Los ataques de phishing se han convertido en una amenaza recurrente en internet. Pero la última modalidad de estafa de phishing dirigida a los usuarios de PayPal ha generado preocupación, ya que utiliza enlaces legítimos para vulnerar cuentas. Este ingenioso método, revelado recientemente por Carl Windsor, jefe de seguridad de Fortinet, representa una evolución peligrosa en las técnicas de los ciberdelincuentes.

Lo que diferencia a esta nueva estafa de los ataques tradicionales es su habilidad para parecer completamente auténtica. Los atacantes han logrado utilizar direcciones de correo y URLs que pasan las pruebas de autenticidad, lo que complica enormemente la detección del fraude.

Según Windsor, los delincuentes aprovechan la función de «Solicitar dinero a cualquiera» de PayPal para crear la estafa de phishing. Utilizando un dominio registrado en MS365, crean una lista de distribución con las direcciones de correo de las víctimas. Una vez configurada, utilizan esta lista para enviar solicitudes de dinero desde una dirección de PayPal legítima. Esto significa que los correos no son detectados como maliciosos y superan las herramientas tradicionales de autenticación.

El proceso de la estafa paso a paso

  1. Creación del dominio: Los atacantes registran un dominio en MS365 y configuran una lista de distribución con las direcciones de correo de sus víctimas.
  2. Solicitud de dinero: A través del portal «Solicitar dinero» de PayPal, envían correos desde una dirección válida.
  3. Engaño a las víctimas: Los correos contienen un enlace a PayPal que parece completamente legítimo. Al hacer clic, los usuarios son redirigidos a una página de inicio de sesión auténtica.
  4. Captura de credenciales: Las víctimas, alarmadas por el correo, inician sesión en sus cuentas. En ese momento, los atacantes acceden simultáneamente a la cuenta utilizando las credenciales.

Por qué esta estafa es tan peligrosa

La mayoría de las personas ya sabe que no debe abrir correos de remitentes desconocidos o hacer clic en enlaces sospechosos. Sin embargo, esta estafa supera estas precauciones básicas. Los correos parecen provenir directamente de PayPal y contienen enlaces que conducen a sitios reales. Esto elimina muchas de las señales de advertencia que los usuarios suelen buscar.

Además, el uso de dominios y herramientas legítimas como MS365 para crear listas de distribución complica la tarea de las empresas de seguridad para identificar y bloquear estos ataques. Incluso los usuarios más experimentados pueden ser víctimas.

El papel de los «firewalls humanos»

Windsor enfatiza la importancia de educar a los usuarios para que actúen como «firewalls humanos». Esto implica una formación constante para reconocer señales de alerta y tomar medidas preventivas. Sin embargo, también reconoce que no todos los usuarios pueden alcanzar este nivel de atención.

Por ello, las empresas deben reforzar sus herramientas de detección y autenticar de manera más rigurosa las solicitudes de dinero y otras interacciones a través de sus plataformas.

Cómo protegerse ante este tipo de amenazas

Ante esta sofisticada amenaza, Windsor y otros expertos en ciberseguridad ofrecen varios consejos que se deben aplicar de manera habitual cuando llega un email que no se ha solicitado o que puede parecer sospechoso:

  • Desconfiar de los correos no solicitados: Aunque parezcan legítimos, siempre ha que cuestionar cualquier correo que le pida iniciar sesión o realizar acciones inmediatas relacionadas con transacciones financieras.
  • Verificar los enlaces antes de hacer clic: Copiar y pegar el enlace en su navegador en lugar de hacer clic directamente. Esto permitirá inspeccionarlo antes de acceder.
  • Activar la autenticación en dos pasos (2FA): Esta capa adicional de seguridad puede prevenir que los atacantes accedan a su cuenta, incluso si logran obtener sus credenciales.
  • Revisar las solicitudes de dinero con detenimiento: Antes de realizar cualquier acción, es recomendable contactar directamente con el remitente a través de los canales oficiales de la empresa.
Periodista especializada en ciberseguridad y tecnología. Mi enfoque se centra en analizar mundo de las aplicaciones y la seguridad especialmente en redes sociales. Con un interés constante en informar sobre avances, riesgos y sin olvidar la importancia de la prevención, busco compartir información precisa y comprensible para el usuario.

Deja un comentario

Por favor, introduce tu comentario
Por favor, introduce tu nombre