Se descubre un nuevo método de phishing dirigido a usuarios de Android e iPhone.
Una nueva técnica de phishing ha sido desarrollada para atacar a clientes de bancos.
Se ha identificado un nuevo método de ataques de phishing dirigido a clientes bancarios, según un reciente estudio. La investigación reveló que estos ataques se centran principalmente en usuarios de iPhone y Android, aprovechando la técnica de engañar a las víctimas para que descarguen Progressive Web Applications (PWA) bajo la apariencia de aplicaciones legítimas.
Las PWAs son sitios web diseñados para funcionar como aplicaciones independientes, logrando una apariencia de verificación a través de mensajes del sistema nativo. Este tipo de aplicaciones evita que el usuario tenga que permitir la instalación de terceros, ya que los sitios de phishing en iOS se disfrazan como páginas de aplicaciones populares y persuaden a los usuarios para que añadan la PWA a su pantalla de inicio. En última instancia, las PWAs funcionan como una aplicación móvil normal. Sin embargo, en el caso de Android, eludir la autorización para instalar aplicaciones de terceros permite que se realice una instalación silenciosa de paquetes (APK), que parece ser originaria de Google Play Store.
En cuanto a la entrega de los enlaces maliciosos, la campaña utilizó tres mecanismos diferentes: llamadas telefónicas, mensajes SMS y publicidad maliciosa, afectando a clientes en la República Checa, Hungría y Georgia. Dependiendo de la táctica empleada, el botón de instalación o actualización redirigía a una descarga de una aplicación maliciosa directamente al dispositivo del usuario, ya sea en forma de WebAPK para Android o PWA, eludiendo las advertencias del navegador sobre "la instalación de aplicaciones desconocidas".
Las llamadas telefónicas alertaban a las víctimas sobre una supuesta desactualización de su aplicación bancaria y les solicitaban elegir una opción numérica; al hacerlo, recibían un enlace de phishing por mensaje de texto. Por otro lado, las entregas vía SMS enviaban mensajes a números checos que incluían enlaces de phishing indiscriminadamente, mientras que la campaña publicitaria se realizaba a través de anuncios registrados en plataformas como Meta (Facebook e Instagram), que instaban a las víctimas con acciones atractivas, como ofertas limitadas para aquellos que "descargaran una actualización".
Con informes recientes mostrando que actores similares están utilizando versiones falsificadas de aplicaciones populares de Android con métodos cada vez más sofisticados, se espera que surjan copias de estas aplicaciones. Por lo tanto, se aconseja a los usuarios mantenerse alerta. La mejor manera de proteger los datos es asegurándose de descargar aplicaciones solo de fuentes legítimas y ser precavidos con cualquier enlace proveniente de desconocidos.
- seguridad informática
- phishing
- aplicaciones móviles
