Exponen nueva estafa con app muy usada por los colombianos para vaciar cuentas bancarias

Ahora que las personas adelantan sus trámites de una forma más sencilla y rápida usando una firma digital, los cibercriminales están suplantando la imagen de reconocidas marcas para robar cuentas bancarias y datos de las empresas.

Una estafa que usa la firma de las víctimas 

Este fraude inicia cuando una persona recibe un correo electrónico falso que simula ser una notificación oficial de Docusign, aparentemente enviada por una marca reconocida o una entidad pública. En dicho correo aparece un botón llamativo con frases como “Revise el documento” o “Firme ahora”, para así generar angustia en la víctima. 

En algunos casos, el mensaje también incluye un código QR que debe ser escaneado desde un dispositivo móvil.

De interés: Elimine esta app de su teléfono ya mismo: así se pueden meter en su cuenta bancaria

Cuando la víctima hace clic en el enlace o escanea el código, es redirigida a una página falsa, generalmente muy parecida a un sitio de Microsoft o de la propia Docusign, Allí se solicita información del usuario, contraseñas y datos bancarios.

Pese a que se trata de una táctica sencilla, detrás hay de ella hay una estrategia de ingeniería social altamente efectiva. Con esta técnica, los criminales manipulan psicológicamente al usuario para que entregue voluntariamente su información.

¿Por qué esta estafa es tan peligrosa para los colombianos'

Según un informe de Eset, compañía especializada en ciberseguridad, estos ataques no solo tienen el objetivo de robar a datos personales, sino también infiltrarse en sistemas de las empresas. Si una persona firma documentos en nombre de la compañía para la que trabaja, los atacantes pueden conseguir acceso a plataformas de facturación, nóminas, bases de datos de empleados y cuentas bancarias corporativas.

En algunos casos detectados por los expertos, los delincuentes no falsifican los correos de Docusign. En su lugar, registran cuentas reales en la plataforma y utilizan sus APIs para enviar mensajes legítimos que imitan comunicaciones de marcas reconocidas. 

Más noticias: Actualice ya mismo Chrome o su cuenta bancaria podría terminar en ceros

Con este tipo de ataque, los delincuentes pueden engañar a la víctima con más facilidad.

De hecho, ya se han documentado casos en que los criminales usan facturas falsas para engañar a las empresas y así lograr que se transfiera dinero a cuentas que están bajo el control de los criminales. También se han registrado correos fraudulentos que suplantan entidades gubernamentales, para hacer pedidos falsos a compañías proveedoras de dichas entidades.

Otro tipo de ataque incluye correos de falsos que suplantan a departamentos de recursos humanos o nómina, para que las víctimas llamen a un número telefónico falso con el objetivo de solucionar un problema con su cuenta bancaría el cual afecta el pago de su salario y así se obtienen los datos financieros necesarios para saquear una cuenta. 

¿Cómo protegerse de esta estafa?

Expertos de Eset le indicaron a LA FM de RCN Radio que es vital adoptar un enfoque integral para no caer en estos fraudes. Siempre se debe verificar la URL de destino al pasar el cursor sobre los enlaces de correos electrónicos, para así confirmar que conducen al sitio oficial. 

Lea también: ¿Le puede a la IA que cree sus contraseñas?, ese error lo podría dejar sin un peso

Adicionalmente, se recomienda prestar atención a la firma del correo electrónico y al nombre o dirección del remitente, para corroborar que no haya inconsistencias con los datos de la compañía.

Cabe recalcar que en los correos legítimos de Docusign, siempre aparece un código de seguridad en la sección de “método alternativo de inicio de sesión”, lo que hace posible acceder directamente al documento desde el sitio oficial. 

También hay que desconfiar de archivos adjuntos en los correos, ya que Docusign solo los incluye una vez que se ha firmado el documento. 

Los expertos sugieren usar la autenticación multifactor en todas las cuentas para impedir el acceso de personas malintencionadas, pese a que tengan las contraseñas

Más noticias: La verdad detrás la promoción viral de un PlayStation 5 por $1.000 que circula en redes sociales

¿Qué hacer si ya se cayó en la trampa?

En primer lugar, se deben cambiar todas las contraseñas y luego hay que ejecutar un análisis completo para detectar cualquier virus en el dispositivo de los usuarios. 

También es recomendable revisar bases de datos filtradas o foros de la web oscura para detectar si los datos fueron robados.