Phishing vía celular

por Efraín Ocampo 

En Estados Unidos  -y también en México, es cada vez es más frecuente recibir un mensaje de texto también conocido como SMiShing, que puede ser publicidad o un engaño para entrar a un sitio de Internet malicioso. 


Ya no es necesario estar conectado a Internet para recibir un phishing. Algunos usuarios de telefonía celular han reportado recibir mensajes de texto que invitan a entrar a un sitio de Internet malicioso, pero que aparentemente les dará un beneficio, según el blog de los laboratorios de McAfee.

Los mensajes de texto o SMS, según los reportes, contienen frases como ‘Estamos confirmando que se ha registrado a nuestro servicio de citas. Le serán cobrados $2 dólares a menos de que cancele su suscripción en www.xxxxx.com’. Al leer esto, el usuario podría alarmarse al pensar que una persona malintencionada pudo haber utilizado sus datos y quizá su tarjeta de crédito, por lo que lo natural sería que se dirija en cuanto pueda a la página de Internet para dar de baja la suscripción.

A este fenómeno los laboratorios de investigación Avert Labs de McAfee le llamaron SMiShing por la contracción de las palabras SMS y phishing. La compañía advierte que este es un claro indicador de que los dispositivos móviles se están convirtiendo en un objetivo más de los autores de malware, de virus y de engaños de ingeniería social.

“Mientras que algunos reconocerán que se trata de un engaño, algunos usuarios ingenuos no. Temerosos de que les sean sumados a los créditos de sus celulares cargos como esos, visitarán el sitio Web escrito en el mensaje”, adujo el investigador David Rayhawk.

Una vez que el usuario entra a la URL del mensaje de texto, describe el reporte, están listos para descargar troyanos que convertirán a la computadora en zombie que formará parte de una red de computadoras robot o botnet, la cual es controlada por hackers. Las PC que son infectadas con este troyano lanzarán un ataque de negación de servicio, además de instalar en sus sistemas software tipo keyloggers con el fin de robar la información personal así como nombre de usuarios y contraseñas de correos y servicios bancarios en línea, entre otras actividades maliciosas.

“La amenaza que representa esto para las redes empresariales sólo habrá que imaginarla”, dice Rayhawk en su entrada para el blog de Avert Labs, partiendo del hecho de que los empleados de las compañías utilizan cada vez más dispositivos móviles. El investigador concluye que es cosa de tiempo que los atacantes aprendan maneras para explotar mejor las técnicas del SMiShing.

“El staff de seguridad IT no puede controlar el comportamiento humano a la luz del hecho de que los usuarios móviles aún no han aprendido a cuidar sus teléfonos celulares como cuidan sus computadoras portátiles”, reflexionó.