Los ataques de phishing se caracterizan por la utilización de Ingeniería Social para engañar al usuario y abusarse de su desconocimiento para obtener datos importantes, tales como tarjetas bancarias, o un beneficio económico de manera directa.
En este caso analizaremos un ataque de phishing que ofrece un premio de £1.000.000 para seducir a la víctima. El ataque inicia, como todo casi todo ataque de phishing, a través de un correo electrónico con un archivo adjunto explicando que la casilla de correo ha sido seleccionada por ESPN para la entrega de este premio tan deseado, asegurando que en ningún momento va a requerirse una devolución o pago por el premio.
Este correo proviene de una casilla de correo de un proveedor de el Reino Unido, pero es dirigido a la casilla de correo [ELIMINADO]@espn.com.uk, la cual no existe. Esto lo realiza el atacante para despistar a la víctima y aprovechar el apuro o el estado de exaltación al creer que se ha ganado tal suma de dinero, lo que produce que la víctima al no mirar detalladamente esto, sino que simplemente observar que en el correo electrónico aparece ESPN, este cree que el correo electrónico proviene de la compañía y, por lo cual, es legítimo:
Al abrir el archivo adjunto podremos observar que posee, en su parte superior, el logo de ESPN, lo cual genera un grado de confianza por parte de la víctima:
Este archivo adjunto nos solicita ciertos datos personales, tales como nombre, sexo, país, teléfono, etc., y nos indica que este archivo lo deberemos enviar a una casilla distinta a la recibida:
Al enviar el archivo adjunto a esta nueva casilla de correo, reclamando el tan preciado premio, llegará otro archivo adjunto solicitando nuevamente la misma información que ya le ha sido enviada en el correo electrónico anterior, e indicando que el premio será entregado en forma de cheque, junto con fabulosos premios, tales como una notebook, por lo que deberemos enviar este correo electrónico la empresa encargada de enviar el paquete.
Lo interesante de este segundo archivo es que en la parte inferior del mismo aconseja no comentarle a nadie acerca de este premio por “razones de seguridad”:
La realidad de esto último es tratar de que nadie en el entorno de la víctima sepa para evitar que alguien, que puede conocer o no el ataque, lo analice de manera objetiva y descubra el engaño.
Luego de enviar este correo electrónico al encargado del envío, recibiremos la respuesta indicando que para poder enviar el paquete, la víctima deberá pagar un monto de entre £830 y £580, debido al seguro por el valor que este paquete contiene:
Ustedes se preguntarán, ¿porqué en vez de cobrar dinero extra, no lo toman del premio? En la imagen a continuación explican esto:
Para evitar este tipo de ataques es importante siempre contar con una solución antivirus con capacidad de detección proactiva, buenas prácticas para navegar en internet, y así poder reconocer este tipo de correos falsos y engaños. En caso de recibir este tipo de amenazas, es muy importante para los usuarios reportar los correos de phishing o poder detectar los diferentes tipos de mensajes que reciben en sus bandejas de entrada.
Gonzalo Presa
Analista Jr. de Seguridad
