Recientemente, un profesor de la Universidad se puso en contacto con nosotros, porque varios compañeros le informaban que estaban recibiendo mensajes suyos “raros”. En primer lugar, pensamos que habían capturado su usuario y contraseña y que estaban enviando spam desde la misma, pero aún así le pedimos que nos enviara una copia del correo para investigar qué podía estar pasando. Descubrimos que el intento de engaño era más sofisticado, y sobre todo, que este tipo de engaño puede utilizarse en más ocasiones. Vamos a analizar cuál ha sido el “modus operandi” del mismo.
Una persona recibe de un compañero de departamento un correo electrónico, sin asunto, con un mensaje muy simple:
La firma no es la habitual, tal y como se puede comprobar, pero sí se trata del “presunto” remitente. Han accedido al directorio y han capturado parte de su ficha. Para simular que se trata de una de las cuentas utilizan la cuenta real del remitente, agregando “ua.es”. No se han calentado mucho la cabeza pero puede confundirnos si vamos con prisa.
Al tratarse, en teoría, de un compañero y ante lo escueto del mismo, muchos contestaron (recordamos, a una cuenta falsa), si estaban o no disponibles. En el caso que nos han enviado, el compañero respondió que sí estaba disponible y facilitó información para ponerse en contacto con él. El “presunto” compañero contestó así:
Ya depende de la afinidad que se tenga con ese compañero (y de la proximidad física que se encuentren), pero es probable que se conteste que sí. El timador echa el resto, y de paso mete la pata, porque envía un correo que denota que se trata de una mala traducción. Hay que ir con cuidado porque este método de prueba y error hace que se vaya mejorando el procedimiento de engaño.
«Esto es lo que debes hacer por mí muy rápido. Necesito tarjetas de regalo de Apple iTunes, ¿puedes conseguir algunas en la tienda ahora mismo? Tan pronto como salga de la reunión, reembolsaré cualquier inconveniente. Déjame saber para sesorarte sobre denominaciones para comprar. ¡Gracias!»
Este mensaje hizo saltar todas las alarmas. El profesor decidió escribir a la cuenta real de la UA y se descubrió el intento de estafa.
Aunque los estafadores se euivocaron con este último mensaje, cabe pensar en distintas posibilidades y se puede comprobar que en algunos casos este engaño podría funcionar.
Miguel Ángel Alcaraz, Técnico de soporte y asistencia a usuarios.
Esta estrategia es una variante de un fraude clásico: https://blogs.ua.es/si/2017/05/10/conoces-el-fraude-del-ceo-te-puede-pasar-a-ti/