Ciberseguridad: Un malware se hace pasar por una 'app' de verificación en dos pasos en España

Las últimas noticias sobre tecnología con COPE Internet, redes sociales, móviles, gadgets, software, seguridad.

Normalmente, asociamos la verificación en dos pasos (2FA, por sus siglas en inglés) con una barrera de seguridad mucho más sólida a la hora de proteger nuestras actividades en internet. La 2FA es tan eficaz que ya resulta obligatoria en las aplicaciones de banca online y en muchas otras apps de gestión financiera, ya que se trata de plataformas que despiertan especialmente el interés de los hackers debido a la gran cantidad de dinero que se mueve en ellas.

Lo que pocos esperaban es que un grupo de ciberatacantes desarrollara una aplicación de 'phishing' que se hace pasar por una 'app' de verificación en dos pasos para tratar de estafar a los usuarios de algunos de los bancos más importantes del país. En este caso, los hackers eligieron la interfaz del BBVA para tratar de robar el dinero de sus usuarios.

La estafa comienza haciéndose pasar por el BBVA mediante la réplica casi exacta de su página web. Los únicos cambios realizados en ella avisaban a los usuarios de la implementación de una nueva aplicación de verificación que supuestamente comenzaría a ser obligatoria para poder realizar cualquier tipo de gestión en la cuenta.

Como el propio BBVA suele enviar correos electrónicos avisando a los usuarios de la importancia de la seguridad digital y tratando de advertirles frente a los intentos de estafa, la página falsa de los hackers resultaba todavía más creíble, lo que hizo que muchos usuarios descargaran su aplicación 2FA falsa.

LA DESCARGA DE LA APP DA A LOS HACKERS CONTROL TOTAL

Al acceder a la web falsa para descargar la app, los ciberatacantes registraban los datos de acceso de los usuarios y cubrían la primera parte del hackeo. Luego, cuando se instala en el smartphone, esta aplicación identifica al propietario del teléfono y monitoriza dos cosas: la aplicación (legítima) del BBVA y las pulsaciones realizadas en la pantalla del smartphone.

Entonces, cuando los hackers detectan que el usuario está haciendo cualquier gestión en la app del BBVA, revisan cuáles han sido las pulsaciones realizadas en la pantalla del teléfono y se hacen con los códigos que les faltan para poder operar en su cuenta bancaria. De esta manera, lograban transferir el dinero de las víctimas a sus propias cuentas online.

Para no dejar ningún cabo suelto, la app falsa también monitoriza los SMS recibidos, ya que muchas aplicaciones de banca online todavía utilizan este sistema obsoleto como método de autenticación en dos pasos. Los SMS no son un sistema seguro de verificación, ya que en la mayoría de los casos todos los usuarios tienen aplicaciones que pueden leerlos, incluyendo algunas tan populares como Facebook, WhatsApp o Instagram.

Lo mismo puede decirse de las llamadas, ya que en ocasiones también se utilizan como sistema de verificación. Algunas empresas las emplean para utilizar los últimos dígitos del teléfono que realiza la llamada como código de verificación, y otras simplemente verbalizan el código que debe introducir el usuario. En ambos casos, esta app falsa permite a los hackers hacerse con cualquier código de verificación recibido por este medio.

PROTEGER LOS DISPOSITIVOS ES MÁS IMPORTANTE QUE NUNCA

Ante el aumento de estrategias de vulneración de las cuentas bancarias y, sobre todo, del uso de nuevas formas de malware para hacerse con los códigos de verificación de los usuarios, cada vez es más importante contar con herramientas de ciberseguridad que nos permitan proteger de nuestros dispositivos y prevenir su infección por parte de estas apps maliciosas.

Por eso es tan importante el uso de una VPN, que es una herramienta capaz de cifrar todas las comunicaciones de tu smartphone para garantizar que no sean accesibles mediante la vulneración de tu red Wi–Fi o de un dispositivo intermediario. Estas herramientas, además, suelen contar con diferentes sistemas de protección anti–malware con los que puedes prevenir la infección de tus dispositivos y mantener tus datos lejos del alcance de los hackers.

Pero la instalación de un 'software' de ciberseguridad solo representa la mitad de la ecuación. La parte restante depende del propio sentido común del usuario y de la capacidad para estar alerta ante los ataques de 'phishing'. A pesar de la sofisticación de las diferentes herramientas de malware utilizadas por los hackers, casi todos sus ataques dependen en mayor o menor medida de la ingeniería social que permite convencer a los usuarios de que algo es lo que no es.

Los correos electrónicos falsos, las páginas web duplicadas, los mensajes SMS con enlaces comprimidos e incluso las redes sociales fraudulentas, se incluyen entre las estrategias utilizadas por los hackers para tratar de hacerse con información que les permita vulnerar las cuentas. Por eso es esencial que el usuario permanezca siempre alerta en Internet y sepa detectar estos intentos de estafa.

Puedes leer nuestra sección de tecnología para leer más noticias de tu sección favorita.

Toda la información actualizada de forma constante en la web del diario, así como en las redes sociales del mismo: Facebook, Twitter e Instagram.

Además, si todavía no recibes las alertas de última hora en tu móvil para conocer la información antes que nadie, puedes bajarte sin ningún coste la aplicación de COPE para iOS (iPhone) y Android.

La aplicación de COPE es el mejor canal para escuchar la radio en directo, pero es también un completo medio de información digital que cuenta las noticias cuando se están produciendo, que te alerta de lo que sucede mediante notificaciones en tu móvil. Continúa leyendo las últimas noticias de actualidad en nuestra página web para estar siempre informado de lo que está pasando.