Unos ciberdelincuentes polacos han creado una estafa altamente elaborada que implica apoderarse de la cuenta de Facebook de un usuario para vaciar su cuenta bancaria a través de ella, y después enviar los fondos a carteras de Bitcoin. Este esquema ha sido descubierto por los investigadores de BadCyber.

A simple vista podría parecer un esquema de ciberdelincuencia como cualquier otro, pero se trata de una estafa altamente intrincada y laboriosa. Para empezar, los crackers se apoyan en técnicas de malware y phishing para obtener los datos de usuario que dan acceso a las cuentas de Facebook.

Lo siguiente es acceder al entorno cercano de la cuenta secuestrada. Para ello registran su registro de chats, y se ponen en contacto con contactos numerosos pidiéndoles que envíen una pequeña cantidad de dinero, casi insignficante. Polonia es un país cuyas compras online están controladas por servicios de intermediarios que permiten la compra sin tarjetas de crédito, con lo que estas peticiones son comunes.

Cuando un contacto ha accedido a realizar la transacción, entonces los crackers envían un enlace malicioso que dirige a las víctimas a una página que reproduce exactamente a la de uno de estos intermediarios de pago. Allí se pide al usuario que complete el pago introduciendo un código que se le envía por SMS.

Y aquí es donde empieza la parte interesante. El SMS pide la aprobación de la transacción, pero los atacantes descubrieron cómo modificar el texto subrepticiamente para autorizar una "transferencia de confianza". Este procedimiento permite a los usuarios enviar fondos a cuentas concretas sin medidas de seguridad adicionales.

Los investigadores de BadCyber estiman que cuesta aproximadamente 15 minutos vaciar una cuenta bancaria comprometida y transferir todos los fondos robados a carteras Bitcoin anónima. No está claro aún el alcance del ataque, pero los investigadores creen que seguramente a lo largo de esta semana se podrá tener un alcance estimado.

Lo que hace a este timo "especial" según los investigadores es que queda fuera del control de los bancos. Se puede vaciar una cuenta bancaria y convertirla en bitcoins sin que se enteren, precisamente por la ausencia de medidas de seguridad que acompañan a estas transacciones.

Vía | BadCyber

https://www.genbeta.com/seguridad/estos-crackers-saben-como-vaciar-una-cuenta-bancaria-y-convertirla-en-bitcoins-a-traves-de-facebook