Ingeniería social y las estafas informáticas

Las estafas informáticas se están volviendo cada vez más sofisticadas, pero en casos específicos, nada es más efectivo que una llamada telefónica. Con un poco de “labia” sumada a la ignorancia de la víctima, estos estafadores pueden llegar a robar cientos de dólares en pocos minutos, y si algo sale mal, sólo tienen que cortar y repetir el proceso…

“Buenas tardes, estoy llamando del departamento de Soporte Técnico de Microsoft. Me comunico con usted para informarle de la presencia de un virus en su sistema. Nuestros servidores han registrado esta infección en los últimos días, y después de confirmar que se trata de un ataque real, nos vemos en la necesidad de entrar en contacto y reportar la situación…” Estoy seguro de que nuestros lectores probablemente comiencen a reírse a carcajadas y respondan con alguna expresión muy colorida antes de colgar el teléfono, pero hay muchas personas que entrarían en pánico si reciben una llamada así. ¿Cuánto tiempo me tomó pensar esa introducción? Treinta segundos como mucho, sin embargo, ese no es el punto. Los famosos secuestros o accidentes virtuales son dos ejemplos nefastos de ingeniería social, pero al igual que sucede en las estafas informáticas, requieren la completa ignorancia de la víctima.

Ahora, ¿qué pasa cuando esa ignorancia no existe, y la teórica víctima está al tanto de lo que sucede? Bueno, si hay algo que los estafadores odian es perder el tiempo, y un excelente ejemplo fue publicado hace poco más de un año por la gente de Malwarebytes. La primera maniobra es ofuscar el número telefónico del cual llaman, ya sea con bloqueo de Caller ID o con el uso de telefonía VoIP. En el ejemplo de Malwarebytes, el falso técnico hizo que el usuario explore elementos al estilo del Visor de Eventos, la carpeta Prefetch y la Utilidad de Configuración del Sistema, argumentando que todos los errores reportados, los archivos con extensión .pf y los servicios detenidos eran virus que debían ser borrados. La mejor parte es que los estafadores le hicieron descargar el módulo QuickSupport de TeamViewer, y abrieron remotamente su navegador con un enlace a una página de PayPal, en la cual demandaban un pago de 299 dólares para eliminar la amenaza.

La víctima no sólo comenzó a ingresar un número falso de tarjeta de crédito (lo que provocó varios errores en PayPal), sino que toda la situación se estaba llevando a cabo dentro de un entorno virtual. En otras palabras, el estafador se había convertido en estafado, y como “venganza”, trató de borrar archivos personales. Al ver que no había nada en el sistema, se conformó con insultar al usuario, desinstalar la tarjeta de red y dejar al sistema virtual sin conexión. La gente de Malwarebytes tiene una sección especial en su sitio (enlace más abajo) dedicada a identificar llamadas de falsos técnicos que quieren un billete fácil, y no estaría nada mal darle un vistazo, o por lo menos compartir el enlace. Como siempre, la primera línea de defensa eres tú: Si alguien llama en nombre de una compañía y dice que tu sistema tiene virus, malware, o cualquier otra cosa, cuelga el teléfono.