Archivos de etiquetas: estafa

Huella dactilar utilizada por aplicaciones estafa en iOS

El uso de la huella dactilar en los sistemas Apple es una actividad bastante frecuente para ejecutar acciones siempre relacionadas con la seguridad del dispositivo. Como por ejemplo, desbloqueo del mismo o incluso autorizar todo tipo de compras. Por este motivo, engañar al usuario para que acepte algún tipo de transacción utilizando el Touch ID es una actividad bastante frecuente entre ciberdelincuentes.
Suelen aparecer como inofensivas aplicaciones de tracking de actividad física o cualquier otra con apariencia legítima. Una vez el usuario ha puesto su huella dactilar en el Touch ID, la app realiza una compra mostrando rápidamente un pop-up y a la vez bajando el brillo de la pantalla para que el usuario no note qué operación se está realizando. Acto seguido, se carga una cantidad entre USD$90 y USD$120, para de esa forma cumplir la normativa de pequeños cargos de Apple.
Algunas de estas apps maliciosas han sido eliminadas del Apple Store, como por ejemplo “Heart Rate Monitor”, “Fitness Balance” o “Calories Tracker App”. No está claro si vienen de diferentes desarrolladores o es una persona operando con varias cuentas. Lo curioso es que no han sido eliminadas por malware sino por duplicidad, al realizar todas una función parecida. El sentido común suele ser el mejor aliado en estos casos, simplemente pensando dos veces si es necesario que una aplicación necesita realmente acceso con Touch ID.

Los usuarios de iPhone X de momento no tienen este problema pero en cambio, la gran mayoría de usuarios de teléfonos Apple usan modelos anteriores los cuales son propensos a sufrir un ataque de estas características. Pagar con Touch ID es realmente cómodo pero también tenemos que tener en cuenta los riegos que esta práctica puede acarrear.
Recomendamos tener precaución en el funcionamiento de aplicaciones que nos soliciten la huella dactilar para otra cosa que no sea el pago de algo, aunque no todas las aplicaciones que realizan esto son maliciosas (un buen ejemplo son las aplicaciones de administración de contraseñas)

Ciberseguridad preventiva ante fraude bancario

La noche del 11 de diciembre de 2018, el programa periodístico chileno Informe Especial, emitió un reportaje acerca de la ciberseguridad bancaria en Chile. Dejando de lado las implicaciones legales tocadas en este programa, queremos nombrar los principales métodos de ataque a los cuales los clientes son expuestos, y algo en lo que nos gustaría profundizar: como evitar ser víctima.
Este tipo de estafas consiste en utilizar los medios tecnológicos e imagen de una institución financiera con tal de usurpar los datos personales y claves de acceso del cliente y de esta forma realizar movimientos bancarios como giros, transferencias, uso de tarjeta de crédito, etc. que beneficien al ciberdelincuente. Si años atrás era utilizado el método conocido como “el cuento del tío”, hoy este cuento aparece en forma de correos electrónicos, llamadas telefónicas, publicidad malintencionada en algunos sitios web, aplicaciones de celular intervenidas y otras.
La base de la protección para el usuario cliente de un banco es la desconfianza, no confiar en contactos inesperados, correos que nos solicitan algo, sitios bancarios inusuales y llamadas de ejecutivos con asuntos que atañan directamente a la cuenta y requieran demasiada información.
Llamadas telefónicas
Supongamos esta situación: Usted recibe una llamada telefónica de una persona que se identifica como “ejecutivo” de su banco; éste le indica que han detectado intentos de intrusión en su cuenta y que necesita que repase sus claves de acceso para garantizar que sólo usted tenga acceso a su cuenta. Luego de un largo discurso y verificación de datos, le solicita “el código de 3 dígitos de la parte anterior de su tarjeta de crédito”.
Listo, con este código mas toda la información recopilada previamente por estos delincuentes, tienen el uso absoluto de su tarjeta de crédito en medios digitales, ya que cuentan con toda la información para por ejemplo, realizar transacciones en linea con su dinero… el cual va a parar a manos de ellos.

Debemos siempre tener la claridad de que un agente bancario jamás le pedirá un dato confidencial como lo es éste código de 3 dígitos – código de seguridad- o una clave de acceso ya sea telefónica, de sitio o pin pass de tarjeta.
Correos electrónicos
Una de las formas mas frecuentes no sólo de estafa bancaria, pero además robo de contraseñas, instalación de malware, secuestro de archivos -ransomware- entre otras.

Usualmente una de las formas de ataque via correo electrónico es la llamada “phishing”, la cual consiste en un correo electrónico malicioso que simula ser de la entidad financiera a la cual suplanta. El contenido de este tipo de correos invita al usuario a hacer click en un vínculo que lo lleve al sitio del banco, cuando en realidad se trata de un sitio malicioso diseñado para engañar al cliente y obtener sus claves de acceso, también puede significar la descarga de malware espía con el mismo objetivo u otro con peores consecuencias.

WhatsApp, Facebook, Instagram, etc…
El mismo método de estafa es replicado mediante aplicaciones de mensajería instantánea y redes sociales, siempre debemos sospechar de un mensaje inesperado que contenga un link para visitar una página que no sabemos que es, sobretodo si proviene de un contacto desconocido.

Aplicaciones móviles
Estas estafas cibernéticas generalmente tienen una preparación planificada previamente y constan de varios pasos, en uno de estos métodos consiste en crear una aplicación móvil fraudulenta, que por citar un ejemplo: proporcione monedas infinitas en CandyCrush.

Este tipo de aplicaciones son publicadas frecuentemente en sitios de descarga de aplicaciones ya sean oficiales o alternativos, además muchas veces el objetivo de éstas es la infección del dispositivo del usuario con algún malware espía que puede capturar las claves de diversos servicios (no sólo bancarios). Un ejemplo es el troyano que afectó a PayPalhttps://www.helpnetsecurity.com/2018/12/12/android-trojan-paypal/
Consejos
Para resumir las medidas básicas de precaución que deben tener los usuarios para prevenir ser víctima de fraude cibernético:
Verificar que estamos accediendo efectivamente al sitio del banco del cual somos clientes, éste debe ser el que ingresa habitualmente y no contener nombres extraños.
Además verificar que aparezca el indicador de que se visita una página segura (aunque esto no garantiza la total seguridad de que sea la página que deseamos).
Jamás entregar datos personales de forma telefónica al recibir llamadas inesperadas de supuestos “ejecutivos bancarios”. Para su seguridad, contacte usted a su ejecutivo de cuenta inmediatamente si sospecha de algo.
No dar click a hipervínculos recibidos por cualquier medio y de forma inesperada, con nombre sospechoso, por ejemplo

https://fkadkfhaas.banco.xyz.com.estoesfalso

o similares.

Descargar sólo las aplicaciones móviles legítimas de las tiendas oficiales de aplicaciones por plataforma: GooglePlay y AppStore.
Ante la duda, ¡absténgase!
Estos consejos no sólo lo ayudarán a prevenir el fraude bancario, también es válido para evitar el robo de su información en diversas plataformas, como además la infección por malware.
La ciber-higiene debe ser un tema de concientización transversal entre los usuarios con los servicios que utilizan, existen muchas recomendaciones de seguridad relacionadas. De forma global y específica seguiremos entregando guías como esta.

Oferta única!!! trabajo, dinero y phishing

La Oficina de Seguridad de Internauta alerta sobre la existencia de una gran cantidad de correos electrónicos fraudulentos con falsos mensajes con asuntos como: “Gana $13.000 desde casa hoy”, “Comienza a maximizar tus ganancias”, “El email que has estado esperando” o “Portabilidad a mitad de precio. Consúltanos” con el fin de recopilar datos personales de los usuarios y hacerles descargar un software en su equipo.
Los correos electrónicos contienen el siguiente texto:
Hola,
Quería que fueras el PRIMERO en conocer este nuevo software que es simplemente una REVOLUCIÓN.
Esto podría ser tu máquina de efectivo personal que te otorga $ 13.000 en beneficios cada día y todo gracias a The Bitcoin Code.
Y lo mejor de todo, no te costará un centavo.
ACCEDE A TU LINK PRIVADO AQUÍ
Si nunca has ganado un dólar, este sistema es exactamente lo que has estado buscando.

El asunto de los correos puede variar, pero el contenido del mismo es igual, todos ellos redirigen al usuario a una página web facilitando un enlace.
Si el usuario confía en el email, accede al enlace y facilita la información solicitada, ésta acabará almacenada en servidores controlados por ciberdelincuentes. Así mismo, probablemente sea utilizada para cometer cualquier otro fraude.

Nuestros consejos sobre cómo actuar en estos casos son similares a los de la OSI:
Nunca contestes a este tipo de mensajes.

No abras archivos ni sigas enlaces que aparezcan en ellos.Bajo ningún concepto facilites datos bancarios o realices ningún ingreso económico a cuentas que se nos puedan solicitar (transferencia).Si dudas sobre la veracidad de un correo, realiza búsquedas en Google con frases “claves” que contenga el mensaje, los resultados te pueden dar alguna pista. A veces, tras realizar una pequeña búsqueda en Internet, puedes encontrar usuarios que han sido víctimas de un determinado fraude.También puedes consultar directamente con la empresa o servicio implicado o con terceras partes de confianza como puede ser – En Chile – PDI.

Phishing utiliza imagen de BancoEstado para distribuir malware

El cybercrimen nunca descansa, recientemente descubrimos una nueva campaña de distribución de malware mediante phishing:

El link de descarga ya se encuentra catalogado como peligroso por algunas empresas porveedoras de Antivirus, mientras otras se encuentran analizándolo De cualquier forma no se trata de un correo oficial del banco ni es un aviso de transferencia real, esto se puede deducir al analizar el encabezado del correo:
Return-Path: <root@comprobante3.notificacionmail.com> Received: from comprobante3.notificacionmail.com (comprobante3.notificacionmail.com. [185.181.10.56])
Message-Id: <20171114154932.D1ED71CA167@comprobante3.notificacionmail.com>

Un correo real de Banco estado luce de la siguiente forma, sin requerir que el usuario descargue nada:

Otra muestra de correo real:

Evite ser víctima de estos delincuentes y recuerde no abrir correos electrónicos inesperados por mas atractivo que sea el asunto