El sector financiero siempre es uno de los principales objetivos de los ciberdelincuentes y estos últimos días se han conocido nuevas campañas de phishing que han tenido como ganchos a dos conocidas entidades bancarias: ING y BBVA.
Según han explicado ambas instituciones, los atacantes se están dirigiendo a clientes y no clientes enviándoles un mensaje que les pone en alerta, suplantando su identidad. En el caso de ING, utilizan tanto el correo electrónico como los SMS y su mensaje varía en función de ello. Si es un e-mail, el texto dicta (con faltas de ortografía incluidas): "Estimado cliente, estamos teniendo problemas para verificar la información de su tarjeta de crédito. Lo invitamos a corregir este problema haciendo clic en el enlace de abajo ysiguiendo las instrucciones: www.banco-ing.es/ID388452001dff38323088qd4 Banco_ING".
Y si se envía como SMS, este es el mensaje que recibe el usuario: "Ing Banco S.A, a partir del 01/25/2021 No podra utilizar su cuenta, Tiene que activar el nuevo sistema de seguridad web desde : https://bit.ly/3sOtkMw".
En el phishing contra BBVA, que el pasado mes de agosto ya advirtió que los ataques se habían intensificado y habían evolucionado para ser "más sofisticados", los atacantes han utilizado como vía los SMS. Este era el aviso que enviaban a los usuarios: "BBVA : Debido a una actualización, hemos tenido que suspender su cuenta. Para desbloquearlo: (enlace a una web que simula pertenecer al banco)".
Si el usuario hace clic en alguno de estos enlaces, se le redirige a una página web que simula ser de ING o de BBVA con el objetivo de que introduzca sus credenciales, haciéndole creer que está accediendo a su banca privada. Con esta información, los atacantes podrían robar el dinero de sus víctimas. Además, pulsar en el enlace también puede resultar en la infección del dispositivo.
ING y BBVA alertan e investigan estos ciberataques
Como hemos señalado, tanto ING como BBVA han reportado estos ataques de phishing, pero no han aclarado las consecuencias que tiene para los usuarios que "pican" en ellos.
ING informó de ello en su cuenta de Facebook, donde lanzó este mensaje a los usuarios: "¡Alerta #Phishing! Hemos detectado este correo y SMS fraudulentos. Recuerda: 1. Si lo recibes, no accedas a ningún enlace y elimínalo; 2. Si tienes dudas, envíanoslo a: seguridad.internet@ing.com. Os dejamos algunos consejos para evitarlo: bit.ly/38LseZV".
Este enlace de ING ha generado confusión al tener el mismo formato que el phishing (bit.ly), pero dirige a una publicación de su web oficial titulada "Evita el phishing: que nadie pesque en tus cuentas". Entre los consejos que aporta para identificar este tipo de ataques se encuentran prestar atención al dominio; fijarse en el destino de los enlaces; usar la contraseña de Validación Móvil solo en su app; y no olvidar que los bancos nunca piden las claves completas o "que entres en tu cuenta de forma urgente".
Desde BBVA, por su parte, han asegurado que se encuentran monitorizando el ataque de phishing en el que se ha visto envuelto.