Este es una de las newsletters antiguas que se enviaron de forma exclusiva a los miembros del Club Negocios Seguros, y que se liberan públicamente un mes más tarde.
El Club Negocios Seguros está actualmente, y de forma temporal, cerrado, por lo que no se admiten nuevos miembros
*******
Negocios Seguros
Imagínate recibir de manera totalmente gratuita este tipo de historias directamente en tu correo.
Te envío cada lunes a las 7am un email con toda la actualidad sobre tecnología, seguridad y negocios digitales.Newsletter 910
**********
La semana pasada publicaba por estos lares cómo, en un viaje en transporte público, había asistido en directo a ver cómo estaban estafando a una persona por whatsapp.
La historia la tienes por aquí enlazada, así que no me voy a repetir mucho.
En ese caso, como contaba, muy probablemente ese primer contacto fuera mediante TikTok (por lo que pude ver en el rato que pasé entretenido «espiando» a la víctima), y de ahí saltarían a WhatsApp con pura ingeniería social.
Pero pensando en ello, no sé si te has dado cuenta de que desde hace unos meses, de vez en cuando, quizás llegue a tu número de teléfono algún mensaje fraudulento.
¿El ya clásico? Ese timo que te comenté hace unas semanas, en las que alguien te ofrece un trabajo muy sencillo que puedes realizar desde casa.
Cada semana nos llegan a CyberBrainers varios casos de víctimas semejantes.
Está pegando fuerte, así que ojo.
Pero lo importante es que te llegan esos mensajes sin que tú hayas dado proactivamente tu número de teléfono a nadie.
Aquí está el quid de la cuestión.
¿Cómo demonios los cibercriminales llegan a tu teléfono si previamente no hubo esa fase de captación inicial?
En algunos casos, siendo sinceros, ya la hubo anteriormente.
Basta con que «participes» en algún timo anterior para que ya estés fichado como potencial víctima para futuras campañas.
Pasa con las campañas de phishing vía email, donde más te vale no abrir ni tan siquiera uno de estos timos, ya que entonces pasas a estar en la lista de futuros.
Y también pasa con las campañas vía privados en servicios de mensajería instantánea como WhatsApp, o redes sociales como instagram.
Pero es que también existe otra manera de conseguir esos números de teléfono, y de automatizar todo el proceso.
Te la cuento por aquí.
1.- Scraping web
El primer paso es esperable.
Básicamente, la idea es obtener miles de números de teléfono y estructurarlos en una base de datos.
¿Cómo se hace esto? Pues utilizando búsquedas en Google.
Básicamente, para ello, es necesario primero entender cómo funcionan las numeraciones de teléfono en cada país, y con ellas, intentar descubrir qué números están activos.
Para ello, se crea un script que automatice la creación de números de teléfono en los rangos de números asignados a cada operadora.
¿Es que cada operadora de telecomunicaciones tiene unos rangos específicos? Pues así es.
Telefónica tiene los suyos, Orange los suyos…
De hecho, todo esto puede ser revisado en propia web de la CNMC.
Y en el resto de países, pues más de lo mismo.
Recientemente Iván Castañeda explicaba cómo funcionaba uno de estos scripts enfocado a México (su país de origen):
Luego utilizan un script para obtener números aleatorios dentro de la secuencia 7774940000 al 7774949999 que obtuvieron del navegador. En este caso, generan 200 números en un archivo CSV para identificar quiénes tienen cuenta de WhatsApp:
— Ivan Castañeda (@ivancastl) March 11, 2024
Por ejemplo:
nombres =… pic.twitter.com/PtRl91yGRh
Gracias a esto, obtienen un listado en excel (.CSV) con los potenciales teléfonos de miles de personas.
2.- Importación a un teléfono
Con ese listado, el siguiente paso es uno tan sencillo como importar masivamente todos esos números a una cuenta de Google mediante Google Contacts.
Como ya obtuvieron un CSV en el paso anterior, esto es tan sencillo como entrar en la página de Contactos de Google con la cuenta que se usará para realizar el ataque, seleccionar el archivo, y darle a importar.
(Ejemplo de listado de potenciales víctimas subido a Google Contacts)
Gracias a ello, ese listado pasa a ser automáticamente una agenda de contactos en un terminal Android, lo que nos va a permitir pasar al tercer y último paso.
3.- Integración con WhatsApp y OSINT básico
Ya con la agenda actualizada, basta con abrir en ese terminal asociado la cuenta de WhatsApp, y darle a actualizar contactos.
De esta manera, sabemos a ciencia cierta quienes, de todo ese listado anterior, eran realmente usuarios de Whatsapp.
Y, para colmo, los perfiles de estos usuarios suelen dar muchísima más información de la que muchos pensarían.
De hecho, un servidor, que suele responder WhatsApp que nos llegan al teléfono de la empresa, no tiene dificultad alguna en llamar por su nombre a la persona que nos contacta, ya que por razones obvias, la mayoría tiene puesto tanto su foto como su nombre, e incluso en el caso de negocios, la web y más información como dónde está el local, su horario o a qué se dedican, en el perfil.
Digo esto último porque aunque es cierto que la mayoría de estos ataques se automatizan (explicaré ahora cómo se hace), lo cierto es que a poco que quieran mejorar la tasa de éxito se pueden personalizar una barbaridad.
Porque esa es otra.
No es necesario que el cibercirminal vaya uno por uno mandando mensajes a todo ese listado.
Para ello, existen herramientas que se sincronizan con el WhatsApp y permiten la automatización de envíos, emulando incluso un uso más o menos aceptable (envíos cada ciertos minutos, cambiar el nombre u otros campos para personalizarlos…).
Un servidor, por ejemplo, ha implementado varias de estas herramientas en empresas dedicadas al marketing y la comunicación, o simplemente negocios que requieren avisar a sus clientes cuando algo pasa (por ejemplo, típico peluquero o dentista que envía un día antes el recordatorio de cita por si hubo cambios de última hora).
Bien usadas, pueden ser una gran herramienta para los clientes.
Pero mal usadas… pues eso, pueden servir para automatizar ataques.
Así pues, por aquí te dejo las maneras en las que la industria del cibercrimen accede a tu número de teléfono sin previamente habérselo dado a nadie.
Es de esperar que en el futuro WhatsApp habilite algún tipo de cuenta no asociada a números de teléfono. Pero mientras tanto, el propio sistema es débil frente a ataques de descubrimiento, como es el caso.
Servicio de asesoramiento a víctimas de fraude
Desde CyberBrainers ofrecemos un servicio de asesoramiento a víctimas de cualquier tipo de fraude cibernético.
Gracias a él, revisamos cada caso por separado, te explicamos qué opciones tienes, y te ofrecemos soporte en aquello que necesites (ayuda legal, asesoramiento técnico para evitar problemas futuros…).
Además, si hay posibilidad de recuperar el dinero robado, te ayudamos con la recuperación.
Si has sido víctima de alguno de estos timos, ponte en contacto con nosotros y revisaremos el caso.
Qué hacer para evitar ser víctima de fraudes
- 3 elementos que delatan a las campañas de phishing o fraude por email
- Qué hacer en caso de haber sido víctima de un fraude
- Cómo recuperar el dinero que nos han robado
- Cómo nos protegemos de los fraudes en Internet
- Cómo saber si esa persona con la que chateamos es quien dice ser
- El papel de los muleros en el cibercrimen
- Así de fácil es caer en una campaña de phishing
Otros fraudes que deberías conocer
- El día que ligué con una capitana del US Army (fraude de la novia rusa)
- Cómo estafaron a mi pareja con un producto vendido en Instagram
- Cómo funciona el timo de la inversión en Trust Wallet
- Cómo funciona el timo basado en la extorsión para no divulgar contenido de índole sexual/pornográfico
- Cómo funcionan los fraudes basados en SMSs Premium
- Cómo funciona el timo de: «Tengo fotos tuyas, paga o difundo»
- Cómo funcionan los fraudes de descarga de libros o películas GRATIS
- Cómo estafaron a mi madre con un producto vendido por Wallapop
- Cómo funciona el robo de cuentas de WhatsApp y para qué se utiliza
- Cómo funciona la estafa del pellet
- Cómo funciona el fraude que se hace pasar por una notificación de la DEHÚ
- Qué tipos de fraude por Wallapop existen
- Cómo me intentaron estafar con el alquiler de un piso
- Cómo funcionan los fraudes por Facebook
- Cómo funciona el timo de la compra de fotos o arte NFT
- Cómo me estafaron 400 euros con un producto vendido en Amazon
- Cómo funcionan los fraudes basados en iCloud
- Cómo funciona la estafa del chulo y las prostitutas
- Cómo funciona el fraude de BlaBlaCar
- Cómo funcionan las estafas de criptomonedas de tipo Rug Pull
- Cómo funciona el fraude del viejo contacto
- Cómo funcionan los fraudes dirigidos a creadores de contenido
- Cómo funciona el fraude del incumplimiento de copyright con imágenes
- Cómo saber si ese producto de Apple que estás comprando es verdadero o falso
