Los cibercriminales utilizan el calendario del móvil para distribuir ofertas fraudulentas
Durante el mes de mayo, investigadores han detectado múltiples casos de sofisticadas estafas dirigidas a los usuarios mediante notificaciones fraudulentas y no solicitadas de Google Calendar como señuelo para que revelen información personal.
Esta estafa investigada por Kaspersky se aprovecha de una característica específica de un servicio gratuito de calendario online que añade automáticamente invitaciones y eventos a los calendarios de los usuarios.
El spam y el phishing que explotan vectores de ataque no tradicionales pueden ser lucrativos para los delincuentes, ya que pueden atrapar a usuarios experimentados que no caerían en amenazas más comunes. Esto es especialmente cierto cuando se trata de servicios legítimos de confianza, como las funciones predeterminadas del calendario de correo electrónico, cuando se explotan a través del llamado "phishing de calendario".
La detección de múltiples notificaciones de calendario emergentes no solicitadas durante el mes de mayo ha sido el fruto de una avalancha de sofisticados correos electrónicos spam enviados por estafadores. Los correos electrónicos explotaban una función predeterminada de los usuarios que usan Gmail en sus teléfonos inteligentes: la inclusión y notificación automática de invitaciones de calendario. El fraude se produce cuando el cibercriminal envía una invitación de calendario no solicitada con una URL de phishing. Aparece una notificación emergente de la invitación en la pantalla de inicio del smartphone y se anima al destinatario a hacer clic en el enlace.
En la mayoría de los casos, el usuario es redirigido a un sitio web con un sencillo cuestionario y una oferta de premios en metálico. Para recibir el premio, se solicita al usuario un pago para el que deberá introducir los datos de su tarjeta de crédito y añadir algunos datos personales, como el nombre, el número de teléfono y la dirección. Estos datos van directamente a los estafadores que los explotan para robar dinero o información sobre su identidad.
"La "estafa del calendario" resulta muy efectiva, ya que actualmente los usuarios se han acostumbrado a recibir mensajes de spam de correos electrónicos o mediante servicios de mensajería y no confían en ellos inmediatamente. Pero esto cambia cuando se trata de la aplicación Calendario, que tiene como objetivo principal organizar la información en lugar de transferirla. Hasta ahora, la muestra que hemos visto contiene texto que muestra una oferta extraña, pero, como suele ocurrir, cada esquema simple se vuelve más elaborado y complicado con el tiempo. La buena noticia en este caso es que no se necesitan precauciones sofisticadas para evitar este tipo de estafa, simplemente hay que desactivar la función que lo permite en los ajustes del calendario", explica Maria Vergelis, investigadora de seguridad de Kaspersky.
Para evitar ser víctima de spam malicioso, los investigadores de Kaspersky aconsejan a los usuarios:
• Desactive la funcionalidad de inclusión automática de invitaciones en el calendario: para ello, hay que abrir Google Calendar, hacer clic en el icono de configuración del equipo y, a continuación, en Configuración de eventos. En la opción ‘añadir invitaciones automáticamente', hacer clic en el menú desplegable y seleccionar 'No, sólo mostrar invitaciones a las que he respondido'. Debajo de esto, en la sección Ver Opciones, asegúrese de que la opción 'Mostrar eventos rechazados' NO esté seleccionada, a menos que desee verlos específicamente.
• Si no está seguro de si un sitio web al que se le redirige es real y seguro, nunca introduzca información personal.
• Utilice una solución de seguridad fiable para una protección completa frente a una amplia gama de amenazas.
