mal4c

Malos usos de la Ingeniería Social

Resulta que ayer llegó hasta mi correo este mensaje:

Date: 16/11/02 00:02
From: service@paypal-ebay.com
To: Alvy, alvy@(...)com

Dear,

PayPal is constantly working to ensure security by regularly screening the accounts in our system. We recently revie*** your account, and we need more information to help us provide you with secure service. Until we can collect this information, your access to sensitive account features will be limited. We apologize for the inconvenience, and we would like to restore your access as soon as possible.

For more information about the status of your account and for instructions on how to restore full use of your account, please log in using the link below:

http://www.paypal-ebay.com

We encourage you to log in and restore full access as soon as possible. Should access to your account remain limited for an extended period of time, it may result in further limitations on the use of your account or may result in eventual account closure.

Your Case ID number is: PP-005-177-867

Thank you for your prompt attention to this matter.

Sincerely,

PayPal Account Review Team

-----------------------------------
Please do not reply to this e-mail. Mail sent to this address cannot be answered. For assistance, please visit the link below. All of the information necessary to restore your account access is available at: http://www.paypal-ebay.com

Según lo estaba leyendo, me sonó a timo de los buenos. Mi sentido arácnido probablemente se disparó con la frase «si no haces nada pronto, tu cuenta quedará limitada o puede que la cerremos».

El caso es que tengo una cuenta abierta en PayPal con la que de vez en cuando he pagado algo (sobre todo a webs interesantes que viven de donaciones), y de vez en cuando recibo correo de allí. Pero este mensaje, en el que te piden que «restablezcas tu acceso blah blah bla» sonaba muy raro. Y, sobre todo, el dominio indicado y el remitente no era paypal.com sino www.paypal-ebay.com. Este dato para muchos podría ser hasta lógico porque eBay adquirió este año PayPal) pero... no se, sonaba a chamusquina.

El web en cuestión [ya está desactivado] era igual que el original de PayPal y hasta tenía enlaces a los originales de PayPal (Seguridad, Ayuda, etc). Te pedía nombre y contraseña para «entrar y actualizar tus datos». Siguiendo la Regla Número Uno («no te fies») miré a nombre de quién estaba el dominio en BetterWhois, y resultó que no estaba a nombre de PayPal ni eBay sino un tío con dirección de California. (Primera Alerta Roja). Envié un mail a webmaster@paypal.com cc: a abuse@paypal.com preguntando si el correo en cuestión era real o era falsificado. A las pocas horas recibí una contestación automática de Paypal que no aclaraba nada... Decidí no hace nada de momento.

A las pocas horas me llegó otro correo idéntico de paypal-ebay.com, a una dirección de «correo trampa» inexistente (también de mi dominio @hiperespacio.com), que uso para controlar spammers y demás fauna. Esto hizo saltar la Segunda Alerta Roja y era señal inequívoca de que el asunto era un timo para hacerse con mi contraseña y saquear lo (poco) que hubiera en esa cuenta.

Con esto acabó el problema, al menos para mi. No he visto todavía la noticia en ningún sitio, pero supongo que si el listillo de turno ha hecho un spam masivo o medio masivo y la gente ha escrito a los administradores de PayPal, la historia se conocerá en breve. En estos momentos, el dominio en cuestión ha sido desactivado y ya no puede hacer mal a nadie.

En fin, un ejemplo más de Ingeniería Social aplicada a hacer el mal y timar a la gente, que por suerte esta vez no ha llegado muy lejos.

Actualización: Recientemente ha habido otros casos parecidos, ver PayPal Targeted by Scam Artists utilizando mensajes similares y dominios también relativos a PayPal y eBay. ¡Estos timadores no paran!

Actualización (2005): Durante estos años este tipo de engaños se ha vuelto muy común, generalmente sobre eBay, PayPal pero también sobre bancos como Citibank, CajaMadrid, BBVA, etc. Esta técnica se ha denominado phising, pronunciado «fishing», como de «pescar (contraseñas)»:

Phishing es la capacidad de duplicar una página web para hacer creer al visitante que se encuentra en la página original en lugar de la copiada. Normalmente se utiliza con fines delictivos duplicando páginas web de bancos conocidos y enviando indiscriminadamente correos para que se acceda a esta página a actualizar los datos de acceso al banco. [Wikipedia]



fuente

__________________
/\....---..../\...../\....---..../\...../\....---..../\...../\....---..../\...../\....---..../\...../\....---..../\...../\....---..../\...../\....---..../\...../\....---..../\...../\....---..../\...../\....---..../\...../\....---..../\...../\....---..../\...../\....---..../\...../\....---..../\.....