Así los estafadores roban criptomonedas de los usuarios de Twitter

La mejor manera de evitar caer en la trampa de los estafadores es con pensamiento crítico, incluso con escepticismo.

¿Qué harías si, por ejemplo, alguien te manda un mensaje privado por Twitter con los datos de inicio de sesión de una cuenta de criptomonedas y te pidiera que le ayudaras a sacar dinero?

Lo correcto sería ignorar el mensaje. Pero ¿y si fuera real? ¿Y si esta fuera tu oportunidad de volverte rico? A continuación, te compartimos una lista de banderas rojas en internet, sobre todo si tomamos en cuenta el reciente descubrimiento de los expertos de Kaspersky en una campaña de este tipo.

Pero antes, veamos la captura de pantalla del mensaje:

¡Felicidades, eres rico! Pero, espera un segundo…

Imagínate que un desconocido en Twitter te manda los supuestos datos de inicio de sesión de la cuenta de una plataforma de criptomonedas de un tal Adam que afirma tener una cantidad de seis cifras. Y el remitente te necesita para poder retirar el dinero, aparentemente.

Para tu sorpresa, si vas al sitio y metes los datos, accederás a una cuenta personal con la cantidad especificada, bueno, más o menos. Hasta aquí no hemos detectado el fraude.

Mientras iniciabas sesión en el sitio, Adam se ha hecho con otros 90000 dólares más.

Piensa de forma crítica y busca las banderas rojas

Empecemos con lo básico: si tuvieras cientos de miles de dólares, ¿le pedirías a un extraño que te ayude a gestionarlos? ¿No? Claro, ¡nadie en su sano juicio! Este pensamiento basta para enviar el mensaje (y los otros 419 de spam) directo a la papelera.

Pero nuestra tarea consiste en investigar todas las banderas rojas, por ello, buscaremos una razón para seguir: supongamos que por lo que sea un completo desconocido debe buscar ayuda y te elige a ti. ¿Qué más parece no encajar?

¡Qué cuenta tan popular tiene nuestro misterioso benefactor!

Primero, conozcamos un poco más a este benefactor anónimo. Su perfil de Twitter no cuenta con seguidores y tampoco sigue a nadie: otra bandera roja super clara, dado que el motivo principal para crear una cuenta en redes sociales es comunicarte y seguir a otros.

Segundo, nuestro remitente no es sociable: le mandamos mensajes, pero tarda una semana en responder. Otra bandera roja que indica que el mensaje es parte de una estrategia de correo masivo, lo que significa que decenas, cientos o hasta miles de personas recibieron ese mismo usuario y contraseña. ¿Cuántos de ellos crees que trataron de iniciar sesión?

Tercero, otra bandera roja es que el nombre de usuario y la contraseña sugieren que el usuario se llama Adam (por cierto, la contraseña “Adam” es super débil), mientras que el identificador de Twitter del que proviene el mensaje no tiene nada que ver con algún Adam. ¿Será que nuestro remitente quiere que vaciemos una cuenta de criptomonedas secuestrada y hacernos cómplices? (La verdad es que no hay criptomoneda alguna en dicha cuenta, pero hablaremos de eso más adelante).

Por último, los expertos detectan una bandera roja más: un espacio en la URL del sitio en el que según se encuentran las criptomonedas. Así es cómo los estafadores intentan evitar la seguridad en la cuenta de correo electrónico donde recibes la notificación de la entrada de un nuevo mensaje en Twitter.

Al entrar al sitio, las banderas rojas aparecen una detrás de otra: el diseño es simple y chapucero y si buscas en Google el nombre de dominio solo aparecen resultados sobre estafas. Cualquier exchange de criptomonedas auténtico, sea muy conocido o no, contaría con valoraciones en los medios o foros. Este no tiene ninguna, lo que hace pensar que es falso.

Y todo esto antes de llegar a la bandera roja principal, que hace que todas las alarmas de estafa se enciendan.Debes pagar para retirar las criptomonedas

Resulta que, para retirar fondos de la plataforma, se necesita otra contraseña más: la llamada clave Trade, que nadie nos ha dado. Pero sí se puede transferir dinero dentro de la misma plataforma, por lo que debes crear una nueva cuenta con estatus VIP y llenarla con el dinero de Adam. Después de esto, podremos retirarlo sin problemas, porque tendremos todas las contraseñas necesarias, ¿cierto?

La cuenta VIP a la que debes traspasar el dinero de Adam.

Para obtener este estatus VIP, debes depositar algo de dinero en la nueva cuenta al proporcionar los detalles de tu monedero de criptomonedas. Pero, cuando lo hagas, ya no habrá nada que retirar, mientras que tu monedero quedará vacío gracias a las credenciales que proporcionaste muy amablemente.

La plataforma no es más que un sitio de phishing, sin rastro de criptomonedas. En la última campaña, los estafadores crearon varios sitios como este y enviaron los datos de inicio de sesión a varias cuentas de Twitter.

En cuanto a la “plataforma de criptomonedas”, hay dos señales sospechosas. La primera, las criptomonedas nunca se envían a través de danos-información-de-tu-monedero; en su lugar, recibes una dirección de pago para enviar la cantidad requerida desde la interfaz de tu monedero. Y, segunda, no hay plataforma financiera que te pida que uses fondos de terceros para gestionar un dinero que ya tienes. ¿Cobrar una tarifa por transferencia, ser nuestro invitado, pero exigir el pago con una tarjeta para retirar dinero de otra? Francamente, esto es sumamente extraño.

Por no hablar del mal inglés y el diseño descuidado, típicas características de un sitio de phishing.

Cómo evitar ser víctima de phishing

Para no caer en la trampa, debes comprender cómo trabajan los estafadores y cómo detectar todas las incoherencias. Por esto, identificamos todas las señales de alerta de la estafa anterior.

Las preguntas que te debes hacer cuando te enfrentas a una jugosa oferta son:

• ¿Por qué me pide ayuda a mí, que soy un completo extraño, y no alguien a quien conozca?
• ¿Podría ser un bot?
• ¿No es raro que no responda?
• ¿El mensaje parece sospechoso? Por ejemplo, ¿en el nombre de dominio mencionado hay un espacio para engañar a los filtros de correo electrónico?
• ¿Qué tipo de sitio me pide visitar? ¿Qué opiniones online hay sobre dicho sitio?
• ¿Su diseño e interfaz dan confianza? Está claro que la mitad de los sitios web no lo hacen, pero no los usas para enviar dinero, ¿verdad?
• ¿Parece lógico lo que te pide hacer?
• ¿Es normal tener que pagar con fondos de terceros para realizar transacciones con dinero que ya está en la plataforma?
• ¿Me está apurando para que baje la guardia?
• ¿Suena demasiado bueno para ser verdad?

Si respiras hondo y las respondes por ti mismo, comprenderás mejor lo que está pasando y no perderás la cabeza ante la idea de dinero fácil.

En este caso, tantas señales de alerta indican que, claramente, se trata de una estafa. Pero una única bandera roja debería bastar para estar alerta. Aunque el mensaje no venga de un usuario aleatorio, sino de un amigo, también debes estar atento: quién sabe, ¿puede que tu amigo haya sido hackeado?

Los estafadores, desgraciadamente, terminan saliéndose con la suya debido al hecho de que hasta las personas más cuidadosas también son humanas y, a veces, muerden los anzuelos mejor elaborados. Por ende, es mejor ir a lo seguro y utilizar una solución de seguridad que detecte enlaces sospechosos y bloquee el acceso a sitios fraudulentos.

Y asegúrate de leer nuestra publicación de blog sobre cómo protegerse del phishing, cuyos consejos te ayudarán también contra muchos otros problemas de seguridad.