Seg\u00fan detallan los especialistas, los usuarios reciben un correo electr\u00f3nico en donde se les explica que sus cuentas de Windows Live ID se han estado usando para de manera ileg\u00edtima, por lo que\u00a0 sus cuentas ser\u00e1n bloqueadas. Para detener que sus cuentas sean suspendidas, \u201cMicrosoft\u201d les solicita a los usuarios que sigan un enlace y que actualicen sus datos para cumplir con los nuevos requerimientos de seguridad del servicio.<\/p>\n
Esto suena muy parecido a un t\u00edpico correo electr\u00f3nico de phishing. Uno esperar\u00eda que cuando las v\u00edctimas hagan clic en los enlaces, \u00e9stas sean guiadas a sitios falsos que imitan la p\u00e1gina oficial de Windows Live, a trav\u00e9s de la cual sus datos ser\u00e1n enviados a estafadores. Sin embargo, nuestros expertos descubrieron que el enlace de la estafa efectivamente dirig\u00eda a los usuarios al sitio web oficial de Windows Live, en donde no hab\u00eda ning\u00fan intento de obtener los nombres de usuario y las contrase\u00f1as de las v\u00edctimas.<\/p>\n
Una vez que se ingresa al enlace del correo electr\u00f3nico y se autoriza con \u00e9xito la cuenta en el sitio oficial de live.com<\/a>, los usuarios reciben un mensaje curioso del servicio: una aplicaci\u00f3n solicit\u00f3 permiso para iniciar sesi\u00f3n de forma autom\u00e1tica, ver la informaci\u00f3n del perfil y la lista de contactos; as\u00ed como tener acceso a la lista de los datos personales del usuario y las direcciones de correo electr\u00f3nico de su trabajo. Los estafadores obtuvieron acceso a esta plataforma explotando fallas de seguridad en el protocolo abierto de autorizaci\u00f3n, OAuth.<\/p>\n Los usuarios que hacen clic en \u201cS\u00ed\u201d no revelan sus credenciales y contrase\u00f1as, pero s\u00ed proporcionan su informaci\u00f3n personal, las direcciones de correo electr\u00f3nico de sus contactos y los seud\u00f3nimos y nombres reales de sus amigos. Tambi\u00e9n es posible obtener permiso para tener acceso a otros par\u00e1metros, tales como informaci\u00f3n de citas y eventos importantes. Esta informaci\u00f3n es muy probable que se utilice para prop\u00f3sitos fraudulentos, como el envi\u00f3 de spam a los contactos de la lista de direcciones de las v\u00edctimas o para lanzar ataques selectivos de phishing.<\/p>\n \u201cHemos sabido de fallas de seguridad en el protocolo OAuth<\/a> desde hace alg\u00fan tiempo: a principios de 2014, un estudiante de Singapur describi\u00f3 las posibles formas de robar los datos de los usuarios despu\u00e9s de una autenticaci\u00f3n. Sin embargo, \u00e9sta es la primera vez que nos hemos encontrado con defraudadores que utilizan correos electr\u00f3nicos de phishing para poner en pr\u00e1ctica estas t\u00e9cnicas. Un estafador puede utilizar la informaci\u00f3n interceptada para crear una imagen detallada de los usuarios, la cual incluye informaci\u00f3n acerca de sus trabajos; a qui\u00e9nes ven y qui\u00e9nes son sus amigos, etc. Este perfil despu\u00e9s se puede utilizar para prop\u00f3sitos delictivos\u201d, <\/em>explic\u00f3 Andrey Kostin, Analista Principal de Contenido de la Web en Kaspersky Lab.<\/p>\n En Am\u00e9rica Latina, los analistas de Kaspersky Lab \u00a0recientemente reportaron una estafa similar que empleaba este esquema fraudulento utilizando a Netflix como gancho<\/strong><\/a>. <\/strong><\/p>\n Kaspersky Lab<\/a> le ofrece a los desarrolladores de aplicaciones para redes sociales que utilizan el protocolo OAuth los siguientes consejos:<\/p>\n Recomendaciones para los usuarios:<\/strong><\/p>\n![\"Untitled\"](\"https:\/\/media.kasperskydaily.com\/wp-content\/uploads\/sites\/87\/2015\/05\/05201739\/Untitled.png\")
<\/a>\u00bfCu\u00e1l es el truco, entonces? <\/strong><\/p>\n\n
\n