#18 si quieren joderlo no les hace falta que el nombre sea real o no, darán con él.
Es un riesgo que está dispuesto a correr.
La señora que dice que es ciega y el señor que llora con depresión, de verdad, se me parte el alma.
Esta gentuza se ha aprovechado (y aprovecha) de los más desfavorecidos. Entre esto, el uso que hacen de su medio ambiente, las granjas de minado de cryptos con malware que tienen, las granjas de followers falsos, etc... como para bloquear su país entero tanto a nivel de llamadas como de internet.
Qué puto asco me da esta gentuza. Lanzallamas a lo Tarantino si pudiera.
He leído hace poco una estafa en la que a un tío le hacen lo siguiente, le dicen que le llaman del banco para un tema de fraude.
El tío que sabe que hay estafas por todas partes dice que vale, pero que quiere comprobar que es de verdad, entonces cuelga y llama directamente al banco.
En el banco le dicen que sí, que es cierto que tienen que tratar un tema de fraude con él.
Así que reanuda la conversación con los primeros para ver que necesitan saber y tal.
Pues resulta, que sí que eran estafadores, y el truco es de que manera simultanea, mientras le llamaban a él haciéndose pasar por el banco, estaban llamando al banco haciéndose pasar por él, así que se la liaron tanto al banco como a él.
No os penséis que todo esto son estafas donde solo caen los más primos, que algunas pueden ser tan sofisticadas que como te toque vas a caer por muy listo que te creas.
Aquí tenéis los enlaces sí queréis leer las historias completas:
https://krebsonsecurity.com/2020/04/when-in-doubt-hang-up-look-up-call-back/
https://krebsonsecurity.com/2020/04/would-you-have-fallen-for-this-phone-scam/
A mi me llamaron en febrero-marzo con esta estafa, haciéndose pasar por alguien de Microsoft con un español semi roto y un acento que parecía indio/árabe. Después de seguirle el rollo un rato le solté que no me la iba a colar y me empezó a insultar el subnormal. Curiosamente, se lo comenté a unos amigos y uno de ellos me dijo que también le habían llamado. Yo no pude rastrear la llamada, pero él sí y me dijo que le llamaron de Guinea Ecuatorial. Estos scams no se limitan a la India, pero sí debe ser donde más hay me imagino
Con el inglés tienen más posibilidades de dar con gente que tenga ahorros o que se piense en dar su número de cuenta.
Igual que las estafas de que han secuestrado a un familiar y te piden dinero.
#34 A nosotros nos metieron un man in the middle, y aún no sabemos cómo. Eran comunicaciones por email entre nosotros y un cliente muy importante, que tenía que terminar de pagar unos 30k que quedaban pendientes. En algún momento se nos coló "un alguien" que se hizo pasar por la otra persona conmigo, y por mi con la otra persona (tanto yo como el cliente nos conocemos personalmente). Por cojones había tenido que leer un carro de emails cruzados porque era capaz a poner el contexto correctamente. Y total, que como el cliente tardaba mucho en pagar y le metimos algo de prisa fue cuando se metió ese alguien, esperó unos días (días en los que ya tenía el control de la comunicación) a ver si el cliente contestaba y, a la que no, le envió un nuevo número de cuenta diciendo que como el pago se estaba retrasando que pagara directamente a la matriz. Nos enteramos semanas después cuando llamó el cliente quejándose de que "mucha prisa por pagar pero luego no dais ni las gracias". Cuando le pregunté si era una broma fue cuando todo el mundo entró en pánico. Dedujimos que el estafador solo podía leer el texto plano de los emails, por lo que si la factura iba por pdf no podía ver de qué cuantía se trataba. Justo con ese cliente como me pidió una relación de qué facturas había pagadas y cuales pendientes y se lo puse tal cual en el email con lo pendiente pues... saltó la liebre. Y luego venga técnicos y seguridad y mierdas no supimos qué había pasado, si bien tampoco pudimos examinar el ordenador del cliente, pero este nos aseguró que lo había revisado todo en su lado. Por suerte solo nos pasó con ese, si bien había algún mensaje raro también. Además, el cabrón lo hacía super bien porque cambiaba las cuentas de origen pero las escondía de tal forma que tenías que meterte muy a fondo en el email para ver esa dirección diferente. Y claro, si te mete los emails anteriores en el nuevo pues... mucho más difícil de pillar.
Ahora, que el estafador era español (porque española era la cuenta bancaria fraudulenta de destino), y la pasta se pudo recuperar porque el cliente pagaba desde Cayman... y los pagos desde paraísos fiscales los bloquean los bancos en su absoluta mayoría, especialmente cuando el receptor es una persona física y no hay historial de recibir esas transferencias. Nos salvamos de milagro, y el cliente un crack porque dijo "sea lo que sea yo os vuelvo a pagar la factura ahora sí que donde debo y luego ya veremos".
Pies de plomo con estas mierdas.
#14 ¿Ancianos, dices? No apostaría a que mi madre no cayera. Mira que he intentado veces explicarle cualquier cosa... pero sale una ventana con 3 opciones y por mis cojones que no hay forma. Y no tiene 60 años, me cago en mi vida.
Lo vi todo al principio según iba saliendo y la verdad es que me engancho muchísimo. Brutal el currazo.
Acabo de flipar, porque yo lo he vivido en mis carnes.
Resulta que un día llego a casa del trabajo, a las 18h de la tarde, me tomo algo en la cocina y cuando voy a subir a mi habitación veo que está mi madre hablando con alguien por teléfono, sentada en el ordenador y hay alguien que no es mi madre moviendo el cursor. Recuerdo que me entró una especie de ataque de ira. Mi madre acostumbraba sobre esa época (hace 6 meses de esto) a ver telenovelas turcas y en ocasiones se metía en páginas de dudosa reputación para ello.
Lo primero que me dijo mi madre a la otra persona al lado del teléfono fue: "Ah, espere que ahora ya está mi hijo, le paso con él" y me dice, "Es de Microsoft, que está arreglando el ordenador", se me cayó el alma al suelo directamente al ver un mensaje bloqueante en la pantalla y una locución en bucle sonando en los cascos de mi PC (sí, era mi PC que dejo a mi madre para entrar el facebook y ver telenovelas turcas en youtube).
Cojo el teléfono cabreado y le pregunto que quien es, me dice que es nosequién de soporte técnico de Microsoft y que tenemos que pagar X dinero porque me está corrigiendo el error bloqueante que sale en la pantalla, me dice que no apague el PC mientras él está trabajando. Lo primero que hago es todavía enfurecido, apagar el PC a machete, llamarle hijo de la gran puta a la persona que está al otro lado de la linea y colgarle.
Tras colgar el teléfono empiezo a gritarle a mi madre fruto de la impotencia y la ira... (soy el nuevo Reverte escribiendo lo siento). Me puse tan furioso ya que en ocasiones mi padre también utiliza el PC para acceder a la cuenta bancaria, en este caso creo que tuve suerte ya que esta gente creo que realmente no tiene ni puta idea de lo que hacen, se aprovechan de la ignorancia de la gente mayor e ingenua y así consiguen a sus víctimas, pero si alguien con conocimientos suficientes tiene acceso remoto a mi PC... RIP cuenta del banco
Tras este incidente le prohibí el acceso a mi madre a mi PC y ahora se ha enganchado a un nuevo timo, el Príncipe heredero de Dubai, conocido como Fazza Hamdan. Y no, no bromeo, hasta envié un email a la policía para saber si se podía perseguir de alguna manera. Si buscais en google Fazza Scam encontrareis info al respecto y multitud de perfiles falsos en facebook.. seguramente operen desde Nigeria, me juego un brazo. Se lo he explicado 20 veces a mi madre lo del verificado y que solo se fíe de esos perfiles, pero nada macho, no hay manera. El otro día me dijo que le habló Antonio Orozco y la verdad es que cada vez me doy más por vencido..
Respuesta de la pasmareta a mi consulta:
para mí esos youtubers que destapan a estos fraudes son unos héroes.
#42 como dices generalmente la única intención de estas estafas es que voluntariamente les des pasta por paypal o transferencia bancaria para no incurrir en delitos de robo y que sea más difícil que les cierren el chiringuito.
En cualquier caso una buena práctica es usar tu pc como si cualquiera pudiese acceder. Si el acceso a absolutamente todo lo importante sólo depende de tu login de usuario o administrador del sistema lo estás haciendo muy mal
#38 He visto varios casos así, tienen patrones distintos según si cazan al pagador o al cobrador. Salvo casos excepcionales, el 99,9% de los fraudes que he visto son causados por un phishing común y corriente.
La víctima cae en el phishing y el atacante consigue las credenciales de la cuenta de correo. Cuando éste entra en la cuenta, investiga el cargo de la victima y en función de su rol en la empresa, ejecutan un plan u otro. Lo normal es que usen la cuenta para enviar más phishing, ya que las cuentas empresariales tiene mayor posibilidad de impacto que no un phishing enviado desde un dominio mierder creado bajo GoDaddy.
Cuando descubren que la víctima tiene funciones que implican pagos o cobros de facturas, entonces se lo toman con calma. Piensa que muchas empresas no tienen sistemas para forzar a los trabajadores a cambiar las contraseñas periódicamente, otras te mandan un email avisándote de que tu contraseña caducará en X días y como la inmensa mayoría de gente no borra los correos, con eso ya saben el tiempo que tienen para estudiar y atacar.
Te pongo un ejemplo reciente similar al que cuentas (anonimizándolo todo).
La empresa Atech se ve comprometida cuando Alex de contabilidad cae en un phishing, el atacante consigue las credenciales de su cuenta de correo alex@atech.com
Alex paga una factura de 1000$ a Bcomp cada mes por prestación de servicios y tiene comunicaciones para gestionar este trámite con Brenda, cuyo correo es brenda@bcomp.com
El atacante detecta que en los próximos 5 días será el siguiente pago, así que crea una regla de correo que redirige todos los emails de Brenda a una carpeta metida dentro de otra carpeta random del correo de Alex, y además los marca como leídos, de modo que Alex nunca verá esos correos.
Además, el atacante ha registrado un dominio llamado bconp.com (un typosquating de bcomp.com) y ha creado varias cuentas de correo, una llamada brenda@bconp.com y varias que coinciden con los contactos en copia que hay siempre entre los mensajes que comparten para este pago mensual.
Entonces, empieza la fiesta.
El atacante escribe desde la cuenta de Alex a Brenda para recordarle que le mande la factura.
Brenda escribe a Alex para enviarle la factura, el mensaje es redirigido por la mailbox rule y el atacante lo lee.
El atacante escribe a Alex desde el correo falso haciéndose pasar por Brenda, diciéndole que por X mierda, necesitan que el próximo pago de la factura se haga en otra cuenta bancaria temporal, de modo que Alex realiza el pago sin enterarse de nada.
Si no se destapa, esto puede incluso repetirse con varios pagos o expandirse de formas absurdas, pero no quiero extenderme más.
También existen técnicas de email spoofing para evitar tener que crear dominios fake, ya que muchas empresas pequeñas y medianas (o incluso grandes) tienen sus servidores de correo mal configurados y permiten suplantar sus emails.
EDIT: Por cierto, normalmente la cuenta bancaria donde se hace el pago no es del país del atacante, los fraudes suelen dar varios saltos entre países y terminan paraísos fiscales.
#42 Lo que te puedo aconsejar es que hagas una cuenta de usuario con permisos limitados y no dejes a tu madre usar tu cuenta con permisos de administrador.
#44 Ya digo, en nuestro caso fue jodido porque nos pasó con un único cliente cuando justo en esa parte del año es cuando toca reclamar pagos y podía estar en trámite con 30 o 40 clientes, y siempre eran pagos de miles de euros, y solo nos ocurrió con ese. El cliente perjuraba que el correo que recibió venía de info@prava.com y sí es verdad que los emails del "cliente" venían como "victor@cliemte.com" . Pero estaba montado de tal manera que solo veías que la dirección era incorrecta si la dabas a responder (para crear un nuevo email con esa dirección como destino, pero sin llegar a enviarlo), y copiabas la dirección en wordpad. Vamos, que si no salías de outlook no podías darte cuenta de que la dirección era diferente, y menos cuando el email era una respuesta del cliente sobre una cadena de emails que sabías que habías mantenido porque habías tenido al cliente en la oficina semanas atrás.
Que no es que digas que recibes un único correo sin respuestas añadidas y que la dirección de remitente es cuasi-idéntica... no, estaba mucho más currado. En fin, nunca sabremos lo que pasó en realidad, y a quién se le colaron. Al final todo quedó en un susto, pero las medidas de protección no han mejorado xD
#45 En estos casos, para no meterse en movidas que supongan grandes presupuestos, lo que yo aconsejo es formar al personal de finanzas a no autorizar cambios en números de cuenta solicitados por email, sin confirmación telefónica o incluso videoconferencia. Pero claro, esto tiene toda la pinta de que el agujero estaba en el lado de tu cliente.
Lo que comentas de outlook es un truco de manipular las cabeceras para jugar con el display name del email, yo no sé hacerlo pero he visto muchos casos, supongo que en el vuestro ocultaron el correo original. En formación anti phishing se intenta enseñar siempre a revisar que al pulsar en responder, el correo que aparece es el que esperas, pero claro si te picas 50 emails al día, estás flipando que alguien se va a poner a revisar las direcciones de correo letra por letra.
Menos mal que no fue mucha pasta en vuestro caso, pero yo he visto cifras que mejor ni menciono xD
#46 Sí, en nuestro caso no fue mucha pasta y se pudo recuperar. Pero bueno, me comentó el CFO que no me comiera la cabeza demasiado, que fraudes había habido siempre, hasta el punto de que en su día hasta se recibían faxes fraudulentos con su propia firma, y tuvieron que ponerse del plan de que si él no hablaba directamente con proveedor o con la propia empresa ni se hacían pagos ni se cambiaba una coma del número de cuenta.
#46ruonory:lo que yo aconsejo es formar al personal de finanzas a no autorizar cambios en números de cuenta solicitados por email, sin confirmación telefónica o incluso videoconferencia.
¿Y formación sobre seguridad en internet?
Lo más fiable hoy por hoy son los certificados electrónicos y almacenar las claves privadas en sitios extremadamente seguros.
De hecho las estafas investigadas en el origen del hilo muchos de ellos no son ni más ni menos que suplantaciones de identidad telefónica de Microsoft o Apple. No tienes forma de certificar que el interlocutor al otro lado es quien dice representar (más allá de "por que me lo ha dicho")
