En sus campañas de phishing los cibermalos suelen hacerse pasar con frecuencia por compañías de transporte y enviar mensajes falsos indicando a las víctimas que tienen un paquete y que deben introducir sus datos para reclamarlo o bien hacer un pago pendiente para recibirlo.
Las mayores empresas de logística del mundo están en el punto de mira de los cibermalos con frecuencia, como demuestra esta noticia. La filial canadiense de UPS (United Parcel Service) ha alertado a sus clientes el país de que ha sufrido una violación de datos que podría haber comprometido su información personal.
El asunto lo ha hecho púbico el analista de amenazas Brett Callow en su cuenta de Twitter. Este cuenta cómo recibió una carta física de UPS en la que le informaban sobre la violación de datos.
El escrito empieza explicando a los afectados qué es el phishing y el smishing antes de ir a lo mollar: el incidente de ciberseguridad relativo al gigante de la paquetería.
Una explicación enrevesada
La carta indica que tras una investigación interna UPS descubrió "un método por el cual una persona que buscaba un empaquetador o hacía un mal uso de una herramienta de búsqueda de paquetes podía obtener más información sobre la entrega, lo que podría incluir el número de teléfono del destinatario".
Esta explicación que puede resultar bastante enrevesada y confusa a cualquiera que no sepa cómo funciona la operativa interna de la empresa viene a decir que alguien encontró una forma de entrar en su página web, obtener los números de teléfonos de los clientes y obtenerlos para ataques de phishing a través de SMS.
Desde Bleeping Computer se pusieron en contacto con la empresa de logística, pero su respuesta no ha aportado demasiada luz a lo sucedido.
“UPS está al tanto de los informes relacionados con un esquema de phishing de SMS ('smishing') centrado en ciertos transportistas y algunos de sus clientes en Canadá. UPS ha estado trabajando con socios en la cadena de entrega para comprender cómo se perpetró ese fraude, así como con las fuerzas del orden y expertos externos para identificar la causa de este esquema y ponerle fin”, han señalado.
So @UPS_Canada sent me a letter about phishing and smishing. Turns out it wasn't simply intended to be educational. In the 4th paragraph, it became apparent that it was actually a data breach notification. 1/2 pic.twitter.com/lw7PI7HORI
— Brett Callow (@BrettCallow) June 21, 2023