Engaño por WhatsApp hace creer que Carrefour está regalando tarjetas con dinero

ESET advierte por un engaño a través de WhatsApp suplanta la identidad de Carrefour para hacerle creer a los usuarios que por su aniversario están regalando tarjetas con $19.800.

ESET, compañía líder en detección proactiva de amenazas, analiza un nuevo engaño que está circulando a través de WhatsApp en el que los ciberdelincuentes utilizan la imagen de Carrefour para hacer creer a los usuarios que la cadena multinacional está regalando tarjetas con dinero. El objetivo de esta campaña de ingeniería social es derivar tráfico a sitios que muestran publicidad de manera engañosa.

El mensaje busca transmitir la sensación de urgencia para que las potenciales víctimas no pierdan tiempo y hagan clic en el enlace que les permitirá acceder a una de las 500 tarjetas con $19.800 que Carrefour estaría regalando por su aniversario. Sin embargo, si el usuario se toma un tiempo para analizar el mensaje encontrará elementos para dudar acerca de la legitimidad del mensaje. Por ejemplo, que la URL a la que invitan a acceder no se corresponde con la del sitio oficial de la empresa.

Imagen 1. Mensaje que llega a las potenciales víctimas a través de WhatsApp, y sitio al que se accede luego de hacer clic en el enlace de WhatsApp.

Tras acceder al enlace se es dirigido un sitio que, además de reforzar el mensaje de la supuesta promoción, incluye un contador que comienza a descender y va indicando la cantidad de tarjetas que supuestamente quedan por regalar. El objetivo de esta estrategia es convencer a la potencial víctima para que acceda rápidamente al sitio y sin analizarlo demasiado. Un detalle que evidencia que se trata de un engaño es que si la página es actualizada la cantidad de tarjetas disponibles vuelve a subir. Por otra parte, el mensaje indica que para acceder a una de las tarjetas que supuestamente Carrefour está entregando con motivo de su aniversario se deberá completar una encuesta.

Imagen 2. Encuesta que supuestamente deberán responder los usuarios.

Luego de responder las preguntas, en el sitio se muestra un mensaje indicando que se están validando las respuestas. Culminado el proceso de verificación, el usuario no solo es víctima del engaño, sino que es utilizado para distribuir el mensaje fraudulento: la campaña obliga a que comparta con sus contactos el mensaje si desea continuar y acceder al beneficio.

Imagen 3. Instancia en la que solicita compartir el mensaje con contactos para obtener una tarjeta.

Al compartir el mensaje, el usuario es redireccionado a distintos sitios de publicidad. A partir de aquí deja de aparecer cualquier referencia a la supuesta promoción de la tarjeta de regalo. Por lo tanto, los investigadores de ESET infieren que los operadores detrás de la campaña buscan monetizar el engaño a través del envío de tráfico a páginas en las que se despliega publicidad y que no verifican si el tráfico que llega es redirigido de manera engañosa.

“Vale la pena destacar que durante el análisis no detectamos que se intente instalar en los dispositivos algún tipo de código malicioso. Por otra parte, sí detectamos que la campaña apunta no solo a países en los que se habla castellano, sino que su alcance es mayor dado que existe una versión del mensaje de WhatsApp en inglés.“, comenta Luis Lubeck, Especialista de Seguridad Informática de ESET Latinoamérica.

Imagen 4. Versión en inglés del mismo mensaje de WhatsApp.

Además se identificó una adaptación de la versión en inglés del sitio dirigida a usuarios de Brasil. El mensaje en este caso está en inglés, pero el detalle del monto del supuesto beneficio se expresa en reales. Esto además se puede corroborar con la configuración de idioma que aparece en la URL del sitio (br-br), donde se incluye la extensión de dominio correspondiente a Brasil.

Imagen 5. Versión en inglés del sitio adaptada para usuarios de Brasil

Para evitar ser víctimas de este tipo de engaño que llegan a través de WhatsApp o similar y en los que se suplanta la identidad de una marca conocida mediante el uso de técnicas de ingeniería social, desde ESET aconsejan:

• Estar atentos y aprender a reconocer este tipo de mensajes fraudulentos antes de hacer clic o compartir. Se recomienda tomarse unos segundos para revisar detalladamente la URL del mensaje y verificar que es legítima y no una URL falsa, hacer una búsqueda en la web oficial para verificar que se menciona el beneficio al que hace referencia el mensaje que nos llega o si hay más información sobre la promoción.
• Desconfiar de las ofertas que son demasiado buenas y que llegan a través de medios no oficiales. Tener presente que las empresas suelen divulgar ofertas y promociones a través de canales oficiales, ya sea el sitio web o las redes sociales.
• Evitar hacer clic en enlaces sospechosos, aunque vengan de un contacto conocido. Muchas veces las campañas se distribuyen gracias a que los propios usuarios comparten el mensaje con sus contactos.
• Instalar una solución de seguridad en cada uno de los dispositivos conectados a Internet que se utilice, mantener los dispositivos actualizados y evitar compartir información, enlaces o archivos sin estar seguros de su procedencia.

Para más información, desde ESET comparte si guía para evitar engaños en Internet.

En el contexto de aislamiento por el COVID-19, ESET comparte #MejorQuedateEnTuCasa, donde acerca protección para los dispositivos y contenidos que ayudan a aprovechar los días en casa y garantizar la seguridad de los más chicos mientras se divierten online. El mismo incluye: 90 días gratis de ESET INTERNET SECURITY para asegurar todos los dispositivos del hogar, una Guía de Teletrabajo, con buenas prácticas para trabajar desde el hogar sin riesgos, Academia ESET, para acceder a cursos online que ayudan a sacar el mayor provecho de la tecnología y Digipadres, para leer consejos sobre cómo acompañar y proteger a los niños en la Web.