pola urxencia.
- Tómate tempo para pensar e comprobar a información.

## Rexeita o phishing

No seguinte vídeo tes recomendacións para evitar o phishing:

:

## Audio

audio/mpeg

# Caderno forense dixital

Duración: 15 minutos Agrupamento: parellas

No primeiro capítulo do voso manual forense debedes recoller os tipos de ciberestafas que coñecedes cunha lista de indicios identificativos, así como o hardware e software que pode estar afectado. Debedes crear un documento en LibreOffice Writer, onde incluades:

## Capítulo 1 do manual forense: ciberestafas

### Nome da ciberestafa

Debedes incluír todas as ciberestafas analizadas ata o momento, clasificadas segundo os tres grupos vistos anteriormente.

### Lista de indicios

Fixádevos en cada un dos exemplos anteriores e nas pistas que aparecen en cada caso ao deslizar o rato por enriba das diferentes mensaxes. Creade unha lista de comprobación para cada ciberestafa, a cal vos servirá como guía na investigación da seguinte fase.

### Hardware e software comprometido

Facede unha listaxe do hardware e software que pode estar comprometido no caso das ciberestafas. Dado que é similar en todas as ciberestafas, podedes facer unha listaxe común a todas elas, sen repetila en cada cibestafa.

## Lectura facilitada

Duración: 15 minutos Agrupamento: parellas

No primeiro capítulo do voso manual forense debedes:

- Escribir os tipos de ciberestafas que coñecedes.
- Os sinais que axuden a identificar cada ciberestafa.
- Indicar que hardware e software pode estar afectado.

Para iso, creade un documento en LibreOffice Writer.

## Capítulo 1 do manual forense: ciberestafas

### Nome da ciberestafa

Incluíde todas as ciberestafas vistas ata agora.

Organizádeas nos tres grupos que xa coñecedes.

### Lista de indicios

Observade os exemplos anteriores.

Fixádevos nas pistas que aparecen nas mensaxes.

Creade unha lista de comprobación para cada estafa.

Esta lista axudaravos na seguinte fase.

### Hardware e software comprometido

Facede unha lista:

- Hardware afectado.
- Software afectado.

Como é similar en todas as estafas, podedes facer unha lista común.

Non é necesario repetila en cada caso.

## Audio

audio/mpeg

Páxina 18 de 29

Licenciado baixo a Licenza Creative Commons Atribución Non-comercial Compartir igual 4.0

Feito con eXeLearning (Nova xanela)