Todo comenzó con un correo electrónico que parecía aburridamente familiar: el logotipo de Apple, un diseño limpio y un asunto diseñado para provocar un nudo en el estómago del destinatario.
El mensaje afirmaba que Apple había bloqueado un pago de alto valor realizado con Apple Pay en una tienda Apple Store, e incluía un número de referencia, la fecha y hora, y una advertencia de que la cuenta podría estar en peligro si el destinatario no respondía.
En algunos casos, incluso se había concertado una «cita» en su nombre para «revisar actividades fraudulentas», además de un número de teléfono al que debían llamar inmediatamente si la hora no les venía bien. Nada en el correo electrónico denota amateurismo. El nombre que aparece es Apple, el formato se asemeja mucho al de los recibos reales y el lenguaje utiliza todos los recursos adecuados para provocar ansiedad.
Así es como la mayoría de los usuarios caen en la trampa de una reciente campaña de phishing de Apple Pay.
La llamada que se siente como un apoyo real
El correo electrónico advierte a los destinatarios que no utilicen Apple Pay hasta que hayan hablado con «Apple Billing & Fraud Prevention» (Facturación y prevención de fraudes de Apple) y proporciona un número de teléfono al que llamar.
Después de marcar el número, un agente se presenta como parte del departamento de fraude de Apple y solicita datos como los códigos de verificación del ID de Apple o la información de pago.
La conversación está cuidadosamente preparada para generar confianza. El agente explica que unos delincuentes intentaron utilizar Apple Pay en una tienda física de Apple y que el sistema «bloqueó parcialmente» la transacción. Para «proteger completamente» la cuenta, dice, es necesario verificar algunos datos.
La llamada comienza con preguntas que parecen inofensivas: su nombre, los últimos cuatro dígitos de su número de teléfono, qué dispositivos Apple posee, etc.
A continuación, aparece una solicitud para confirmar la dirección de correo electrónico del ID de Apple. Mientras la víctima la busca, recibe un código de verificación del ID de Apple con aspecto real a través de un mensaje de texto.
El agente solicita este código, alegando que es necesario para confirmar que está hablando con el propietario legítimo de la cuenta. En realidad, el estafador está accediendo a la cuenta en tiempo real y utilizando el código para eludir la autenticación de dos factores.
Una vez que la cuenta está «confirmada», el agente guía a la víctima para que compruebe sus tarjetas bancarias y de Apple Pay. Le hacen preguntas sobre sus cuentas bancarias y le sugieren que «proteja temporalmente» sus métodos de pago para que los delincuentes no puedan aprovecharse de ellos mientras el «equipo de Apple» investiga.
Todo el proceso de asistencia está diseñado para robar códigos de inicio de sesión y datos de pago. A gran escala, campañas como esta funcionan porque la marca Apple goza de una enorme confianza, Apple Pay implica dinero real y los usuarios han sido educados para tratar las alertas de fraude como algo urgente y cooperar con el «servicio de asistencia» cuando están asustados.
Un ejemplo enviado a Malwarebytes Guard mostraba un correo electrónico en el que se afirmaba que se había comprado una tarjeta regalo de Apple por valor de 279,99 dólares y se instaba al destinatario a llamar a un número de asistencia (1-812-955-6285).
Otro usuario envió una captura de pantalla en la que se veía una factura falsa con el título «Invoice Receipt – Paid» (Factura pagada) con el mismo diseño que las facturas de la Apple Store, en la que se indicaba la compra de un portátil MacBook Air de 13 pulgadas con chip M4 del año 2025 por un precio de 1157,07 dólares, junto con un número de teléfono (1-805-476-8382) al que llamar para informar de esta «transacción no autorizada».
Lo que debe saber
Apple no concierta citas fraudulentas por correo electrónico. La empresa tampoco pide a los usuarios que solucionen problemas de facturación llamando a números que aparecen en mensajes no solicitados.
Inspeccione detenidamente la dirección del remitente. En estos casos, el correo electrónico no proviene de un dominio oficial de Apple, aunque el nombre que aparece lo haga parecer legítimo.
Nunca compartas códigos de autenticación de dos factores (2FA), códigos SMS o contraseñas con nadie, incluso si afirman ser de Apple.
Ignora los mensajes no solicitados que te insten a tomar medidas inmediatas. Piensa y verifica siempre antes de actuar. Si no estás seguro, habla con alguien de confianza.
Malwarebytes Scam Guard ayudó a varios usuarios a identificar este tipo de estafa. Aquellos que no tengan una suscripción pueden utilizar Scam Guard en ChatGPT.
Si ya ha interactuado con estos estafadores de Apple Pay, es importante que:
- Cambia la contraseña de tu ID de Apple inmediatamente desde Ajustes o appleid.apple.com, no desde ningún enlace proporcionado por correo electrónico o SMS.
- Comprueba las sesiones activas, cierra sesión en todos los dispositivos y vuelve a iniciar sesión solo en los dispositivos que reconozcas y controles.
- Vuelve a cambiar la contraseña de tu ID de Apple si ves alguna alerta de inicio de sesión nueva y confirma que la autenticación de dos factores (2FA) sigue activada. Si no es así, actívala.
- En Wallet, comprueba todas las tarjetas en busca de transacciones desconocidas de Apple Pay y cargos recientes en tiendas físicas o en línea. Supervisa atentamente los extractos bancarios y de tarjetas de crédito durante las próximas semanas y reclama inmediatamente cualquier transacción desconocida.
- Comprueba que la cuenta de correo electrónico principal vinculada a tu ID de Apple sea tuya, ya que el control de ese correo electrónico puede utilizarse para hacerse con el control de las cuentas.
No sólo informamos de las estafas, sino que ayudamos a detectarlas.
Los riesgos de ciberseguridad nunca deben ir más allá de un titular. Si algo te parece sospechoso, comprueba si se trata de una estafa con Malwarebytes Guard. Envía una captura de pantalla, pega el contenido sospechoso o comparte un enlace, texto o número de teléfono, y te diremos si se trata de una estafa o es legítimo. Disponible con Malwarebytes Premium para todos tus dispositivos y en la Malwarebytes para iOS Android.
