El próximo lunes 14 de febrero se celebra San Valentín, día del amor y la amistad. Los ciberdelincuentes, cada vez más sofisticados e imaginativos, despliegan señuelos para poder realizar estafas, a través de identidades falsas, intentando conectar con las personas que buscan relación romántica, a través de redes sociales, aplicaciones de citas y, ahora también, phishing para atraer víctimas en torno a esa fiesta.

Casos recientes como la estafa de Nicolas Cage, motivan a Tanium, la plataforma en la que las organizaciones confían para obtener visibilidad y control en todos sus endpoints, a advertir de la necesidad de protegerse ante este tipo de engaños.

Chris Vaughan, Area Vice President of Technical Account Management, EMEA en Tanium, explica que “hemos visto un aumento en los ciberdelincuentes que aprovechan los eventos culturales y sociales para beneficio personal en los últimos años, y el Día de San Valentín siempre es un catalizador de nuevas estafas y ataques». «Este año, estamos viendo estafadores que se hacen pasar por identidades falsas para encontrar y conectarse con víctimas potenciales que buscan una relación romántica. Después de pasar semanas ganándose su confianza, se las persuade para que envíen dinero a los estafadores por múltiples razones, como el costeo de un viaje para poder verse o una ayuda de «emergencia». Ejemplos recientes, como la estafa de Nicolas Cage, resaltan cómo el fraude romántico se está disparando y se está volviendo más imaginativo, y muchas víctimas a menudo se avergüenzan y no denuncian», añade.

«Además de centrarnos en las aplicaciones de citas y las redes sociales, hemos visto un aumento en los últimos años de ciberdelincuentes que utilizan señuelos de correo electrónico de phishing para atraer víctimas en torno al Día de San Valentín. Por ejemplo, pueden hacerse pasar por un florista en línea falso que solicita la confirmación de un pedido, o por un contacto reciente de la víctima de algún sitio de citas con el que haya mantenido alguna relación», destaca este experto.

«Para evitar caer en el fraude, las personas deben detectar enlaces potencialmente maliciosos en los correos electrónicos, pasando el cursor sobre las URL para verificar su autenticidad. Es más probable que las estafas del Día de San Valentín se dirijan a cuentas de correo electrónico personales y, dado que un gran número de personas trabajan desde casa, es importante que las empresas tengan visibilidad de los dispositivos que sus empleados están conectando a una red corporativa. Las empresas también pueden alentar a los empleados a tener cuidado al implementar las mejores prácticas de seguridad, lo que incluye asegurarse de que los enlaces sean legítimos y evitar el uso de aplicaciones personales en dispositivos corporativos”, concluye el directivo de Tanium.

TrueLayer aconseja extremar la prudencia en las compras online

Los intentos de fraude en las compras a través del comercio electrónico siguen creciendo, especialmente en fechas señaladas como el Black Friday o San Valentín, cuando se disparan las transacciones. Un estudio de Kasperky señala que “el número total de ataques de phishing financiero disfrazado de sistemas de pago electrónico ha incrementado un 208% de septiembre a octubre de 2021″.

Este tipo de estafas tenían un mayor riesgo hasta hace no mucho, ya que incluían el robo físico de tarjetas de crédito o incluso atracos, entre otras formas, pero los estafadores han perfeccionado sus técnicas. El hecho de recibir órdenes de compra de la misma tarjeta desde direcciones IP distintas o de que el cliente tenga dificultad para dar la información personal exigida, probablemente sea señal de un intento de fraude.

Actualmente, las estafas más comunes a la hora de realizar estas transacciones se llevan a cabo a través del uso de los datos de tarjetas de crédito robadas, cuyo coste acaba repercutiendo en el comerciante a través de las tasas de devolución de cargos, una vez llegan los productos adquiridos. Otro método habitual son las falsas devoluciones, también conocidas como friendly fraud, por las que el comprador, una vez le llegan los productos adquiridos, solicita un reembolso indicando que nunca los recibió o que no llegó a autorizar esa transacción. En este caso, el estafador puede esperar varias semanas o incluso meses para hacer su reclamación, lo que dificulta en gran medida la investigación.

Los fraudes relacionados con las afiliaciones también son bastante comunes y se calcula que un 10% del gasto en publicidad digital se pierde debido a estas estafas: los timadores generan una actividad artificial y falso tráfico para recibir comisiones.

Roger De’Ath, responsable de ecommerce de la plataforma de pagos instantáneos TrueLayer, añade a los fraudes más comunes el de ser engañado para realizar una transferencia bancaria, tanto en el caso del comprador como del vendedor: los pequeños cargos que realizan los estafadores para comprobar si las tarjetas están activas, que conjuntamente alcanzan cantidades importantes, o la toma de una cuenta bancaria a través de diversas técnicas como ‘phishing’, bots o el hackeo de una red social.

En este contexto, la banca abierta se presenta como una solución mucho más segura a la hora de realizar los pagos online. Pero ¿cómo ayudan los pagos de banca abierta a reducir el fraude en el comercio electrónico?

• Cada pago está fuertemente autentificado: cuando el cliente confirma su compra es redirigido automáticamente a su app de banca online para autentificar la transacción, un trámite que suele realizarse a través de la biometría, utilizando el reconocimiento de huellas dactilares o la identificación facial antes de autorizar el pago. En España existe la autenticación app2app, lo que hace posible llevar a cabo este proceso de pago, más sencillo y seguro.
• No se comparten los datos de la tarjeta: otra de las ventajas es que los únicos datos que se comparten en un pago con banca abierta son las instrucciones de pago, que se envían de forma segura al banco del cliente, pero no al vendedor, que no podrá acceder al número de la tarjeta.
• Los datos han sido introducidos previamente: gracias a la tecnología de pagos que ofrece el open banking, los datos del cliente son introducidos por el proveedor de pagos de banca abierta, que tiene un contrato con el comerciante, lo que elimina la posibilidad de que el importe termine en un lugar equivocado o en las manos de un estafador.

Suben el 152% los registros de dominios relacionados con el día de San Valentín

Check Point Research (CPR) ha observado un aumento de la actividad de ciberdelincuentes dirigida a los compradores del día de San Valentín. En enero, CPR ha documentado un incremento del 152% en los registros de dominios relacionados con esa fecha, de los cuales el 6% se consideraron maliciosos y 55% fueron marcados como sospechosos.

Uno de cada 371 correos electrónicos malintencionados rastreados por los investigadores se relaciona con la temática de San Valentín. El registro de dominios falsos de temática específica es una táctica que los ciberdelincuentes utilizan para aprovechar un acontecimiento concreto con el fin de atraer a las víctimas a una trampa y dejen al descubierto información personal.

Hay una notable intensificación de nuevos dominios registrados por mes durante los últimos tres años. Este año, este crecimiento se disparó en un porcentaje de tres dígitos, similar al de 2021 y 2020.

Los investigadores han encontrado un ejemplo de estafa de phishing dirigido a los compradores. El correo electrónico de phishing malicioso utilizaba la marca «The Millions Roses» para atraer a las víctimas que están buscando un regalo para el día de San Valentín. En el siguiente ejemplo, el email fraudulento (ver figura abajo) se envió desde una dirección falsa. Dicho correo electrónico falso incluía una dirección de la empresa diferente a la de la marca legítima «The Million Roses».

Esto es una señal de que el mensaje proviene de una fuente dudosa y el sitio web es falso. Cualquiera que hiciera clic en el enlace del correo electrónico habría sido redirigido a un enlace malicioso fraudulento, actualmente inactivo

El phishing se produce cuando ciberdelincuentes envían mensajes haciéndose pasar por una persona o entidad de confianza. Mediante estos correos se manipula a los usuarios para que realicen acciones como instalar un archivo malicioso, hacer clic en un enlace fraudulento o divulgar información confidencial, como las credenciales de acceso. En la actualidad, esta técnica es un vector cada vez más utilizado en casi todos los incidentes de seguridad. Los ataques de ingeniería social, como el phishing, suelen combinarse con otras amenazas, como el malware, la ejecución de código y las amenazas al sistema de redes. Además, el phishing es la causa número uno del ransomware. Los mismos están diseñadas específicamente para explotar la naturaleza humana, es extremadamente importante evitar que estos ciberataques lleguen a sus víctimas deseadas, porque un solo «clic equivocado» puede causar un daño significativo.

“Los ciberdelincuentes van a por los compradores de San Valentín este año de forma intensa. Hemos visto un asombroso aumento del 152% en los registros de dominios con temática de San Valentín en enero, donde una buena cantidad son maliciosos o sospechosos. Los ciberdelincuentes quieren aprovechar el momento. Su objetivo es engañar a los usuarios para que realicen «compras» en las páginas web, pero en realidad se trata de un señuelo para robar información personal, lo que puede acarrear problemas a las víctimas”, alerta Eusebio Nieva, director técnico de Check Point Software para España y Portugal.

“El fraude con tarjetas de crédito y el robo de identidad personal son ejemplos potenciales de lo que los ciberdelincuentes son capaces de hacer en esta temporada de San Valentín. Para evitar estas trampas, recomiendo a los amantes este día que desconfíen de los emails de restablecimiento de contraseñas, que tengan cuidado con las ofertas demasiado buenas para ser verdad y que busquen errores ortográficos y gramaticales. Cualquiera de estas cosas, o una combinación de ellas, son señales de alarma y deberían alertarte de que estás ante una trampa tendida por un ciberdelincuente”, concluye Nieva.

 Consejos de seguridad para los que compran en San Valentín

• Desconfíar siempre de los correos electrónicos de restablecimiento de contraseña: al enviar un email de restablecimiento de contraseña falso que te dirige a un sitio de phishing parecido, los atacantes pueden convencerte de que escribas las credenciales de tu cuenta y se las envíes a ellos. Si recibes un correo electrónico de restablecimiento de contraseña no solicitado, visita siempre la página web directamente (no hagas clic en los enlaces incrustados) y cambia tu contraseña por otra diferente en ese sitio (y en cualquier otro sitio con la misma contraseña).
• Nunca compartir las credenciales: el robo de credenciales es un objetivo común de los ciberataques. Muchas personas reutilizan los mismos nombres de usuario y contraseñas en muchas cuentas diferentes, por lo que robarlas de una sola cuenta es probable que dé a un atacante acceso a varias comunidades online del usuario. Por ello, el phishing está diseñado para robar las credenciales de acceso de varias maneras.
• Se debe tener cuidado con las ofertas de compra demasiado buenas para ser verdad, ya que realmente son demasiado tentadoras y no son ciertas: un descuento del 80% en un nuevo iPhone o en una joya no suele ser una oportunidad de compra fiable o de confianza.
• Comprobar siempre que se está haciendo un pedido online a una fuente auténtica: no se debe hacer clic en los enlaces promocionales de los correos electrónicos, sino que se debe buscar en Google la tienda deseada y hacer clic en el enlace de la página de resultados de Google.
• Buscar errores lingüísticos: los fallos ortográficos y gramaticales son otra señal de que se trata de emails de phishing. La mayoría de las empresas utilizan el corrector ortográfico, por lo que estas erratas deberían levantar sospechas, ya que el correo electrónico podría no proceder de la fuente declarada.