Hackers suplantan dependencias de gobierno de la Ciudad de México en esta campaña masiva de phishing
La compañía de ciberseguridad ESET Latinoamérica ha advertido sobre la difusión de una campaña de suplantación de identidad que pone en riesgo la seguridad y privacidad de los habitantes de Ciudad de México. Los delincuentes cibernéticos se hacen pasar por dependencias locales para robar información sensible de los usuarios.
La empresa advierte que se trata de una campaña masiva de phishing. Explica que esta práctica es “una técnica de ingeniería social en la que se engaña a la víctima para que revele datos sensibles, como información financiera y personal, que luego serán usados por los cibercriminales para cometer estafas”.
La firma de ciberseguridad Recorded Future contabilizó 44 incidentes relacionados con la atención médica en el mes posterior a que se conociera el caso de Change Healthcare, siendo la mayor cantidad de ataques de ransomware que ha visto en un solo mes.
El caso reaviva las preocupaciones sobre un problema de seguridad que causa perjuicios a millones de personas en México cada año. La plataforma tecnológica financiera Adyen calcula que el 55% de los usuarios de internet en el país fue víctima de fraude digital en 2023. Estima que el valor promedio de cada caso es de 1,054 pesos.
Los analistas alertan que este tipo de delitos se incrementarán en el futuro inmediato debido a la irrupción y uso generalizado de sistemas de inteligencia artificial (IA). “Los cibercriminales se valen de herramientas de IA para lograr engaños más convincentes. Esta tecnología les permite mejorar la redacción y la investigación previa de las entidades a suplantar”, anota el reporte de ESET.
¿Cómo funciona la campaña de phishing que afecta a Ciudad de México?
El informe explica que un grupo de hackers sin identificar ha comenzado a enviar mensajes SMS falsos en nombre de la Secretaría de Administración y Finanzas de la Ciudad de México (SAF). La comunicación advierte a los usuarios sobre una supuesta multa vehicular que deben pagar en menos de 24 horas para evitar recargos.
La notificación incluye una enlace que dirige a un portal fraudulento de la SAF. El sitio emula el diseño de las páginas oficiales del Gobierno capitalino. La construcción de la URL es similar a la que identifica a las propiedades digitales de las dependencias gubernamentales. En pantalla, se muestra un apartado para consultar los adeudos. El sistema solicita a las víctimas introducir el número de placas de sus autos para validar las deudas. “A partir de este momento se está empezando a introducir información que solo el usuario o supuesto infractor sabría”, advierte el equipo de ESET.
El programa entrega un listado de sanciones ficticias por pagar. Detalla el número de placa del vehículo en apariencia multado, el monto de la infracción y el descuento que se haría si se cubre la penalización en menos de 24 horas. Los usuarios son dirigidos a un formulario para procesar el pago. Este solicita datos personales y financieros como nombre completo, dirección, fecha de nacimiento, teléfono celular, número de tarjeta y código de verificación bancario. Al dar clic en el botón “Enviar”, el funcionamiento de la página se paraliza. El robo de información se ha concretado.
La notificación incluye una enlace que dirige a un portal fraudulento de la SAF. El sitio emula el diseño de las páginas oficiales del Gobierno capitalino.Cortesía ESET Latinoamérica.
¿Cómo evitar ser víctima de engaños digitales?
Los expertos en ciberseguridad aseguran que este caso es parte de una tendencia creciente. Afirman que la prevención sigue siendo el mejor camino para evitar violaciones a la privacidad. Los usuarios están obligados a prestar mayor atención a las comunicaciones que reciben de forma sorpresiva y analizar a detalle este tipo de mensajes para evitar ser estafados. Los especialistas de ESET han publicado una serie de recomendaciones:
- Verificar la fuente del mensaje mediante llamadas telefónicas o canales de atención alternativos.
- Revisar la URL en búsqueda de errores de ortografía o elementos adicionales sospechosos.
- No compartir información personal ni financiera.
- Las faltas ortográficas, errores gramaticales, mensajes de bienvenida genéricos y textos con sentido de urgencia pueden ser indicativos de un sitio web falso.
- Habilitar la autenticación de dos pasos en las cuentas digitales que se administren.
- No utilizar la misma contraseña de acceso para diferentes servicios en línea.
- Actualizar los softwares de seguridad de forma recurrente.
