La ingeniería social es el engaño destinado a extraer dinero o datos sensibles —datos de tarjetas, credenciales, números de teléfono— de usuarios comunes. Es la categoría más seria de esta lista, porque Yandex puede mostrar una advertencia sobre el sitio directamente en los resultados de búsqueda.
Las tres tácticas que describe Yandex
- Conseguir el clic. Titulares de cebo de clics (clickbait) y contenido engañoso: sitios de noticias falsas, servicios de citas o loterías de imitación, ofertas de bienes gratuitos o absurdamente baratos, premios y plataformas de dinero fácil.
- Fabricar confianza. Suplantar un sitio oficial a través de dominios similares, elementos de interfaz y contenido; publicar reseñas positivas falsas o información falsa.
- Recopilar datos. Páginas de pago falsas que solicitan datos de tarjetas; formularios de inicio de sesión y recuperación de cuentas falsos; formularios que prometen acceso a contenido a cambio de un número de teléfono o tarjeta y nunca cumplen —incluidos formularios que activan silenciosamente una suscripción pagada de renovación automática cuyos términos el usuario nunca ve—.
La suposición que Yandex hace sobre usted
La guía de remediación destaca por lo que asume: si se sospecha que su sitio participa en ingeniería social, puede haber sido comprometido por atacantes. La primera instrucción es comprobar si hay código malicioso, no revisar su marketing. Las páginas de phishing se alojan habitualmente en sitios legítimos pirateados —en un subdirectorio olvidado, en un subdominio no utilizado, dentro de una carpeta de subidas— sin que el propietario las vea jamás.
Dónde buscar en un sitio que cree que está limpio
- Archivos añadidos o modificados recientemente en directorios con permisos de escritura web, especialmente subidas.
- Subdirectorios y subdominios que nadie mantiene: campañas antiguas, copias de ensayo, un CMS retirado.
- Páginas en los informes de índice de la consola que no reconoce —Yandex las rastreó, lo que significa que existen—.
- Cuentas de administrador que usted no creó y complementos que nadie recuerda haber instalado.
La versión de sitio legítimo de esta infracción
Dos patrones pueden ser completamente involuntarios: una suscripción cuyas condiciones de renovación se revelan en un lugar distinto al punto de pago, y un formulario de clientes potenciales que promete algo que el usuario realmente no recibe. Ambos coinciden con la descripción de la recopilación de datos bajo falsas pretensiones, independientemente de lo que se pretendiera. Indicar los términos junto al botón en lugar de en un documento vinculado no cuesta nada y elimina la ambigüedad.
Cómo lo aplicamos
When this violation appears on a site whose owner is plainly not a fraudster, we start from Yandex’s own assumption and search for pages the owner does not know about. Every case we have handled was hosted content in a directory nobody had opened in years. The audit that finds it is the console’s own page list: if Yandex crawled a URL and nobody on the team recognises it, that is the thread to pull.
Servicios relacionados