Infoblox detecta uso masivo de tres tipos de fraude relacionados con la crisis de Ucrania

Infoblox Inc., líder en gestión y seguridad de DNS, ha hecho públicas las conclusiones de un estudio sobre diversas modalidades de fraude on-line (scam) vinculados con la guerra y crisis humanitaria de Ucrania, que han sido detectados el pasado mes de marzo.

Las tres modalidades de scam (estafas realizadas por medios electrónicos, habitualmente a través de correos electrónicos o de páginas web fraudulentas) que se han identificado con mayor frecuencia han sido:

• Gift Card Scam
• 419 Scam (fraude conocido también como el timo del “príncipe nigeriano”)
• Charity fraud

Gift Card Scam

El fraude de la “tarjeta regalo” explota el nombre de marcas muy conocidas en el mercado y ofertas vinculadas a dichas marcas para tentar a las víctimas a hacer clic en enlaces a páginas de destino fraudulentas, donde se les pide a las víctimas que completen formularios web con detalles personales.

En marzo se ha detectado una campaña masiva de este tipo, que utilizaba como vector de ataque correos electrónicos relacionados con la crisis de Ucrania y que contenían tarjetas regalo fraudulentas. Al final del cuerpo del texto, los correos electrónicos contenían texto aleatorio copiado de wikipedia, una técnica muy habitual utilizada por los ciberdelincuentes para eludir los filtros de correo electrónico. Algunas de las marcas usadas fraudulentamente para este engaño han sido KOHL, YouTube, Ukranian Crisis Gift, Amazon o WaMart.

El correo incluye un enlace que redirigía a un sitio web fraudulento de un dominio recién registrado. Dicho dominio se utiliza para enviar correos electrónicos no deseados y redirigir a las víctimas a sitios web fraudulentos que, a su vez, solicitan a las víctimas que completen un formulario web o una encuesta y proporcionen datos personales.

419 Scam

Este fraude utiliza sofisticadas técnicas de ingeniería social similares al conocido como “timo del príncipe nigeriano”, pero en esta ocasión con un tema relacionado con la invasión rusa de Ucrania. En uno de los correos detectados se habla de un determinado personaje, ficticio, del que se dice que ha sido asesinado por soldados rusos en Ucrania. La supuesta viuda busca contactos fuera de Ucrania para poder sacar del país una gran cantidad de dinero, e invita al receptor a contactar con ella en una determinada dirección de correo electrónico. Todo ellos se realizan mediante dominios fraudulentos, creados al efecto, o legítimos que han sido secuestrados por los ciberdelincuentes. A la víctima se la invita a facilitar datos personales y bancarios para poder realizar la transferencia.

Charity Fraud

El Charity Fraud o estafa de la donación es el tercero de los timos detectados vinculados a la guerra de Ucrania. A principios de marzo se detectaron numerosos dominios fraudulentos utilizados para redirigir donaciones efectuadas como ayuda a los refugiados, generalmente a monederos de criptomonedas propiedad de los ciberdelincuentes. Estos ataques utilizan una combinación de tácticas de spam y de suplantación de identidad para llegar a un público más amplio.

Para hacer que el sitio web parezca legítimo, los estafadores usan imágenes y descripciones de víctimas de la guerra. Sin embargo, el sitio web no proporciona información sustancial sobre cómo se administrarían las donaciones y solo ofrece bitcoin como moneda de pago aceptable.

Uno de los signos que hacen sospechar de un sitio de este tipo es que el historial de transacciones de blockchain de bitcoin muestra cero transacciones, como es el caso del dominio “giveaidint[punto]org”, uno de los detectados.

Recomendaciones de prevención y mitigación

Todas las campañas identificadas utilizan el correo electrónico como vector de ataque. Muchos de los correos electrónicos distribuyen direcciones URL maliciosas que realizan múltiples redireccionamientos de las víctimas a otras páginas de destino fraudulentas. Infoblox recomienda fortalecer los controles de seguridad sobre el correo electrónico, HTTP y DNS y utilizar una serie de medidas como:

• Desconfiar de correos electrónicos vagos o vacíos, especialmente aquellos con indicaciones para abrir archivos adjuntos o hacer clic en enlaces.
• Comprobar siempre si la dirección de respuesta de un correo electrónico o la dirección del remitente está vinculada a la organización remitente. Si no, es probable que el correo electrónico sea fraudulento.
• Tener cuidado con los enlaces que redirigen a sitios web de terceros Dichos enlaces a menudo son indicativos de actividad fraudulenta.
• Interrumpir la resolución de URL que involucra dominios recién registrados mediante la aplicación de listas de bloqueo en el navegador o a nivel de DNS. Infoblox ofrece repositorios de inteligencia de seguridad que incluyen dominios fraudulentos observados recientemente.
• Precaución al completar formularios web con datos personales. Asegúrese de que el sitio web sea legítimo y que el servicio de pago que ofrece es también legítimo.