ESET, compañía líder en la detección proactiva de amenazas, identificó una campaña de phishing que intenta robar credenciales de acceso a LinkedIn.
El phishing es un ataque que se comete mediante el uso de Ingeniería Social con el objetivo de adquirir fraudulentamente información personal y/o confidencial de la víctima, como contraseñas o detalles de la tarjeta de crédito, cuentas de redes sociales, corporativas o de juegos online. Para efectuar el engaño, el estafador se hace pasar por una persona o empresa de confianza.
En esta oportunidad se trata de un modelo que ya ha sido denunciado por los usuarios de la propia red social hace algunos años y que continúa activo, incluso utilizando el mismo mensaje a la hora de contactar a sus potenciales víctimas y los mismos recursos para robar los datos de acceso de sus cuentas.
La campaña hace uso de la ingeniería social para sembrar preocupación en sus víctimas ante la posibilidad de perder el acceso a su cuenta, ya que el mensaje inicial informa a la potencial víctima que su cuenta profesional corre riesgo de ser desactivada.
Si la técnica de ingeniería social es efectiva y la potencial víctima accede al enlace se encuentra con un formulario que le solicitará todos sus datos personales, incluyendo la contraseña de acceso a LinkedIn.
En este caso, según ESET debería llamar la atención de que se trata de un formulario de terceros, el cual contiene con errores (uno de los campos solo dice Fecha, en lugar de Fecha de Nacimiento) o inclusive la falta de imagen de la marca de la compañía que supuestamente está detrás del mensaje.
“Siempre que se trate de ingresar datos personales, es importante verificar el certificado del sitio en el cual se ingresarán estos datos, para corroborar que sea expedido a la compañía que los solicita.”, aconseja Gutiérrez.
Si el usuario llega a completar todos los campos y finalmente envía la información a los ciberdelincuentes, automáticamente es redireccionado al sitio legítimo de LinkedIn de manera de hacerle creer a la víctima que se trataba de un pedido genuino por parte de la red social para actualizar sus datos. Sin embargo, esta información ya se encuentra en poder de los estafadores.
Cómo evitar ser víctima de estos ataques, según ESET:
- Evitar acceder a enlaces que llegan inesperadamente por correo electrónico u otros medios.
- Verificar la dirección del remitente y que coincida que con el servicio al que hace referencia.
- Contar con una solución de seguridad, tanto en dispositivos de escritorio como en móviles, ya que sirven como barrera protectora ante estos sitios.
- En el caso de sospechar que pueda ser cierto el mensaje, ya sea porque es un usuario muy activo en esta u otra plataforma, se recomienda acceder a la misma de manera tradicional y verificar si todo está correcto o si eventualmente es necesario realizar un cambio de credenciales.
- Usar el doble factor de autenticación para acceder a las cuentas siempre que sea posible
De manera de conocer más sobre seguridad informática ingrese al portal de noticias de ESET: https://www.welivesecurity.com/la-es/2020/01/29/phishing-linkedin-robar-credenciales-acceso/