El phishing amplía horizontes: Campaña contra MoviStar

Bancos, cajas de ahorro, sitios de subastas, de pago online, empresas
de traspaso de dinero, páginas de comunidades, oficinas de correos,
agencias tributarias… todo este tipo de organizaciones (y más) han
sido víctimas de ataques phishing. Ahora es el turno de los operadores
telefónicos. Se ha detectado un caso de phishing a MoviStar que ha
permanecido activo todo el fin de semana.

El ataque ha sido detectado desde al menos el sábado día 1 de
septiembre. Una URL que simulaba pertenecer al ‘Canal Cliente’
de MoviStar, pero que en realidad estaba alojada en un servidor
comprometido, pretendía ser la compañía de Telefonica y robar los
datos de la tarjeta de crédito de las potenciales víctimas.

El sitio, bastante conseguido, pretendía simular una recarga de tarjetas
prepago de MoviStar. El usuario debía introducir el número de tarjeta de
crédito, fecha de caducidad, código CVV y por supuesto, número de
teléfono móvil y cantidad que deseaba recargar.

Probablemente se trate de una campaña potenciada a través de un correo
basura que animaba a usuarios a recargar su móvil de forma cómoda a
través de la página web oficial de MoviStar.

Este tipo de estafa destinada a robar los datos de tarjeta de crédito,
se ha solapado en el tiempo con un nuevo ataque a la Agencia Tributaria.
En enero ya alertamos sobre este caso en el que se animaba a la víctima
a introducir los datos de su tarjeta de crédito en una página
fraudulenta con la excusa de que Hacienda le devolvería cierta cantidad.
Hace algunos días, se ha vuelto a repetir la campaña. De nuevo una
página simulaba ser la aeat.es y pedía datos sensibles.

En el pasado habíamos tenido constancia de empresas fantasma que
prometían recargar la tarjeta del teléfono móvil de cualquier compañía
a través de Internet. Ahora se pretende lo mismo, pero simulando ser
la operadora original.

Se puede observar una captura de pantalla en:
http://www.hispasec.com/images/unaaldia/MOVSTAR.png

La URL ha quedado desactivada durante la mañana del lunes. Dependiendo
del ‘éxito’ de la operación quizás se repita.

Intentos como este merman la confianza de los usuarios en la compra
online. Ya no solo son los bancos, parece que cualquier organización,
empresa o compañía es susceptible de sufrir este tipo de ataques,
incluso si la obtención de las contraseñas no redunda en un beneficio
económico directo (como ocurrió con el salvaje ataque a MySpace en
junio). Los phishers amplían horizontes… imaginación y recursos no
les faltan.

Fuente: www.hispasec.com