El mundo atraviesa un evento sin precedentes. El brote de COVID-19 (Coronavirus Disease 2019) – ahora oficialmente una pandemia – ha despertado la conciencia global, y entre las consecuencias ha habido cierre de fronteras, cuarentenas, cancelaciones y prohibiciones de vuelos, compras influidas por el pánico y una incertidumbre en los mercados financieros.
Pero los scammers también han estado prestando atención. Las emergencias suelen ser la oportunidad perfecta para que los atacantes lancen campañas fraudulentas que se alimentan y aprovechan del clima de preocupación. En el trasfondo de una enfermedad que ya lleva más de 5.700 muertes en el mundo y continúa expandiéndose, los scammers no han perdido el tiempo a la hora de jugar con el miedo de la gente, y evocar su sentido de compasión.
Ciertamente, muchos cibercriminales creen que ha llegado su temporada de festividades: una población ansiosa, sujetos vulnerables en su punto máximo, demanda excesiva de bienes que ya no están disponibles, y grandes cantidades de desinformación en redes sociales – todo esto deviene en una oportunidad idílica para engañar a los más susceptibles.
Los scams pueden llegar de muchas maneras, y el equipo de investigación de ESET ha compartido algunos ejemplos de las más despreciables tácticas de ataque que han sido utilizadas recientemente.
Noticias maliciosas
Como la principal fuente de información sobre el brote, la Organización Mundial de la Salud -OMS- está entre las autoridades cuya identidad más suplantada se ha visto en las actuales campañas de engaños. En el ejemplo que se ve debajo, los atacantes pretenden ofrecer información relevante acerca del virus en un intento por lograr que potenciales víctimas hagan clic en los enlaces maliciosos. Comúnmente, dichos enlaces pueden instalar malware, robar información personal, o intentar obtener credenciales de ingreso y contraseñas.
La OMS está al tanto de que su marca está siendo utilizada por estafadores, por lo cual ofrece información (en inglés) en su sitio web acerca de cómo comunican, y brinda detalles de lo que hará o no hará en sus correos oficiales. Uno de los puntos más importantes a tener en cuenta de los que allí figuran es:
“Asegúrate de que el emisor tenga una dirección de correo electrónico del estilo ‘nombre@who.int’. Si allí se lee algo que no sea ‘who.int’ luego del símbolo ‘@’, el emisor no es alguien de la OMS. La OMS no envía correos de direcciones terminadas en ‘@who.com’, ‘@who.org’ o ‘@who-safety.org’ por ejemplo.”
La organización aconseja también revisar la URL para cualquier enlace presente en los correos y aclara que todo el contenido web comenzará con https://www.who.int/ y ningún otro dominio es utilizado. Ante cualquier duda, puede escribir la dirección web directamente en el buscador.
Es importante destacar que la OMS no comenzó a enviar correos aleatorios a sujetos que no estén suscriptos a un servicio. Considera navegar el sitio de la OMS dedicado al tema, o a los sitios de las organizaciones e instituciones nacionales de salud del país en que usted se encuentra, como pueden ser el Ministerio de Salud en Argentina o la Secretaría de Salud en México.
Puede además accederse a las verdaderas noticias a través de las fuentes confiables que suele visitar para informarse diariamente. Los enlaces insertados en correos no solicitados no llevan sitios únicos o con noticias urgentes.
En otro ejemplo, el sitio web de phishing está intentando suplantar al Wall Street Journal (WSJ) y aparenta reportar las últimas noticias acerca del COVID-19. Por motivos obvios, hemos ocultado parte de la URL, pero observa que comienza con ‘worldstreet’, y el logo que allí se muestra también dice ‘world street’.
De todas formas, hay ciertas coincidencias visuales con el estilo de marca del WSJ, en el intento de engañar al visitante para que crea que se trata del Wall Street Journal. La exposición de publicidad en este sitio genera ingresos para los actores maliciosos, incluso si no se obtienen datos personales del usuario.
Explotando el espíritu solidario
Otro tipo de engaño que está dando vueltas es aquel que busca conmover al receptor para que éste colabore en la creación de una vacuna para los niños de China. Al momento en se escribe este texto, no existe una vacuna disponible, y no se espera que llegue al público hasta el próximo año.
El trasfondo interesante de este ejemplo es que el actor malicioso ha reutilizado una campaña existente y modificado con contenido relativo al COVID-19. En 2019, publicamos detalles de una campaña de sextorsión (en inglés) que buscaba asustar a las víctimas para robar su dinero, por medio de la extorsión.
A quienes han recibido los correos relativos al coronavirus, se les pide que envíen bitcoins a las billeteras virtuales de los atacantes. Más allá de que esta técnica solo sea efectiva para una fracción de los usuarios, cuando se lleva adelante a escala global puede resultar financieramente atractiva para los criminales.
Desenmascarado
En otra clase de fraude, los scammers envían correos de spam en búsqueda de que las víctimas crean que pueden ordenar barbijos/máscaras de protección para mantenerse a salvo del nuevo virus. Lo que realmente sucede es que las víctimas revelan información sensible, personal y financiera, a los atacantes.
Como probablemente imagines, Google Trends muestra que el volumen de búsquedas para términos como ‘alcohol en gel’ y ‘máscaras de protección/barbijos’ están alcanzando niveles sin precedentes. Con la demanda sobrepasando la oferta, los estafadores han incrementado los intentos de apuntar a quienes buscan elevar sus medidas de protección e higiene. De acuerdo con Sky News, los vendedores fraudulentos de máscaras obtuvieron, únicamente en el mes de febrero, un total de £800,000 (US$1 millón) en el Reino Unido.
Las máscaras de protección escasean. Manténgase actualizado respecto de los productos que se ofrecen y solo adquiéralos de vendedores confiables y reconocidos, a quienes normalmente confiaría con su pedido (y sus datos de tarjeta).
Reflexión final
Estos son solo algunos de los ejemplos que muestran cómo los cibercriminales buscan capitalizar el actual clima que rodea el brote del virus. Es este un buen momento para que tanto usuarios como empresas aprendan, o recuerden, algunas de las formas más comunes que tienen los criminales de capitalizar las emociones de la gente (y no solo ello) durante grandes sucesos y emergencias.
Mantenerse alertas, identificar e ignorar los intentos de cibercriminales involucrados en fraudes y noticias falsas es esencial. Aquí hay algunos puntos básicos que los ayudarán a mantenerse a salvo en línea:
- Evita hacer clic en cualquiera de los enlaces o descargar adjuntos en correos no solicitados o textos de fuentes no reconocidas, o incluso de fuentes confiables a no ser que esté absolutamente seguro de que dicho mensaje es auténtico.
- Ignore las comunicaciones que le solicitan su información personal. De ser necesario, verifique los contenidos del mensaje con el emisor o la organización que dicen representar, y hágalo a través de otro medio que no sea el mensaje recibido.
- Manténgase especialmente atento a los correos que añaden un sentido de alerta y lo urgen a tomar una acción inmediata u ofrecen vacunas o curas contra el COVID-19.
- Esté atento ante donaciones fraudulentas o campañas de financiación compartida de proyectos.
- Utilice software de seguridad en múltiples capas que incluya protección contra el phishing.