Nos habéis alertado a través de nuestro chatbot de WhatsApp (+34 644 22 93 19) de que habéis recibido un SMS que asegura que “tu paquete está llegando” y que puedes hacer un “seguimiento online” a través de un enlace. Cuidado, no pulses el link: se trata de un nuevo caso de phishing a través de un SMS (smishing). El enlace, en realidad, te lleva a una página para que te descargues una aplicación y poder instalarte un virus malicioso para tener acceso a los datos de tu dispositivo. Además, el link no es el oficial de la empresa UPS y el SMS contiene faltas de ortografía.
El SMS pretende que te descargues una aplicación para poder tener acceso a tus datos
El SMS llega afirmando que “tu paquete está llegando” y puedes hacer un “seguimiento online”, aunque también hay otras versiones en las que asegura que tu paquete “está esperando la entrega” y tienes que “confirmar tus datos” o que “puedes solicitar gratis una entrega flexible”. En todo caso, todos añaden un link que cuando pinchas en él, te lleva a una página que suplanta la identidad de la empresa de paquetería UPS. Desde Maldita.es hemos comprobado que se envían diferentes URL (https://shyne.xyz/dhl/?g0t19e9ilssw, http://veliki.kiev.ua/dhl/?8avbtn3op4q6 o https://innerfit.me/1/?zymdz810e0rk1), pero todos ellos enlazan a la misma web.
En esta página te piden que descargues una aplicación, pero mucho cuidado porque no es ningún servicio de seguimiento, sino que contiene un archivo malicioso .apk, que, como ya os contamos en Maldita.es, sólo puede instalarse en dispositivos Android. Esta página, que suplanta la imagen corporativa de UPS pero no es la oficial de la empresa (www.ups.com), indica en las instrucciones de descarga que si no puedes hacerlo, habilites la opción "instalar aplicaciones desconocidas". Ese es el primer punto que nos debe hacer sospechar sobre la fiabilidad de la aplicación. Además, como decimos, la URL no es la oficial de la empresa de paquetería y el SMS contiene faltas de ortografía, otros dos aspectos que nos deben hacer sospechar para que no nos la cuelen en estas estafas.
UPS, además, cuenta con una aplicación oficial disponible en Google Play y App Store para dispositivos Android e iOS, respectivamente, por lo que no es necesario descargar ningún archivo .apk. Cuando aceptas las condiciones y le das permiso, la aplicación tiene acceso a toda la información de tu teléfono, incluidos todos tus datos personales y bancarios.
Asimismo, UPS cuenta en su página web con información relativa a la lucha contra el phishing. En ella especifican que “UPS no solicita pagos, información personal, información financiera, números de cuenta, ID, contraseñas o copias de facturas sin una solicitud previa a través de correo electrónico, correo postal, teléfono o fax, o específicamente a cambio del transporte de artículos o servicios”.
Campaña similar a la de Fedex o MRW
Desde la Oficina de Seguridad del Internauta (OSI), dependiente del Instituto Nacional de Ciberseguridad (INCIBE), ya alertaron de que se habían detectado varias campañas de SMS que suplantan a servicios de paquetería. El objetivo, como explican, es que las víctimas descarguen una supuesta aplicación de seguimiento de envíos, pero que realmente, según explican, “es maliciosa y descarga un malware de tipo troyano para robar datos bancarios y replicarse a través de la agenda de contactos”.
En Maldita.es, ya os hemos alertado de estafas similares que utilizan el mismo modus operandi suplantando a otras empresas de paquetería como DHL, Fedex, Correos o MRW. También puedes consultar el recopilatorio de los SMS que suplantan a empresas de paquetería para que estés al tanto y no te la cuelen si te los envían.
¿Qué podemos hacer si hemos descargado la aplicación?
La OSI recomienda que si has sido víctima de esta estafa y has descargado uno de estos archivos, “debes eliminar la aplicación y escanear el dispositivo con un antivirus actualizado”. En caso de que no te permita eliminarla, deberás restablecer el dispositivo en “valores de fábrica”. También aconsejan que informes “a tus contactos sobre este ataque, ya que el malware utilizará los contactos de tu agenda para enviar SMS fraudulentos y poder captar más víctimas”.
Si te ha llegado el SMS pero no has descargado la aplicación maliciosa, “debes eliminar el mensaje de tu bandeja de entrada para no instalarla por error e ir a tu gestor de archivos donde encontrarás el archivo .apk que descarga la aplicación y eliminarlo”, según la OSI. También recomiendan que “mantengas inhabilitada la opción de ‘instalación de aplicaciones de orígenes desconocidos’ dentro de los ajustes de tu dispositivo”.
Cosas en las que fijarte para que no te timen
No podemos hacer que dejen de llegarte estos casos, pero sí tenemos una serie de recomendaciones que puedes seguir cuando te vuelva a llegar una supuesta alerta o sorteo que use el nombre de tu empresa de confianza.
- Fíjate bien en el remitente y la dirección a la que te redirige el SMS. Si te llega un mensaje, presta atención al remitente que te lo envía y a la dirección a la que te redirige.
- Cuidado si al intentar pinchar en los elementos de la web no te dirige a ningún sitio, te pide verificar tus datos o instalar una aplicación móvil.
- No te fíes si el SMS contiene faltas de ortografía. En muchas ocasiones no se acentúan las palabras ni se utilizan mayúsculas tras el punto y seguido, por lo que nos debe hacer sospechar de que lo haya enviado la empresa de paquetería.
- Contrasta con las fuentes antes de dar tus datos. Estos mensajes transmiten urgencia para que no te dé tiempo a reaccionar. Recuerda que puedes preguntar a la propia compañía, a la Policía o a la Guardia Civil o a nosotros a través de nuestro servicio de WhatsApp.
Si te envían un SMS sospechoso como este recuerda que puedes contactar con la Oficina de Seguridad del Internauta (OSI) del Instituto Nacional de Ciberseguridad (INCIBE) o también puedes utilizar su línea de ayuda en ciberseguridad.
Si has sido víctima de una de estas estafas, puedes escribirnos y contarnos tu historia a [email protected].
