Archivo de la etiqueta: mailing

Phising (I): Definición y ejemplos

Esta es la primera entrada de la serie de entradas en las que trataremos el phishing. Para empezar vamos a plantear la definición del término y algunos ejemplos para que se entienda bien, y luego iremos profundizando un poco mas en entradas sucesivas.

La palabra fishing viene del término inglés ‘phishing’, (en informática y sobre todo en hacking son comunes los juegos de palabras al sustituir el sonido ‘ph’ por ‘f’). Con esta pesquera palabreja se hace referencia a lo que comúnmente llamamos “morder el anzuelo”. Y es que el phising es un engaño, una estafa y por ende un delito ante la ley.

¿En qué consiste el phishing?

El proceso desde el principio hasta el final se puede dividir en dos fases:

FASE 1: En esta fase los phisers (que es el nombre que reciben los estafadores) sustraen datos valiosos de sus victimas tales como datos de acceso a cuentas bancarias y, por supuesto, esta sustracción se lleva a cabo sin que la víctima se entere de nada. Para hacerse con estos datos se pueden usar varias técnicas  aunque la más conocida es la del pharming (que nombraremos mas adelante).

FASE 2: En esta fase los phisers ya tienen el dinero de su victima pero necesitan encontrar una persona que que les ponga a disposición su cuenta bancaria, con el fin de guardar la cantidad sustraída en ella. De esta manera los estafadores no “figuran” en ningún sitio. A la persona que les facilita la cuenta, se le llama generalmente mulero, y aunque normalmente suelen ser también victimas engañadas, la actividad del mulero constituye en si misma un delito, por lo que también son llevados ante la ley.

Modalidades de phishing

739

click para ver las imágenes mas grandes

Como dijimos antes hay un montón de modalidades de phishing según la identidad que suplanten y los datos que sustraigan, así como de los medios empleados. Por ejemplo existe phishing basado en SMS, en redes sociales de videojuegos como Play Station Network, o basado en simples anuncios clasificados en un periódico  Sin embargo el método mas famoso y mas empleado es el del pharming (simulación de entidad bancaria).

Los delincuentes eligen un banco al que copiar su pagina web y la recrean con gran detalle. Luego envían mails masivos con las URL’s de los sitios falsos enmascarados como si fueran los reales (generalmente como link al pulsar un botón del correo), solicitando su información con cualquier pretexto (mantenimiento, verificación de datos, migraciones, etc.) para que los posibles clientes de ese banco tengan que seguir el enlace e introducir sus datos, y estos lleguen así a los servidores de los estafadores. El problema es que al hacer click sobre el enlace del correo un usuario puede ver la URL, y darse cuenta del engaño, por lo que los phisers, ahora tienden a adjuntar un fichero html en los correos, que es el que tiene que abrir la victima para rellenar el formulario con su información. Sin embargo, en el caso concreto del pharming, los delincuentes explotan una vulnerabilidad en un servidor DNS (o incluso en la máquina cliente) y son capaces de redirigir el nombre introducido a un equipo distinto al real.

Métodos de captación de muleros

20070327elpepivin_1

Click para ver las imágenes mas grandes

Quizá haya entre quien lea estas lineas quien piensa en cómo es posible que cualquier persona que vea los telediarios caiga en estas cosas, pero la cuestión es que por desinformación  desinterés o por lo que sea estos casos suceden y más a menudo de lo que se pueda pensar. La treta discurre de la siguiente forma:

1.) Los estafadores mandan de nuevo un correo electrónico masivo, proponiendo una oferta de empleo falsa consistente en hacer de intermediario entre una multinacional y sus clientes, o para desempeñar funciones de “emisario” de la supuesta multinacional en España, con el fin de centralizar los pagos a proveedores.

Un ejemplo de correo podría ser este (Observad la ortografía y la gramática):

Asunto: El trabajo hermoso en la crisis!!
 Buenos dias!
 Somos – una empresa de holding muy grande en el territoio de EE.UU., que desea ampliar su red de servicios en Europa.
 Y en estos momentos estamosen busca de personal en España que nos podra ayudar a comunicarse
 con los clientes potenciales y realizar nuestras investigaciones en el mercado.
 Llevamos a cabo la formación inicial, por lo tanto no se requieren conocimientos en especial.
 Si usted se intereso, por favor, háganos saber: 
 Su nombre, número de teléfono (en el formato internacional) y la ciudad de residencia.
 Nuestros gestores se pondrán en contacto con usted para informarle los detalles.
 Con nuestros mejores deseos.
 Escribanos al correo electronico xxxxxx@xxxxxxxxxxxxx.com

2.) cuando una víctima cae, y responde a la oferta le piden su CV y que acepte un contrato con el que además se le pedirán el nº de la seguridad social y los datos de una cuenta bancaria en la que ingresaran su presunto sueldo. Todos estos trámites son realizados por los estafadores con suma rapidez, para que el mulero no tenga tiempo de plantearse la situación y hacerse preguntas.

3.) Finalmente, se le dice a la victima que va a recibir una transferencia en su cuenta y se le insta a que retire la suma ingresada, salvo una comisión para él mismo y que lo reenvíe a través de alguna empresa de envíos de dinero (al estilo de Western Union) a otra persona cuyos datos ya le habrán dado. En ese momento el delito ya esta perpetrado.

Aquí dejo un vídeo de youtube en el que explican el método que se sigue para realizar una estafa de phishing. El vídeo esta en ingles, pero con los subtítulos y un poco de paciencia seguro que os hacéis con ello 🙂

Estas son las bases del phising, pero tenemos mas información preparada en próximas entradas. Estad atentos y nos leemos en el próximo artículo.

Entradas Relacionadas:

Phishing (II): Reconocer y evitar el phishing

Phishing (III): cifras y más

Fuente:http://www.delitosinformaticos.com/03/2012/delitos/fraudes/informacion-sobre-phishing-ofertas-de-trabajo-falsas-y-blanqueo-de-capitales#.UN9eUm8TlcR