Alerta sobre estafas de entrega de paquetes
Las campañas de phishing relacionadas con la entrega de paquetes han proliferado a nivel mundial, utilizando nombres de diversas empresas de mensajería. En Estados Unidos, los mensajes suelen hacerse pasar por USPS, informando que un paquete tiene una dirección inválida o no pudo ser entregado. En Europa, se imitan a empresas como Colissimo y Chronopost en Francia, Correos en España, Poste Italiane en Italia y PostNL en los Países Bajos.
Método de la estafa
Un reciente ataque dirigido a clientes de bpost, el servicio postal belga, comienza con un correo electrónico que afirma que un paquete no ha sido entregado debido a que no se han pagado €4.95 en derechos de aduana. Este mensaje, que puede parecer inofensivo, busca que el destinatario visite un sitio web fraudulento y proporcione información personal y financiera.
Por ejemplo, el asunto del correo en inglés dice: "Paquete no entregado—derechos de aduana pendientes (número de seguimiento: 3232116291***)." Este tipo de mensajes, que incluyen detalles como una pequeña tarifa, son diseñados para que los usuarios actúen sin pensar demasiado.
Funcionamiento del fraude
El enlace en el correo redirige a una página falsa de bpost a través de un servicio de acortamiento de URL. La campaña empleó varios dominios fraudulentos, todos ellos imitando el aspecto y la marca de bpost. En la página, se muestran afirmaciones de seguridad como "Conexión SSL segura" y "Cumplimiento de SEPA", que son engañosas y no garantizan la seguridad del sitio.
Una vez en la página, se solicita al usuario que introduzca su nombre, número de teléfono, dirección de correo electrónico y edad, antes de requerir información más sensible como el IBAN, el número de tarjeta y la fecha de caducidad. Estos datos pueden ser utilizados para realizar compras fraudulentas o vendidos a otros delincuentes.
Precauciones para protegerse
Para evitar caer en estas trampas, es crucial verificar de forma independiente las reclamaciones de entrega. Lo recomendable es abrir la aplicación oficial de la empresa de mensajería o introducir su dirección web en el navegador, utilizando el número de seguimiento proporcionado.
Además, hay que prestar atención al remitente y al dominio del correo. Un mensaje puede utilizar el nombre de una empresa de mensajería, pero provenir de una dirección de correo electrónico sospechosa o vincularse a un dominio diferente. También es importante desconfiar de cualquier solicitud de información financiera extensa, especialmente si se relaciona con una pequeña tarifa de entrega.
Si se ha ingresado información bancaria en un sitio sospechoso, se debe contactar de inmediato con el banco o proveedor de tarjetas. Es recomendable congelar la tarjeta afectada si la aplicación bancaria lo permite, monitorear las cuentas en busca de transacciones inusuales y cambiar cualquier contraseña utilizada en el sitio fraudulento.
Herramientas para identificar estafas
Malwarebytes está monitorizando y bloqueando estas campañas a medida que aparecen. Para quienes tengan dudas sobre un mensaje, Scam Guard, integrado en Malwarebytes para Windows, Mac, Android e iOS, puede realizar un análisis. Solo es necesario copiar el mensaje o el enlace, o subir una captura de pantalla para recibir una evaluación instantánea.
La prevención es clave para no convertirse en víctima de estas estafas. Verificar antes de hacer clic puede ser una medida eficaz para proteger la información personal y financiera.