Desde el Laboratorio de Investigación de ESET Latinoamérica analiza dos casos de reciente circulación y repasa cómo funcionan estas viejas técnicas, combinadas con novedosos engaños para alcanzar más víctimas.
Buenos Aires, Argentina – ESET, compañía líder en detección proactiva de amenazas, da a conocer campañas renovadas de ingeniería social (manipulación psicológica y persuasión para que voluntariamente la víctima brinde información personal o realice algún acto que ponga a su propio sistema en riesgo, suele utilizarse para obtener contraseñas, números de tarjetas de crédito o PIN, entre otros) que explotan técnicas conocidas hace tiempo para alcanzar cada vez más usuarios.
Desde el Laboratorio de Investigación de ESET Latinoamérica se analizaron dos casos de reciente circulación y debajo se repasa cómo funcionan estas viejas técnicas, combinadas ahora con novedosos engaños para lograr ser señuelos más atractivos para sus víctimas.
Caso 1: Smishing
Es un tipo de técnica que se presenta cuando una víctima recibe un mensaje de texto (SMS) en el cual es inducida a ingresar a un enlace malicioso. Los pretextos pueden ser una cuenta suspendida, el restablecimiento de una contraseña o un acceso indebido a una cuenta, por ejemplo. El estafador se hace pasar por una entidad conocida, como un banco o una empresa. Así como un ciberdelincuente puede enviar un correo apócrifo, que aparentemente proviene desde una dirección conocida, también puede falsificar el número telefónico que aparece como origen de los mensajes.
Este tipo de técnica suele ligarse a la ingeniería social, ya que busca hacerse de contraseñas o información crítica del usuario, pero no suele propagar códigos maliciosos.
A continuación podrás ver un caso de smishing que se propagó recientemente entre usuarios de Latinoamérica, bajo el pretexto de desbloquear una cuenta del banco mexicano Banamex:
En el cuerpo del mensaje se advierte al receptor que podrá confirmar su identidad haciendo clic en el enlace proporcionado. Cuando desde ESET se analizó la actividad que tuvo la página de destino, se evidenció que alcanzó más de mil clics en solo un día y luego permaneció inactiva en las siguientes semanas. Por otro lado, el ataque apuntaba específicamente a un país: el 85% de las víctimas fueron usuarios de México.
“Quienes ingresaran sus datos personales y/o su contraseña de home banking las estaban enviando en realidad a los cibercriminales. Esto nos recuerda nuevamente la importancia de utilizar el doble factor de autenticación, una medida de seguridad útil que las entidades y servicios online ponen a disposición de sus usuarios, aunque muchos optan por no usarla.”, aseguró Lucas Paus, Especialista en seguridad informática de ESET Latinoamérica.
De estar activa, esta medida evita que el estafador pueda acceder a la cuenta, porque por más de que tenga la contraseña, le falta el segundo factor para iniciar sesión, que se envía al usuario por otro medio (SMS, notificación o token) y es de uso único.
Caso 2: Phishing redirect con archivos adjuntos
Es un ataque que se comete con el objetivo de adquirir fraudulentamente información personal y/o confidencial de la víctima donde el estafador se hace pasar por una persona o empresa de confianza, utilizando una aparente comunicación oficial como correos electrónicos, sistemas de mensajería instantánea o incluso llamadas telefónicas.
En este caso, la estafa se propaga por correo electrónico. Sin embargo, los teléfonos celulares intervienen como canal secundario, como podemos observar en el siguiente ejemplo de una campaña muy reciente:
El correo simula ser una comunicación proveniente de PayPal, y si bien la dirección de origen parece ser Esta dirección de correo electrónico está siendo protegida contra los robots de spam. Necesita tener JavaScript habilitado para poder verlo., es fácil distinguir que es en realidad un alias de otra dirección con un dominio desconocido. El pretexto del engaño es un clásico problema con la información de la cuenta, en este caso un cambio en el número de teléfono asociado.
Curiosamente, el mensaje no contiene un enlace, sino un archivo adjunto. En su interior, se induce al usuario a visitar un sitio web. El mismo es malicioso y lo llevará a un sitio web que imita al original de PayPal, donde se solicitaran las credenciales de acceso.
“Una vez más, evidenciamos la flexibilidad y cierta creatividad de los estafadores para generar campañas lo más creíbles posible, con el fin de atrapar usuarios desprevenidos.
Leer y estar al tanto sobre estos engaños, así como contar con una solución de seguridad, te ayudará a evitar caer en las trampas de los cibercriminales. A su vez, utilizar el teléfono móvil como un segundo factor de autentificación es una gran medida de seguridad.”, concluyó Lucas Paus.
Si se reciben mensajes extraños y se tiene dudas sobre su veracidad, ESET Latinoamérica acerca estos tres consejos para estar más alerta y reconocer una estafa:
- Tener especial cuidado con mensajes que dicen provenir de entidades financieras o promociones que incluyan un enlace web, una petición urgente o que induzcan a compartir ese enlace. Mayormente son estafas, la mejor manera de comprobarlo es comunicarse con la entidad para confirmarlo.
- Prestar atención al comportamiento anómalo en el teléfono, como llamadas o SMS a números desconocidos en el historial, un bajo rendimiento del equipo y alto consumo de la batería, o inclusive reinicios inesperados. Claro que ninguno de estos síntomas es señal inequívoca de que se fue víctima de un engaño, pero sería posible la presencia de códigos maliciosos como troyanos SMS o spyware, por lo que se recomienda volver el dispositivo al estado de fábrica e instalar un antivirus para prevenir futuras infecciones.
- Revisar las cuentas periódicamente, tanto de factura telefónica, que puede incrementarse rápidamente por suscripción a servicios de SMS Premium, como los gastos de la tarjeta, que pueden aumentar si lograron robarte tus credenciales mediante un software espía.
Para más información, ingrese al portal de noticias de ESET llamado WeLiveSecurity en: https://www.welivesecurity.com/la-es/2017/08/08/phishing-smishing-adjuntos-combinados/
