ESET advierte que las capturas de pantalla pueden ayudar a documentar pagos, reservas o conversaciones. Pero cada vez son menos fiables como evidencia y más fáciles de falsificar.

Lo que hoy se considera una prueba puede ser muy diferente de lo que era hace apenas unos años.

Las capturas de pantalla, que suelen utilizarse como registro práctico de un pago, un mensaje o una conversación en línea. Son difíciles de aceptar sin cuestionamientos.

Aunque desde ESET, compañía líder en detección proactiva de amenazas. Advierten que estas siempre han podido manipularse y que la IA generativa y otras herramientas disponibles. Han hecho que crear falsificaciones convincentes sea más rápido y sencillo que nunca.

“Una captura de pantalla puede parecer convincente, pero desde eso no significa necesariamente que el pago, la reserva o la conversación sean auténticos. Esta realidad representa una mala noticia para los consumidores. Que ya enfrentan un aumento masivo del fraude digital. Y también para las organizaciones expuestas a riesgos financieros, regulatorios y reputacionales. A medida que las evidencias digitales se vuelven más fáciles de falsificar. Tanto las personas como las empresas deben replantearse qué aceptan como prueba”. Advierte Mario Micucci, Investigador de Seguridad Informática de ESET Latinoamérica.

Una captura de pantalla no es más que una imagen de algo que apareció en una pantalla.

Puede aportar contexto útil, pero no proporciona información confiable acerca de quién la creó ni de si la transacción o conversación subyacente es auténtica.

Puede haber sido recortada, editada o modificada de otras maneras. O incluso generada completamente desde cero mediante alguna de las numerosas herramientas disponibles en el mercado.

Se trata de una forma débil de evidencia admisible desde el punto de vista legal. Por sí solas, las capturas de pantalla no tienen el mismo valor probatorio que los registros originales. Los identificadores de transacciones, los registros de sistemas o la información obtenida directamente de la plataforma o servicio involucrado.

Las capturas de pantalla son una herramienta accesible y eficaz para que los estafadores engañen a sus víctimas. Algunos ejemplos son:

• Al vender un artículo en un algún marketplace. El comprador envía una captura de pantalla que aparentemente muestra una transferencia exitosa desde una aplicación de pagos o banca en línea. Al confiar, se envía el producto. Luego se descubre que la captura era falsa y nunca se recibe el dinero.

• Un comprador envía una captura que muestra que los fondos solo se liberarán si se pagas un cargo adicional para actualizar una cuenta o acceder a algún servicio similar. Todo es falso y el estafador se queda con ese dinero extra.

• Un estafador sentimental inventa excusas para no verse en persona. Envía capturas de pantalla de vuelos reservados que se cancelan misteriosamente. Los estafadores románticos también pueden utilizar capturas de pantalla para convencer de que se les envíe dinero para supuestos tratamientos médicos de emergencia o para cubrir tarifas de visa necesarias para las visitas. Si luego se exige la devolución del dinero, envían una captura falsa como “prueba” de que realizaron el reembolso.

• Si se forma parte de un grupo de WhatsApp sobre inversiones en criptomonedas. Algunos “miembros” comparten capturas de pantalla que aparentemente demuestran que el valor de sus inversiones se está disparando. Sin embargo, ni las ganancias ni las cuentas mostradas existen realmente.

• Sin intención se puede ingresar en un sitio fraudulento de comercio electrónico. Lleno de imágenes de supuestas reseñas positivas de clientes que pretenden demostrar su legitimidad.

• Se recibe un código para restablecer una contraseña y luego un mensaje de texto. Quizá de alguien que suplanta la identidad de un amigo, pidiendo que se le envíe una captura de pantalla del código. Esto puede permitir que los ciberdelincuentes accedan a la cuenta.

Desde la perspectiva empresarial, los equipos internos y los que interactúan con clientes suelen recibir capturas de pantalla como evidencia.

Por ejemplo, un cliente puede presentar una captura como “prueba” de que pagó por un producto o servicio. Pero no lo recibió, reclamar productos de reemplazo, créditos en cuenta o reembolsos a los que la persona no tiene derecho.

Esto puede incrementar significativamente los costos asociados a contracargos o reclamos. También puede consumir tiempo de los empleados encargados de investigar el caso, generando costos operativos adicionales.

“Incluso cuando estos intentos no prosperan, consumen tiempo y recursos. Los equipos de soporte, prevención de fraude y pagos pueden verse obligados a revisar historiales de cuenta. Registros de transacciones e información de entrega para determinar qué ocurrió realmente”. Destaca Micucci.

En algunos casos, las consecuencias pueden ser aún más graves. Un empleado podría recibir una captura de pantalla que aparenta mostrar una aprobación de un directivo. Y utilizarla para justificar un pago urgente o la divulgación de información sensible.

Conversaciones manipuladas también podrían presentarse en reclamos laborales, solicitudes de recuperación de cuentas u otras investigaciones.

Si se utilizan durante procesos de incorporación de clientes en industrias altamente reguladas. Como los servicios financieros, podrían incluso generar problemas legales y regulatorios.

Desde ESET comparten algunos consejos para usuarios, y así evitar caer en estafas:

• Si se compra o vende productos en un marketplace. Nunca confiar en una captura de pantalla como evidencia de que un artículo fue enviado o de que un pago fue realizado. Ni para verificar cualquier otra afirmación. Comprobar siempre la información directamente en el marketplace, servicio de pagos o cuenta bancaria correspondiente. Utilizando la aplicación o el sitio web oficial, y no un enlace proporcionado por otra persona.

• Si se participa en una disputa, una captura de pantalla puede servir como respaldo. Pero siempre debe acompañarse de evidencia concluyente. Como números de referencia de transacciones o correos electrónicos originales que respalden tu caso.

• El mismo principio se aplica a reservas, reembolsos y facturas. Una captura de pantalla muestra únicamente lo que el remitente quiere que se vea. La confirmación debe provenir de la organización que supuestamente emitió ese registro. Comunicarse con ella a través de un número de teléfono, aplicación o sitio web obtenido de manera independiente.

En cuanto a las empresas, desde ESET sostienen que es el momento de revisar y fortalecer los procesos de verificación. Algunas medidas posibles incluyen:

• Comparar las capturas de pantalla con los registros de los sistemas de origen para verificar cuándo una cuenta realizó, o intentó realizar, una acción específica.

• Exigir a empleados o clientes que proporcionen correos electrónicos u otros mensajes originales que puedan verificarse, en lugar de simples capturas de pantalla.

• Considerar los metadatos y las herramientas automatizadas de análisis de imágenes como indicios de investigación, y no como pruebas definitivas de autenticidad o falsificación.

• Mejorar la integración con sistemas de terceros, por ejemplo mediante API, para obtener registros financieros y otros datos directamente desde fuentes confiables.

• Capacitar a los equipos de atención al cliente, recursos humanos y otras áreas relevantes para que comprendan estas limitaciones y eviten tomar decisiones irreversibles, como emitir un reembolso, basándose únicamente en una captura de pantalla.

• Comunicar claramente las políticas de verificación a los clientes para reducir el tiempo dedicado a la gestión de disputas.

“Nada de esto significa que las capturas de pantalla sean inútiles. Siguen siendo una forma práctica de mostrar un mensaje de error, documentar lo que apareció en una pantalla o brindar a los investigadores un punto de partida. Pero deberían considerarse material complementario y no una fuente definitiva de verdad. Una captura de pantalla convincente puede indicar dónde buscar. La confirmación debe provenir de un sistema o canal que el remitente no pueda controlar”. Concluye Micucci de ESET.