Estafas de phishing: cómo detectar sitios, emails y mensajes falsos de Krak

• Sitios con aspecto similar. La dirección se parece a la de Krak, pero no es la misma: una letra de más, una letra cambiada, o «krak» seguido de palabras como «-support» o «-verify».
• Anuncios en buscadores. Los estafadores pagan por anuncios para que su sitio falso aparezca por encima del real en los resultados de búsqueda.
• Emails y mensajes urgentes. Mensajes como «Inicio de sesión inusual detectado», «Tu cuenta está suspendida» o «Retiro pendiente» enlazan a una página de inicio de sesión falsa. Los SMS pueden incluso aparecer en el mismo hilo que los mensajes auténticos de Krak.
• Códigos QR en emails, mensajes o cartas que abren un sitio falso.
• Páginas falsas de «verificación de humanidad» que te piden pegar un comando en tu ordenador. Esto instala malware. Consulta Riesgos del software de acceso remoto.
• Aplicaciones y extensiones de navegador falsas que copian el nombre y el logotipo de Krak.
• Sitios que vacían monederos. Páginas falsas de airdrops o de «reclamar tus tokens» te piden conectar un monedero de autocustodia y aprobar una transacción que lo vacía.

• Usa claves de acceso para el 2FA para el inicio de sesión. Una clave de acceso está vinculada al sitio web real de Krak, por lo que no funcionará en uno falso, aunque te engañen. Usa una aplicación de autenticación solo si las claves de acceso no están disponibles, y lee antes Riesgos de usar una aplicación de autenticación. Consulta ¿Qué es una clave de acceso?
• Escribe la dirección o usa un marcador. Accede a https://id.kraken.com/sign-in escribiéndola directamente en la barra de direcciones de tu navegador (comprueba que no haya erratas) y guárdala como marcador si la visitas con frecuencia. No uses un buscador para acceder a Krak ni a otros sitios con información sensible.
• Fíjate en el dominio, no en el candado. Un candado o "https" solo indica que la conexión está cifrada. Los sitios falsos también los tienen. El dominio es la parte justo antes de la primera barra: en krak.app.example.net/sign-in, el dominio es example.net, no Krak.
• No hagas clic en enlaces de mensajes que no esperabas. Abre Krak tú mismo y comprueba si hay alertas. Para verificar el remitente de un email, consulta ¿Es este email de Krak?
• Nunca introduzcas tu frase semilla en ningún sitio web. Krak nunca te la pedirá.
• Descarga las aplicaciones de Krak solo desde el App Store o Google Play, a través de los enlaces de krak.app.
• Añade una segunda capa de protección. Guarda tu clave maestra en un dispositivo distinto al de tu 2FA para el inicio de sesión y activa el Bloqueo global de configuración (GSL) para que, aunque alguien acceda, no pueda cambiar tu configuración de seguridad.
• Opcional: activa el cifrado PGP de email. Krak puede cifrar los emails que te envía con tu clave PGP, lo que dificulta enormemente que los estafadores los falsifiquen.

• Compartir tu nombre de usuario, contraseña, códigos 2FA o clave maestra.
• Compartir o reenviar un email de autorización de dispositivo, o el enlace que contiene.
• Compartir tu frase semilla (también llamada frase de recuperación), de cualquier monedero.
• Eliminar o cambiar tu 2FA, clave maestra o Bloqueo global de configuración (GSL), salvo que hayas contactado con nosotros primero para obtener ayuda a través de nuestros canales oficiales.
• Instalar software de acceso remoto como AnyDesk o TeamViewer. Consulta Riesgos del software de acceso remoto.
• Enviar cripto ni mover tus fondos a un monedero o dirección "seguro" o "de confianza".
• Realizar un pago para liberar, desbloquear o "verificar" tus fondos.

Contacta con el soporte de Krak de inmediato usando este formulario. Responde a las preguntas con total veracidad y el mayor detalle posible.

Si aún puedes iniciar sesión, accede a Krak directamente (mediante un marcador o escribiendo la dirección), cambia tu contraseña y actualiza tu 2FA para el inicio de sesión y tu clave maestra. Comprueba que todas tus direcciones de retirada, claves API y dispositivos te resultan conocidos, y elimina cualquiera que no reconozcas.

Si introdujiste una frase semilla, transfiere los fondos de ese monedero a uno nuevo con una frase semilla nueva, configurado en un dispositivo de confianza.

Consulta también ¿Cómo informo de un incidente de phishing? y Mi cuenta está comprometida, ¿qué debo hacer?