Desde el laboratorio de ESET, identificaron una nueva campaña maliciosa que suplanta a una reconocida institución bancaria de la Argentina con el objetivo de robar dinero e información personal de sus víctimas (Fuente ESET Latam).
Esta campaña se apoya fuertemente en técnicas de ingeniería social, que consisten en manipular psicológicamente a las víctimas para que realicen acciones que comprometan su seguridad. El primer contacto con los atacantes se realiza mediante una página de Facebook, página actualmente dada de baja, que utiliza imágenes haciendo referencia a un banco y que promete descuentos en varios servicios para adultos mayores. Para obtener los supuestos beneficios la víctima debería comunicarse con un número telefónico mediante una llamada de WhatsApp.
En este caso, el atacante busca convencer a la víctima de su legitimidad simulando ser un empleado bancario y tienta a la víctima con un supuesto descuento en servicios, si se descarga una aplicación. Una vez terminada la llamada, el atacante le envía a la víctima el enlace para la descarga de la primera aplicación, mediante la tienda oficial de Android.
Luego de enviar el enlace para la instalación de la aplicación y el código de confirmación, la víctima se conecta remotamente con el atacante, quien con esto puede ver la pantalla, interactuar con las aplicaciones, transferir archivos y realizar acciones en nombre de la víctima.
La aplicación, llamada Supremo, permite la administración y control de dispositivos móviles de forma remota. Estas funcionalidades generalmente están relacionadas con dar soporte o gestionar un equipo propio a distancia, pero también son abusadas por cibercriminales para realizar acciones en los equipos de sus víctimas. “Ya hemos advertido en distintas oportunidades sobre los riesgos de seguridad asociados a este tipo de programas, incluso cuando son instalados con fines legítimos para los cuales estos fueron creados.”, comenta Camilo Gutiérrez Amaya, Jefe del Laboratorio de Investigación de ESET Latinoamérica.
Desde ESET destacan que lo novedoso en el contexto de las estafas bancarias y suplantaciones, es que si el atacante no puede hacer que sus víctimas les entreguen las credenciales, la “innovación” en este caso es intentar controlar el dispositivo donde tiene la aplicación del banco.
En cuanto a otros casos, en la página de la aplicación en Google Play se pueden leer numerosos comentarios de usuarios argentinos que reportan haber sido estafados con variadas excusas, desde al menos mayo de 2024. Entre las empresas cuya identidad ha sido suplantada por campañas que instan a sus víctimas a instalar la aplicación Supremo se encuentran Netflix, Starlink, Mercado Libre, YPF, entre otros. Además, en algunos casos las víctimas alegan que han sufrido el robo de dinero o tomas de préstamos bancarios mediante el control de sus celulares por los estafadores.
Para evitar caer en engaños y estafas, desde ESET alientan a seguir distintos consejos:
- Desconfiar de cualquier anuncio o perfil de redes sociales no verificado que mencione ser de una entidad bancaria, ecommerce, gobierno, o cualquier otra entidad de autoridad o marca reconocida. Comunicarse únicamente por canales autorizados y verificados.
- Evitar clics o mensajes desesperados al ver regalos, grandes descuentos o promociones. Los atacantes utilizan estas excusas para generar en sus víctimas una gran emoción, así como cuando alertan de un problema en alguna cuenta.
- No descargar archivos o aplicaciones por orden de desconocidos, ni aquellas que no estén verificadas como pertenecientes a bancos o marcas en las que queramos operar.
- Contar con un software antivirus instalado y actualizado en el dispositivo móvil para evitar infecciones.
- Mantener actualizados dispositivos y aplicaciones.
- Modificar las contraseñas afectadas y monitorear cualquier movimiento sospechoso de las cuentas, en caso de sufrir alguna intrusión o infección.
infosertecla.com 