Investigación sobre la infraestructura del phishing
¿Alguien se está haciendo pasar por tu banco?
KELA está rastreando una red de phishing que se hace pasar por más de 180 entidades financieras estadounidenses y muestra una página falsa en la que se indica que la «cuenta ha sido suspendida» a cualquiera que pueda denunciarla. Introduce el dominio o el nombre oficial de tu banco para comprobar si figura entre ellos.
Extraído del estudio de KELA «Not Actually Suspended: How a Bank-Phishing Network Fakes Its Own Takedown» (En realidad no se ha suspendido: cómo una red de phishing bancario simula su propio cierre)
Cómo es la campaña
Una forma de nombrarlo
Casi todos los dominios constan de una palabra clave que transmite urgencia —como «secure», «disable», «protect» o «cancel»—, un guión y el nombre del banco, bajo la extensión .com.
Una retirada falsa
Los escáneres y los investigadores ven una página que indica «cuenta suspendida», mientras que las víctimas siguen accediendo a la página de inicio de sesión falsa, por lo que un dominio activo puede pasar por uno que haya sido retirado.
Alojamiento oculto
Todos los dominios están protegidos por Cloudflare, que oculta los servidores reales. Si se desactiva un dominio, el resto de la red no se ve afectado.
Qué hacer si tu banco aparece en la lista
Los dominios similares ya están activos, y los nuevos siguen el mismo patrón, así que hay que tomar medidas tanto con respecto a los dominios actuales como a la próxima oleada.
- Esté atento a los dominios recién registrados para «secure», «disable», «protect», «cancel», «authorize» o «terminate», así como a un guion y el nombre de su banco bajo el dominio .com, y compruebe cada uno de ellos observando el comportamiento de su página.
- No descartes un dominio tras una sola visita: que una página esté «suspendida» no significa que esté inactiva. Vuelve a comprobarlo con el paso del tiempo y desde diferentes ubicaciones.
- Advierta a los clientes de banca empresarial de que los mensajes urgentes sobre una transacción cancelada o una cuenta bloqueada son una señal de alerta, y que confirmen los cambios en los pagos por teléfono.
- Notifica cada dominio al registrador y a Cloudflare y, a continuación, confirma que la página de phishing ha dejado de estar activa. Es posible que un proveedor que solo vea la página falsa de «suspendido» cierre la incidencia.
- Ponte en contacto con KELA: podemos facilitarte los dominios similares que detectamos para tu banco y seguir vigilando si aparecen otros nuevos.
