Al menos tres elementos que vamos a encontrar sí o sí en un mensaje malicioso como antesala del phishing o smishing y posterior suplantación de identidad.
- Urgencia y posiblemente a deshora; nada se deja al azar.
- Procedencia irregular; URL, remitente, llamante, … a veces muy bien camuflada.
- Demanda de acciones inmediatas; pinchar, rellenar, redirigirse, …
El mensaje, sus faltas ortográficas o gramaticales, una forma burda de expresarse, ya no es una característica que nos alerte, dadas las innumerables mejoras que la AI generativa han deparado a los estafadores. Sin embargo, la urgencia con la que nos apremian para hacer algo, es consustancial en todas estas comunicaciones maliciosas. La rapidez en la toma de acciones nos hace cometer errores o nos guía por los caminos diseñados por los estafadores con mucha mayor facilidad.
Superada la premura y a sabiendas que tienes tiempo, hasta en las peticiones más urgentes que puedan ser lícitas, centra tu atención en los detalles de mayor dificultad para el estafador; la URL de procedencia, el origen del SMS, el número de teléfono del llamante, … Tómate unos minutos en comparar con otras comunicaciones legítimas de tu banco, en las que tengas seguridad de su procedencia; si la estafa está bien construida, debes fijarte bien y apreciar los detalles (BBV en lugar de BBVA, ING en lugar de ING-ES, booking.clientes-app.com en lugar de clientes.booking.com, …); obtén la procedencia real, pasando el cursor por encima del enlace y apreciando si coincide o no con lo que viene escrito en el mensaje. La discrepancia es una alerta.
Llega la última parte, que a veces acometemos en primer lugar de forma precipitada y errónea, consistente en proporcionar información o realizar alguna acción aparentemente inocua. Por tanto, sigamos un orden adecuado, comenzando por evaluar la urgencia, luego la procedencia y finalmente veamos qué acciones nos solicitan; no trastoquemos este orden.
Las redirecciones, los formularios que reclaman información, unidos a la urgencia, suelen cegarnos, sin reparar en la nueva URL que ha aparecido después de pinchar en el enlace o la información tan sensible que nos están solicitando.
Las redirecciones, los formularios que reclaman información, unidos a la urgencia, suelen cegarnos, sin reparar en la nueva URL que ha aparecido después de pinchar en el enlace o la información tan sensible que nos están solicitando.
Si este mensaje te llega un día no laborable, cuando te has puesto el pantalón de hacer deporte, probablemente pinches en el enlace, sin seguir los pasos de los que hemos hablado.
La forma en que acceden a tu información, con tu colaboración pinchando en los enlaces, es diversa y a menudo una combinación de todas ellas.
- Malware, Troyanos, Spyware.
- Ingeniería Social.
- Hacking de terminales móviles.
- Análisis de datos en redes sociales.
Teniendo en cuenta que solo el 8% de nosotros usa productos de gestión de claves y que más del 50% reúsa las claves de acceso en distintas cuentas en distintos sitios online, el robo de credenciales puede provocar una cascada de suplantaciones en diferentes sitios y para múltiples objetivos.
¿Cómo los estafadores sacan provecho de una suplantación?
Algunos de los beneficios que un estafador obtendrá de un acceso ilegítimo a tus cuentas, podemos incluir:
- Utilizar créditos almacenados o puntos de recompensa.
- Realizar compras de alto valor en tu nombre.
- Comprar productos digitales de fácil consumo o reventa.
- Estafar a otros usuarios, realizando phishing con tu identidad.
- Comprar y vender artículos (robados) en Marketplace con tu identidad.
- Envío masivo de correos, spam/phishing, usando tu identidad.
- Vender tus credenciales.
- Extorsionar al propietario legítimo de la cuenta.
- Ocultar, almacenar, diseminar ganancias, bajo tu identidad, procedentes de otras estafas.
Algunas cifras, 3 EUR cuenta de Uber, 60cts EUR cuenta de Netflix, 2,9 EUR cuenta de Facebook, 2 EUR credenciales de tarjeta de crédito, …
Adicionalmente, la suplantación con acceso ilegítimo a cuentas tiene otras ventajas para los estafadores, con respecto al robo de datos de tarjetas o de otros medios de pago:
- Dado que las cuentas más recientes están calificadas por los sistemas de detección como más proclives a ser fraudulentas, el uso de cuentas con mayor antigüedad les protege en sus acciones ilegítimas.
- Las cuentas suplantadas, son más interesantes que el robo de credenciales de tarjetas u otros medios de pago, porque además de darle acceso a aquellos, el uso es más amplio, escondiendo su verdadera identidad, y haciendo imposible su captura tras la comisión de delitos con estas cuentas suplantadas.
- Las cuentas robadas, presentan mayor dificultad para bloquearlas por su legítimo dueño, cuando este llega a darse cuenta de que está siendo usada de forma anormal, mientras que las tarjetas proporcionan un procedimiento claro y urgente para su bloqueo.
- Muchos sitios online se encuentran mínimamente protegidos contra el fraude en los pagos, pero aún es deficiente la protección contra el acceso ilegítimo a sus cuentas de usuario.
- Las cuentas, sobre todo en Marketplace donde hay grandes vendedores, ofrece grandes oportunidades a los estafadores, realizando ventas masivas con credenciales de vendedor falsas, a compradores cuyas credenciales de pago han sido robadas. El negocio se completa con la venta de los productos así obtenidos.
¿Pistas en la detección de la suplantación de una cuenta?
La detección del acceso ilegítimo a cuentas mediante la suplantación de identidad es ya una de las principales preocupaciones de los sitios de comercio digital. Los sistemas utilizan diferentes tecnologías para alertar de dichos accesos, haciendo uso de elementos relacionados con el comportamiento:
- Intentos de inicio de sesión desde diferentes dispositivos y ubicaciones.
- Cambiar a navegadores y sistemas operativos más antiguos.
- Comprar más de lo habitual, comprar artículos de mayor precio.
- Cambiar la configuración de la cuenta.
- Cambiar las direcciones de envío, especialmente justo antes de realizar el pedido.
- Cambiar contraseñas.
- Múltiples intentos fallidos de inicio de sesión.
- Cierre de sesión inusual.
- Configuraciones de dispositivos sospechosas, como configuraciones de proxy o VPN.
Las consecuencias de una suplantación de identidad no son solo económicas, pueden suponer la implicación en delitos cuya resolución puede llegar a ser compleja y muy perjudicial para la persona afectada, convirtiéndose en una reacción en cadena que permite a los estafadores construir estrategias muy sofisticadas.
