Descubrimos esta campaña de facturas falsas mientras los estafadores aún la estaban desarrollando. Malwarebytes

En este momento se está preparando una nueva tanda de facturas de pago falsas, y detectamos la campaña mientras aún se estaba elaborando. Los correos electrónicos suplantan la identidad de PayPal , Amazon y Geek Squad, y otros, y todos comparten un objetivo: asustarte para que llames a un número de teléfono donde te espera un falso "agente de soporte".

Lo que hace inusual esta oleada es que algunas de las plantillas que recuperamos aún contenían campos en blanco donde deberían haber estado el número de teléfono y el precio, mientras que otras ya estaban completas y en circulación. Intervenimos en la campaña justo en pleno lanzamiento.

¿Cuál es la estafa?

Si recibe un correo electrónico que parece un recibo —“Su suscripción se renovó por $349”, “Usted envió un pago de $598.96”— y le indica que llame a un número para cancelar o disputar el cargo, deténgase.

No tiene ningún coste. El correo electrónico sirve para que te pongas en contacto telefónico con un estafador que intentará convencerte de que le des acceso remoto a tu ordenador, los datos de tu tarjeta o un supuesto "reembolso" que, de alguna manera, te obliga a enviarle dinero.

Este tipo de estafa se conoce como «factura fantasma» o «reembolso», y el truco es psicológico, no técnico. Por eso, estos correos electrónicos suelen pasar desapercibidos para los filtros de spam: a menudo no contienen archivos adjuntos ni enlaces maliciosos que los sistemas de seguridad puedan analizar. La estafa reside en el número de teléfono al que te instan a llamar.

Si no realizaste la compra, no es necesario llamar al número que aparece en el correo electrónico para cancelarla. Las empresas legítimas no presionan a sus clientes para que resuelvan cargos inesperados mediante números de teléfono no solicitados.

El objetivo es sencillo: generar suficiente preocupación como para que llames. Ves un cargo importante que no reconoces, digamos 499 dólares, y tu primer impulso es detenerlo. La factura incluye un número al que llamar "si no fuiste tú". Así que llamas, y ahora estás hablando con el estafador.

A partir de ahí, la conversación suele tener varias consecuencias. Pueden pedirte que instales un software para "corregir" el cargo, lo que les da acceso a tu ordenador. También pueden solicitarte los datos de tu tarjeta o cuenta bancaria para "procesar el reembolso". O pueden reembolsarte de más por error y pedirte que les devuelvas la diferencia, normalmente mediante tarjeta regalo o transferencia bancaria.

La factura es solo el cebo, mientras que la llamada telefónica es la trampa.

Estos correos electrónicos son convincentes, y algunos ya están llegando a las bandejas de entrada. La buena noticia es que recibir uno no supone ningún riesgo. La estafa solo funciona si consigue que llames al número indicado. Si reconoces el mensaje como fraudulento y lo borras, el ataque termina ahí.

Si llamaste al número y seguiste las instrucciones del estafador, realiza un análisis antivirus y revisa tus cuentas bancarias. Cambia tus contraseñas importantes, activa la autenticación multifactor (MFA) y asegúrate de que tu software de seguridad esté actualizado.

Cómo lo encontramos a medio construir

La mayoría de las investigaciones de estafas comienzan después de que el daño ya está hecho. Esta fue diferente. Encontramos un conjunto de plantillas de facturas casi idénticas que claramente formaban parte del mismo paquete, y varias de ellas estaban incompletas.

Mientras que un correo electrónico de estafa ya terminado mostraría un número de teléfono, algunos de estos mostraban el texto literal. #TFN# en cambio, que es solo un marcador de posición. ("TFN" es la abreviatura que usan los estafadores para el número gratuito, la línea de devolución de llamada a la que redirigen a las víctimas). Otros dejaron el precio como #PRICE#, la fecha como #DATE#y el destinatario como #EMAIL#Estos son campos de combinación: los espacios en blanco que una herramienta de envío masivo rellena automáticamente antes de que se envíe una campaña.

El hecho de que esos marcadores de posición aún estuvieran presentes nos indicó que la operación todavía se estaba desarrollando. Algunas plantillas estaban a medio terminar, mientras que otras ya estaban completas y contaban con números de teléfono de devolución de llamada activos. Habíamos interceptado la campaña a mitad de su lanzamiento, entre su creación y su puesta en marcha definitiva.

¿Por qué estas facturas parecen creíbles?

Los estafadores utilizan marcas conocidas como PayPal , Amazon y Geek Squad. Son empresas de las que la gente espera recibir recibos y avisos de renovación, lo que reduce las sospechas.

Los cargos también se eligen cuidadosamente. Las cantidades que rondan los cientos de dólares son lo suficientemente elevadas como para generar preocupación, pero aún parecen plausibles como renovación de suscripción o compra en línea.

Muchos mensajes generan urgencia, instando a los destinatarios a llamar rápidamente para disputar o cancelar el cargo. Esta presión está diseñada para evitar que las personas verifiquen la transacción por su cuenta.

Algunas facturas incluso combinan marcas de confianza, como afirmar que un pago fue enviado a través de PayPal a Amazon Hacer referencia a varias empresas conocidas hace que el mensaje parezca más creíble.

Cómo detectar una factura falsa

La buena noticia es que estas estafas comparten señales de alerta. Una vez que sepas qué buscar, será mucho más fácil detectarlas. Presta atención a cualquiera de estas:

Un cargo que no recuerdas haber realizado. Si no reconoces el cargo, verifícalo por tu cuenta bancaria. Si no hay ningún registro, es probable que la factura sea un engaño para que llames.
El tiempo corre. Mensajes como «Llame en 12 horas», «Cancele antes de que se renueve» o «Actúe de inmediato» crean una falsa sensación de urgencia para que no piense. Los problemas reales de facturación pueden esperar mientras revisa.
Marcas de confianza usadas como tapadera. Cuanto más familiar sea el logotipo, menos atención prestarán las personas. Los estafadores se apropian de la confianza que no se han ganado.
Detalles extraños que no encajan del todo. Un PayPal correo electrónico “de” Amazon una dirección extraña que no pertenece a nadie, o una redacción ligeramente incorrecta. Confía en las pequeñas cosas que te parecen mal.
Te presionan para que sigas al teléfono. Una vez que llamas, una empresa legítima nunca te impediría colgar para verificar la llamada, pero un estafador sí lo hará.

Si se detecta aunque sea uno solo de estos elementos, considere sospechoso todo el mensaje.

Recuerda la regla fundamental para evitar esta estafa: una empresa legítima jamás te presionará para que llames y canceles un pago que nunca realizaste. Si no estás seguro de si un cargo es real, cierra el correo electrónico y revisa tu cuenta de la forma habitual: ingresando la dirección web de la empresa en tu navegador o llamando al número que aparece en el reverso de tu tarjeta bancaria.

Consejo profesional: Malwarebytes Scam Guard puede ayudarte a detectar estafas como estas y guiarte sobre qué hacer a continuación, mientras que Browser Guard te impedirá acceder a sitios web fraudulentos.

Qué hacer si uno de estos llega a tu bandeja de entrada

Si recibe una factura sospechosa como las que se describen aquí, tome algunas precauciones sencillas:

No llames a ese número. Ahí radica la clave de la estafa. Para obtener un reembolso o una cancelación legítima, no es necesario llamar a un número que aparezca en un recibo no solicitado.
No respondas ni hagas clic en nada. Considera el mensaje sospechoso, aunque parezca legítimo.
Verifique los cargos de forma independiente. Si le preocupa que un cargo pueda ser real, inicie sesión directamente en PayPal , su banco o el comercio escribiendo usted mismo la dirección y revisando su historial de transacciones.
Denúncialo. Reenvíe los correos electrónicos sospechosos de phishing a la dirección de abuso de la empresa suplantada y, en los EE. UU., repórtelos a la FTC en reportfraud.ftc.govDenunciar estos hechos ayuda a desarticular las redes de estafa.
Si ya llamaste, finaliza la conversación. No instales ningún software que te recomienden. Si otorgaste acceso remoto o compartiste información de pago, contacta a tu banco de inmediato y realiza un análisis de seguridad confiable en tu dispositivo.
Desconfía de la urgencia. Frases como «en 12 horas» o «cancela ahora» buscan presionarte para que actúes sin pensar. Tómate el tiempo necesario para verificar la información por tu cuenta.

Los estafadores recurren cada vez más a tácticas que el software no puede detectar fácilmente. Un número de teléfono en un correo electrónico es difícil de evaluar para las herramientas de seguridad, y la estafa se produce a través de una llamada telefónica en lugar de mediante un enlace o archivo adjunto malicioso.

Por eso es importante detectar esta campaña durante su lanzamiento. En lugar de ver el daño después, pudimos observar la preparación: plantillas sin terminar, detalles incompletos y el kit de estafa antes de su despliegue completo.

La mejor defensa es sencilla: si una factura inesperada le indica que llame a un número de inmediato, deténgase y verifique primero el cargo por su cuenta.