El Laboratorio de Investigación de ESET Latinoamérica, compañía líder en detección proactiva de amenazas, detectó una nueva campaña de propagación de phishing, que utilizó la identidad de Mastercard, una de las más grandes entidades del mundo en tarjetas de crédito, para robar credenciales financieras o datos de tarjetas de crédito de los clientes.
El engaño se propaga mediante phishing, esto quiere decir que el cibercriminal se hace pasar por una persona o empresa de confianza en una aparente comunicación oficial electrónica, tanto por e-mail, sistema de mensajería instantánea o incluso llamadas telefónicas. En este caso se utilizó un correo que aparentemente enviado por Mastercard sumamente explícito. El mismo se dirige a un usuario genérico, (no está personalizado), hace referencia a un problema con la cuenta, y por último que incluye un enlace oculto que dirige al usuario al sitio apócrifo.
Estos tres elementos se encuentran presentes en la mayoría de los casos de phishing. La ingeniería social aplicada a un problema de seguridad y la subsecuente necesidad de desbloquear la cuenta funcionan como señuelo para pescar usuarios desprevenidos.
Al situar el cursor sobre el enlace sugerido, se puede notar que no coinciden la dirección a la cual parecería dirigir y aquella a donde realmente redirecciona. Cuando la víctima hace clic sobre el enlace malicioso, es redirigido a un sitio fraudulento creado con el fin de robar credenciales financieras. A simple vista, sin mirar el dominio, el portal se ve como una copia muy similar al sitio oficial de MasterConsultas. Sin embargo, al observar la barra de dirección se identifica que la página que almacena el engaño pertenece a un dominio gubernamental de México, ya que incluye la terminación “.gob.mx”.
Una vez que la víctima carga los datos, estos son robados y enviados al ciberdelincuente. Siguiendo con el engaño, al cargar los datos de la víctima, el sitio fraudulento sigue pidiendo más información de las tarjetas de crédito, por lo que se le pide ingresar su información cotidiana y también datos como domicilio, fecha de expiración y código de seguridad de la tarjeta.
“Desde ESET aconsejamos a los usuarios a estar atentos a la información que reciben por más que a simple vista parezca confiable. La educación y las tecnologías de seguridad son los principales aliados contra amenazas o engaños. El antivirus brinda protección frente a descargas maliciosas pero solo si es acompañado con un comportamiento responsable en la Web, evitando hacer clic antes de considerar la legitimidad de un enlace o archivo, es posible mantenerse completamente protegido.”, aseguró Lucas Paus, Especialista en Seguridad Informática de ESET Latinoamérica.