Lo que valen tus credenciales para un defraudador
Las cuentas de streaming son un objetivo apreciado porque se revenden con facilidad y porque a menudo dan acceso a un medio de pago. Un defraudador que obtiene tus credenciales puede:
- revender el acceso a tu cuenta, o usarla en muchos dispositivos hasta que el servicio la bloquee;
- cambiar la dirección de contacto y la contraseña para dejarte fuera;
- reutilizar el mismo par de usuario y contraseña en otros sitios (correo, banco, comercio electrónico): es el ataque llamado credential stuffing, que aprovecha las contraseñas reutilizadas;
- explotar la tarjeta bancaria guardada para contratar opciones o comprar contenido.
Las cuentas de tipo Xtream Codes plantean un problema particular: la dirección del servidor, el usuario y la contraseña aparecen a menudo en claro en la dirección de la lista, por ejemplo http://serveur.exemple:8080/get.php?username=martin&password=abc123&type=m3u_plus. Compartir esa dirección, publicar una captura de pantalla en un foro o enviarla por mensajería equivale a entregar tus credenciales. Nuestra página sobre los formatos Xtream y M3U muestra cómo se estructura esa información.
Reconocer el phishing
El phishing (o suplantación de identidad) consiste en conseguir que tú mismo introduzcas tus credenciales o tus datos bancarios en una página falsa. El mensaje señuelo llega por correo electrónico, SMS, mensajería instantánea o red social, e imita el aspecto de un servicio conocido.
Los escenarios más comunes
- El falso «problema de pago»: «Tu suscripción está suspendida, actualiza tu medio de pago en 24 horas.»
- La falsa renovación: «Tu suscripción caduca hoy, renuévala para no perder tus canales», con un enlace a una página de pago.
- El falso reembolso: «Se te ha cobrado dos veces, haz clic para recibir el reembolso.» La página te pide entonces el número de tu tarjeta «para abonar el importe».
- La falsa oferta excepcional: un año gratis, una tarifa imbatible, válida «solo unas horas».
- El falso servicio de atención al cliente: una cuenta en una red social que responde a tu queja pública y te invita a seguir por mensaje privado.
Los indicios que delatan la trampa
| Indicio | Qué hay que comprobar |
|---|---|
| Urgencia y amenaza | Un servicio de verdad no corta una suscripción en unas horas sin un aviso previo |
| Dirección del remitente | Nombre de dominio aproximado, letras añadidas, dominio sin relación con el servicio |
| Enlace del mensaje | Pasa el cursor por encima o mantén pulsado: la dirección real se muestra antes de abrirlo |
| Petición inusual | Código recibido por SMS, código de seguridad de la tarjeta, código de validación bancaria: ningún servicio los pide por mensaje |
| Fórmula genérica | «Estimado cliente» en lugar de tu nombre, faltas, maquetación aproximada |
La regla más eficaz es sencilla: no sigas nunca un enlace recibido para iniciar sesión o pagar. Abre tú mismo la aplicación oficial o escribe la dirección del servicio en tu navegador. Si existe un problema real, aparecerá en tu área de cliente.
Los pagos que conviene evitar
La forma en que un vendedor te pide pagar dice mucho sobre su seriedad. Algunos medios de pago son irreversibles: una vez que el dinero se ha ido, ni tu banco ni nadie puede recuperarlo.
- Tarjetas regalo y cupones de prepago: ningún comerciante legítimo exige que se le pague con códigos de tarjetas regalo. Es una de las señales de estafa más fiables.
- Criptomonedas: las transacciones son definitivas y es difícil establecer la identidad del beneficiario.
- Transferencia a un particular, sobre todo a una cuenta en el extranjero: ninguna protección si no te entregan nada.
- Pago «entre amigos y familiares» en los servicios de pago en línea: esta opción excluye la protección del comprador prevista para las compras.
Por el contrario, la tarjeta bancaria en un sitio identificado, con autenticación reforzada (validación en la aplicación de tu banco), ofrece posibilidades de reclamación. Para las suscripciones, prefiere pagar mediante las tiendas de aplicaciones o directamente en el sitio oficial del servicio, que te permiten consultar y cancelar la suscripción fácilmente. Una tarjeta virtual, que ofrecen muchos bancos, limita además la exposición del número real de tu tarjeta.
Estos medios de pago no rastreables son precisamente los que piden los vendedores de ofertas ilícitas: nuestro artículo IPTV legal o ilegal detalla las demás señales de alerta.
Gestionar bien las contraseñas
Una contraseña única para cada servicio
El principal peligro no es una contraseña demasiado corta, sino una contraseña reutilizada. Si un sitio mal protegido sufre el robo de su base de datos, todas tus cuentas que usan la misma contraseña quedan vulnerables. Usa una frase de contraseña larga (cuatro o cinco palabras sin relación entre sí) o una secuencia aleatoria de al menos doce caracteres, distinta para cada servicio.
Un gestor de contraseñas
Nadie puede recordar decenas de contraseñas únicas. Un gestor de contraseñas las genera, las guarda cifradas y las rellena automáticamente en el sitio correcto, lo que, de paso, es una protección contra el phishing: no ofrecerá tus credenciales en un dominio falso. Los sistemas Android e iOS y los principales navegadores incorporan uno.
La verificación en dos pasos
Activa la verificación en dos pasos en todos los sitios que la ofrezcan, empezando por tu correo electrónico: es lo que permite restablecer todas tus demás contraseñas. Una aplicación de autenticación o una llave de seguridad es más segura que un código recibido por SMS, pero el SMS sigue siendo preferible a nada.
En dispositivos compartidos
- En un televisor o un ordenador familiar, cierra la sesión de los servicios antes de revender o prestar el aparato y restablécelo después.
- En los servicios que lo permiten, consulta con regularidad la lista de dispositivos conectados y elimina los que no reconozcas.
- No envíes tus credenciales por mensaje, ni siquiera a un allegado: las conversaciones se conservan y se sincronizan en muchos dispositivos.
Compartir la cuenta: lo que conviene saber
La mayoría de los servicios de streaming limitan el número de pantallas simultáneas y, cada vez más, reservan el uso de una suscripción a las personas de un mismo hogar. Compartir la cuenta más allá de lo que prevén las condiciones de uso puede acarrear un cobro adicional o una suspensión.
En las cuentas Xtream Codes, el número de conexiones simultáneas lo fija el proveedor. Si un tercero usa tus credenciales, verás mensajes de superación del número de conexiones o cortes inexplicables. En ese caso, pide a tu proveedor que cambie tu contraseña. Por parte del reproductor, introduce tus credenciales directamente en cada dispositivo en lugar de hacer circular por mensaje la dirección completa de la lista; en AICKO IPTV, una misma cuenta sincroniza después tus favoritos y tu progreso de reproducción entre las pantallas.
Qué hacer en caso de fraude
Si has comunicado tus datos o has detectado una operación sospechosa, actúa rápido y en este orden. Los organismos y servicios que se citan a continuación son los de Francia; en otros países, ponte en contacto con tu banco y con las autoridades o los servicios de denuncia de tu país.
- Bloquea tu tarjeta llamando a tu banco o desde su aplicación. En Francia, el servidor interbancario de oposición atiende en el 0 892 705 705 a cualquier hora.
- Reclama las operaciones no autorizadas a tu banco. Por un pago que no has autorizado, el banco debe en principio reembolsarte con rapidez; la reclamación debe hacerse sin demora y, como máximo, en los trece meses siguientes al cargo.
- Denuncia el fraude con la tarjeta en la plataforma oficial Perceval (Francia), accesible desde service-public.fr, si se han hecho compras con el número de tu tarjeta sin que la hayas perdido.
- Cambia tus contraseñas, empezando por el correo y siguiendo por todas las cuentas que usen la misma contraseña. Activa la verificación en dos pasos.
- Presenta una denuncia. En Francia, para las estafas en línea se puede presentar por Internet a través de la plataforma Thésée del Ministerio del Interior.
- Informa del mensaje o del sitio: en Francia, un SMS fraudulento puede reenviarse gratis al 33700, y un contenido ilícito en línea puede comunicarse en la plataforma oficial Pharos (Francia).
El dispositivo nacional francés Cybermalveillance.gouv.fr ofrece un diagnóstico en línea, fichas prácticas para cada tipo de estafa y contacto con profesionales. Los trámites de denuncia y de notificación también se detallan en service-public.fr (Francia).
Los errores que agravan la situación
- Pagar por segunda vez para «desbloquear» un reembolso prometido por el defraudador.
- Responder a los falsos servicios de recuperación que prometen recuperar tu dinero a cambio de un adelanto.
- Esperar: cuanto más tarde se bloquea la tarjeta, más tiempo tiene el defraudador para usarla.
En resumen
- Una dirección de lista Xtream contiene a menudo tus credenciales en claro: no la compartas.
- No sigas nunca un enlace recibido para iniciar sesión o pagar: usa la aplicación o el sitio oficial.
- Rechaza las tarjetas regalo, las criptomonedas y las transferencias a particulares.
- Una contraseña única por servicio, un gestor y la verificación en dos pasos.
- En caso de fraude: bloqueo de la tarjeta, reclamación, cambio de contraseñas, denuncia y aviso a las autoridades.
Preguntas frecuentes
He hecho clic en un enlace sin escribir nada: ¿corro peligro?
El riesgo es bajo si no has introducido ningún dato ni has instalado nada. Cierra la página, actualiza tu navegador y tu sistema y está atento a los mensajes siguientes, que podrían estar más dirigidos.
¿Me reembolsará mi banco?
Por una operación que no has autorizado, el banco debe en principio reembolsar, salvo negligencia grave por tu parte, por ejemplo si tú mismo has comunicado un código de validación. Reclama sin esperar y conserva las pruebas.
¿Cómo sé si alguien usa mi cuenta?
Consulta el historial de reproducción y la lista de dispositivos conectados en tu área de cliente. Las conexiones rechazadas por superar el número de pantallas o los programas que no has visto son señales reveladoras.
¿Dónde denunciar un sitio o un mensaje fraudulento?
En Francia, reenvía los SMS fraudulentos al 33700, comunica los contenidos ilícitos en Pharos y consulta Cybermalveillance.gouv.fr para recibir orientación. En otros países, acude a los organismos equivalentes. Si has sufrido un perjuicio, presenta una denuncia; en Francia, en línea a través de Thésée para las estafas en Internet.
