Correos es un gancho recurrente para los ciberdelicuentes en las estafas que cometen en internet y está volviendo a ser suplantada cuando no hace ni un mes desde que se vio afectada en una campaña de phishing que robaba su identidad, según advirtió el Instituto Nacional de Ciberseguridad (Incibe) e informamos en Escudo Digital.
En esta ocasión, está siendo el cebo de una campaña que incorpora una peculiar característica para resultar más convincente. La voz de alarma la ha dado ESET, que ha detectado que este nuevo ataque comienza con un correo electrónico en el que se invita a los usuarios a hacer un seguimiento del paquete, adjuntando un enlace para iniciar un chat bot para programar la entrega.
Según explica la compañía de ciberseguridad, el e-mail dice provenir desde una dirección oficial de Correos España, "algo que puede resultar suficiente para la mayoría de usuarios al pensar que se trata de un email legítimo". Sin embargo, ESET indica que la dirección de origen es bien distinta tal y como se puede comprobar con solo echar un vistazo a la cabecera del mensaje, ya que "la autenticación del remitente falla al hacerse pasar por una dirección legítima de Correos España".
"Este fallo en la autenticación puede servir para que el mensaje sea catalogado como spam en muchos servidores de correo, pero siempre cabe la posibilidad de que alguno llegue a la bandeja de entrada de un usuario y que este, curioso por ver de qué envío se trata, pulse sobre enlace proporcionado", señala Josep Albors, director de investigación y concienciación de ESET, en la publicación que ha compartido en el blog de la compañía para informar sobre esta amenaza.
Así funciona el falso chat bot de Correos
Siguiendo su información, si el usuario pulsa sobre el enlace incluido en el correo electrónico, es redirigido a una página web diseñada por los delincuentes para hacerse pasar por el servicio postal español.
"Esta web está alojada en un dominio que nada tiene que ver con Correos España y que ha sido registrada hace menos de un mes, y en ella tan solo nos encontramos el logo de la empresa y un bot que, nada más conectarnos, empieza a comunicarse con nosotros".
Albors continúa destacando que la conversación está "bien realizada" y es "perfectamente factible" que un usuario promedio pueda pensar que está hablando con un chat bot oficial. "Por si fuera poco, si seguimos con la conversación, vemos como se muestra la imagen de un paquete pendiente de entrega para darle más credibilidad al engaño".
La estafa cobra fuerza a partir de este punto, cuando el chat bot pregunta al usuario si quiere recibir el paquete en una dirección privada o comercial para, acto seguido, explicarle que tiene que proporcionar sus datos personales y una dirección de entrega porque la etiqueta del paquete es ilegible. Además, se le indica que la información del supuesto remitente también es ilegible por lo que debe pagar una cantidad inferior a tres euros para poder realizar la entrega.
"Llegados a este punto, muchos usuarios pueden pensar que, en efecto, tienen un paquete pendiente de recibir y que, a pesar de que los datos del destinatario y el remitente están incluidos en el sistema de gestión de paquetes al realizar el envío y, por tanto, no es necesario consultarlos en la etiqueta para realizar la entrega, deben proceder a proporcionar la información solicitada en el siguiente formulario", prosigue.
Albors termina advirtiendo que, en el caso de que alguien complete el formulario, la información quedará en manos de los ciberdelincuentes, que podrán usarla para otro tipo de ataques más dirigidos. Además, apunta que si el usuario pulsa en el botón de continuar no aparece ninguna otra pantalla en la que introducir los datos de su tarjeta bancaria para pagar el importe que nos solicitaban para entregar el paquete.
"Esto puede ser debido a que la web no estaba correctamente preparada, ya que también hemos observado un mensaje de error al acceder al formulario, por lo que es posible que esta campaña se retire o modifique en los próximos días".
Como conclusión, el director de investigación y concienciación de ESET avisa que los ciberdelincuentes no dejan de innovar para tratar de resultar más convincentes a la hora de engañar a los usuarios. "Por eso, debemos estar muy atentos a los detalles y desconfiar de correos y mensajes no solicitados, acudiendo a los canales oficiales en caso de dudas para evitar caer víctima de estos engaños", sentencia.