Falso sorteo de productos devueltos de Mercado Libre circula en WhatsApp

También puedes abrir el chat de WhatsApp haciedo clic aquí.

Desde el laboratorio de investigación de ESET Latinoamérica analizamos una nueva campaña fraudulenta que ha estado circulando en WhatsApp en la que se suplanta la identidad de Mercado Libre intentando convencer a potenciales víctimas que la compañía está sorteando productos que han sido devueltos.

El engaño llega a las víctimas a través de un mensaje que muchas veces es enviado por un contacto conocido, algo común en los engaños que se distribuyen a través de WhatsApp. En este caso se hace referencia a un supuesto sorteo que realiza Mercado Libre de productos que fueron devueltos. Además, incluye un enlace oculto por un acortador que lleva a la potencial víctima a un sitio fraudulento que simula ser el sitio oficial de la popular plataforma de compra y venta de artículos.

Imagen 1: Mensaje que recibe la víctima, usualmente de un conocido

Una vez dentro del sitio observamos una estructura similar a la de otras campañas fraudulentas que hemos reportadas previamente, como el engaño que suplantaba la identidad de la cadena de supermercados Costco. Como se observa en la Imagen 2, el diseño del sitio falso utiliza elementos como el logo y los colores oficiales para que parezca real. Además, para generar confianza, incluye un cuestionario para que el usuario opine sobre la compañía y comentarios falsos de supuestos ganadores.

Imagen 2: Sitio falso que incluye una encuesta y comentarios falsos

Luego de responder las preguntas, el sitio le presenta a la víctima otro sorteo, muy alejado de los supuestos productos devueltos. En este, el usuario tiene 3 posibilidades para encontrar el falso premio que, independientemente de lo que se seleccione, este siempre recibe. Estos premios suelen ser de alto valor, como un smartphone último modelo o dinero en efectivo.

Para reclamar el premio, sin embargo, la víctima debe realizar una acción crucial para este engaño: difundir entre sus contactos de WhatsApp esta supuesta oportunidad. Esto permite que la campaña tenga en poco tiempo un alto alcance y sin necesidad de que el cibercriminal intervenga. También es la razón por la el mensaje inicial llega a la víctima de un contacto conocido.

Imagen 3: Instancia en la que se solicita compartir el mensaje del sorteo entre sus contactos para poder recibir el supuesto premio

Sin embargo, y luego de anunciar el supuesto premio, la víctima es redirigida a otro sitio que utiliza técnicas de ataques conocidos como scareware con el objetivo de hacerle creer que su dispositivo está desactualizado y en peligro. Además, el engaño recomienda descargar una aplicación en los próximos minutos para intentar despertar la sensación de urgencia y que el usuario no dude en instalar la app desconocida.

Imagen 4: Falsos mensajes de alerta que despliega el sitio al cual es redirigido el usuario

Aquí ya no se hace mención al sorteo o regalo para la víctima. Esto debería ser suficiente para la víctima note que hay algo sospechoso y decida no continuar interactuando con el sitio. Sin embargo, parte de la estrategia en este tipo de fraudes es tratar de lograr que la víctima se “olvide” por un momento del supuesto premio y para ello utilizan cuestionarios, botones o comentarios que de nada sirven.

Si bien el enlace para descargar la falsa actualización se encuentra dado de baja al momento de escribir este artículo, podemos afirmar que el dominio utilizado aloja otros sitios maliciosos que suplantan la identidad de otras compañías, todos con un objetivo similar: desplegar publicidad fraudulenta, recolectar información personal, o incluso descargar malware.

Lamentablemente, las campañas maliciosas intentando suplantar la identidad de plataformas de comercio electrónico mediante sitios falsos son frecuentes. Según datos de los sistemas de telemetría de ESET, la temática ecommerce fue la tercera más utilizada para sitios de phishing durante el último trimestre de 2021 con un 9.8% de los mismos, una tendencia que sigue en crecimiento durante este año también.

Desde ESET, acercamos las siguientes recomendaciones para detectar y evitar este tipo de engaños:

• Desconfiar de cualquier comunicación que ofrezca regalos, beneficios o dinero en grandes cantidades, y sin ninguna condición asociada. Esto suele ser una excusa para llamar la atención de las víctimas
• Verificar el enlace del sitio y su relación con la compañía de la cual dice ser, aún si el sitio cuenta con los colores y logo oficial. En este caso, el dominio no guardaba relación con el oficial de Mercadolibre, lo cual debería ser la primera señal de alerta para no ingresar.
• Ignorar mensajes que adviertan sobre la infección con malware o falta de actualizaciones en el dispositivo siempre que no provengan del propio dispositivo o de una solución de seguridad. Este tipo de mensajes suelen mostrarse en el navegador y están diseñados para alarmar al usuario y convencerlo de que ingrese a un sitio sospechoso o descargue software malicioso.
• Contar con una solución de seguridad robusta instalada en el dispositivo, para evitar infecciones y bloquear posibles comunicaciones de phishing y spam.