El Laboratorio de Investigación de ESET Latinoamérica, compañía líder en detección proactiva de amenazas, identificó un engaño que se distribuye por mensaje vía WhatsApp, en el que se afirma que debido a su nuevo aniversario WhatsApp estaría regalando 1000 GB de tráfico de Internet vía Wi-Fi.
Al hacer clic en el enlace, se llega a una página que invita a contestar una serie de preguntas a modo de encuesta. La misma va desde cómo llegó a la oferta, hasta cuál es la opinión del usuario acerca de la aplicación.
Luego de contestar el cuestionario, el sitio invita al usuario a compartir la oferta con al menos 30 personas más para poder hacerse acreedor del premio. Inclusive se detectó un script que contabiliza cuantas veces se comparte el mensaje con la oferta, con el objetivo de maximizar la viralización del mensaje, y por ende, el intento de estafa a los usuarios.
Este tipo de ataques que hacen uso de técnicas de ingeniería social se mantienen vigentes, sobre todo porque continúan siendo muy efectivos para los cibercriminales al entender que a todos los usuarios les gusta ganar algo o ayudar a otro, por lo que sigue siendo muy importante que las personas investiguen más el dominio y la oferta en sí antes de acceder a cualquier enlace que les llega. En este caso puntual se nota claramente que no es un dominio oficial de la compañía. Si bien las empresas pueden lanzar promociones a través de terceros, se debe verificar en el sitio oficial de la empresa si se trata de una promoción real y vigente.
"Recomendamos firmemente contar con soluciones fuertes de seguridad, tanto en los dispositivos móviles como de escritorio, como primer barrera de protección, debido a que en los análisis realizados con la protección activa, el acceso es a estas páginas es filtrado por el módulo de antiphishing de las soluciones, evitando el acceso a las mismas. De todos modos no se puede dejar de lado la importancia de la educación como usuarios de Internet, así como también mantenerse informado de las amenazas y técnicas que existen y mediante las cuales se lanzan constantemente campañas a la red. Cuanto más precavido sea el usuario, cuanto mejor informado este y cuanto más se piense antes de hacer clic, más posibilidades hay de dejar al phishing a la deriva", mencionó Luis Lubeck, Especialista en seguridad informática de ESET Latinoamérica.
El Laboratorio de ESET Latinoamérica compartió 6 claves para reconocer correos de phishing falsos:
1- Prestar atención para detectar si el mensaje realmente demuestra que el remitente sabe algo acerca del usuario y, ante todo, si es un contacto conocido: Los proveedores de servicios no envían mensajes dirigidos a "Estimado cliente", sin ninguna personalización, así también evitar caer en la trampa de la "falsa personalización" del mensaje, como un número de referencia sin significado y que no se puede verificar.
2- Desconfiar de los archivos adjuntos y los enlaces integrados: Difícilmente un proveedor envíe un mensaje pidiendo iniciar sesión desde un vínculo integrado en un correo, incluso aunque el mensaje esté adecuadamente personalizado. Si se recibe un mensaje con estas características, primero hay que verificar el vínculo en forma independiente con una fuente conocida. A su vez, se recomienda no confiar en archivos no solicitados o en vínculos integrados en el mensaje, aunque provengan de empresas o de amigos de confianza.
3- Tomar precauciones elementales: Pasar el cursor sobre el vínculo para ver el enlace es clave a la hora de chequear la veracidad del mismo. Por otro lado, si se recibe una promoción demasiado buena para ser real, buscar la misma en las redes oficiales de la marca para comprobar su existencia.
4- No dejarse atormentar por las amenazas: Hay que evitar entrar en pánico o reaccionar de inmediato, sin las precauciones apropiadas, ante las amenazas de que van a suspender o eliminar un cuenta. La mayoría de las empresas no actúan de esa manera.
5- No entusiasmarse con los clics: No caer en la compulsividad de aceptar todos las condiciones de cualquier software por el solo hecho de contar con un programa de seguridad, existen códigos nuevos que pueden no ser detectados. Es por esto que es importante identificar los sitios maliciosos o archivos no seguros para evitarlos. Conocer los riesgos es la mejor manera para no ser engañados.
6- Prestar atención a los detalles: Los mensajes de phishing rudimentarios, de solo texto y con faltas de ortografía que eran comunes hace unos años, hoy en día son inusuales aunque la forma de ataque no cambió sino que mejoró la calidad de la Ingeniería Social utilizada y su presentación. Ahora los vectores de ataque se trasladaron hacía otras formas de mensajería, como los SMS (mensajes de texto), medios sociales como Facebook y Twitter, e incluso el correo de voz.
