ESET, la empresa líder en detección proactiva de amenazas, analizó dos sitios web falsos que se hacían pasar por el sitio web oficial del Banco Itaú e intentaban robar las credenciales de los clientes en Argentina y Brasil.
Uno de los sitios es para argentinos y está en español, y el otro está en portugués y es para clientes brasileños. Ambas ubicaciones fueron reportadas y cerradas. Vale aclarar que el banco también es víctima de este tipo de campañas, que utilizan su nombre para engañar a los clientes. De hecho, la empresa compartió algunos consejos en su página oficial para evitar caer en varios tipos de estafas en su nombre y en el de otros bancos. Sitio web falso dirigido a clientes argentinos:
¿Cómo funciona esta estafa?
En la campaña, dirigida a clientes en Argentina, los estafadores utilizaron una URL que contenía el nombre del banco y era similar al nombre oficial. De hecho, el nombre del sitio es casi idéntico al nombre de usuario que usa el banco para sus cuentas de Twitter e Instagram, con solo una letra diferente. Esto es importante porque Google puede llevar a las víctimas a este tipo de sitios fraudulentos que logran aparecer en los primeros resultados de búsqueda. A veces en forma de anuncios. El diseño del sitio web falso es exactamente el mismo que el diseño del sitio web oficial. Presuntamente, para acceder a la banca en casa (también conocida como banca en línea), el sitio web falso tiene campos donde las víctimas pueden ingresar su información de inicio de sesión para robar información.
Cuando el usuario ingresa su nombre de usuario y contraseña, el sitio muestra un temporizador que pretende confirmar la entrada deseada. Si bien esta actividad puede ser trivial, no es aleatoria: los ciberdelincuentes usan este tiempo para iniciar sesión automáticamente en el sitio web legítimo del banco utilizando credenciales robadas, lo que solicita que se envíe un código de autenticación de dos factores al teléfono de la víctima, seguido de un aviso en la siguiente pantalla.
Una vez que se completa el engaño y se proporcionan los detalles del visitante de la víctima a los ciberdelincuentes, el sitio falso emite un mensaje de error y redirige al usuario al sitio oficial. Este paso adicional asegura a las víctimas que fue solo un error y no que cayeron en una estafa.
Te recomendamos: ¡Atención! ESET descubrió una nueva ola de ataques de ransomware
El contenido del sitio web falso sugirió que se trataba de una campaña de phishing que llegó a las víctimas a través de un correo electrónico que contenía un enlace de solicitud de factura falsa.
Se le pide a la víctima que proporcione su número de archivo fiscal (CPF) y el número de tarjeta que usa con el dispositivo. En la página siguiente, solicita información más confidencial, como el código de seguridad de la tarjeta y la fecha de vencimiento.
Las campañas maliciosas que se hacen pasar por empresas conocidas a menudo siguen patrones que las hacen fácilmente distinguibles.
Para no caer en ello, ESET brinda los siguientes consejos:
- Asegúrate de estar visitando la URL correcta y no una versión falsa.
- Verifica que el sitio tenga un certificado de seguridad válido y que el certificado esté firmado por la empresa que dice ser.
- Si no estás seguro de si un sitio web es legítimo, no proporciones ninguna información personal o financiera. no hagas clic en él.
- No hacer clic en enlaces o descargar archivos adjuntos de correos electrónicos, mensajes de redes sociales, de mensajería instantánea como WhatsApp o Telegram, o de texto sospechosos o de remitentes desconocidos.
- Utilizar software de seguridad para proteger el equipo contra el malware y otras amenazas.
¡Recuerden tener estos consejos siempre en mente para evitar ser víctimas de estafas!
