En estos momentos se está lanzando una nueva tanda de facturas de pago falsas, y hemos detectado la campaña cuando aún se estaba preparando. Los correos electrónicos se hacen pasar por PayPal, Amazon, Geek Squad y otras empresas, y todos comparten un mismo objetivo: asustarte para que llames a un número de teléfono en el que te espera un «agente de asistencia» falso.
Lo que hace que esta oleada sea inusual es que algunas de las plantillas que recuperamos aún contenían campos en blanco donde deberían haber figurado el número de teléfono y el precio, mientras que otras ya estaban completas y en circulación. Nos topamos con la campaña justo cuando se estaba lanzando.
¿En qué consiste la estafa?
Si recibes un correo electrónico que parece un recibo —«Tu suscripción se ha renovado por 349 $», «Has realizado un pago de 598,96 $»— y te indica que llames a un número para cancelar o reclamar el cargo, detente.
No hay ningún coste. El correo electrónico tiene como objetivo ponerte en contacto por teléfono con un estafador que intentará convencerte para que le des acceso remoto a tu ordenador, los datos de tu tarjeta o un «reembolso» que, de alguna manera, requiere que le envíes dinero.
Este tipo concreto de estafa se conoce como «factura fantasma» o «reembolso», y el truco es psicológico, no técnico. Por eso estos correos electrónicos suelen pasar desapercibidos para los filtros antispam: a menudo no contienen ningún archivo adjunto ni enlace malicioso que los sistemas de seguridad puedan analizar. La estafa reside en el número de teléfono al que te instan a llamar.
Si no has realizado la compra, no es necesario que llames al número que aparece en el correo electrónico para cancelarla. Las empresas serias no presionan a los clientes para que resuelvan cargos inesperados a través de números de teléfono no solicitados.
El objetivo es sencillo: generar suficiente preocupación como para que llames. Ves un cargo considerable que no reconoces, digamos 499 dólares, y tu primer instinto es detenerlo. La factura te facilita amablemente un número al que llamar «si no has sido tú». Así que llamas y, en ese momento, estás hablando con el estafador.
A partir de ahí, la conversación suele acabar de varias formas. Es posible que te pidan que instales un programa para «corregir» el cargo, lo que les daría acceso a tu ordenador. También pueden pedirte los datos de tu tarjeta o de tu cuenta bancaria para «procesar el reembolso». O bien, pueden «accidentalmente» reembolsarte de más y pedirte que les devuelvas la diferencia, normalmente mediante una tarjeta regalo o una transferencia bancaria.
La factura no es más que el cebo, mientras que la llamada telefónica es la trampa.
Estos correos electrónicos son convincentes y algunos ya están llegando a las bandejas de entrada. La buena noticia es que el mero hecho de recibir uno no supone ningún riesgo. La estafa solo funciona si consigue que llames al número indicado. Si te das cuenta de que el mensaje es fraudulento y lo borras, el ataque se detiene ahí.
Si has llamado al número y has seguido las instrucciones de un estafador, ejecuta un análisis antivirus y revisa tus cuentas bancarias. Cambia tus contraseñas más importantes, activa la autenticación multifactorial (MFA) y asegúrate de que tu software de seguridad esté actualizado.
Cómo lo encontramos a medio construir
La mayoría de las investigaciones sobre estafas comienzan una vez que el daño ya está hecho. Esta fue diferente. Nos topamos con un conjunto de plantillas de facturas casi idénticas que, sin duda, formaban parte del mismo kit, y varias de ellas estaban incompletas.
Mientras que un correo electrónico fraudulento bien elaborado incluiría un número de teléfono, algunos de estos mostraban el texto tal cual #TFN# en su lugar, que es solo un marcador de posición. («TFN» es la abreviatura que utilizan los estafadores para referirse a un número gratuito, la línea de devolución de llamada a la que desvían a las víctimas). Otros dejaron el precio como #PRICE#, la fecha como #DATE#, y el destinatario como #EMAIL#. Se trata de campos de fusión: los espacios en blanco que una herramienta de envío masivo rellena automáticamente antes de que se envíe la campaña.
El hecho de encontrar esos marcadores de posición aún en su sitio nos indicó que la operación todavía se estaba preparando. Algunas plantillas estaban a medio terminar, mientras que otras ya estaban completas e incluían números de contacto activos. Habíamos pillado la campaña en plena fase de implementación, entre su creación y su lanzamiento definitivo.
¿Por qué estas facturas parecen auténticas?
Los estafadores utilizan marcas conocidas como PayPal, Amazon y Geek Squad. Se trata de empresas de las que la gente espera recibir recibos y avisos de renovación, lo que hace que se sospeche menos de ellas.
Los cargos también se eligen con cuidado. Las cantidades, que rondan los unos cientos de dólares, son lo suficientemente elevadas como para generar inquietud, pero siguen pareciendo plausibles como renovación de una suscripción o compra por Internet.
Muchos mensajes transmiten un sentido de urgencia, instando a los destinatarios a llamar rápidamente para reclamar o cancelar el cargo. Esta presión tiene como objetivo evitar que las personas comprueben la transacción por su cuenta.
Algunas facturas llegan incluso a combinar marcas de confianza, como afirmar que se ha enviado un pago a través de PayPal Amazon. El hecho de mencionar varias empresas conocidas hace que el mensaje parezca más creíble.
Cómo detectar una factura falsa
La buena noticia es que estas estafas comparten una serie de señales de alerta. Una vez que sabes en qué fijarte, resulta mucho más fácil detectarlas. Presta atención a cualquiera de estas señales:
- Un cargo que no recuerdas haber realizado. Si no reconoces el cargo, compruébalo por tu cuenta a través de tu cuenta o de tu banco. Si no hay constancia del mismo, es probable que la factura sea un señuelo diseñado para que llames.
- El reloj no se detiene. Frases como «Llame en un plazo de 12 horas», «Cancele antes de que se renueve» o «Actúe de inmediato» crean una falsa sensación de urgencia pensada para impedir que reflexione. Los problemas de facturación reales pueden esperar mientras lo comprueba.
- Marcas en las que confías, utilizadas como tapadera. Cuanto más conocido es el logotipo, menos atención presta la gente al texto. Los estafadores se aprovechan de una confianza que no se han ganado.
- Pequeños detalles que no encajan del todo. Un PayPal «enviado por» Amazon, una dirección que no pertenece a nadie o una redacción un poco extraña. Fíjate en esos pequeños detalles que te parecen sospechosos.
- Presión para que no cuelgues el teléfono. Cuando llamas, una empresa de verdad nunca te impediría colgar para comprobarlo, pero un estafador sí lo haría.
Si se da siquiera uno de estos casos, considera todo el mensaje como sospechoso.
Recuerda la única regla que te permite desenmascarar toda esta estafa: una empresa de confianza nunca te presionará para que la llames con el fin de anular un pago que nunca has realizado. Si no estás seguro de si un cargo es real, cierra el correo electrónico y comprueba tu cuenta como de costumbre: escribiendo tú mismo la dirección web de la empresa en el navegador o llamando al número que figura en el reverso de tu tarjeta bancaria.
Consejo de experto: Malwarebytes Guard puede ayudarte a detectar estafas como estas y orientarte sobre qué pasos seguir, mientras que Browser Guard te impedirá acceder a sitios web fraudulentos.
¿Qué hacer si recibes uno de estos mensajes en tu bandeja de entrada?
Si recibes una factura sospechosa como las que se describen aquí, toma unas sencillas medidas de precaución:
- No llames a ese número. Esa es la clave de la estafa. Los reembolsos o cancelaciones legítimos no requieren que llames a un número que aparece en un recibo no solicitado.
- No respondas ni hagas clic en nada. Considera el mensaje como sospechoso, aunque parezca legítimo.
- Comprueba los cargos por tu cuenta. Si te preocupa que un cargo pueda ser fraudulento, inicia sesión directamente en PayPal, en tu banco o en la tienda escribiendo tú mismo la dirección y revisando tu historial de transacciones.
- Denúncialo. Reenvía los correos electrónicos sospechosos de phishing a la dirección de abuso de la empresa suplantada y, en EE. UU., denúncialos a la FTC en
reportfraud.ftc.gov. Denunciar estas estafas ayuda a desarticular las operaciones fraudulentas. - Si ya has llamado, pon fin a la conversación. No instales ningún software que te recomienden. Si has concedido acceso remoto o has facilitado datos de pago, ponte en contacto con tu banco de inmediato y realiza un análisis de seguridad de confianza en tu dispositivo.
- Desconfía de las urgencias. Frases como «en un plazo de 12 horas» o «cancela ahora» están pensadas para presionarte y que actúes sin pensarlo. Tómate tu tiempo para verificar la información por tu cuenta.
Los estafadores están recurriendo cada vez más a tácticas que el software no puede detectar fácilmente. A las herramientas de seguridad les resulta difícil evaluar un número de teléfono incluido en un correo electrónico, y la estafa propiamente dicha se lleva a cabo a través de una llamada telefónica, en lugar de mediante un enlace o un archivo adjunto malicioso.
Por eso es importante haber descubierto esta campaña durante su puesta en marcha. En lugar de ver los daños a posteriori, pudimos observar los preparativos: plantillas sin terminar, detalles incompletos y el kit de la estafa antes de que se implementara por completo.
La mejor defensa es muy sencilla: si recibes una factura inesperada en la que te piden que llames a un número de inmediato, detente y comprueba primero por tu cuenta el cargo.
Indicadores de compromiso
Dominios
invoicepdfin[.]xyz
invoicepdfus[.]xyz
invoicepdfusa[.]xyz
invoicerep[.]xyz
invoicestatement[.]xyz
invoicestm[.]xyz
Números de contacto
804-392-2793
801-640-8589
¿Te parece que algo no va bien? Compruébalo antes de hacer clic.
Malwarebytes Guardte ayuda a analizar al instante enlaces, mensajes de texto y capturas de pantalla sospechosos.
Disponible conMalwarebytes Premium para todos tus dispositivos, y en laMalwarebytes para iOS Android.
