Cuidado con la estafa de Apple 'Gracias por tu pedido'

Algunas campañas de cibercrimen son tan efectivas que de vez en cuando, los piratas informáticos y los estafadores en línea deciden reutilizarlas. Aparentemente, este es el caso de una de las muchas estafas de phishing dirigidas a usuarios de Apple. La campaña se presenció por primera vez en 2016, pero los investigadores del brazo latinoamericano de ESET la vieron resurgir recientemente. Por el momento, parece estar dirigido solo a usuarios de habla hispana, y hay que decir que parte de la ingeniería social utilizada es bastante buena.

Los phishers intentan engañar a las víctimas para que piensen que han comprado un paquete de papel tapiz

Los correos electrónicos están diseñados para parecer que provienen de Apple, y el formato se asemeja a una factura. Efectivamente, el sujeto dice "Gracias por su pedido", y el cuerpo le dice al usuario que se ha comprado un paquete de fondos de pantalla y temas a través de su cuenta. Los detalles están bien pensados.

Es poco probable que las víctimas necesiten desesperadamente un conjunto de fondos de pantalla, especialmente dado el precio, que, según el correo electrónico, supera los 11 €. Lo más probable es que el destinatario esté ansioso por hacer clic en el enlace "Cancelar ahora".

La campaña de phishing intenta obtener toneladas de información personal de los usuarios

Si lo hacen, aterrizarán en lo que parece ser una página de inicio de sesión muy convincente, que solicita su ID y contraseña de Apple. Como puede imaginar, cualquier información que se ingrese en los campos se envía directamente a los phishers, y normalmente, estarían muy contentos de tener las credenciales de inicio de sesión de las víctimas. En este caso, sin embargo, han decidido tratar de obtener más detalles de sus víctimas.

Después de ingresar los nombres de usuario y las contraseñas, las víctimas ven una alerta según la cual la cuenta del usuario ha sido bloqueada por razones de seguridad. Para desbloquearlo, la víctima debe completar su dirección física, detalles de pago e incluso el código de seguridad de su tarjeta de crédito. Finalmente, la página de phishing le dice al usuario que para verificar su identidad, necesitará una selfie y fotos del documento de identificación de la víctima y la tarjeta de crédito.

La campaña tiene muchos defectos.

Los phishers aparentemente comenzaron a enviar correos electrónicos falsos la semana pasada, y el dominio utilizado para alojar las páginas de phishing se registró pocos días antes del comienzo de la campaña. Como ya mencionamos, sin embargo, el resto de los componentes se detectaron por primera vez en 2016, y la decisión de los estafadores de revivir esta campaña de phishing en particular es un poco extraña porque no es exactamente perfecta.

De hecho, parece que los trucos de ingeniería social podrían funcionar, pero hay una serie de otros factores que pueden hacer que las personas sospechen. El gran volumen de la información personal solicitada, por ejemplo, podría levantar muchas cejas, y hay errores clásicos que pueden alertarlo.

La página de phishing parece convincente, pero no se entrega a través de HTTPS, que es bastante visible en la mayoría de los navegadores modernos. Además, aunque parece convincente, el correo electrónico contiene un par de errores gramaticales, y los phishers aparentemente estaban demasiado distraídos cuando traducían automáticamente el contenido porque, aunque la mayor parte del mensaje está en español, uno de los párrafos está en portugués..

En general, esto está lejos de ser la mejor campaña de phishing que hemos visto, pero el hecho de que los estafadores lo hayan puesto en marcha significa que creen que es lo suficientemente bueno como para atrapar a algunas personas. Subestimar la amenaza no puede traerle más que dolores de cabeza.