Avanan, una empresa proveedora de soluciones en ciberseguridad, descubrió una nueva ciberestafa que suplanta a la compañía PayPal. En noviembre, Check Point Software informaba de un ataque similar que suplantaba a Amazon.

La amenaza funcionaba utilizando enlaces legítimos de Amazon, guiando al usuario para que hiciese una llamada telefónica y cancelar un pedido ficticio. Ahora apareció una campaña similar, esta vez suplantando la identidad de PayPal. Al igual que el email de Amazon, la única forma de “cancelar” el pedido es llamar a un número de teléfono.

Desde abril de 2022, los investigadores de Avanan han observado un aumento de los ciberataques que suplantan a marcas populares como PayPal, utilizando una carta de confirmación de pedido para inducir a llamar a un teléfono de asistencia, donde se intentará robar la información bancaria.

¿Cómo funciona la ciberestafa en la que se hacen pasar por PayPal?

En esta amenaza envían lo que parece una confirmación de pedido de PayPal. En ella se indica al usuario que ha comprado más de 500 dólares en una marca determinada y, para cancelar el pedido, sugieren llamar a un número de atención al cliente.

La idea no solo es obtener información financiera, sino también el número de teléfono del usuario final. Esta estafa utiliza lo que se denomina “recolección de números de teléfono”. En lugar de cosechar credenciales para los inicios de sesión online, obtiene fácilmente el contacto a través de la función de identificación de llamadas.

Una vez que lo obtienen, pueden llevar a cabo una serie de ataques, ya sea a través de mensajes de texto, llamadas o mensajes de WhatsApp. El número que aparece en el correo electrónico con sede en Hawái incluso ha estado vinculado a estafas en el pasado.

Al llamar, piden el número de la tarjeta de crédito y el CVV para “cancelar” el cargo. Este ataque también funciona porque no hay ningún enlace en el cuerpo del correo electrónico. Cuando hay un link, la solución de seguridad del email puede comprobarlo para ver si es malicioso o no. Si no la tiene, es mucho más difícil.

Estas ciberestafas son más fáciles de creer

Con la combinación de ingeniería social en forma de lo que parece un pago fraudulento, y la ausencia de enlaces maliciosos, se trata de un ataque complicado que ha resultado difícil de detener. Las grandes marcas de pagos son algunas de las más suplantadas porque los internautas suelen fiarse de sus correos electrónicos.

“Para evitar estas estafas es primordial que los usuarios estén alerta y tengan conocimientos básicos de ciberseguridad que les permitan identificar cualquier intento malicioso“, advierte Gery Coronel, Country Manager de Check Point Chile.

“Empresas como PayPal, Amazon o Microsoft son un claro objetivo, por lo que hay que tener una atención extrema frente a cualquier entidad que nos pida datos personales”, agrega.

Entre algunas buenas prácticas para evitar ciberestafas, señala: revisar la dirección del remitente del correo electrónico; comprobar la cuenta de PayPal, para chequear que el pedido en cuestión es falso; no incluir a las grandes empresas en las listas de mails permitidos, ya son las más suplantadas; y no llamar a números desconocidos.