Cómo distinguir una página de descarga de VPN falsa de la auténtica

Haces clic en el botón grande de descarga, el instalador llega y solo después el dominio de la barra de direcciones parece incorrecto. La página tenía el logotipo, la combinación de colores y un enlace de soporte que apuntaba al proyecto real. Nada de eso es una prueba sobre el archivo que acabas de ejecutar. La marca es una copia; el destino de la descarga es la parte que decide qué obtienes.

Comprueba adónde te envía el botón

Pasa el cursor sobre el botón, o mantenlo pulsado en un teléfono, y lee el destino en lugar de la etiqueta. Un botón que apunta a un host distinto del de la página en la que estás es la señal individual más fuerte y se ve en un segundo. Si la dirección es un acortador, una redirección de afiliado o una ruta con una versión que no elegiste, detente y consigue el enlace en un lugar independiente. La etiqueta la escribe quien construyó la página; el href es la única afirmación que debe sobrevivir a un clic.

Los resultados de búsqueda añaden una segunda capa. Los anuncios están etiquetados, pero la etiqueta es pequeña y el texto patrocinado a menudo imita la redacción del propio proyecto. Escribe el dominio del proveedor que ya conoces, o usa un marcador, y compáralo con la dirección que estabas a punto de pulsar. Para el software de trabajo, la referencia es el canal de distribución aprobado, no el primer resultado.

Un tutorial tampoco es una página de descarga. Un anuncio incrustado en una guía paga al autor, y su objetivo lo elige el anunciante.

HTTPS demuestra la entrega, no la identidad

El candado dice que los bytes llegaron del host al que accediste sin alterarse en tránsito. No dice nada sobre quién opera ese host, porque los certificados son baratos y un dominio parecido puede tener uno válido para su propio nombre. Lee el nombre del host carácter a carácter, sobre todo la parte anterior a la primera barra, porque las mentiras interesantes viven en los subdominios y en las palabras con guion. Una página en vpn-download.example.net es un editor distinto de example.com, incluso con un diseño idéntico.

Los detalles del certificado añaden poco: un certificado validado por organización nombra a una empresa, mientras que uno validado solo por dominio no nombra a nadie. Eso sigue siendo más débil que obtener la dirección de una fuente en la que ya confías. Cuando el candado es lo único que comprobaste, verificaste el camión de reparto y no al remitente.

Inspecciona el archivo antes de ejecutarlo

Comprueba primero el tipo de archivo, porque la extensión es lo más barato de falsificar y lo más útil de leer. Un archivo dmg, exe o msi es un instalador; un archivo ovpn o conf es un perfil, y un perfil puede llevar rutas, servidores DNS y scripts que se ejecutan al conectarse. Una página que ofrece un perfil llamándolo reparación de conexión te pide que confíes en su contenido, no solo en su existencia. Compara el formato ofrecido con el que el proveedor documenta para tu plataforma.

Luego comprueba al editor: la firma en Windows, la notarización y el identificador de equipo en macOS, el repositorio y el nombre del paquete en Linux. Un instalador sin firma de una página con el logotipo correcto sigue sin firma, y la calidad del diseño no mejora ese hecho. Si falta la firma o el nombre del editor no es el que esperabas, detente antes del primer aviso.

Vigila también los avisos de instalación. Un cliente VPN no necesita un certificado raíz nuevo para abrir un túnel, ni necesita acceso amplio al disco para conectarse.

Recupera si ya lo instalaste

Descargar de un segundo sitio desconocido para comparar no valida el primero, porque un solo operador puede gestionar ambas páginas. La única comparación útil es con una dirección obtenida de forma independiente: la página documentada del proveedor, un repositorio de paquetes o una ficha de tienda a la que llegaste sin un anuncio. Usa esa referencia para decidir si lo que tienes es el cliente real o algo que lleva su nombre.

Si el instalador se ejecutó, revisa qué cambió: aplicaciones instaladas, perfiles añadidos, certificados nuevos y permisos concedidos. Elimina todo lo que no puedas atribuir. Si se introdujo una credencial o un perfil VPN, trátalos como expuestos y cámbialos a través del propio servicio, no de la página que los pidió.

Después denuncia la página al proveedor y al navegador o buscador, porque eso ayuda a la siguiente persona que busque. La explicación de la protección antiphishing de Mozilla describe qué puede detectar el navegador por sí solo y qué no.

Una comprobación de tres preguntas en un minuto

¿Adónde apunta realmente el botón, y es ese host el que documenta el proveedor? ¿Qué es el archivo, y distribuye el proveedor ese formato para esta plataforma? ¿Qué pide el instalador, y pide la documentación del proveedor las mismas cosas? Tres respuestas, un minuto, y cualquier desajuste es un motivo para parar, no para continuar con cuidado.

Mantén el camino corto guardando una vez la página de descarga documentada, para que la próxima vez no elijas entre cinco resultados patrocinados. El hábito es aburrido y quita la decisión del momento en que estás menos atento.