El ataque es extremadamente sencillo. Por medio de una investigación de ingeniería social, los ciberdelincuentes localizan a personas que están vendiendo productos por primera vez en la conocida aplicación de venta de segunda mano, o bien a usuarios que están utilizando por primera vez los envíos dentro de la plataforma.
Es el caso de Marieta (nombre ficticio), una estudiante madrileña de 16 años que puso en venta algunos elementos del mobiliario de su cuarto para costearse sus vacaciones de verano con unas amigas.
La madre de Marieta trabaja en un entorno laboral muy cercano al de la ciberseguridad y conoce bien los riesgos de ciberacoso y de posibles estafas a adolescentes a través de aplicaciones en las que se puede socializar con otras personas. Tanto es así que la propia progenitora ayudó a su hija a establecer ciertas medidas de seguridad básicas, como: no publicar una foto de la niña para evitar que potenciales ciberdelincuentes o ciberacosadores puedan intuir su edad; o evitar que las fotos de los productos en venta permitan ver información personal como el colegio en el que estudia o los alrededores de su casa para que nadie encuentre la ubicación de su domicilio.
Al rato de publicar los productos, se puso en contacto con ella una persona muy interesada en comprar varios de los enseres. El usuario, que se presentó con el nombre de Álvaro (también usaremos un nombre ficticio. Aunque es importante recalcar que era un nombre “normal y corriente”) se mostró “muy amable y simpático” al conversar con ella a través del chat de la aplicación y, en ningún momento la instó a salir de la app para hablar por WhatsApp.
“Este dato es importante, porque la madre de Marieta le había indicado previamente lo arriesgado que es salirse de la aplicación para comunicarse con desconocidos, pues es ahí donde suelen llevarse a cabo muchos de los timos y extorsiones”, enfatiza Hervé Lambert, Global Consumer Operations Manager de Panda Security.
Así, el ciberdelincuente Álvaro, se interesó por el estado de los productos e incluso llegó a regatear un poco los precios. Es decir, “el proceso de compraventa se produjo dentro de las operativas habituales entre todos los usuarios que están acostumbrados a transaccionar dentro de esta aplicación”, apunta Lambert.
Una vez que Marieta y el, todavía, “amable” ciberdelincuente acordaron un precio final y el hecho de que ella podía hacerse cargo del envío, fue cuando realmente se llevó a cabo el ataque de phishing. Pocos minutos después de que Marieta pusiera el producto como “reservado” en Wallapop, Álvaro volvió a escribirle por el chat. Esta es la transcripción de la conversación:
ÁLVARO: “como debes ser nueva en la app, no has hecho bien el registro y no puedo hacer el pago […], Parece que no has puesto tu email y desde Wallapop no pueden cargarlo en mi tarjeta. “¿Con qué email estás registrada?”
MARIETA: m*****.****@gm**.com
ÁLVARO: ¡Qué raro! Voy a volver a intentarlo. Ahora te digo.
Acto seguido, la niña recibe un email en su correo electrónico que emula ser enviado por Wallapop, en el que se indica que “el sistema ha reservado con éxito su artículo para la venta” y que para confirmar el pedido solo hay que hacer clic en el botón de abajo. El sistema le redirigirá automáticamente a la página de finalización del pedido”.
“El phishing está tan bien perpetrado que es realmente difícil advertir que el remitente realmente no es un mensaje automático de la aplicación, pese a que este tipo de apps nunca hace este tipo de comunicaciones”, apunta Hervé Lambert de Panda Security.
Al pinchar en el enlace, su navegador le lleva a una página web que emula casi a la perfección al sitio legítimo de Wallapop en Internet. En él, hay que rellenar unos campos como ‘confirmar correo electrónico’, ‘restablecer contraseña’ y ‘confirmar tus tarjeta de crédito para efectuar los pagos’. “De este modo, los ciberdelincuentes pueden hacerse con la numeración completa de la tarjeta, la fecha de caducidad y el código CVV”, señala Lambert.
Afortunadamente, Marieta no tiene tarjeta de crédito y va a pedirle los datos de la suya a su madre. Ésta desconfía de la operativa, pues por su profesión sabe que no es habitual recibir pagos en una tarjeta de crédito. Lo lógico es recibir un cargo a cuenta.
La madre investiga un poco la página y opta por desconfiar de la operativa. Y, en lugar de rellenar los datos solicitados, va a la página web Wallapop, en este caso la legítima, y comprueba que el sitio al que están dirigiendo a su hija es un claro caso de phishing.
“Afortunadamente, la madre de Marieta está familiarizada con los timos de ingeniería social y de phishing. Por ello, consiguió que no estafaran a su hija, robándole las claves de su tarjeta de crédito. Sin embargo, si los ciberdelincuentes hacen este tipo de ataques, es porque tienen una elevadísima tasa de éxito. Por desgracia hay cientos de Marietas al mes que sucumben ante este tipo de ataques. Por ello, siempre que alguien nos pida datos personales o bancarios, hay que desconfiar”, apostilla Hervé Lambert, Global Consumer Operations Manager de Panda Security.
