En los últimos días estamos recibiendo multitud de mensajes a través de nuestro chatbot (+34 644 229 319) en los que nos preguntáis por un SMS, supuestamente de FedEx, que os llega al móvil. Como ya hemos explicado en Maldita.es, estos mensajes en ocasiones vienen personalizados, se dirigen a ti por tu nombre, y cuando pulsas el link te llevan a una página que aparenta ser de FedEx. En esa página te piden que descargues la aplicación para “rastrear tu paquete”, pero ¡cuidado! no lo descargues porque es un malware de tipo troyano, un archivo malicioso que se instala en tu dispositivo sin tu consentimiento y puede robar tus datos bancarios, del que ya ha alertado la Oficina de Seguridad del Internauta (OSI) y la Policía Nacional.
Este archivo sólo se descarga en dispositivos Android, debido a que se trata de un archivo .apk, los cuales no pueden instalarse en iPhone, como explican desde el Instituto Nacional de Ciberseguridad (INCIBE) a Maldita.es.
En los dispositivos iPhone el link te redirige a un caso de phishing
En Maldita.es hemos abierto el mensaje de FedEx desde dos dispositivos: uno Android y otro iPhone. Mientras que en el primero nos lleva a la supuesta página de FedEx que nos pide que descarguemos el archivo que contiene el malware, en iPhone nos redirige a un phishing de Amazon en el que supuestamente hemos sido seleccionados “al azar” para completar una encuesta y poder ganar un iPhone 12 Pro. Pero no te lo creas, es otro caso de phishing para conseguir tus datos personales y/o bancarios.
Esto se debe, como indican desde el INCIBE a Maldita.es a que, como el fichero malicioso (.apk) “sólo puede instalarse en móviles Android, aprovechan para que los usuarios de iPhone que reciban el SMS fraudulento, también caigan en algún engaño, redirigiéndoles a páginas con sorteos y promociones fraudulentas”.
¿Qué son los archivos .apk y por qué eligen Android?
La Directora del Máster en Ciberseguridad y Privacidad de la Universidad Rey Juan Carlos, Marta Beltrán, explica a Maldita.es que un archivo .apk es un paquete de instalación para sistemas Android. “Se trata de un fichero comprimido que lleva dentro del código de una app en lenguaje Java y todo lo necesario para instalarla y que funcione (manifiesto, certificados, otro código del que depende, etc.)”.
Beltrán indica que “es lógico que si un ataque sólo puede funcionar en Android o en iOS, como adversario, elijas el sistema operativo que tiene más víctimas potenciales”, que en este caso es Android, el cual “tiene un 75-80% de cuota de mercado de móviles en todo el mundo”.
Jorge Louzao, experto en ciberseguridad y maldito que también nos ha prestado sus superpoderes, declara que “en Android es sencillo instalar una app que no sea de Google Apps o de la store de tu dispositivo, por ejemplo la de Samsung, mientras que en iPhone no es tan fácil”. Esto, junto con el número de usuarios que usan este sistema operativo, “es la principal razón de orientarse a Android”, indica Louzao. Por otro lado, añade que “muchos dispositivos Android no reciben actualizaciones de seguridad desde hace mucho tiempo”.
No obstante, no debemos confiarnos si tenemos un iPhone, ya que, según Beltrán “para este tipo de ataques de ingeniería social, que se basan en phishing o smishing (un caso de phishing a través de un SMS) “los dos sistemas son igual de seguros/inseguros, todo, o casi todo, depende de la concienciación del usuario. Y los ataques son igual de comunes o habituales”.
El troyano puede robar tus datos bancarios
Desde la Oficina de Seguridad del Internauta (OSI), dependiente del INCIBE, alertan de que este archivo malicioso que se descarga es un troyano para robar datos bancarios y replicarse a través de la agenda de contactos.
En este artículo de Xataka explican que han analizado el funcionamiento de este troyano, el cual, una vez le han dado acceso la aplicación, se auto concede permisos como “leer registro de llamada, ver qué aplicaciones tiene instaladas el usuario, leer tu libreta de contactos, leer datos del portapapeles, desinstalar aplicaciones”, etc y, como menciona la OSI, pueden acceder a nuestros datos bancarios. Esto, según este artículo, es posible debido a que “la aplicación tiene todos los permisos posibles para acceder a los contenidos de nuestra pantalla”, por lo que “basta abrir la aplicación del banco y ver, literalmente, la contraseña que le ponemos”.
¿Qué podemos hacer si hemos descargado este archivo?
La OSI recomienda que si has sido víctima de esta estafa y has descargado uno de estos archivos, ya sea de FedEx o de otro tipo de smishing como SEUR, Correos, DHL, etc, “debes eliminar la aplicación y escanear el dispositivo con un antivirus actualizado”. En caso de que no te permita eliminarla, deberás restablecer el dispositivo en “valores de fábrica”. También aconsejan que informes “a tus contactos sobre este ataque, ya que el malware utilizará los contactos de tu agenda para enviar SMS fraudulentos y poder captar más víctimas”.
Si te ha llegado el SMS pero no has descargado la aplicación maliciosa, “debes eliminar el mensaje de tu bandeja de entrada para no instalarla por error e ir a tu gestor de archivos donde encontrarás el archivo .apk que descarga la aplicación y eliminarlo”, según la OSI. También recomiendan que “mantengas inhabilitada la opción de ‘instalación de aplicaciones de orígenes desconocidos’ dentro de los ajustes de tu dispositivo”.
Si has sido víctima de una de estas estafas, puedes escribirnos y contarnos tu historia a [email protected].
En este artículo ha colaborado con sus superpoderes el maldito Jorge Louzao, experto en ciberseguridad.
Gracias a vuestros superpoderes, conocimientos y experiencia podemos luchar más y mejor contra la mentira. La comunidad de Maldita.es sois imprescindibles para parar la desinformación. Ayúdanos en esta batalla: mándanos los bulos que te lleguen a nuestro servicio de WhatsApp, préstanos tus superpoderes, difunde nuestros desmentidos y hazte Embajador.
Primera fecha de publicación de este artículo: 10/03/2021
