Un desconocido te envía un mensaje en Reddit. Te dice que alguien le ha denunciado y que la cuenta que ha presentado la denuncia se parece mucho a la tuya. ¿Has sido tú?
No era eso. En realidad, ese no es el sentido del mensaje.
Esta versión se basa exclusivamente en la ingeniería social. No hay malware ni enlaces maliciosos. Empieza con una conversación, pero el objetivo es engañarte para que le facilites tus datos de inicio de sesión o un código de verificación, de modo que el estafador pueda acceder a tu cuenta de Reddit.
Cómo funciona esta estafa
Hay dos variantes habituales de esta estafa:
- «Alguien me ha denunciado, y parece que has sido tú».
- «He denunciado tu cuenta por error».
Alguien afirma que se ha producido un error relacionado con una denuncia. Según una versión, dicen que alguien les ha denunciado y parece que has sido tú. Según otra, afirman que han denunciado tu cuenta por error y necesitan tu ayuda para solucionarlo. En cualquier caso, no hay ninguna denuncia. Se trata del inicio de una estafa de ingeniería social que se ha vuelto habitual en Discord, Reddit y otras plataformas.
El objetivo final varía. Algunas versiones intentan engañarte para que facilites un nombre de usuario o un código de verificación, de modo que el estafador pueda acceder a tu cuenta, cambiar tu contraseña y bloquearte el acceso. Otras te convencen para que cambies la dirección de correo electrónico vinculada a tu cuenta por una que ellos controlan. A continuación, te exigen una tarjeta regalo u otro tipo de pago para «solucionar» el problema, amenazándote con eliminar tu cuenta o utilizarla para estafar a otras personas si no pagas.
Si todavía estás en contacto con ellos, deja de hacerlo y no facilites ningún código ni modifiques los datos de tu cuenta. Si ya has hecho alguna de estas cosas y has perdido el acceso a tu cuenta, pasa directamente a la sección «Cómo protegerte» que aparece a continuación.
Cómo se desarrolla todo
La conversación suele empezar con una de estas dos afirmaciones: o bien la persona dice que alguien ha denunciado su cuenta y parece que has sido tú, o bien afirma que ha denunciado tu cuenta por error.
Si lo niegas, el estafador no discute. Dirá que probablemente se trate de un error involuntario y seguirá con la conversación. Puede que te pregunte si sabes quién lo ha denunciado o que te sugiera que puedes ayudar a aclarar las cosas. El objetivo es, sencillamente, mantenerte interesado.
A continuación, envían una «prueba»: una captura de pantalla de un correo electrónico que parece proceder de Reddit. Tiene un tono formal, incluye un número de incidencia, afirma que se está llevando a cabo una «investigación formal» y muestra una cuenta atrás, normalmente de 12 horas, antes de la «suspensión, la limitación de funciones o la expulsión». Algunas versiones te indican que te pongas en contacto con alguien en Discord que afirma ser empleado o moderador de Reddit. Otras incluyen una advertencia legal falsa que cita leyes o normativas que no guardan relación con la situación. Nada de eso es real.
Por qué Reddit no funciona así
Reddit no pide a las personas implicadas en una denuncia que se pongan en contacto entre sí, ni te pide que verifiques tu cuenta a través de un desconocido en un mensaje directo. No gestiona las apelaciones a través de Discord ni te redirige a la cuenta personal de Discord de ningún miembro del personal. Las denuncias, la moderación y las apelaciones se gestionan exclusivamente a través de la propia plataforma de Reddit.
La cuenta atrás sirve para crear una sensación de urgencia. Combinada con amenazas vagas de suspensión, restricciones en las funciones o una expulsión, está diseñada para que actúes antes de que tengas tiempo de preguntarte qué está pasando.
Lo que realmente buscan
El informe y el correo electrónico falso no son más que una trampa. El estafador te dice que un empleado o «supervisor» de Reddit tiene que verificar tu cuenta para demostrar que no has tenido nada que ver. Para ello, te dicen, tienes que repetir en voz alta el código que Reddit está a punto de enviarte.
Mientras mantienes la conversación, el estafador intenta iniciar sesión en tu cuenta real o iniciar un proceso de recuperación de la cuenta. Reddit responde enviándote un código de inicio de sesión o de verificación auténtico.
El momento no es una coincidencia. El código llega justo después de que te hayan dicho que lo esperes. Si se lo lees en voz alta, el estafador puede utilizarlo para iniciar sesión en tu cuenta, cambiar tu contraseña y bloquearte el acceso. El código en sí es auténtico. La historia que lo rodea es la estafa.
Por qué la gente cae en la trampa
Tanto si te han acusado de denunciar a alguien como si te han dicho que tu cuenta ha sido denunciada por error, la estafa te coloca en una situación en la que quieres solucionar el problema. Por eso, cuando te piden que «verifiques» tu cuenta, puede parecerte que forma parte de la solución del problema, en lugar de un riesgo para la seguridad.
El correo electrónico falso hace que la historia parezca más creíble, sobre todo si no te paras a preguntarte si el método o el proceso de contacto se ajusta al funcionamiento real de Reddit. La cuenta atrás añade una sensación de urgencia, lo que te anima a actuar antes de que hayas tenido tiempo de pensarlo bien.
No se trata de ser ingenuo. Es un guion de ingeniería social muy bien ensayado, diseñado para que una petición razonable parezca legítima.
No se trata solo de mensajes directos
Aunque esta estafa basada en denuncias falsas suele comenzar con un mensaje directo, los estafadores también se hacen pasar por Reddit en correos electrónicos de phishing en los que afirman que tu cuenta ha sido bloqueada o que requiere tu atención. Si recibes un correo electrónico de seguridad inesperado, no hagas clic en los enlaces que contiene. En su lugar, inicia sesión en Reddit directamente a través de la página web oficial o la aplicación.
Si tu cuenta ha sido pirateada, es posible que veas publicaciones, comentarios o mensajes que tú no has escrito. Eso es señal de que otra persona tiene acceso a tu cuenta. Si eso ocurre, cambia tu contraseña, activa la autenticación de dos factores si aún no lo has hecho y sigue el proceso de recuperación de cuentas de Reddit.
Cómo protegerse
- Nunca compartas con nadie tus datos de acceso a Reddit ni tu código de verificación, ni siquiera con alguien que afirme ser miembro del personal o del servicio de asistencia de Reddit.
- Nunca cambies la dirección de correo electrónico vinculada a tu cuenta a petición de un desconocido, ni siquiera para «solucionar» un problema que se haya notificado.
- Si alguien te pide que compres una tarjeta regalo o que envíes dinero para resolver una denuncia, se trata de una estafa.
- Reddit no pedirá a los usuarios implicados en una denuncia que se pongan en contacto entre sí, que verifiquen sus cuentas a través de mensajes directos ni que tramiten las apelaciones a través de Discord.
- Si recibes un correo electrónico de seguridad de Reddit que no esperabas, no hagas clic en los enlaces que contiene. En su lugar, inicia sesión en tu cuenta directamente a través de reddit.com o de la aplicación oficial.
- Activa la autenticación de dos factores mediante una aplicación de autenticación y considera cualquier intento de inicio de sesión o código de verificación inesperado como una señal de que alguien podría estar intentando acceder a tu cuenta.
- Si detectas publicaciones, comentarios o mensajes que no has creado tú, protege tu cuenta inmediatamente cambiando tu contraseña. Si has perdido el acceso, utiliza el proceso oficial de recuperación de cuentas de Reddit en reddit.com.
- Denuncia al estafador y sus mensajes utilizando las herramientas de denuncia integradas en Reddit.
Recuerda
Si alguien te pide que le facilites un código de acceso o de verificación, no sigas adelante. Ahí está la estafa. Todo lo anterior no es más que una trampa.
