Hace años que este tipo de estafa sigue vigente, con algunas mejoras en las técnicas de camuflaje, como es el uso de certificados válidos y el registro de dominios similares a la entidad afectada.

A largo de este post analizaremos una campaña dirigida a engañar a los usuarios de México, utilizando la imagen Mercado Libre México y el señuelo de nuevas modas.

El sitio apócrifo que suplanta la identidad de Mercado Libre

Con una apariencia muy similar a la de la entidad afectada, el sitio apócrifo utiliza sus imágenes, colores, formatos y tipografías con la idea de hacer sentir al usuario en la web original.

No solamente es similar visualmente, sino que los ciberdelincuentes también utilizan un certificado valido (algo que está siendo bastante habitual). De este modo, el navegador muestra el clásico candado verde indicando que el sitio es “seguro”. Como te imaginaras, nada más alejado a la realidad.

Con precios muy accesibles, el falso sitio invita a que los usuarios hagan compras aprovechando ofertas de cambio de temporada, como podemos ver en la siguiente imagen.

Al hacer clic en comprar, se genera una redirección en donde se pueden visualizar las siguientes opciones.

Como es natural en este tipo de estafas, el usuario es inducido a entregar información personal, como el nombre, correo y teléfono.

Así mismo, para el ciberdelincuente es importante hacerse de información como la dirección de facturación de la tarjeta de crédito, dato que, en muchas ocasiones, es requerido para registrar compras online.

Finalmente, uno de los datos más críticos y perseguidos son los de la tarjeta de crédito, con la fecha de vencimiento y el código de seguridad del usuario engañado.

Una vez completados los datos, la información viajará a manos del estafador, el cual tendrá la opción de venderla en el mercado negro o directamente usarla para realizar compras o transacciones fraudulentas. 

El phishing: una estafa que permanece de moda

Es interesante destacar la complejidad que tiene este tipo de estafa en ser detectada por un usuario distraído, debido a que tiene un dominio (falso) similar al domino real y presenta un certificado https valido. Así mismo, soluciones de seguridad como el antivirus o inclusive la seguridad de los navegadores no detectaban el sitio como malicioso, al menos en las primeras horas del incidente. Es por esto que la principal herramienta para la detección de estas amenazas está ligado a la Educación, Concientización y Colaboración de los usuarios. Si tienes mínimas dudas de si un sitio u oferta es real, puedes consultar primero y no arriesgarte. Luego de transcurridas unas horas, algunas soluciones de seguridad comenzaron a bloquearlo e inclusive el navegador indicaba que se trataba de un sitio falso.

Sin embargo, no debe minimizarse el hecho argumentando que tan solo fueron unas horas en que la estafa se mantuvo como “indetectable”. Tampoco el hecho de que sea una estafa conocida desde hace ya algunos años. EL phishing es una problemática vigente que sigue creciendo de forma sostenida año a año, sumando víctimas y miles de pérdidas por fraude.

Suele utilizar como señuelo temáticas que estén de moda, los bajos precios, eventos masivos y/o de distinta naturaleza; siempre buscando despertar la curiosidad de un usuario distraído. No solamente se nutre de atacar sitios de entidades bancarias o tarjetas de crédito, sino que también afecta a sitios de compras en línea e inclusive redes sociales.

Si aún tienes dudas puedes encontrar en nuestra infografía sobre falsificación las señales que indican que un correo o un sitio es falso.