Phishing bancario en México ahora con interacción telefón

Ya son conocidos los múltiples casos de phishing que se han reportado últimamente que afectan a diferentes países de la región. Asimismo, también hemos explicado en post anteriores sobre cómo es la metodología de este tipo de amenazas. Un claro de ejemplo de esto es el post titulado Infografía: ¿Cómo funciona el phishing? . En el caso de esta amenaza en particular, los usuarios afectados son de origen mexicano, en donde el engaño apunta a robar información bancaria de potenciales víctimas que son clientes de una conocida entidad financiera.

La lógica del engaño consiste en utilizar correos u otros medios, como las redes sociales, para propagar el enlace malicioso que deriva al usuario al propio sitio de phishing. Si el usuario accede a ese enlace, el sitio web que se observará será prácticamente idéntico al del sitio original. A continuación se puede visualizar una captura del sitio falso:



Está claro que el responsable detrás de este engaño utilizó algún tipo de herramienta para replicar el código del sitio original y, de esta manera, modificarlo para realizar el robo de los datos. A continuación se observa parte del código fuente del sitio falso donde se visualiza un comentario insertado por la propia herramienta utilizada para clonar el sitio original:



Continuando con el análisis del sitio falso, la mayoría de los enlaces llevan a la víctima al sitio verdadero correspondiente a la entidad bancaria. Sin embargo, si el usuario accede a la banca electrónica, el phishing muestra un formulario falso que solicita la clave y el NIP del cliente. Una vez que la víctima ingresa estos datos, se muestra un segundo formulario. A continuación, pueden observarse ambas capturas de los formularios:



En el segundo formulario se solicita otro tipo de información que es realmente sorprendente y llamativa. Específicamente, se le solicita a la víctima que indique en que horarios utiliza la banca en línea, así como también si el acceso se realiza regularmente desde el mismo equipo y cuantas veces promedio por semana utiliza el servicio. Además de esta información, se le solicita a la víctima un número telefónico donde pueda contactarlo en los próximos veinte minutos. A continuación, se adjunta una imagen del mencionado formulario:



Claramente, este tipo de información no es natural de una propia entidad bancaria, sino de alguna persona que desea conocer los movimientos de la potencial víctima con una finalidad no legítima, tal como el robo de dinero. En el caso del número telefónico, este se utiliza para que el atacante realice un llamado a la víctima suplantando la identidad de la entidad financiera y de esta manera poder obtener el token dinámico. En esta instancia, ya existe una interacción directa con el ciberdelincuente.