Sergio Arce
Investigadores de ESET, compañía especializada en detección de amenazas, identificaron tres aplicaciones maliciosas utilizadas para robar credenciales bancarias.
En el primer semestre del 2021, los smartphones representaron el 69% de todas las visitas a sitios web de retail en todo el mundo.
Y las compras de smartphones representaron el 57% de todas las compras online, según datos aportados por ESET.
¡Alerta!
La firma alerta que ante este volumen de transacciones, los ciberdelincuentes buscan engañar a compradores ansiosos para que descarguen aplicaciones maliciosas.
En una campaña en curso dirigida a clientes de ocho bancos en Asia, delincuentes digitales intentan robar credenciales bancarias. Y lo hacen utilizando sitios web falsos que se hacen pasar por servicios legítimos. Esto a veces copiando directamente el diseño del sitio original.
Estos sitios web usan nombres de dominio similares a los de los servicios oficiales para tener más chances de pasar inadvertidos ante los ojos de las potenciales víctimas.
“Si bien la campaña por ahora solo se dirige exclusivamente a Asia, más adelante podría expandirse a otros países (de Centroamérica) y bancos.
“En este momento los atacantes buscan credenciales bancarias, pero también pueden sumar el robo de información de tarjetas de crédito en el futuro”, comentó Camilo Gutiérrez Amaya, jefe del Laboratorio de Investigación de ESET Latinoamérica.
Campaña maliciosa se identificó en 2021
Esta campaña maliciosa fue identificada por primera vez a fines de 2021 y en la misma se hicieron pasar por el servicio de limpieza legítimo Maid4u.
Distribuida a través de anuncios de Facebook, la campaña busca convencer a las posibles víctimas para que descarguen malware para Android desde un sitio web malicioso.
Al momento de la comunicación de ESET la campaña maliciosa todavía estaba en curso, con aún más dominios registrados para la distribución después de su descubrimiento.
En enero de 2022, MalwareHunterTeam compartió información sobre otros tres sitios web maliciosos y troyanos para Android atribuidos a esta campaña.
Además de eso, los investigadores de ESET encontraron otros cuatro sitios web falsos. Los siete sitios suplantaban la identidad de servicios que solo están disponibles en Malasia.
Seis de ellos ofrecen servicios de limpieza, como Grabmaid, Maria’s Cleaning, Maid4u, YourMaid, Maideasy y MaidACall, mientras que el séptimo es una tienda de mascotas llamada PetsMore.
OBSERVE MÁS: ¡Mucho cuidado! En los últimos meses se detectaron 17 sitios que piden datos sensibles para cometer estafas
Así operan los delincuentes cibernéticos
Estos falsos sitios web no brindan la opción de comprar directamente a través de ellos. En cambio, incluyen botones para supuestamente descargar aplicaciones de Google Play.
Sin embargo, hacer clic en estos botones en realidad no conduce a la tienda oficial Google Play, sino a los servidores controlados por los actores de amenazas.
Para aparentar ser legítimas, las aplicaciones piden a los usuarios que inicien sesión una vez que son abiertas; sin embargo, no hay validación de cuenta en el lado del servidor.
Esto porque el software toma cualquier entrada del usuario y siempre la declara correcta. Manteniendo la apariencia de una tienda online real, las aplicaciones maliciosas pretenden ofrecer productos y servicios para comprar utilizando una interfaz similar a la de las tiendas originales.
Cuando llega el momento de pagar por la compra, a las víctimas se les presentan dos opciones de pago: pueden pagar con tarjeta de crédito o mediante transferencia bancaria. El objetivo de los atacantes es obtener las credenciales bancarias de sus víctimas.
Siga estos consejos
Para protegerse contra este tipo de amenazas es importante que siga estos consejos:
- Verifique si el sitio web es seguro, es decir, su URL comienza con https://. Algunos navegadores pueden incluso negarse a abrir sitios web que no sean HTTPS y advertir explícitamente a los usuarios o brindar una opción para habilitar el modo solo HTTPS.
- Tenga cuidado al hacer clic en anuncios y no seguir los resultados que ofrecen motores de búsqueda pagos. Es posible que no conduzcan al sitio web oficial.
- Preste atención a la fuente de las aplicaciones que está descargando. Asegúrese de ser redirigido a la tienda Google Play cuando obtenga una aplicación.
- Siempre que sea posible utilice un software para el proceso de autenticación en dos pasos (2FA) en lugar de SMS. Por ejemplo, Google Authenticator.
