Conociendo a María, sus socios y sus intenciones no lícitas

En Latinoamérica los ciberdelicuentes –que en su mayoría no son hackers, ni si quiera usuarios expertos—se aprovechan de la ingenuidad de las personas y mediante el uso de técnicas de ingeniería social no solo se ganan la confianza de sus víctimas, sino que también muchas veces se hacen de sus recursos económicos. Aprenda más sobre ellos para que pueda evitarlos

Hace pocos meses recibí una llamada de un amigo –al cuál admiro por su inteligencia y especialmente por su sagacidad—para contarme que probablemente había cometido un error que lo había convertido en víctima de una usurpación de identidad, a través de su teléfono inteligente Sus años de desarrollo profesional lo han llevado a ser una persona que siempre desconfía de lo que le dicen y no se cree ningún argumento, sin antes verificarlo…o al menos esa era mi impresión, forjada de años de conocernos. Sin embargo fue engañado por sencillas técnicas de ingeniería social y aunque el no fue víctima de una estafa, un par de amigos de el estuvieron a punto de enviarle dinero a un “supuesto amigo” por petición de su usurpador de identidad.

¿Cómo hace el ciberdelincuente para ganarse la confianza de la víctima?

Para descubrir cómo estos delincuentes informáticos es conveniente crear un perfil del delincuente, conocer cómo es la persona que está detrás de ¨María¨, la popular vendedora de dólares en Venezuela, “Yenifer” la cariñosa amiga que cambió de número telefónico, “Douglas” el amable operador de Movistar o Claro, que te llama para hacerte una mejora en tu línea y activar el servicio 5G –aunque tu teléfono tenga diez años de comprado y no soporte tal tecnología.

Ante todo descartemos el mito más importante: Casi nunca se trata de hackers, de usuarios con una gran habilidad técnica, de los que sólo con verte a los ojos obtienen el control de tu móvil. Lo más probable es que la persona detrás de María, Yenifer, Douglas y cualquier otro que te llame, sea un hábil estafador tradicional que usa una nueva herramienta para timarte: el teléfono móvil y las redes sociales.

María: ingeniero, pero no de software

La persona detrás de estos nombres aplicará contigo, no con tu teléfono o laptop, una serie de técnicas denominadas Ingeniería Social para ganarse tu confianza. La elección de un nombre común –usado a secas, sin apellido—es el primer paso de su estrategia.

Tu número telefónico lo habrá conseguido de otra víctima, de tus redes sociales o de alguna otra publicación en la Internet o en la vida real, como un aviso de compra venta, una lista de clientes frecuentes de una tienda u otro.

Y aquí comienza el proceso:

Por ese número te mandará un mensaje amigable –generalmente usando WhatsApp– que generalmente es una de dos versiones: o un amigo que te avisa que perdió/cambió su número o alguien que te ofrecerá un servicio, premio o recompensa de una firma comercial con la que te relacionas que se te hará irresistible. Este último fue el enfoque que usaron con mi amigo del ejemplo inicial, le ofrecieron activar la capacidad 5G en su teléfono, lo que lo convertiría en uno de los primeros usuarios en el país en poder disfrutarlo
Al iniciar una charla será amable, pero ambiguo al contestarte: soy “Yenifer, la flaca” es el más reciente que he recibido. La gente suele sentirse mal por no poder reconocer a la persona y le sigue la corriente y empieza a darle multitud de datos personales en el proceso
En el caso de fingir ser una empresa que te ofrece un premio, mejora de servicios o cualquier otro incentivo, te tratarán de manera respetousa, pero urgiéndote a compartir datos con ellos. Generalmente te dirán que deben verificar que tu eres quien dices ser y te pedirán que les reenvíes un código que te llegará por SMS. Ese código lo usarán para instalar WhatsApp u otra app en su teléfono y dejar el tuyo desconectado de ese servicio
Si por otro lado el esquema va por el lado del falso amigo, pronto te solicitarán un favor, que realices un pago por ellos, les compres unas divisas en efectivo (para lo cuál te pedirán el pago por adelantado) o a veces hasta irán más lejos y te citarán en persona para que les prestes un dinero (la versión más peligrosa)
Algunas variantes mucho más malintencionadas y efectivas incluyen hacerse pasar por tus hijos o asegurar que los tienen secuestrados. Generalmente implica un mayor grado de vigilancia y el hacerse de datos personales que a veces se comparten alegremente en redes sociales. A veces una actividad como ir al cine, publicada en redes sociales, les da a los delincuentes un par de horas para fingir un “secuestro express” y hacerse con cantidades importantes de dinero, joyas y más, que los familiares pagan como rescate

Las variantes en el mercado

Pero no sólo WhatsApp y otros programas de mensajería son el campo de acción de estos estafadores. Plataformas como MarcadoLibre, Facebook MarketPlace e Instagram son un lugar de acción para ellos.

Aquí los métodos se diferencian un poco. Un primer método, bastante común en la región es ofertar un equipo a un precio irresistible. En algunos casos la estafa es sencilla de detectar si sólo revisas los siguientes puntos:

El precio es demasiado bueno para ser cierto. Equipos como TVs inteligentes se ofrecen nuevos, con garantía y por menos de la mitad del valor regular
El vendedor vive en una ciudad lejana, a veces poco conocida por ser un centro de comercio regular. En Latinoamérica suelen usar ciudades que están en la provincia, lejos de las ciudades principales, con una jurisdicción policial muy distinta de la de la mayoría de los posibles compradores
La reputación del vendedor puede ser buena, pero generalmente tendrá pocas ventas, o habrá pasado mucho tiempo desde la ultima venta

Una vez realizada la venta, inventarán excusas para demorar el envío unos pocos días, para aprovechar y seguir estafando a otros incautos mientras tanto.

Es común que los delincuentes compren o roben cuentas viejas de vendedores en las distintas plataformas, para arropar su estafa con un manto de credibilidad.

María, la pervertida

Este perfil es uno de los más peligrosos. María, o cualquier nombre que se ponga el delincuente, es una extorsionadora nata, probablemente interesada en los niños y mujeres jóvenes y busca abusar de sus víctimas y sacar provecho de ellas extorsionándolas o vendiendo la información que les roba –principalmente fotos y videos. Aquí los ataques no son tan masivos, las víctimas son seleccionadas. Les gusta ganarse la confianza de sus víctimas de a poco y después empiezan a pedirles que correspondan a sus atenciones con otras, como fotos, videos, datos de domicilio, etc.

Los niños son altamente vulnerables, pero no son las únicas víctimas. Incluso algunos de los atacantes son parte del entorno de la víctima: ex parejas sentimentales, hermanos o primos resentidos, compañeros de trabajo. Es común el uso de programas espías para robar contraseñas, tomar control de cámaras y micrófonos y control remoto de computadoras y teléfonos.

Muchas veces las víctimas de María, la pervertida, no se dan cuenta de que están siendo atacadas. El robo de videos, mediante el control no autorizado de la cámara web, es generalmente usado para chantajear, pero también para vender el contenido en la Internet en redes de pedófilos y hasta para usarlo como parte de una estrategia de secuestro y aprovechamiento sexual

María, la hacker

Este perfil es más complejo. María si conoce de redes, conoce de ingeniería de software y también, como no, entiende de ingeniería social.

Las estafas y fraudes son mayores, están acompañados de suplantación de identidad ante bancos y otras empresas, así como de secuestro, extorsión y espionaje.

El phishing es la principal arma para lograr entrar en los dispositivos de la víctima pero no es el único. También pueden usar redes WiFi públicas infectadas, uso de vulnerabilidades en las redes WiFi locales, ataques a dispositivos IoT, impresoras y hasta el uso de dispositivos USB amañados –desde cargadores de teléfonos y tabletas, hasta memorias y pendrives.

Una vez infectado el entorno de la víctima, el ataque se vuelve más sofisticado, buscando infectar otros dispositivos en la misma red o procediendo a secuestro masivo de dispositivos mediante ransomware.

María, la hacker, busca aquí un provecho económico considerable. Si su intención es robar documentos privados, procede a venderlos o extorsiona a la víctima. Si por el contrario la idea era secuestrar equipos de una organización, intenta paralizarla y pedir un fuerte rescate, generalmente pagado en cibermonedas.

La última versión de esta María hacker es quizás la más peligrosa. Ella busca infiltrar los dispositivos, pero para robar información extremadamente delicada. Sus víctimas son periodistas, altos ejecutivos, políticos destacados y grandes hombres de negocio. Nadie parece estar a salvo de estos ataques dirigidos y pensados para personajes específicos, pero las mejores soluciones de seguridad en sus dispositivos, bastante sentido común del usuario y hasta con la ayuda del fabricante –Apple está lanzando una protección de este estilo, que sólo requieren personas de alto perfil—pueden mantener a salvo a la posible víctima.

Cripto María

Esta versión de María se ha vuelto muy popular en Instagram, Facebook y hasta en LinkedIn. Aquí María elige un nombre completo, muchas veces sofisticado y te añade desde su perfil, en el que encontrarás unas pocas fotos y publicaciones –generalmente entre seis y doce— en donde aparece retratada en actividades mundanas, normales, y otras en donde aparece en lujosas vacaciones o cenando y disfrutando de lugares suntuosos. En su mensaje se muestra respetuosa y en su perfil se identifica como inversor, como una mujer de negocios.

Después comienza un proceso de seducción, donde te comparte algunos de sus secretos, sus logros y algunas anécdotas. Poco a poco se gana tu confianza al compartir secretos y experiencias y al final logra que la víctima le ruegue para que le ayude a invertir en Bitcoins y otras monedas digitales.

Estas estafas se han vuelto tan populares que incluso la Unión Europea y fiscales de países latinoaméricanos han creado un sitio web para prevenir a los usuarios de estas estafas: https://www.fakecoins.org/

Algunas variantes incluyen el ofrecerte comisiones si convences a otros amigos de invertir, campañas de correos electrónicos masivos para captar posible víctimas y hasta aplicaciones falsas de billeteras, que roban tus datos y contraseñas.

María la vendedora

Las estafas a través de la Internet tienen muchas formas y cada día surgen nuevas formas de victimizar a los desprevenidos.

Recientemente se han puesto de moda algunas versiones que usan muy poca tecnología, pero suelen ser muy efectivas. Una consiste en visitar páginas de venta como el MarketPlace de Facebook y contactar a algunas personas que venden objetos no tan sencillos de colocar en el mercado.

El vendedor se entusiasma y empieza a hacerle seguimiento al posible comprador, que asegura estar interesado pero asegura estar muy ocupado por su profesión. Puede ser que asegure que es médico, ejecutivo de una empresa que atiende público, o gerente de una tienda en un centro comercial, por citar algunos ejemplos. Allí citará al interesado vendedor, que se sentirá a salvo por estar en un lugar público, y cuando estén por verse le asegurará que tiene el dinero para pagar por el objeto, pero que necesitara cambio, pidiéndole al vendedor que lo lleve.

Una vez en el sitio se asegurará de que el comprador lo vea hablando con alguien del lugar, quizás un empleado de limpieza o de seguridad, y le dirá que no puede realizar la compra dentro de su oficina, pero que le espere afuera de la misma.

Luego pedirá el objeto y/o el dinero del vuelto y entrará a la supuesta oficina para buscar el pago, para salir por otra puerta y dejar al vendedor esperándolo.

A esto se suman las ventas de autos y otros objetos, en donde el vendedor fija la zona de recogida del artículo y dice que sólo aceptará pagos en efectivo, para proceder a robarlos al momento del supuesto intercambio del dinero por el bien, o interceptar a la víctima cuando va en camino a realizar la compra.

Los perfiles de María, como hemos dado en llamar a nuestra estafadora, no sólo son variados, sino que también se ajustan a las realidades del país o región donde suceden.

¿Cómo frenar a María y sus socios?

Si quiere mantener a raya a María y todas sus variantes hay una serie de acciones que debe de realizar:

Sea atento y desconfíe de todos, no sólo de aquellos vendedores que no conoce, sino en general de cualquiera que le pida que realice una acción, le envíe un código o entre a un enlace

Instale una solución de seguridad en su PC, tableta y teléfono.

Use contraseñas seguras, que no sean fáciles de adivinar y active la autenticación de dos pasos para todos los servicios que lo permitan

Si un amigo te indica que perdió o cambió su número llámalo al nuevo número para confirmar que es verdad lo que dice, antes de agregarlo a tus contactos y antes de iniciar con él cualquier transacción financiera

Ponga una clave segura a su WiFi en la casa y oficina. De ser posible habilite una red para invitados para no compartir su contraseña principal y cámbiela con regularidad

Usar una solución de VPN para cuando vaya a conectarse a redes públicas, ayuda a proteger sus equipos. De ser posible no use redes públicas nunca
Si realiza compras en plataformas como MercadoLibre o Facebook Marketplace asegúrese de fijar lugares de entrega o recogida que sean públicos y seguros. Avise a sus amigos donde va a estar y mantenga encendidas las capacidades de localización de su celular. Prefiera compra de tiendas oficiales en lugar de particulares desconocidos.