Una nueva campaña de phishing suplanta identidad de importante banco del Perú

ESET Latinoamérica, compañía líder en detección proactiva de amenazas, identificó una nueva campaña de phishing (ataque donde el estafador se hace pasar por una persona o empresa de confianza con el objetivo de adquirir información personal y/o confidencial de la víctima) en la que se suplanta la identidad de una reconocida entidad bancaria del Perú.

Si bien este caso presenta características similares a otros reportados previamente, hay ciertos aspectos que llamaron la atención dado que no se ven frecuentemente.

Algo que ya se observa como una tendencia entre los sitios de phising, es que cuentan con un certificado emitido de servidor seguro. Esto hace que se reduzcan las posibilidades de que un usuario desprevenido active sus mecanismos de alerta ante la presencia del candado verde cerrado y una URL que comienza con HTTPS. En este caso, se comprobó que el sitio cuenta con al menos un verificador de formato, es decir, que los cibercriminales detrás de esta estafa se tomaron el trabajo de asegurarse que los datos ingresados tengan la extensión correcta.

Una vez que ya se ingresaron los datos de la tarjeta de crédito o débito, los operadores detrás de esta campaña continúan buscando más información sensible del cliente.como pueden ser sus claves privadas. Luego, el falso sistema de verificación solicita ingresar el código correspondiente al doble factor de autenticación del cliente. Como se observa en la siguiente imagen, aplicando técnicas de ingeniería social, el sitio informa al usuario que está operando en un sitio seguro. En este punto se puede observar cómo los ciberdelincuentes intentan capturar la información que hoy se considera que eleva el nivel de seguridad de las transacciones en línea, como es la del segundo factor de autenticación

como pueden ser sus claves privadas. Luego, el falso sistema de verificación solicita ingresar el código correspondiente al doble factor de autenticación del cliente. Como se observa en la siguiente imagen, aplicando técnicas de ingeniería social, el sitio informa al usuario que está operando en un sitio seguro. En este punto se puede observar cómo los ciberdelincuentes intentan capturar la información que hoy se considera que eleva el nivel de seguridad de las transacciones en línea, como es la del segundo factor de autenticación.

Los procesos de verificación se realizan en el servidor suplantado. Por lo que toda la información recolectada por parte de los operadores detrás de esta campaña, queda alojada o es enviada al servidor. Tras analizar los datos del dominio utilizado ESET observó que el mismo fue registrado el mismo día en el que se detectó la campaña y que utilizaron el servicio de privacidad. No obstante, declararon estar en Perú.

“Como bien se puede observar, esta nueva campaña de phishing dirigida a usuarios de Perú busca captar datos sensibles de clientes de entidades financieras. Con esta información, los operadores detrás de este engaño podrían utilizarla para realizar transacciones de las cuentas robadas, vender esta información en el mercado negro, o bien para realizar estafas secundarias utilizando esos datos recopilados.”, comenta Luis Lubeck, Especialista en seguridad informática de ESET Latinoamérica. “Durante el análisis no detectamos que se hayan instalado servicios o aplicaciones adicionales, lo que demuestra que la campaña tiene como único objetivo el robo de información y datos personales.”

ESET recomienda prestar atención a los sitios a los que ingresamos, contar con una solución de seguridad confiable tanto en los dispositivos de escritorio como en los teléfonos móviles y tener presente que, ante la duda, no se debe acceder nunca a los enlaces que llegan a través de un mensaje, sino que lo mejor es ingresar manualmente y así verificar que todo esté en orden. Otro factor clave es implementar el uso del doble factor de autenticación en todos los servicios que esté disponible.

ESET acerca #quenotepase, con información útil para evitar que situaciones cotidianas afecten la privacidad en línea.