El peligro de estar conectados. Análisis de un Phishing.

Hola a todos de nuevo!!

Antes de todo, disculpad que no haya colgado nada, llevo muchas cosas a la vez y entre trabajo, estudios, proyectos diversos, viajes y que tengo dos cosas que quiero colgar y las tengo casi a terminar, no tengo tiempo, casi ni para mí mismo.

Pero bueno, hoy os traigo algo light. Hace un tiempo recibí un email bastante llamativo, nunca había recibido algo igual y la verdad me asombró como la gente estafadora se curra tanto los timos. Es por esto que, me gustaría hablar de este tema, y es que estar conectados tiene muchos peligros, entre ellos el phishing.

La mayoría sabréis lo que es un phishing, pero por si alguien no lo sabe, un phishing es método por el cual, intentan extraer todo tipo de información confidencial de forma fraudulenta a la víctima (cualquiera de nosotros), principalmente datos de cuentas bancarias. El phishing no es más que un tipo de ingeniería social, en el que suplantan una identidad (una persona o entidad real) para hacer creer a la víctima que es de confianza y piquen en el anzuelo. Los phishers (los que hacen el phishing) usan principalmente el correo electrónico o algún tipo de mensajería instantánea.

Aunque muchos piensen que el peligro es el phishing, se equivocan, el peligro siempre está presente y se puede manifestar de muchas formas, entre ellas el phishing. Aunque hay muchas otras formas más, como el smishing, que en lugar del correo electrónico usan SMS en el móvil, o el vishing, con las llamadas telefónicas. Todas ellas son variantes y pertenecen al grupo de la Ingeniería Social.

Dicho esto, hago una mención especial a todo tipo de ingeniería social, algo que muy poca gente le da importancia, y dado los tiempos que corren, y que cada vez irá a peor, es muy muy necesario informar a la gente de todos los peligros que conlleva estar conectados. Me gustaría comentarlos aquí todos, pero se me alargaría demasiado. Siempre que puedo doy un consejo, y es que siempre siempre siempre, dudad a toda costa de dar información, ya sea contraseñas, tarjetas de crédito o algún tipo de información tan a la ligera. Por que recordad, el principio que sustenta la ingeniería social, es el que en cualquier sistema, los usuarios son el eslabón débil.

Continuando con el tema del phishing, este es el correo que recibí:

Como podéis notar es de Amazon, o mejor dicho, parece ser de Amazon. Básicamente nos indica que ha habido algún problema con una orden de compra y que necesita verificar nuestros datos antes de 24h o nos cerrarán la cuenta de amazon.com.

A cualquier persona que no esté muy puesta, pensará, ¡oh Dios mío!, me van a cerrar la cuenta, ¿cómo? ¿Por qué? ¡No puede ser! Y click sobre el botón.

Esto podría ocurrir, pero recordando lo primero que dije, siempre siempre siempre dudad a toda costa el dar información. Con esto en mente ya deberías de empezar a dudar, “¿Realmente hay problemas con mi cuenta? Amazon nunca me ha pedido nada. ¿Realmente es Amazon?”

Es normal, todos podemos tener dudas, y aquí es donde me gustaría comentar algunos “trucos” para saber si realmente es fake o no.

Si en este caso pinchamos en el enlace “Update now“. Nos abrirá en el navegador la siguiente página.

Al abrirlo dices, vale aparentemente es Amazon, con el típico login, misma apariencia, misma imagen, todo igual, pero… Si miramos el enlace podemos comprobar que no es Amazon.com, por mucho candado verde que haya, NO es Amazon.

Pero además, con esto no es suficiente, ya que este en caso he tenido suerte de que el navegador me muestra la URL por la parte del dominio, es decir, la página real, pero otros navegadores podrían no ser así y mostrar la URL preparada que han creado los ciberdelincuentes que justamente tiene los suficientes caracteres para que no se vea el resto. Y cuando digo suficientes caracteres, me refiero a que al final el navegador te muestra lo que entra en el ancho, de en este caso, el móvil.

A los estafadores les interesan mostrar el subdominio, para que con un poco de suerte no se vea el dominio real. Muchas veces la víctima si ve la palabra amazon no le da mayor importancia y caen en la trampa.

Pero aún hay más, si volvemos al correo, podemos ver más información de quién nos lo ha enviado.

Si pulsamos en customer-service@amazon.com que parece que es el correo de quien nos lo ha enviado, veremos la información real del emisor y justo debajo aparece el correo real desde donde se envió.

Estos son los principales “trucos” a los que me refería, mucho cuidado con la URL, pero sobre todo, especial atención al email. Si pasamos de esta barrera difícilmente vamos a poder darnos cuenta más adelante, hay que tener los ojos muy abiertos.

Sigamos; en este punto, y ya sabiendo que es un phishing he colocado un usuario y contraseña totalmente inventados, y como era de esperar, la página ha avanzado y me ha mostrado la siguiente. Claro, si es que no tienen la base de datos, ¡que van a contrastar!

La página se muestra muy real, se parece mucho a los estilos que usa amazon, solo que aquí te pide todo tipo de información, hasta la marca de ropa interior que usas. Colocando texto al azar, pasamos a la siguiente página.

Como era de esperar, nos pedirá la tarjeta de crédito. Aunque en este punto, me llamó mucho la atención, y es que tienen un comprobador de tarjetas de crédito, es decir, no vale cualquiera, tuve que buscar un generador virtual de tarjetas online para pasar el comprobador. Se lo toman bastante en serio.

Ahora nos piden una foto por delante y otra por detrás de la tarjeta de crédito.

Al colocarlas, nos lleva a:

Hemos verificado nuestra cuenta, aparentemente todo está OK, y ahora nos redirigirá a la página oficial de Amazon.com, para que puedas meter tu usuario y contraseña, y ver que no te han borrado nada.

Y hasta aquí el phishing. La víctima en unos días, verá movimientos en su tarjeta bancaria, cambios de contraseña, pedidos de Amazon a otros lugares y alguien con mala suerte, en unos meses o años se podrá encontrar algún tipo de denuncia de alguna estafa o ilegalidad, por haber usado los cibercriminales sus datos en páginas ilegales.

Espero haberme explicado con claridad y que os haya gustado. Recordad, siempre siempre siempre, dudad a toda costa de dar información, ya sea contraseñas, tarjetas de crédito o algún tipo de información tan a la ligera.

Nos vemos en el siguiente post! 😉

Happy Hacking!

Si quieres estar al tanto de las novedades de allhacked.com, no olvides entrar al grupo de Telegram!

Autor: Rafael Moreno López.