Los amigos de lo ajeno siempre están dándole vueltas a la cabeza para poder apropiarse de lo que no es suyo. Cada vez van perfeccionando su técnica para engañar al usuario, donde si no estás atento, acabarán robándote.
Es el caso del nuevo método de moda, el phishing unicode. Básicamente trata de engañar a los usuarios con una identidad falsa de una web, como por ejemplo iCloud.com.
La secuencia del robo está muy bien estudiada por los delincuentes, primero te roban físicamente el iPhone para luego suplantar la web “Buscar mi iPhone”. La web tiene todos los ingredientes aparentes para no desconfiar, pero hay que estar atento a una serie de conceptos.
Hechos reales del robo de un iPhone
La historia que os comentamos es completamente real, publicada en la oficina de seguridad del internauta. Nos cuenta como Asun, una chica dejó unos segundos su iPhone sin vigilancia, se lo robaron para intentar suplantar la identidad de iCloud.
Una vez que Asun se dio cuenta de que le habían robado el iPhone 6s, utilizó el smartphone de su amiga para entrar en la web de iCloud y así poder enviar un mensaje a los amigos de lo ajeno, donde le informaba que se pusieran en contacto con ella en un número de teléfono concreto.
Los Ladrones, utilizaron un servicio que envía un SMS o email para solicitar las credenciales de nuestra identidad de Apple. Este servicio básicamente trata de engañar al propietario del iPhone haciéndole creer que está en una web de Apple segura mediante phishing.
Su principal propósito es ofrecer la ubicación exacta de su teléfono, el único requisito es pinchar en el enlace recibido en el email o SMS. Lógicamente todo esto es falso, simplemente es un gancho para que piques el anzuelo.
Una vez que Asun pinchó en el enlace, a primera vista parecía todo correcto. Una web similar a la de “Buscar mi iPhone”, con el protocolo “https” y la dirección propia de iCloud. Pero había una serie de detalles que no encajaban, y es así donde todos deberíamos estar atentos.
Si nos fijamos detenidamente en la web, podemos ver como la palabra “iCloud” tiene un pequeño punto debajo de la “u”. Suficiente para confundirnos si no estamos atentos. Esto se consigue gracias a caracteres Unicode, en vez de letras del código ASCII.
Conociendo estos detalles, Asun actuó
Gracias a que Asun pudo darse cuenta de todos estos detalles, llamó a la Policía para explicarle lo sucedido. Cómo el iPhone 6s continuaba encendido (para esperar que Asun introdujera sus datos en la web falsa), el dispositivo seguía marcando la ubicación exacta con “Buscar mi iPhone”.
Momento perfecto para pasar esta información a la Policía y que estos pudieran actuar sobre los amigos de lo ajeno. Pudiendo recuperar el iPhone 6s sustraído y con intento posterior de robo de credenciales.
Si Asun se hubiera dejado llevar los nervios del momento, posiblemente hubiera caído en la trampa de los ladrones, pero gracias a que mantuvo la calma y que los delincuentes no eran muy avispados, todo acabó bien. A pesar del susto.
Por desgracia, cada vez hay más sitios web donde se suplanta la identidad de Apple para intentar confundirnos, así que es conveniente seguir estos pasos si recibimos un email o nos dirigen a una web de dudosa fiabilidad. Por último, recuerda que siempre que quieras acceder a Facebook, tienes que activar el factor de autenticación de iCloud.
Cómo protegernos del phishing
En caso de recibir un email, podemos estar prevenidos comprobando estos datos:
• La dirección de correo electrónico recibido no te resulta familiar en comparación con otros email de Apple.
• Si el mensaje comienza con un saludo genérico del tipo «Estimado cliente«. Normalmente suelen incluir tu nombre gracias a su base de datos.
• El enlace parece verdadero pero te dirige a un sitio web con una URL que no coincide con la dirección oficial de Apple.
• Si te solicitan información personal, como un número de tarjeta de crédito o la contraseña de una cuenta, no los proporciones.
Estos son algunos consejos, en caso de recibirlo y coincidir con alguno de los pasos anteriores, repórtarlo a Apple en reportphishing@apple.com o imessage.spam@apple.com si se trata de un SMS recibido.
¿Has recibido algún intento de robo de identidad con alguno de estos métodos? ¿Cómo actuaste?