Una gran cantidad de usuarios en Internet se sienten seguros cuando se muestra el icono del candado justo antes de la dirección de un sitio web. De hecho, este icono es utilizado en los principales software de navegación para informar a los usuarios sobre los sitios web de phishing o que contienen malware.

Sin embargo, un nuevo informe de la firma de seguridad KrebsonSecurity ha revelado que el icono del candado en la barra de navegación es totalmente inútil, ya los hackers han encontrado una manera de mostrarlo junto a la dirección del sitio web malicioso. El informe cita una investigación de la firma PhishLabs, que reveló que durante el primer trimestre de 2018, el 49 por ciento de todos los sitios de phishing incluía el icono de seguridad en la barra de navegación.

Las cifras de PhishLabs sugieren que esta técnica ha aumentado en un 25 por ciento desde 2017, y afirman que las cifras pudieron aumentar cerca de un 35 por ciento durante el segundo trimestre de este año.

En todo caso, lo más preocupante de esta situación tiene que ver con el hecho de que los usuarios siguen considerando el icono del candado como un indicativo de seguridad web. Una encuesta de PhishLab realizada en 2017, reveló que más de 80 por ciento de los usuarios considera que este icono es característico de los sitios web legítimos.

Esta extensión de Chrome bloquea sitios que podrían robar tu información

Con respecto a la técnica de los hackers para mostrar el icono del candado en sitios web ilegítimos, PhishLabs asegura:

PhishLabs cree que esto se puede atribuir tanto al uso continuado de certificados SSL por parte de los phishers que registran sus propios nombres de dominio y crean certificados para ellos como a un aumento general de SSL debido a que el navegador Google Chrome ahora muestra “No es seguro” para los sitios web que no utilizan SSL. La conclusión es que la presencia o falta de SSL no le dice nada sobre la legitimidad de un sitio.

Los investigadores afirman que, de momento, los desarrolladores de navegadores web están bloqueando los sitios web de phishing más conocidos, sin embargo, aquellos que no han sido detectados por los analistas de seguridad siguen haciendo de las suyas. Por ello, la mejor solución es cuestionar cada solicitud de datos personales e inicios de sesión en cualquier sitio web, incluso si lucen como auténticas.

Más en TekCrispy