Detectadas nuevas campañas de phishing suplantando a Amazon y Vodafone

Recomendados:  Atención pública al ciudadano: hacia una relación de 360 grados Evento Identificación de ataques web Leer

Una de las técnicas de los cibercriminales más típicas para obtener datos bancarios consiste en atraer a posibles víctimas mediante sustanciosos premios a los que, supuestamente, se accede tras rellenar una sencilla encuesta. Recientemente, ESET ha detectado sendas campañas que emplean esta técnica en las que se utilizan los nombras de grandes empresas como Amazon y Vodafone.

La campañas que utilizan a Amazon como gancho para atraer a nuevas víctimas son habituales. Sin embargo, y a diferencia de otras campañas anteriores, el correo que se ha utilizado en esta ocasión hace mención a LinkedIn. Para ESET esto puede deberse a que los responsables de esta campaña de correos la estén realizando en varios países al mismo tiempo y no se molesten en cambiar las plantillas usadas en el email.

Al pulsar sobre el enlace proporcionado, redirige a las víctimas a una web preparada para usuarios de habla hispana, con comentarios en este idioma de supuestos ganadores anteriores. En la web se les informa de que han sido seleccionados para rellenar una encuesta y recibir a cambio un teléfono de alta gama último modelo. Una vez completada esta encuesta en la que solo se pregunta información básica como la edad, género o hábitos de compra, se presenta un pequeño juego en el que deberá abrir cajas de regalo para encontrar el premio en su interior.

Está todo preparado para que el usuario siempre acierte, mostrándose la siguiente pantalla indicando que ha sido agraciado con un iPhone 13 Pro. Este es un regalo de un valor lo suficientemente importante como para que muchos usuarios se planteen seguir las instrucciones indicadas y pagar el pequeño importe que se solicita para recibirlo. Este pequeño importe se trata de un cebo para que el usuario caiga en la trampa y proporcione información personal y de su tarjeta de crédito.

Otro de los correos que ha estado utilizándose recientemente en este tipo de campañas es el que utiliza el nombre de artículos de la empresa de reformas domésticas estadounidense Home Depot. El uso de esta plantilla de correo, con una empresa sin presencia en territorio español, vuelve a indicar que los responsables de estas campañas están enviando de forma indiscriminada este tipo de emails sin tener en cuenta la ubicación del destinatario, confiando en que la redirección a la web adaptada para cada país resulte lo suficientemente convincente.

En caso de que algún usuario ubicado en España pulse sobre el enlace proporcionado en el correo, será redirigido a una web que suplanta la identidad de Vodafone, en la que también se menciona la posibilidad de ganar un premio tan solo rellenando una encuesta, adjuntando comentarios en español de otros supuestos ganadores. En esta ocasión, en lugar de ofrecer directamente un iPhone 13 Pro, se deja elegir entre una versión anterior de este dispositivo y otros productos tecnológicos de un precio considerable. Es posible que en este caso se esté utilizando una plantilla más antigua aunque, al final, resulte igualmente efectiva.

La finalidad de estas campañas no es otra que la de obtener información de los usuarios y, más concretamente, información relacionada con métodos de pago tales como sus tarjetas de crédito. En los dos casos se termina accediendo a la misma página web, donde se ofrece el prometido móvil a cambio de rellenar un formulario con información personal, incluyendo dirección postal a la que supuestamente enviar el premio. Sin embargo, si se lee la letra pequeña que hay en la parte inferior de esa misma web, se puede ver como en realidad se le da la posibilidad de participar en un sorteo del mencionado smartphone. Además, se indica que tras rellenar el formulario la víctima se suscribe a un servicio de pago, cuyo coste que será cargado en la tarjeta de crédito que proporcione. Respecto a los datos de la tarjeta de crédito, estos se introducen en el último paso, donde no se indica de forma clara que se esté suscribiendo a un servicio de pago y se muestra todavía el supuesto premio junto con el coste del supuesto envío.

Josep Albors, director de investigación y concienciación en ESET, sostiene al respecto que “este tipo de encuestas se han vuelto relativamente comunes en los últimos años y es posible que todavía perduren durante un tiempo mientras haya usuarios que caigan en la trampa y proporcionen los datos de su tarjeta de crédito. Por ese motivo, es importante recordar que es bastante improbable que una empresa nos regale premios de un elevado valor económico a cambio de prácticamente nada, aplicando algo de sentido común cuando recibamos correos como los descritos anteriormente y eliminándolos sin pulsar sobre ninguno de los enlaces proporcionados si no sabemos a ciencia cierta a dónde nos redirigen”.