Cómo se ve la estafa

El correo llega con el logo rojo de Netflix, un asunto "importante" sobre su suscripción y un botón con un texto como "Actualizar método de pago" o "Reanudar membresía". El botón lleva a una página de inicio de sesión falsa de Netflix que primero captura su correo y contraseña, luego un formulario de facturación falso que captura el número de su tarjeta de crédito, la fecha de vencimiento, el CVV y a veces el código postal de facturación. En cuestión de minutos, el atacante tiene tanto su inicio de sesión de Netflix (vendido en mercados de la dark web por entre 1 y 5 dólares) como una tarjeta de crédito funcional (vendida por entre 10 y 50 dólares, más si es una Visa Infinite o una tarjeta empresarial).

Los correos reales de pago de Netflix sí existen. Nunca le piden "verificar" su tarjeta. Le piden iniciar sesión en netflix.com y actualizar su facturación allí. Los correos falsos siempre enlazan a un dominio de terceros.

Las 7 variantes del mensaje en rotación activa

1. La suspensión clásica

"Tenemos problemas con su información de facturación actual. Lo intentaremos de nuevo, pero mientras tanto puede actualizar sus datos de pago." Asunto: "Actualice sus datos de pago".

2. La advertencia de cancelación

"Su membresía será cancelada en 24 horas. Actualice su método de pago ahora para seguir viendo."

3. El gancho del aumento de precio

"Importante: cambios en su plan de Netflix. Confirme su método de pago para continuar al precio actual." Esta variante explota el hecho real de que Netflix ha subido los precios varias veces, por lo que el usuario espera el correo.

4. La prueba gratuita de 30 días

"¡Felicitaciones! Calificó para 30 días de Netflix Premium gratis. Verifique su tarjeta para activarlo." Las pruebas gratuitas ya no existen en la mayoría de los mercados de Netflix, pero los usuarios no lo recuerdan bajo presión.

5. La represión de cuentas compartidas en el mismo hogar

"Se está accediendo a su cuenta desde un hogar distinto. Confirme su facturación para mantener el acceso." Esta variante explota la represión real de Netflix en 2023 contra el uso compartido de contraseñas.

6. El reembolso

"Le debemos un reembolso de $14.99 por un error de facturación. Haga clic aquí para reclamar su reembolso." El formulario falso de reembolso pide la tarjeta a la que se hará el reembolso.

7. El nuevo inicio de sesión

"Un nuevo dispositivo inició sesión en su cuenta de Netflix desde [país]. Si no fue usted, asegure su cuenta ahora." Mismo patrón que la variante de Apple ID, marca distinta.

Cómo detectar la falsificación en 10 segundos

  • Dominio del remitente. Los correos reales de Netflix vienen de @netflix.com o @mailer.netflix.com. Cualquier otro es falso (@netflix-billing.com, @netflix-secure.net, @netflix-account.support, etc.).
  • Saludo. Netflix se dirige a usted por el primer nombre de la cuenta. "Estimado cliente" o "Hola usuario" es una estafa.
  • Destino del enlace. Pase el cursor sobre el botón. El destino debe contener netflix.com como dominio real. netflix.com.update-billing.xyz NO es Netflix.
  • Temporizador de urgencia. "24 horas" o "su cuenta será cancelada" es presión. Netflix le da una ventana mucho más larga para problemas reales de facturación, y reintenta el cobro de la tarjeta silenciosamente antes de enviar cualquier correo.
  • Detalles de la marca. La N de Netflix tiene una forma específica y un tono de rojo determinado. Los logos de phishing suelen estar ligeramente desalineados (rojo anaranjado, ángulo incorrecto, bordes pixelados).

La verificación en 5 pasos (haga esto antes de hacer clic en cualquier cosa)

  1. No haga clic en el botón del correo.
  2. Abra un navegador y escriba netflix.com manualmente. No lo busque en Google. Los primeros resultados de Google durante los picos de campañas de phishing a veces son anuncios pagados que apuntan a typosquats.
  3. Inicie sesión. Si hay un problema real de facturación, la página de cuenta de Netflix lo mostrará en la parte superior con un banner amarillo. Si no hay banner, no hay problema.
  4. Vaya a Cuenta → Información de pago. Verifique que la tarjeta archivada sea suya y esté vigente.
  5. Revise la actividad reciente en Cuenta → "Actividad reciente de transmisión por dispositivo". Cualquier cosa que no reconozca: cambie su contraseña y cierre la sesión en todos los dispositivos.

Si ya ingresó los datos de su tarjeta

El tiempo importa. Los datos de tarjetas robados en paquetes de phishing tipo Netflix suelen venderse en lotes y usarse en un plazo de 24 a 72 horas. Actúe ya.

  1. Llame a su banco o abra la app del banco. Congele o cancele la tarjeta. La mayoría de los bancos ahora tienen una función de "bloquear tarjeta" con un solo toque.
  2. Solicite una tarjeta de reemplazo con un número nuevo. Actualice el nuevo número en las suscripciones legítimas (Netflix, Spotify, etc.) cuando llegue.
  3. Cambie su contraseña de Netflix en netflix.com si también ingresó la contraseña.
  4. Cierre sesión en todos los dispositivos desde Cuenta → "Cerrar sesión en todos los dispositivos". Esto expulsa al atacante si logró entrar.
  5. Revise sus estados de cuenta bancarios a diario durante las próximas 2 semanas. El fraude sin presencia física de la tarjeta suele aparecer primero como pequeños cargos de prueba ($1.05, $2.50) antes de los grandes.
  6. Si usó la misma contraseña en otro lado, cámbiela en todas partes. Los ataques de credential stuffing prueban su contraseña de Netflix en Amazon, Gmail, bancos y exchanges de cripto en cuestión de horas.
  7. Reporte el correo de phishing a Netflix en phishing@netflix.com.

Por qué Netflix es un objetivo constante

Tres razones:

  • Cantidad de suscriptores. Netflix tiene más de 270 millones de suscriptores a nivel mundial. El phishing por correo masivo solo necesita una conversión del 0.1% para ser rentable, y ese universo es lo suficientemente grande.
  • Confianza en la marca. La mayoría de los usuarios sí ha recibido correos legítimos de Netflix sobre problemas de pago, así que uno falso no parece inusual.
  • Tarjeta archivada. Casi todas las cuentas de Netflix tienen una tarjeta almacenada. Capturar esa tarjeta vale más que capturar solo el inicio de sesión.

Cómo la defensa a nivel de navegador detecta esto antes

Los filtros de correo se pierden la mayoría de estos casos porque los dominios del remitente rotan a diario. La defensa que funciona de manera consistente está en el destino del clic. Cuando el usuario hace clic en el botón del correo y aterriza en la página falsa de facturación de Netflix, un escáner a nivel de navegador puede reconocer "logo de Netflix + formulario de inicio de sesión o de tarjeta en un dominio que no es netflix.com" y bloquear la página antes de que cargue cualquier campo.

SafeBrowz es una extensión gratuita para Chrome, Firefox y Edge que escanea cada URL antes de que la página se renderice. Su base de datos de marcas incluye a Netflix y más de 550 marcas adicionales. Cuando detecta una página falsa de Netflix, muestra una advertencia a pantalla completa. Instale SafeBrowz gratis para tener defensa a nivel de navegador en todas las marcas en las que inicia sesión.

Preguntas frecuentes

¿Netflix me envía correos sobre problemas de pago alguna vez?

Sí. Netflix envía correos reales cuando un pago falla. La diferencia: el correo real de Netflix le pide iniciar sesión en netflix.com y actualizar su facturación allí. No enlaza a una página externa de "verificación" y no amenaza con la cancelación en 24 horas. La ventana real de reintento de Netflix es de unos 4 días.

Ingresé mi correo y contraseña pero no mi tarjeta. ¿Estoy a salvo?

Su tarjeta está a salvo pero su inicio de sesión de Netflix está comprometido. Cambie su contraseña de Netflix de inmediato. Si reutilizó esa contraseña en cualquier otro sitio (correo, banco, Amazon, etc.) cámbielas también - los ataques de credential stuffing prueban la contraseña robada en docenas de servicios en cuestión de horas.

Hice clic en el enlace pero no ingresé nada. ¿Estoy infectado?

Casi con certeza no. La gran mayoría de las páginas de phishing de Netflix son simples formularios HTML, no descargadores de malware. Solo hacer clic no instala nada en un navegador moderno de teléfono o portátil. Aun así, cierre la pestaña y siga adelante.

El correo tiene mi nombre real y los últimos 4 dígitos de una tarjeta. ¿Cómo?

O bien su nombre está en una filtración de datos (muy común) o los últimos 4 son inventados y resulta que coinciden con los suyos. Algunos correos de phishing usan unos últimos 4 generados al azar esperando que el destinatario no los verifique. Netflix real solo muestra los últimos 4 reales de la tarjeta archivada.

¿El PIN de mi perfil de Netflix me protege de esto?

No. El PIN del perfil protege qué perfil se usa después de iniciar sesión. No protege el inicio de sesión de la cuenta. La seguridad a nivel de cuenta depende de su contraseña y del correo asociado a la cuenta.

¿Cómo reporto un correo de phishing de Netflix para que retiren la página?

Reenvíe el correo completo con los encabezados a phishing@netflix.com. El equipo de seguridad de Netflix usa estos correos para solicitar la baja del dominio. Los reportes se procesan más rápido cuando los encabezados originales están intactos, así que use la opción "Reenviar como adjunto" de su cliente de correo si está disponible.

Lecturas relacionadas

En resumen: La estafa del pago rechazado de Netflix sigue funcionando porque el correo se ve normal y el momento de pánico es real. La defensa es simple. No haga clic. Escriba netflix.com manualmente. Revise el banner en la parte superior de la página de su cuenta. Y añada un escáner a nivel de navegador como SafeBrowz para todo lo demás en lo que inicia sesión.