Una estafa de suplantación de identidad de Citibank intenta extraer información personal

Otra estafa de phishing dirigida a los clientes de Citibank estaba haciendo las rondas recientemente. Fue descubierto por un investigador que utilizaba el gestor de Twitter MalwareHunterTeam, y el sitio web de noticias de ciberseguridad BleepingComputer también informó sobre ello. MalwareHunterTeam anunció en Twitter que la página ha sido eliminada, pero examinar la estafa aún podría ser beneficioso, ya que nos dará una idea de las técnicas inteligentes que los phishers usan hoy en día, y también puede mostrarnos qué tipo de errores cometen. hacer. Hubo muchas funciones inteligentes y algunos errores en esta campaña en particular.

Desafortunadamente, no sabemos quién organizó el ataque, y no tenemos idea de qué tipo de trucos de ingeniería social usaron para atraer a las víctimas a la página de phishing. Lo más probable es que la estafa comience con un correo electrónico, pero también se han usado otros trucos en el pasado. Lo que sí sabemos es que la página de phishing solía estar alojada en update-citi [.] Com y que parecía bastante convincente.

Una campaña de phishing que recopila una gran cantidad de información personal.

Las capturas de pantalla que MalwareHunterTeam compartió en Twitter muestran que las personas que cayeron en la estafa siguieron algunos pasos. Primero, por supuesto, es la página de inicio de sesión falsa que le pide a la víctima el nombre de usuario y la contraseña de su cuenta bancaria. Sin embargo, cuando se entregan las credenciales de inicio de sesión, la página maliciosa no deja de solicitar información.

Se le pide a la víctima que complete un formulario con su nombre, fecha de nacimiento, dirección física y los últimos cuatro dígitos de su Número de Seguro Social. Después de eso, deben ingresar los datos de su tarjeta bancaria en otro formulario. Una vez hecho esto, la página les dice que está tratando de autenticarlos, un proceso que puede tomar hasta un minuto.

En realidad, nadie está muy seguro de lo que está sucediendo durante ese período, pero los investigadores especulan que mientras la víctima espera ser "autenticada", los delincuentes están tratando de usar las credenciales de inicio de sesión proporcionadas para entrar en su cuenta. Por supuesto, no pueden comprometer de inmediato las cuentas de los clientes que han habilitado la autenticación de dos factores (2FA), pero eso no les impedirá intentarlo.

Citibank detecta el intento de inicio de sesión y la víctima recibe un PIN único (OTP) como un SMS. Después de un minuto más o menos, la página de phishing solicita la OTP, tal como lo haría Citibank. Debido a que piensan que están iniciando sesión en el lugar correcto, el cliente lo entrega y es redirigido al sitio web real de Citibank. Mientras tanto, los phishers tienen toda la información que necesitan para comprometer la cuenta del usuario.

Las características inteligentes

Lo más notable de esta campaña es el hecho de que trata de evitar el sistema 2FA de Citibank. La autenticación de dos factores a menudo se considera la única esperanza del usuario en un escenario de phishing, pero en este caso, los delincuentes lograron negociar a su alrededor de una manera bastante convincente.

También hicieron que la página de phishing pareciera real. Los logotipos y las fuentes se ven genuinos, y el diseño es bastante similar al portal en línea de Citibank. Los phishers también instalaron un certificado SSL en la página, lo que significaba que los navegadores mostraban el icono de candado en la barra de direcciones. Durante años, el candado no ha sido confiable como un signo de la legitimidad de un sitio web, pero algunas personas continúan pensando que puede garantizar su seguridad.

Como puede ver, el equipo de phishing que lanzó el ataque decidió no detenerse en los datos de inicio de sesión y pedir a las víctimas muchos otros detalles personales y financieros. Esto significa que incluso después de que el cliente se dé cuenta de que ha sido estafado y asegure su cuenta, los phishers seguirán teniendo suficiente información para realizar el robo de identidad.

Sin embargo, debe decirse que esta estrategia "por un centavo por una libra" podría ser contraproducente si la víctima potencial es más cuidadosa a quién le dan sus datos.

Los errores

El hecho de que no sepamos cómo comienza el ataque real significa que no tenemos toda la configuración de ingeniería social. Sin embargo, sea lo que sea, es poco probable que Citibank solicite la información personal de los clientes existentes, y es aún menos probable que solicite los detalles de las tarjetas de crédito que ha emitido. Si tiene esto en cuenta, tiene más posibilidades de darse cuenta de que algo está mal y hacer clic en el botón "Cerrar" antes de que sea demasiado tarde.

Los usuarios más observadores también notarán los errores gramaticales y tipográficos que se pueden ver en casi todas las páginas. Es irónico cómo los delincuentes continúan dedicando cada vez más tiempo y esfuerzo al aspecto técnico de sus campañas, sin embargo, no parecen dispuestos a invertir en algunas lecciones de gramática. El nivel de inglés escrito del phisher promedio es tan bajo que los errores tipográficos y las frases incómodas ahora constituyen un indicador bastante confiable de una estafa. Sin embargo, no son tan confiables como la URL.

De hecho, cada ataque de phishing exitoso se puede prevenir con un poco más de atención a la barra de direcciones. Muchas personas ya se han enseñado a sí mismas a buscar el ícono del candado verde, pero no parece que presten suficiente atención al dominio en sí. Los phishers tienen una táctica llamada typosquatting, que implica el uso de dominios que se parecen bastante a los reales, pero incluso esto no será suficiente para engañarte si eres cauteloso.

El phishing es una forma simple de delito cibernético, y protegerse no implica herramientas o técnicas particularmente complejas. Al final, tener cuidado y tomarse un segundo para asegurarse de que todo esté bien podría significar la diferencia entre entregar sus datos y mantenerlos a salvo.