Por qué es tan fácil caer en las estafas de phishing de devolución de llamada (y cómo protegerse)

Es fácil creer que nunca se enamorarías de una estafa, después de todo, textos de spam sobre peajes no remunerados, entregas de paquetesy ofertas de trabajo no son particularmente sofisticados y parecen fraudes obvios. Pero los malos actores siempre están buscando formas de engañarte, como con estafas de phishing de devolución de llamada que se hacen pasar por marcas en las que confías.

De acuerdo a un informe reciente de Cisco Talos Cubierto por MalwareBytes LabsLos consumidores están siendo atacados con correos electrónicos maliciosos que parecen ser de compañías conocidas, lo que les indica que llame al soporte técnico para solucionar un problema. Aquí está cómo y por qué funcionan estas estafas, y qué tener en cuenta.

Cómo funcionan las estafas de phishing de devolución de llamada

Phishing de devolución de llamada, o Entrega de ataque orientado al teléfonoEn realidad comienza con un correo electrónico. Los estafadores envían mensajes a posibles objetivos que se hacen pasar por una empresa conocida. Estos correos electrónicos fraudulentos generalmente contienen información sobre una próxima compra o transacción, un problema de cuenta o una preocupación técnica y destinatarios directos que llamen al número de teléfono listado para resolver el problema.

Una vez que lo tengan en el teléfono, los actores de amenaza que se hacen pasar por representantes de servicio al cliente o soporte técnico solicitarán información personal y/o lo dirigirán a enlaces o descargas maliciosas que cosechan datos o instalan malware en su dispositivo.

Este ataque funciona por la misma razón que muchas otras estafas de phishing: utiliza la ingeniería social para aprovechar las emociones (como el miedo) y promueve una sensación de urgencia para solucionar un problema, por lo que es menos probable que se detenga y piense críticamente sobre lo que está sucediendo. Pero la campaña identificada por Cisco Talos tiene algunos otros elementos que hacen que sea aún más fácil para los actores de amenaza evitar la detección.

Primero, los correos electrónicos iniciales se hacen pasar por marcas conocidas cuyos productos y servicios son ampliamente utilizados, incluidos Microsoft, Adobe, Norton Lifelock, PayPal, Docusign y Geek Squad. Interactuar con cualquiera de estas compañías puede implicar firmar en una cuenta, realizar compras, ver y descargar documentos, recibir pagos o contactar el soporte técnico, por lo que es posible que no sospeche si se le pide que resuelva un problema con estas funciones.

Los otros estafadores de táctica emplean es adjuntar un PDF al correo electrónico que se carga automáticamente cuando abre el mensaje. El cuerpo de correo electrónico real está en blanco, pero ves un logotipo legítimo de la compañía y un mensaje de texto sobre el supuesto problema con un número de teléfono para llamar. Esto permite que los mensajes eviten las características de seguridad de correo electrónico, que generalmente escanean texto y enlaces. Además, no requiere que realmente abra un archivo adjunto, que (con suerte) sabe que es un signo revelador de una estafa de phishing.

(En algunos casos, cuando se carga el PDF, incluirá un código QR para escanear o un enlace para hacer clic, lo que lo dirige a un sitio web de phishing, en lugar de un número a llamar).

Devolución de llamada phishing banderas rojas

Como con cualquier estafa, la comunicación que parece urgente o provoca miedo, confusión u otra emoción fuerte debería hacerte una pausa. También debe ser escéptico de los correos electrónicos que vienen con archivos adjuntos, que puede ver incluso si se cargan automáticamente y no requieren que haga clic para descargar, las empresas legítimas rara vez, si alguna vez, envían archivos adjuntos de correo electrónico.

Y, por supuesto, nunca debe hacer clic en enlaces o escanear códigos QR en correos electrónicos, mensajes de texto o mensajes de redes sociales hasta que haya verificado el remitente y la solicitud yendo directamente al sitio web de la compañía y contactando al soporte. Direcciones de correo electrónico se puede falsificar de manera bastante sofisticadaEntonces, ver no siempre creer.