Hechos clave:
- Las víctimas son extorsionadas con un correo enviado desde su propia cuenta.
- Se trata de una modalidad de usurpación denominada spoofing.
Autoridades policiales en Colombia alertan sobre una modalidad de estafa mediante la cual los atacantes piden un rescate en bitcoin (BTC) a cambio de no revelar información personal presuntamente secuestrada a sus víctimas. Así lo reseñó el medio colombiano Telemedellín este 26 de noviembre.
Lo más llamativo de la estafa es que la víctima recibe un correo desde su propia cuenta de correo electrónico. La denuncia la hace el comandante operativo de Seguridad Ciudadana para la localidad del Valle de Aburrá, coronel Iván Santamaría, citado por el referido medio.
Según Santamaría, se trata de una práctica conocida como spoofing. Una forma de usurpación de identidad en comunicaciones electrónicas. Sin embargo, el atacante no toma posesión del acceso a la cuenta de correo de su víctima, sino que tiene la capacidad de enviar mensajes desde cualquier cuenta. La víctima, al recibir el correo amenazante desde su propia cuenta, considera que sus datos están efectivamente comprometidos.
En los correos a los que alude el oficial colombiano, a la víctima se le solicita el pago de un rescate en bitcoin equivalente a EUR 500, según el reportaje publicado por el medio antes mencionado. Adicionalmente, en dicho correo el atacante se atribuye el secuestro de datos personales del afectado, al que le provee una dirección de Bitcoin para el envío de los fondos y un plazo de 30 horas para hacerlo.
“Cuando recibo las monedas, garantizo absolutamente que los datos recopilados se eliminarán. No los necesito”. Con ese mensaje, el atacante busca dar seguridad sobre el destino de los datos supuestamente secuestrados de sus víctimas.
Colombia y los delitos informáticos
El mismo reportaje de Telemedellín asegura que la incidencia de delitos informáticos en el Valle de Aburrá ha disminuido en un 50% en lo que va de 2019 con respecto al año anterior, según fuentes policiales de la localidad.
Pero no son pocos los delitos informáticos en el país suramericano, según se desprende del estudio Tendencias del Cibercrimen en Colombia 2019-2020, efectuado por entidades de la Cámara Colombiana de Informática y Telecomunicaciones (CCIT) y el Centro de Capacidades para la Ciberseguridad de Colombia (C4) de la Policía Nacional colombiana.
En ese documento, se menciona que durante este año han ocurrido más de 28.000 crímenes informáticos en el ámbito empresarial. El mismo estudio señala que desde el año 2017 han sido más de 52.000 los incidentes de este tipo. De ellos, al menos 8.000 corresponden a delitos de robo de identidad.
Spoofing con pagos en bitcoin
Una publicación en el medio español Público ya daba cuenta de tal práctica, a principios del mes de noviembre. Aunque también menciona ese texto que no es una práctica nueva, y que se hace no solo solicitando pagos de rescate en bitcoin.
En esa nota, firmada por el periodista Luis García, se menciona el mismo spoofing con un mensaje que podría parecer una continuación al mencionado en el entorno colombiano. En el correo citado por esa nota, se menciona un pago ya efectuado por la víctima. Pero en ese correo el atacante reclama que el monto no se corresponde con el que se debía pagar.
Además, en el correo nuevo se provee una dirección de Bitcoin distinta y un nuevo plazo de pago de 24 horas. La dirección citada en ese texto no ha recibido transacciones, al momento de redacción de esta nota. Así lo corroboramos a través del explorador de bloques de blockchain.com.
Otro antecedente destacado fue la estafa a usuarios de Uphold en noviembre de 2018. A propósito de las ofertas del Black Friday, usuarios de dicha plataforma recibieron un correo electrónico desde la cuenta de Uphold ofreciendo un reembolso de 15% de los fondos que tuvieran en sus cuentas.
Para ello, la única condición era depositar al menos 0,1 BTC a una dirección de Bitcoin suministrada en el mismo correo. Aunque Uphold informó vía Twitter que se trataba de un fraude tras verse comprometido su servicio de correo electrónico, la dirección señalada por los estafadores llegó a recibir hasta 0,53742844 BTC. Al momento del fraude, esa cifra equivalía a unos USD 2.400. Ahora, la misma cifra supera los USD 3.600.
