ESET advierte que las capturas de pantalla pueden ayudar a documentar pagos, reservas o conversaciones, pero cada vez son menos fiables como evidencia y más fáciles de falsificar.
Lo que actualmente se considera una prueba puede diferir significativamente de lo que se aceptaba hace algunos años. Las capturas de pantalla, comúnmente utilizadas como registro de un pago, mensaje o conversación en línea, son cada vez más difíciles de aceptar sin cuestionamientos. Aunque desde ESET, compañía líder en detección proactiva de amenazas, señalan que estas siempre han podido manipularse, la inteligencia artificial generativa y otras herramientas disponibles han hecho que crear falsificaciones convincentes sea más rápido y sencillo que nunca.
Mario Micucci, Investigador de Seguridad Informática de ESET Latinoamérica, advierte que «una captura de pantalla puede parecer convincente, pero eso no significa necesariamente que el pago, la reserva o la conversación sean auténticos. Esta realidad representa una mala noticia para los consumidores, que ya enfrentan un aumento masivo del fraude digital, y también para las organizaciones expuestas a riesgos financieros, regulatorios y reputacionales. A medida que las evidencias digitales se vuelven más fáciles de falsificar, tanto las personas como las empresas deben replantearse qué aceptan como prueba».
Una captura de pantalla es únicamente una imagen de algo que apareció en una pantalla. Aunque puede aportar contexto útil, no proporciona información confiable acerca de quién la creó ni de si la transacción o conversación subyacente es auténtica. Puede haber sido recortada, editada o modificada de otras maneras, o incluso generada completamente desde cero mediante herramientas disponibles en el mercado. Se trata de una forma débil de evidencia admisible desde el punto de vista legal. Por sí solas, las capturas de pantalla no tienen el mismo valor probatorio que los registros originales, los identificadores de transacciones, los registros de sistemas o la información obtenida directamente de la plataforma o servicio involucrado.
Las capturas de pantalla son una herramienta accesible y eficaz para que los estafadores engañen a sus víctimas. Algunos ejemplos incluyen: al vender un artículo en un marketplace, el comprador envía una captura que aparentemente muestra una transferencia exitosa desde una aplicación de pagos o banca en línea. Al confiar, se envía el producto y luego se descubre que la captura era falsa y nunca se recibe el dinero.
Un comprador puede enviar una captura que muestra que los fondos solo se liberarán si se paga un cargo adicional para actualizar una cuenta o acceder a algún servicio similar. Todo es falso y el estafador se queda con ese dinero extra.
Un estafador sentimental puede inventar excusas para no verse en persona y enviar capturas de pantalla de vuelos reservados que se cancelan misteriosamente. Los estafadores románticos también pueden utilizar capturas de pantalla para convencer de que se les envíe dinero para supuestos tratamientos médicos de emergencia o para cubrir tarifas de visa necesarias para las visitas. Si luego se exige la devolución del dinero, envían una captura falsa como «prueba» de que realizaron el reembolso.
Si se forma parte de un grupo de WhatsApp sobre inversiones en criptomonedas, algunos «miembros» comparten capturas de pantalla que aparentemente demuestran que el valor de sus inversiones se está disparando. Sin embargo, ni las ganancias ni las cuentas mostradas existen realmente.
Sin intención se puede ingresar en un sitio fraudulento de comercio electrónico, lleno de imágenes de supuestas reseñas positivas de clientes que pretenden demostrar su legitimidad.
Se puede recibir un código para restablecer una contraseña y luego un mensaje de texto, quizá de alguien que suplanta la identidad de un amigo, pidiendo que se le envíe una captura de pantalla del código. Esto puede permitir que los ciberdelincuentes accedan a la cuenta.
Desde la perspectiva empresarial, los equipos internos y los que interactúan con clientes suelen recibir capturas de pantalla como evidencia. Por ejemplo, un cliente puede presentar una captura como «prueba» de que pagó por un producto o servicio, pero no lo recibió, reclamar productos de reemplazo, créditos en cuenta o reembolsos a los que la persona no tiene derecho. Esto puede incrementar significativamente los costos asociados a contracargos o reclamos. También puede consumir tiempo de los empleados encargados de investigar el caso, generando costos operativos adicionales.
Micucci destaca que «incluso cuando estos intentos no prosperan, consumen tiempo y recursos. Los equipos de soporte, prevención de fraude y pagos pueden verse obligados a revisar historiales de cuenta, registros de transacciones e información de entrega para determinar qué ocurrió realmente».
En algunos casos, las consecuencias pueden ser aún más graves. Un empleado podría recibir una captura de pantalla que aparenta mostrar una aprobación de un directivo y utilizarla para justificar un pago urgente o la divulgación de información sensible. Conversaciones manipuladas también podrían presentarse en reclamos laborales, solicitudes de recuperación de cuentas u otras investigaciones. Si se utilizan durante procesos de incorporación de clientes en industrias altamente reguladas, como los servicios financieros, podrían incluso generar problemas legales y regulatorios.
Desde ESET comparten algunos consejos para usuarios y así evitar caer en estafas. Si se compra o vende productos en un marketplace, nunca confiar en una captura de pantalla como evidencia de que un artículo fue enviado o de que un pago fue realizado, ni para verificar cualquier otra afirmación. Comprobar siempre la información directamente en el marketplace, servicio de pagos o cuenta bancaria correspondiente, utilizando la aplicación o el sitio web oficial, y no un enlace proporcionado por otra persona.
Si se participa en una disputa, una captura de pantalla puede servir como respaldo. Pero siempre debe acompañarse de evidencia concluyente, como números de referencia de transacciones o correos electrónicos originales que respalden el caso.
El mismo principio se aplica a reservas, reembolsos y facturas. Una captura de pantalla muestra únicamente lo que el remitente quiere que se vea. La confirmación debe provenir de la organización que supuestamente emitió ese registro. Se debe comunicar con ella a través de un número de teléfono, aplicación o sitio web obtenido de manera independiente.
En cuanto a las empresas, desde ESET sostienen que es el momento de revisar y fortalecer los procesos de verificación. Algunas medidas posibles incluyen comparar las capturas de pantalla con los registros de los sistemas de origen para verificar cuándo una cuenta realizó, o intentó realizar, una acción específica.
También es recomendable exigir a empleados o clientes que proporcionen correos electrónicos u otros mensajes originales que puedan verificarse, en lugar de simples capturas de pantalla. Considerar los metadatos y las herramientas automatizadas de análisis de imágenes como indicios de investigación, y no como pruebas definitivas de autenticidad o falsificación.
Otras medidas incluyen mejorar la integración con sistemas de terceros, por ejemplo mediante API, para obtener registros financieros y otros datos directamente desde fuentes confiables. Capacitar a los equipos de atención al cliente, recursos humanos y otras áreas relevantes para que comprendan estas limitaciones y eviten tomar decisiones irreversibles, como emitir un reembolso, basándose únicamente en una captura de pantalla.
También se recomienda comunicar claramente las políticas de verificación a los clientes para reducir el tiempo dedicado a la gestión de disputas.
Micucci concluye que «nada de esto significa que las capturas de pantalla sean inútiles. Siguen siendo una forma práctica de mostrar un mensaje de error, documentar lo que apareció en una pantalla o brindar a los investigadores un punto de partida. Pero deberían considerarse material complementario y no una fuente definitiva de verdad. Una captura de pantalla convincente puede indicar dónde buscar. La confirmación debe provenir de un sistema o canal que el remitente no pueda controlar».
Con Información de revistaseguridad.cl
