#MundoHacker: Cómo intentaron estafar a mi madre con un anuncio de segunda mano

anuncio thermomix

Desde que el año pasado ligara con la Capitana Kristen Griest del ejército de EEUU, y que al final nuestro amor fuera imposible (¡sic!), tenía ganas de traer otra de estas aventuras por los mundos del timo digital.

Por supuesto, desde entonces varias mujeres han caído bajo el increíble atractivo de mi correo personal, pero ya sabe que como el primer amor no hay nada :).

Esta vez vuelvo con otro tema distinto. El caso es que creo que todos por aquí somos conscientes de que los portales de segunda mano y las plataformas de alquiler de pisos son un caldo de cultivo perfecto para la proliferación de timos. Ya he hablado sobre ello con anterioridad, incluso contando mi propia experiencia al respecto, pero lo que todavía nunca me había encontrado era el paso contrario: que el timador fuera el que compra, no el que vende.

La Thermomix de mi madre

¿Sabe eso que se suele decir de que para cada uno nuestra madre es la que mejor cocina del mundo? Pues en mi caso se cumple, y además, es verdad :). Le encanta la cocina y tiene buena mano, vaya.

Pues bien, la mujer tiene ya desde hace unos años uno de esos primeros modelos de Thermomix, el robot de cocina que más publi ha tenido en el mundo entero. Y digo que lo tiene desde hace unos años y no que lo usa porque es la pura verdad. Es más, durante casi un año lo he tenido yo en Madrid precisamente para intentar darle algún sentido a su existencia (ha cogido más polvo el pobre…), enviándolo de nuevo a su legítima dueña hace unos meses para que al menos cambiara de estantería.

Pero claro, una cosa es la realidad objetiva y otra la distorsionada que nos creamos de manera autocomplaciente. Y así es como entra en escena el nuevo modelo de Thermomix, que además de hacer todo lo que ya hacía más que solventemente el anterior, hace más cosas (puedes llegar a cocinar TRES PLATOS a la vez, una cosa muy útil para las dos personas que viven en casa), y para colmo cuenta con UNA PANTALLA QUE TE MUESTRA LA RECETA (es decir, puedes mirar a una pantalla en vez de tener que mirar al libro de recetas de toda la vida).

¿El único pero? Que cuesta 1200 pavos. Pero tranquilo, que la empresa te da hasta un máximo de 400 euros por tu antigua y desfasada Thermomix. Esa que hace casi todo lo que hace la nueva.

Ha sido enterarse mi madre y, como buena asturiana, se ha empecinado en que la necesita para vivir. Aunque no haya utilizado esa versión desfasada durante meses. Quizás incluso la razón era esa… Y por ese mismo motivo, a sabiendas que tiene en casa un aparato que funciona a las mil maravillas y que apenas ha sido usado, ha estado probando suerte en servicios de segunda mano por ver si podía venderla por encima de los 400 que da la empresa a particulares.

La mujer puso anuncios en varias de estas plataformas (por cierto, para proteger su privacidad, la imagen destacada de este artículo no es la original), y aquí empieza lo bueno.

Entra en juego “La ingeniero de petróleo”

Vamos a llamarla así porque por aquel entonces todavía no sabía el nombre que supuestamente tiene. De hecho, presupongo por su imagen del perfil de WhatsApp (he buscado por Google Images por ver si era una foto robada pero no he encontrado coincidencias) que se trataría de una mujer, aunque como veremos por los mensajes que nos hemos enviado, bien podría ser de cualquier género, de ninguno, o incluso de ambos a la vez.

Además, la última actualización de estado fue el 18 de noviembre, y tiene el “Hey there! I am using WhatsApp.” (qué tiempos aquellos :)), lo que quiere decir que nunca se lo ha cambiado, y que por tanto la cuenta (y el número de teléfono) apenas tienen unos escasos meses de vida. Algo que no es definitorio (podría haber cambiado de número hace poco o directamente es de las primeras veces que está utilizando WhatsApp), pero que concuerda con lo solemos encontrar en una banda del cibercrimen (renuevan los números cada cierto tiempo ya que acaban siendo fichados por la policía).

La conversación por WhatsApp fue tal que así:

[15/2/2017] La ingeniero de petróleo: veo su articulo el segundamano (Thermomix TM31)esta todavia disponible para la venta
[15/2/2017] Mamá: Si. Puedes venir a verla, si quieres
[15/2/2017] La ingeniero de petróleo: ¿Cuánto es el precio final
[15/2/2017] Mamá: 600€
[15/2/2017] La ingeniero de petróleo: Estoy satisfecho con el precio de € 600. , no puedo llegar a ver la mercancía. Soy un ingeniero de petróleo, ahora mismo estoy en un bosque en uk y va a estar aquí durante 13 semanas. Sólo puedo pagar a través de PayPal y hará los arreglos para un agente que se vaya a su casa a recoger la mercancía. Envíeme su dirección
para que pueda contactar con un agente para el cálculo de los gastos.
[15/2/2017] Mamá: No tengo cuenta de PayPal. Si te interesa hay otras opciones.
[15/2/2017] Mamá: Un giro postal o al recoger la thermomix
[15/2/2017] La ingeniero de petróleo: sólo puedo hacer el pago a través de mi cuenta de PayPal en este momento
[15/2/2017] Mamá: No tengo cuenta, pero mañana paso x mi banco y pregunto
[15/2/2017] La ingeniero de petróleo: Paypal es muy seguro para las transacciones en línea y es un sitio web autorizado para su Gobierno, porque es bueno para cualquier transacción en línea es más rápido, más seguro, más fácil de obtener dinero y usted puede abrir una cuenta con ellos en sus www.PayPal.es sitio web .. ... volver a mí con el correo electrónico se utiliza para abrir una cuenta con ellos, y tan pronto como
recibir esto de ti ... Voy a hacer la transferencia a su cuenta de PayPal ... y hacer esto rápido y volver a mí rápidamente
[15/2/2017] Mamá: Mañana ya mando a mi hijo que haga la cuenta. Y luego te digo
[15/2/2017] La ingeniero de petróleo: ok

Todo con mucho sentido, como puede observar. Al parecer en ese bosque de UK solo llega conexión para PayPal, no para hacer una transferencia bancaria desde el portal web o la aplicación del móvil, ni mucho menos un contrareembolso, que ni necesita conectividad. Al menos, eso sí, el teléfono es inglés.

Pero oye, que lo mismo es que soy un mal pensado, así que después de que mi madre me llamara para preguntarme qué me parecía la cosa, le dije que seguiría yo conversando con la supuesta “ingeniero de petróleo”.

Para ello cree una cuenta de WhatsApp con un número que no estoy utilizando y una cuenta de correo. Estuve a punto de crearme una cuenta de PayPal pero, sinceramente, ¿para qué la iba a necesitar? 😀

Y raudo y veloz me puse en contacto con la susodicho.

[15/2/2017] Mi otro yo: ?Hola Soy David, la hijo de el mujer que vendía la termomix
[15/2/2017] Mi otro yo: me dice que querer hacer pago por paypal? verdad
[15/2/2017] Mi otro yo: ?cómo lo ejectuar ambos
[15/2/2017] La ingeniero de petróleo: Quiero que vuelvas a mí con esta siguientes datos para proceder con el pago
Su dirección de correo electrónico de PayPal
Tu nombre completo
Su dirección completa con el código postal
[15/2/2017] Mi otro yo: ?pero una vez pagada como llego la termomix a su bosque de uk

Un parón que me dejó en vilo hasta las 7 de la mañana del día siguiente…

[16/2/2017] Mi otro yo: hola???
[16/2/2017] La ingeniero de petróleo: si
[16/2/2017] Mi otro yo: usted ace el ingreso pero ?como lo recoge la termomix
[16/2/2017] Mi otro yo: Tengo un agente privado de mensajería que vendrá para la selección después del pago se han hecho ..
[16/2/2017] Mi otro yo: y las gastos de envio los cubre usted la ingeniero de petroleo?
[16/2/2017] Mi otro yo: seria 600 + gastos de envio? no
[16/2/2017] Mi otro yo: como sabemos gastos de envio cuanto?hay
[16/2/2017] La ingeniero de petróleo: usted digame Tu nombre completo Su dirección completa con el código postal
[16/2/2017] Mi otro yo: calle corrida 12, 5ºE, Gijon, 33201, Asturias, España estado de Europa
[17/2/2017] Mi otro yo: ?hola

Calle real de Gijón (en serio, existe (ES)), y dirección ficticia (lamento los problemas que pueda ocasionar a los inquilinos, suponiendo que el portal 12 tenga un quinto piso y la escalera llegue hasta el E…).

De nuevo otro parón. Para estar en un bosque de Reino Unido, que tiene una diferencia horaria de una hora con España, parece que solo está disponible en el WhatsApp por las noches. ¡Qué casualdidad! Un mal pensado diría que lo mismo está en Rusia o algún país del este…

[18/2/2017] La ingeniero de petróleo: son €600 + €30 de gastos de envio. Todo ok. su dirección de correo electrónico de PayPal para proceder con el pago.
[17/2/2017] Mi otro yo: Perfect. David****@gmail.com

Mantengo en anonimato mi alterego para que no lo me lo stalkeéis, pillines :).

Tenía todo lo que necesitaba. En apenas unos minutos me llega la confirmación de PayPal. Por aquí un pantallazo.

paypal fail

Vaya, que al final iba a ser yo el malpensando… La pobre… ¡Sofia! (¡era mujer!) me había hecho el ingreso correctamente. ¡Y sin ni siquiera tener cuenta de PayPal!

Estos de PayPal son la pera limonera, ¿verdad? Además, se cubren las espaldas con eso de que si todavía no ve el dinero en la cuenta, que sepa que puede tardar unos minutos.

Pero mientras, la ingeniero de petróleo Sofia me suelta la parrafada padre por WhatsApp. Cualquiera diría que está utilizando copy/paste en WhatsApp Web para poder estafar a diferentes usuarios de una manera más cómoda:

[16/2/2017] La ingeniero de petróleo Sofia: Acabo de terminar el pago de las mercancías y estoy seguro que usted ha recibido la confirmación de PayPal con respecto al pago, usted puede comprobar su email paypal para la confirmación del pago. La mercancía sería recogido por la empresa de transporte marítimo de Mediterráneo que he estado utilizando durante un tiempo y son muy confiables. Hice un pago adicional de 210eur y estoy seguro de que se dio cuenta de que, tendrá que enviar el importe extra a la empresa de transporte marítimo a través de Western Union de inmediato, para que puedan venir por delante para la recogida y también debe enviar su dirección Donde tienen que venir para la recolección y también la información de pago de Western Union necesaria. Necesitaré que envíe el fondo en exceso a mi oficina de reclutamiento donde normalmente confirman cualquier pago de comisión. Aquí está mi agente de recogida de información de la sede necesaria para enviar el dinero a través de Western Union. Agente Nombre: Robert Jr. Dirección: 11 Press RD, Uxbridge UB8 1AT, United Kigdom. Estoy seguro de que tiene todo mi nombre y dirección para todas las documentaciones relacionadas con las mercancías, y todas las demás documentaciones deben ser preparadas por mi Agente de Recogida. Usted debe enviar el dinero pronto para que la recogida se programaría y usted sabría cuando comenzaría la recogida, asegúrese de que está en casa. Le aconsejo que compruebe su bandeja de entrada o la carpeta basura / spam para el mensaje de confirmación de pago. Así que asegúrese de enviar el importe extra a la compañía de envío de inmediato para que pueda obtener su dinero inmediatamente. Es agradable hacer negocios con usted.
[16/2/2017] Mi otro yo: lo quee?

Así que por aquí está la trampa.

Al parecer tengo que hacer un ingreso de 210 euros por Western Union (qué curioso, ¿verdad? Justo el servicio típico para realizar transacciones al margen de los canales oficiales) a un tal Robert Jr. que es de la ¿oficina de reclutamiento?, para que pueda certificar mi dirección y enviarme a una empresa de transporte marítimo (al menos en Gijón hay puerto, jajaj) a recoger la Thermomix. Pero vamos, que esos 210 euros extra ya me los ha pagado ella de antemano.

Todo tiene mucho sentido.

Es totalmente creíble que una ingeniero de petróleo inglesa quiera comprar una Thermomix en España pagando 200 y algo euros más de su precio para contratar a una compañía que se dedica al transporte a gran escala, y que además sólo ofrecen Western Union como forma de pagar su trabajo. La Thermomix, como todo el mundo sabe, es un aparato de cocina que necesita de un contenedor naval entero para transportarlo a un nuevo domicilio…

direccion tapadera

Lo más simpático de todo es que la dirección que me da parece que pertenece a una casa privada que, al menos cuando se sacaron las fotos en Google Maps, estaba en venta.

paypal fail direccion

Pero, por supuesto, los indicios que se trata de una estafa estaban ya en el email de confirmación de PayPal. No solo porque ni siquiera tengo cuenta, sino porque si se fija, donde debería ir el nombre del emisor (por ejemplo, PayPal), han colocado una supuesta dirección de correo (service@intl.paypal.com), y seguido tenemos entre corchetes la dirección real desde donde lo envían (servicemaill32@mail2world.com).

vividor folladorUna cuenta de correo genérica creada lo más probable en serie (ese 32 del final lleva a pensar que están cada poco creando nuevas conforme los servicios de correo las van tachando de spam) para realizar este tipo de ataques de phishing. 

Ya puedo esperar sentado a que me llegue el dinero a la cuenta, ya…

Intenté ligar un poco con la ingeniero (qué foto más guapa tienes, podíamos quedar para hacer tiki-taka algún día…) pero el susodicho acabó por darse cuenta de que le estaba tomando el pelo y me ha bloqueado en WhatsApp (snif, snif,…).

Eso, o mi foto de vividor follador no le ha gustado.

Pero qué se la va a hacer, :).

Marchando algunas conclusiones

El corolario de todo esto debería ser trivial:

  • La industria del cibercrimen siempre encuentra maneras ingeniosas de llevar a cabo sus fraudes: En este caso se basan en varios de los principios básicos de la ingeniería social. El argumento de urgencia (tengo que hacer el pago inmediatamente), en el uso de canales alternativos que ya cuentan con la confianza del usuario (si a priori nos ofrecen realizar algo por Western Union lo mismo desconfiamos, pero han comenzado con PayPal, un servicio considerado seguro ampliamente conocido), y en la presión ante posibles represalias si me intento echar para atrás (no puedo hacerlo ya que ya me han pagado y para colmo saben dónde vivo) para forzar a la víctima a seguir con el timo. Nunca nada es tan urgente como para tener que hacerlo antes de que en efecto tengas claro que todo es correcto. Y antes de entrar en la espiral de extorsiones que de seguro intentarán realizar una vez piques en el anzuelo, lo mejor es directamente avisar a la policía.
  • El usuario es por definición confiado: La mayoría de potenciales víctimas habrían visto el email y puesto que el diseño luce exactamente igual que el de PayPal, hubieran dado por correcto el pago. Y lo mismo pasa con los SMS o los emails de transferencia realizada del banco. Siempre, siempre, tenemos que cerciorarnos en nuestra cuenta que está en efecto realizado, no únicamente a nivel de notificación por canales que pueden haber sido corrompidos como es el email, como puede ser una imagen o un documento adjunto, o como puede ser un SMS enviado desde un servicio de envío masivo de mensajes.

Espero que sirva para futuros incautos. Por defecto desconfiar de todo lo que suene demasiado poco creíble, tanto si nosotros somos los que ofertamos como por supuesto si somos los que demandamos.

Los milagros a Lourdes, que dirían en mi tierra.

Y por cierto, si alguien busca una Thermomix en perfecto estado… ya sabe :).

 

________

Puede ver más artículos de esta serie en #MundoHacker, donde tratamos en varios tutoriales las medidas para atacar y/o defenderse en el mundo digital.

Y si el contenido que realizo le sirve en su día a día, piense si merece la pena invitarme a lo que vale un café, aunque sea digitalmente.

hazme patrono pabloyglesias