Comisión de Seguridad

17-06-2008 - Ayer mi hermano me manda el siguiente correo electrónico, que pertenece a una campaña de la Caixa Galicia para captar nuevos clientes con el asunto: Traiga su nomina y llevese uno de estos regalos

Mi sorpresa, fue luego mas tarde, cuando hable con mi hermano por teléfono y me comunica si había visto el phishing que me había enviado a mi buzón electrónico, asombrado le comente que solo recibí publicidad de una entidad bancaria, me comenta que se creía que era un ataque mas de esos “phishing” o timos, mi hermano es un usuario de informática avanzado, esta publicidad le llego a confundir con un fraude de los clásicos que sufrimos los usuarios de la red.

Esto me hizo pensar y analizar mas en profundidad la pequeña confusión de mi hermano, con la sorpresa que al final la confusión puede ser mía al comprobar que este simple correo se puede convertir en el perfecto phishing bancario.

Analicemos el correo electrónico y sus enlaces.

Lo primero que destacamos es el asunto, es llamativo para atraer a nuevos clientes y también a posibles victimas:



Si lo pensamos fríamente es un reclamo ideal para el ciber-delincuente para hacer uso de ingeniería social.


Al pulsar sobre los enlaces pueden ocurrir dos cosas, dependiendo nuestro navegador y versión:

Verlo bien


Verlo raro, tipo phishing?¿


En realidad no tiene mucha importancia, pero el siguiente pasó si tiene bastante importancia, llegando ser un futuro ataque phishing de forma fácil y usando la web de la entidad oficial, con solo modificar el enlace de la publicidad nos puede mostrar el mensaje escrito, con un resultado perfecto:

Enlace de la entidad modificado:

https://www.caixagalicia.es/zonasegura/online/



Efecto final, su herramienta anti-phishing ni se entero::


Este ejemplo lo puede realizar cualquier usuario, dejamos claro que un simple correo electrónico inofensivo se puede convertir en un arma peligrosa para futuros ataques fraudulentos.

Al final mi hermano tenia razón en parte, pero lo mas importante es que algunas campañas de marketing pueden ser muy peligrosas y un gran reclamo para un uso fraudulento, por ello el usuario, los grupos de publicidad, los compañeros de seguridad informática tenemos que estar “muy atentos” y trabajar mas en conjunto.


Comisión de Seguridad en la Red.
José María Luque Guerrero
http://seguridad.internautas.org - www.seguridadenlared.org - www.seguridadpymes.es
Asociación de Internautas. www.internautas.org