Una campaña maliciosa tiene como objetivo robar las contraseñas de Facebook con un mensaje que solicita dar “Like” o «Me gusta» en una foto.

El Laboratorio de Investigación de ESET, empresa eslovaca de seguridad informática, identificó una campaña de phishing que intenta obtener las credenciales de acceso a las cuentas de Facebook. Se propaga a través de Messenger, mediante un mensaje proveniente de un contacto y solicita dar “Me gusta” en una supuesta fotografía para una aparente buena causa.

El mensaje incluye un enlace con una dirección URL acortada que alude a una supuesta imagen y solicita a la potencial víctima acceder para dar “Like”. Pero para llevar a cabo esta acción, es necesario iniciar sesión en una página falsa que copia la imagen oficial de Facebook.

Como es común, el sitio de phishing utiliza las características de un sitio seguro, utilizando un certificado de seguridad y manejando el protocolo https. Además, el sitio emplea una imagen idéntica en apariencia a la de Facebook, de este modo el usuario podría caer fácilmente en el engaño, y más fácil aún si el mensaje proviene de un contacto conocido.

Según ESET, el principal indicio para identificar que se trata un engaño es la URL, que no corresponde directamente con la de Facebook. Se añaden algunas palabras al dominio para hacer creer que se trata de un sitio auténtico. Por eso es muy importante revisar al detalle las direcciones URLs a las que accedemos. En lo personal, yo siempre me fijo en esos detalles, pero reconozco que a veces me confío y actúo de manera automática, cosa que podría hacerme vulnerable ante semejante situación.

Si la víctima cae en la farsa e introduce sus credenciales, es dirigido al sitio oficial de Facebook aludiendo a un aparente error de autenticación. Pero sus datos, en este caso la contraseña de facebook, ya han sido capturados por el sitio fraudulento.

“Cabe destacar que la cuenta desde la cual proviene el mensaje ha sido comprometida previamente y es utilizada para difundir el engaño con el propósito de obtener credenciales de acceso de otras cuentas. Por lo tanto, aunque el enlace provenga de un contacto de conocido o de confianza, es necesario revisar los parámetros de seguridad para evitar caer en un engaño. También es conveniente desconfiar de este tipo de mensajes y evitar propagarlos, de forma que menos personas se vean comprometidas.”

Desde el Laboratorio de Investigación de ESET Latinoamérica se comparten las siguientes recomendaciones para evitar caer en engaños de phishing:

• Hacer caso omiso a este tipo de mensajes que llegan a los chats, incluso si provienen de contactos conocidos, o bien, verificar los elementos de seguridad para cerciorarse que no se trata de un engaño. Dadas las nuevas características utilizadas por los creadores de sitios de phishing, como el uso de certificados de seguridad, candados de seguridad y protocolos seguros, así como ataques homográficos en direcciones Web (también conocidos como homógrafos u homóglifos), resulta necesario revisar el certificado de seguridad para comprobar la legitimidad del sitio en cuestión.

• Notificar al propietario de la cuenta desde la cual se envía el mensaje para que sepa que están realizando esta actividad maliciosa suplantando su identidad y desde su cuenta, por lo que es conveniente que revise cualquier actividad inusual en su cuenta, como los inicios de sesión desde distintas ubicaciones o dispositivos, y cerrar las sesiones que no correspondan con las que el usuario realiza.

• Habilitar medidas de seguridad adicionales, como el doble factor de autenticación. Además, en caso de identificar la actividad no reconocida por el usuario, es conveniente actualizar de forma inmediata las contraseñas comprometidas.
• Por último y no menos importante, también es conveniente notificar a los usuarios que han sido afectados con este mensaje, para evitar que se conviertan en víctimas de las campañas de phishing que buscan obtener los accesos a las cuantas de redes sociales y otros servicios de Internet.

“Tal como se menciona, en caso de haber caído en el engaño, es conveniente actualizar las contraseñas comprometidas y habilitar medidas de seguridad adicionales como el doble factor de autenticación. Además, desde ESET siempre apostamos a la educación como primer paso para mantenerse seguros: estar al tanto de las últimas amenazas permite tomar las medidas necesarias para evitar ser víctima de engaños, además contar con soluciones de seguridad en todos los dispositivos y mantener actualizados los sistemas, son buenas prácticas para disfrutar la tecnología de manera segura.