ESET Latinoamérica advierte sobre un engaño que buscaba robar credenciales de acceso e información personal sensible, como datos de las tarjetas de crédito y débito.

ESET Latinoamérica, compañía líder en detección proactiva de amenazas informáticas, identificó una nueva campaña de phishing (ataque donde el estafador se hace pasar por una persona o empresa de confianza con el objetivo de adquirir información personal y/o confidencial de la víctima) en la que se suplanta la identidad de una de las entidades bancarias más reconocidas de Colombia.

Lamentablemente, las estafas en línea siguen siendo altamente activas con la ingeniería social como principal vector de ataque. Gran parte de los cibercriminales utiliza estos métodos para engañar a los usuarios y hacerles creer que algo es legítimo cuando en realidad es falso.

En esta oportunidad, el Laboratorio de ESET Latinoamérica identificó un servidor que era utilizado para alojar un falso sitio web que suplantaba la identidad del banco, con el objetivo de captar datos personales y de tarjetas de crédito de sus clientes.

Imagen 1. Página de inicio de sesión del falso sitio

La puerta de entrada para esta estafa sería un mensaje por correo electrónico relacionado a un problema en la cuenta de la potencial víctima, ya que la URL hace referencia al bloqueo de productos. Una vez que hace clic es redirigido a la página de inicio de sesión de un sitio con una apariencia igual a la del sitio oficial, invitando al usuario a ingresar para ver de qué se trata el problema.

Como se ha visto en reiteradas oportunidades, este sitio también cuenta con certificados SSL, demostrando una vez más que los ciberdelincuentes están implementando esta práctica con gran frecuencia para maximizar su efectividad, ya que el mismo navegador informa que es seguro el servidor y muestra el candado verde cerrado. Se pudo corroborar que el dominio utilizado fue registrado el 10 de diciembre y utilizaba servicios de privacidad de registro.

En cuanto a los datos que los atacantes buscaban obtener, en primer lugar, se encuentra la clave de acceso a la banca electrónica. A continuación, se pedía al usuario ingresar su correo electrónico, la clave de su cuenta y número telefónico.

Imagen 2. En segunda instancia las credenciales de acceso a la cuenta de correo de la víctima

Una vez que la víctima continúa con el proceso, llega a una página sobre activación de su tarjeta de crédito y/o débito. Esto probablemente de a entender al usuario que el bloqueo está relacionado a sus tarjetas, ya que el mensaje indica que debe ingresar los números de sus tarjetas de crédito y/o débito para activarlas.

Imagen 3. Información de sus tarjetas de crédito y/o débito.

Para terminar con el engaño, el falso sistema informa a la víctima que los datos ingresados (todos ficticios en los ejemplos que se mostraron) fueron verificados correctamente y que el usuario por seguridad debe volver a iniciar sesión. En este punto, es redireccionado al sitio oficial de la entidad bancaria, con lo que el usuario sin haberse percatado de ningún cambio ingresará sus credenciales sin mayor problema.

Imagen 4. Mensaje de confirmación exitosa tras el ingreso de los datos que muestra el falso sitio web

Si bien el sitio ya fue dado de baja, las campañas de phishing como estas se ven con mucha frecuencia, por lo que es importante concientizar a los usuarios acerca de este tipo de engaños y aprender a reconocer cómo funcionan estas campañas de suplantación de identidad.

Los usuarios deben tener presente que, si una empresa llegara a necesitar este tipo de información de sus clientes, la vía más probable para hacerlo es un comunicado en un sitio oficial o un mensaje al momento de iniciar la sesión de su banca online. Las empresas no deberían solicitar mediante correo electrónico datos personales como claves y códigos de seguridad de tarjetas de crédito o débito.

Para más información acerca de cómo prevenir ser víctima de este tipo de engaños, ESET acerca una serie de consejos para evitar el phishing. En caso de sospechar acerca de la legitimidad de algún mensaje en particular, pueden enviar muestras para su análisis a samples@eset-la.com. También se pueden denunciar estos sitios sospechosos a las direcciones oficiales de las entidades.

ESET acerca #quenotepase, con información útil para evitar que situaciones cotidianas afecten la privacidad en línea. Para conocer más sobre seguridad informática ingrese al portal de noticias de ESET: https://www.welivesecurity.com/la-es/2019/12/20/sitio-suplanta-identidad-entidad-financiera-colombia-robar-informacion-clientes/

Para descargar el comunicado completo haz clic aquí