La estafa de Facebook Messenger engañó a millones

Desde hace meses, millones de usuarios de Facebook han sido engañados por la misma estafa de phishing que engaña a los usuarios para que entreguen sus credenciales de cuenta.

Según un informe que describe la campaña de phishing, la estafa aún está activa y continúa empujando a las víctimas a una página de inicio de sesión de Facebook falsa donde las víctimas son tentadas a enviar sus credenciales de Facebook. Estimaciones no confirmadas sugieren que casi 10 millones de usuarios fueron víctimas de la estafa, lo que le valió a un solo perpetrador detrás de la estratagema de phishing un gran día de pago.

De acuerdo a una informe publicado por investigadores de PIXM Security, la campaña de phishing comenzó el año pasado y aumentó en septiembre. Los investigadores creen que millones de usuarios de Facebook fueron expuestos cada mes por la estafa. Los investigadores afirman que la campaña sigue activa.

Facebook no ha respondido a las solicitudes de comentarios para este informe.

PIXM afirma que la campaña está vinculada a una sola persona ubicada en Colombia. La razón por la que PIXM cree que la estafa masiva de Facebook está vinculada a un solo individuo es porque cada mensaje se vincula con un código "firmado" con una referencia a un sitio web personal. Los investigadores afirman que el individuo llegó a responder a las preguntas de los investigadores.

Cómo funcionó la estafa

El quid de la campaña de phishing se centra en una página de inicio de sesión de Facebook falsa. Puede que no parezca sospechoso de inmediato, ya que copia la interfaz de usuario de Facebook de cerca.

Cuando una víctima ingresa sus credenciales y hace clic en "Iniciar sesión", esas credenciales se envían al servidor del atacante. Luego, "probablemente de manera automatizada", explicaron los autores del informe, "el actor de amenazas iniciaría sesión en esa cuenta y enviaría el enlace a los amigos del usuario a través de Facebook Messenger".

Cualquier amigo que haga clic en el enlace será llevado a la página de inicio de sesión falsa. Si caen en la trampa, el mensaje de robo de credenciales se reenvía a sus amigos.

Phish posterior a la credencial, las víctimas son redirigidas a páginas con anuncios, que en muchos casos también incluían encuestas. Cada una de estas páginas genera ingresos por referencias para el atacante, dijeron los investigadores.

Cuando los investigadores se comunicaron con el individuo que reclamaba la campaña de phishing, el individuo "afirmó ganar $ 150 por cada mil visitas [a la página de salida de publicidad] desde los Estados Unidos".

PIXM estima casi 400 millones de páginas vistas de la página de salida en EE. UU. Esto, dijeron los investigadores, "pondría los ingresos proyectados de este actor de amenazas en $ 59 millones desde el cuarto trimestre de 4 hasta el presente". Sin embargo, los investigadores no creen que el delincuente esté siendo honesto acerca de sus ganancias y agrega que "probablemente esté exagerando un poco".

Cómo la estafa eludió la seguridad

El perpetrador de esta campaña logró eludir los controles de seguridad de la plataforma de redes sociales utilizando una técnica que Facebook no detectó, dijo PIXM.

Cuando una víctima hace clic en un enlace malicioso en Messenger, el navegador inicia una cadena de redireccionamientos. La primera redirección apunta a un servicio legítimo de "implementación de aplicaciones". “Después de que el usuario haya hecho clic”, explicaron los autores del informe, “será redirigido a la página de phishing real. Pero, en términos de lo que llega a Facebook, es un enlace generado usando un servicio legítimo que Facebook no podría bloquear por completo sin bloquear aplicaciones y enlaces legítimos también”.

Incluso si Facebook detectó y bloqueó cualquiera de estos dominios ilegítimos, “fue trivial (y según la velocidad que observamos, probablemente automatizado) generar un nuevo enlace usando el mismo servicio, con una nueva identificación única. A menudo observábamos varios usados ​​en un día, por servicio”, dijeron los investigadores.

PIXM dijo que pudo acceder a las propias páginas del pirata informático para rastrear las campañas. Los datos indicaron que casi 2.8 millones de personas cayeron en la estafa en 2021 y 8.5 millones lo han hecho en lo que va del año.

Los investigadores advierten: “Mientras estos dominios no sean detectados por el uso de servicios legítimos, estas tácticas de phishing seguirán prosperando”.