Detectamos una campaña de ingeniería social que se distribuye a través de anuncios de Facebook en la que se suplanta la identidad de Mercado Libre con el objetivo de robar datos e información sensible de las potenciales víctimas.
Tal como se observar en la Imagen 1, el anuncio en la red social va dirigido a clientes platinium de distintas tarjetas de crédito y ofrece una supuesta promoción para acceder a una tarjeta de crédito exclusiva de la conocida plataforma de pagos Mercado Pago.
Imagen 1. Anuncio en Facebook utilizado para promover el engaño
Lo primero que debería llamar la atención de la potencial víctima es que, como suele ocurrir, el sitio al que se invita a acceder no se trata de un dominio oficial de Mercado Pago. No obstante, si el usuario se siente atraído por la oferta, dependiendo del dispositivo desde el cual acceda al enlace, se encontrará con las siguientes pantallas.
En el caso de utilizar una computadora, tal como se puede observar en la Imagen 2, el sitio al cual acceder invita al usuario a acceder a través de la aplicación de su celular.
Imagen 2. Pantalla a la que accede el usuario desde una computadora luego de hacer clic en el anuncio
Al acceder desde el dispositivo móvil al falso sitio, la campaña fraudulenta comienza a recolectar datos de las víctimas. Primero solicita ingresar la dirección de correo o nombre de usuario y la contraseña para acceder a la plataforma.
Imagen 3. Al acceder desde el celular el engaño busca robar las credenciales de acceso al solicitar ingresar nombre de usuario y contraseña
Como se puede apreciar en las imágenes anteriores, para el análisis del engaño se ingresaron datos ficticios para verificar si el sitio apócrifo realizaba algún tipo de validación en línea contra la plataforma. Sin embargo, pese a utilizar datos ficticios pudimos avanzar sin problemas.
Tras ingresar las credenciales, bajo el argumento de validar la identidad del usuario solicita ingresar todos los datos de la actual tarjera de crédito.
Imagen 4. Luego de ingresar las credenciales de acceso el engaño busca recolectar los datos completos de la tarjeta de crédito de la víctima
Utilizando nuevamente datos ficticios, logramos avanzar con la finalidad de averiguar qué datos adicionales solicita la campaña y descubrimos que además solicita una foto del frente y dorso del documento de identidad de la víctima.
Imagen 5. Engaño solicita enviar una foto del frente y dorso del documento de identidad como parte del supuesto proceso de validación de los datos del usuario
Lugo de recopilar todos estos datos de la víctima, el sistema redirecciona a una página de Facebook en la que se suplanta la identidad de Mercado Libre. Con los datos obtenidos a través de la campaña, los ciberdelincuentes no solo pueden realizar transacciones con la tarjeta de crédito o comercializar esta información, sino que tienen en su poder las herramientas necesarias para realizar estafas de suplantación de identidad. Inclusive pueden contratar productos crediticios en billeteras digitales o bancos online, los cuales pueden ser activados en línea utilizando como forma de validación el envío de la información recolectada; como la foto del documento.
Otro detalle que debería alertar inmediatamente a la víctima es que, tal como se observa en la imagen 6, la página de Facebook a la cual redirecciona el engaño no es la oficial de la popular plataforma de compra y venta de productos en línea. Además de ser una página de reciente creación, no está verificada y tiene apenas 22 seguidores, lo que demuestra que no es la página oficial de la empresa en la red social. La verdadera tiene más de 14 millones de seguidores y cuenta con la marca de verificación que confirma su autenticidad.
Imagen 6. Falsa página de Facebook que suplanta la identidad de Mercado Libre
Qué hacer si es víctima de este engaño
Si bien ya alertamos a MercadoLibre sobre la existencia de esta campaña, en caso de haber caído en la trampa recomendamos seguir los mismos pasos que en los casos de ser víctima de una filtración. En este sentido, es muy importante monitorear no solo los movimientos de la tarjeta de crédito afectada, sino que lamentablemente deberá también consultar periódicamente que no hayan solicitado productos bajo su nombre.
Recomendaciones de seguridad
Como siempre decimos frente a este tipo de engaños, es importante que los usuarios tengan presente que ante la más mínima duda de la legitimidad de una promoción no deben hacer clic en un enlace que aparezca en un contexto sospechoso, sobre todo si se trata de un mensaje que llega de manera inesperada. En caso de observar un anuncio sobre un producto o servicio que le interesa, recomendamos verificar su procedencia y acceder a más información desde el sitio oficial. Por otra parte, si usted fue víctima de este engaño y compartió su información personal, recomendamos modificar sus credenciales de acceso y comunicarse con su entidad financiera.
