En las últimas semanas, usuarios de Twitter han alertado sobre una nueva estrategia de phishing enfocada a clientes del B.O.D. (Banco Occidental de Descuento), el cual consiste en enviar un correo electrónico solicitando actualizar los datos del servicio «ContactoAmigo» de B.O.D. Fuera del hecho que dichos ataques de phishing son comunes y buscan captar cuentas no sólo bancarias sino de buzones electrónicos y redes sociales, lo resaltante en este caso es que este correo de phishing está siendo enviado desde un servidor asociado al gobierno Venezolano, específicamente el Instituto Nacional de Tierras (INTI). Un miembro del Equipo Técnico de Comunicas recibió de primera mano uno de estos correos, y se pudo estudiar en detalle la amenaza.
La primera clave para identificar un correo de phishing es verificar qué clase de datos suministra sobre el destinatario del mismo, y qué datos solicita. Por medidas de seguridad, ningún banco solicita cambio de usuario o contraseña a través de correos electrónicos, por lo que es una forma fácil de reconocer la veracidad del contenido. En este caso, en el texto del correo se solicita al usuario una actualización de datos de dudosa procedencia, a la vez que presenta una ortografía inconsistente a lo largo del texto. A todas luces, un correo que difícilmente pudo venir de una agencia bancaria. Eso, y que el correo no haya sido enviado mediante encriptación TLS (un detalle que puede pasar desapercibido para aquellos que no dominen la materia) da pie a descartarlo como falso.
Estimado(a) Sr(a):
Actualizacion Nro: 901187222 para confirmas su Seguridad a través de B.O.D Contacto Amigo, preparada el día: 23/04/2017 08:00 a.m.
Para poder completar la operación, es necesario que realice la confirmación de ContactoAmigo B.O.D..
<- Realizar Actualizacion ->
Le agradecemos su preferencia y no dude en comunicarse con nosotros en caso de cualquier inquietud o sugerencia a través del correo electrónico: [email protected]
Siga disfrutando de los beneficios Contacto Amigo B.O.D.
Sin embargo, lo curioso del correo es su procedencia. Al verificar el servidor de correo SMTP usado para el envío, se puede constatar sin lugar a dudas que esta campaña proviene del servidor en el que está alojado el sitio del Instituto Nacional de Tierras, y que muy posiblemente esté asociado a otros servidores de la red estatal. A continuación los headers del correo:
Return-Path: <[email protected]>
Received: from correo1.intt.gob.ve (mail1.intt.gob.ve. [190.202.82.66])
by mx.google.com with SMTP id w195si6312549vkd.30.2017.04.23.21.47.44
for <*****************@gmail.com>;
Sun, 23 Apr 2017 21:47:44 -0700 (PDT)
Received-SPF: fail (google.com: domain of [email protected] does not designate 190.202.82.66 as permitted sender) client-ip=190.202.82.66;
Authentication-Results: mx.google.com;
spf=fail (google.com: domain of [email protected] does not designate 190.202.82.66 as permitted sender) [email protected];
dmarc=fail (p=NONE sp=NONE dis=NONE) header.from=bod.com.ve
Received: from localhost (localhost [127.0.0.1]) by correo1.intt.gob.ve (Postfix) with ESMTP id B24AA7A1112 for <*****************@gmail.com>; Mon, 24 Apr 2017 00:47:43 -0400 (BOT)
X-Virus-Scanned: amavisd-new at intt.gob.ve
Received: from correo1.intt.gob.ve ([127.0.0.1]) by localhost (correo1.intt.gob.ve [127.0.0.1]) (amavisd-new, port 10026) with ESMTP id RR7A-0XwRCXc for <*****************@gmail.com>; Mon, 24 Apr 2017 00:47:43 -0400 (BOT)
Received: from prdmercosur.intt.gob.ve (webservices.intt.gob.ve [192.168.106.80]) by correo1.intt.gob.ve (Postfix) with ESMTPS id A534E7A6AB7 for <*****************@gmail.com>; Mon, 24 Apr 2017 00:44:40 -0400 (BOT)
Received: from www-data by prdmercosur.intt.gob.ve with local (Exim 4.69) (envelope-from <[email protected]>) id 1d2Vrb-0003ck-0U for *****************@gmail.com; Mon, 24 Apr 2017 00:44:39 -0400Reply-To: [email protected]
Message-ID: <95e054435681f2c5096d69c63eeaadc1@mercosur.intt.gob.ve>
El enlace del correo lleva a una página alojada en el subdominio mercosur.intt.gob.ve (Nota: al momento de redactar este artículo, el enlace ya no se encuentra disponible), en el que se aprecia un formulario de ingreso tal y como se aprecia en la captura de pantalla:
Cabe destacar que el subdominio en donde está hospedado el script está activo, y corresponde al «Sistema de Consulta de Transporte para el MERCOSUR», por lo que evidentemente alguien con manejo directo del directorio activa y desactiva la herramienta de phishing a conveniencia. Otra particularidad, aunque menor, es el hecho que la dirección de correo de quien recibió este intento de phishing no se encuentra listada públicamente, por lo que su uso da sustento a la conjetura que existen compañías, tanto públicas como privadas, vendiendo o usando bases de datos con información de contacto de clientes Venezolanos, para fines ajenos a dichos clientes y con una total ausencia de transparencia a la hora de querer darse de baja de dichos servicios inescrupulosos.
En conclusión, es importante prestar atención a las campañas de seguridad que los bancos constantemente envían a través de las redes sociales, y de nunca facilitar sus datos de contacto a través de correos electrónicos, mensajes de texto o en público, como mensajes de Facebook o Twitter. Y por supuesto, memorizar los dominios pertenecientes a los bancos a los que esté afiliado. El mismo BOD se hace eco de esta clase de recomendaciones:
https://twitter.com/BODoficial/status/856945921153781760
Deja una respuesta