Lancelot Digital

 

La Guardia Civil y el Instituto Nacional de Ciberseguridad (Incibe) detectaron a mediados de octubre la nueva estafa de criminales que usan la imagen de Correos, una campaña de correos electrónicos fraudulentos.

 

En el email aparece un botón que redirige a una página en la que atiende un supuesto bot que logra obtener los datos personales. Luego, se incentiva a la persona a hacer un pago con su tarjeta de crédito para efectuar el envío de su paquete. Evidentemente, todo esto es falso.

 

Si estamos esperando realmente un paquete y recibimos este mensaje, en esta web podremos encontrar las diferentes formas de contactar con atención al cliente de Correos para así solucionar cualquier duda. Es la mejor forma de evitar cualquier suplantación de identidad de una compañía.

 

El modus operandi

 

En la campaña identificada, el email tiene un asunto genérico para que cualquier persona promedio pueda sentirse aludida. Consiste básicamente: “Tu paquete ha llegado!!!” y variantes como “Tu-paquete-ha_llegado!” y “...tu-paquete-ha-llegado!”. Notaremos que casi siempre está mal escrito.

 

En el cuerpo del mensaje lo encabeza el título «No se han pagado los gastos de transporte de 4, 95 €». Esto implicaría coordinar una nueva entrega a través de un “chatbot” para poder recibir el paquete en casa.

 

En la parte de abajo del mensaje aparece un botón azul con «COMENZAR CHAT», el cual redirige al asistente virtual que suplanta a Correos. Aquí el “chatbot” solicita el número de seguimiento del paquete para confirmar que se trata de un “envío real”.

 

En la misma página, se le pide al usuario pulsar en dos botones que lo llevan a contestar más preguntas, y aquí es donde comienza la parte realmente peligrosa. Después de responder todo, aparece el botón de «Programar entrega y pagar»: aquí los ciberdelincuentes solicitan los datos bancarios.

 

Una vez que se introduzcan los datos de la tarjeta de crédito, los mismos quedarán a disposición de quién está robando la información. De hecho, ni siquiera hace falta darle al botón de enviar, ya que existen páginas que cogen la información escrita, independientemente de que se haya enviado el formulario o no.

 

Luego de esta parte, en algunos casos se reenvía al usuario a otras páginas maliciosas con la excusa de adquirir servicios premium. En el peor de los casos, la persona introduce los datos de otro producto financiero, y también se arriesga a perder los fondos de allí.

 

No es la primera vez

 

En realidad, Correos es una de las empresas más suplantadas en España. Es relativamente fácil caer en las estafas de este tipo porque casi todos la utilizamos, aparte de que prometen beneficios que podrían ser más o menos realistas. En enero de este año, hemos podido identificar otra estafa más relacionada con la compañía:

 

El supuesto SMS que ayuda a completar el envío

 

La vez anterior, la campaña utilizaba mensajes SMS para suplantar la identidad de la compañía, el cual decía que ya iba un envío camino a casa. Al final del mensaje, se proporcionaba un enlace en el que pulsar para confirmar todo el proceso.

 

El truco está en el enlace, el cual redirige al usuario a una página maliciosa que simula la web oficial de Correos. Aquí se le solicita a la persona que descargue una aplicación falsa para realizar el seguimiento del supuesto envío. En la misma página se explica cómo permitir la instalación de aplicaciones de terceros Android desde el navegador, opción que viene bloqueada por defecto.

 

Lo cierto es que Correos cuenta con un localizador de envio para que la persona pueda saber en todo momento dónde está su paquete, por lo que no se necesita descargar nada. Sin embargo, no todas las personas saben sobre este sitio.

 

Una vez instalada la app, se piden los permisos necesarios para funcionar. En estos casos suelen incluirse leer, recibir y modificar los mensajes de texto y acceder a información personal. Así, los delincuentes consiguen los datos personales y bancarios que están guardados dentro del propio dispositivo o que se introducen a la hora de hacer operaciones, e interceptan los mensajes enviados al móvil para validar la autorización.

 

Prevención anti estafas en línea

 

Es difícil tratar este tema entre la población porque hay poca formación respecto a la seguridad informática, algo que se ve acentuado en los mayores. Podemos seguir algunas indicaciones generales como:

 

• Verificar cada vez que estamos en la página original de la empresa en la que confiamos. Si hay dudas, lo mejor que se puede hacer es escribir el nombre en Google y elegir la primera opción que esté marca en morado, ya que lo más probable es que se haya visto con antelación el sitio.
• Confirmar que la URL comienza con https://.
• Llamar al servicio al cliente de la compañía en caso de tener dudas.

 

Si después de hacer todo esto, detecta actividad no autorizada en su cuenta o tiene sospechas de haber sido estafado, debería bloquear sus cuentas bancarias. Luego, es cuestión de contactar con el banco para reactivarlas con nuevos datos.