ALERTAN SOBRE NUEVA ESTAFA BANCARIA

Los expertos de la empresa de cibersegurdiad ESET analizaron campañas de phishing que combinan técnicas tradicionales con el uso de las tecnologías especializadas de iOS y Android, respectivamente, para instalar aplicaciones bancarias maliciosas sin el consentimiento del usuario.

Una técnica de phishing, conocida como in the wild, instala una app bancaria maliciosa desde un sitio web de terceros sin que el usuario tenga algo que decir al respecto. Una acción de este tipo vulnera a los usuarios de iOS.

En el caso de Android, esta misma técnica podría dar lugar a la instalación silenciosa de un tipo especial de APK que parece ser instalado desde la Google Play Store.

¿Cómo funciona la campaña dirigida a iOS y Android?

Los sitios web de phishing dirigidos a iOSindican a las víctimas que añadan una Aplicación Web Progresiva (PWA, por sus siglas en inglés) a sus pantallas de inicio.

En el caso de Android la PWA se instala después de confirmar las ventanas emergentes personalizadas en el navegador.

• Las PWA son sitios web integrados en lo que parece una aplicación independiente, sensación que se ve reforzada por el uso de avisos nativosdel sistema. Al ser multiplataforma, estas campañas de phishing pueden dirigirse tanto a usuarios de iOS como de Android.

En este punto, en ambos sistemas operativos, estas aplicaciones de phishingson prácticamente indistinguibles de lasaplicaciones bancarias reales que imitan.

Esta técnica fue revelada por primera vez en Polonia en julio de 2023 y, en noviembre de 2023, observada en República Checa por analistas de ESET que trabajaban en el servicio Brand Intelligence.

“También observamos dos casos de campañas móviles contra bancos fuera de Chequia: un caso dirigido al banco húngaro OTP Bank y otro dirigido al banco georgiano TBC Bank“, dicen los expertos.