AnatomÃa de un phishing

Entre tantos *ing (cracking, hacking, spoofing, etc.) hay uno especial que está causando estragos últimamente, el pishing. En pocas palabras es un fraude en el que la vÃctima recibe un correo solicitándole confirmar sus datos personales, aduciendo un supuesto problema con el sistema informático. La información que se pide puede ser de una cuenta de banco, de tarjeta de crédito, de Amazon, etc. y se incluye un link que supuestamente lleva a una página con el formulario para hacer la confirmación de los datos solicitados. Cuando el usuario hace click en los links que aparentemente no tienen ningún problema, se muestra un formulario idéntico al real o por lo menos creÃble, con logo, leyenda de copyright, diseño decente, etc. El usuario puede jurar que está en la página correcta, pero en realidad lo que esta viendo es un formulario que toma los datos y los envÃa donde se le antoje al cabrón que lo diseñó, y ¡voila! alguien más inteligente se adueña del usuario y la contraseña para hacer lo que se le antoje.
Hoy recibà un correo supuestamente de Banesto, un banco español del que ni siquiera conocÃa el logotipo. El correo lo pueden ver aquÃ.
Con la excusa que han detectado que he ingresado desde varias direcciones IP al sistema de banca en lÃnea, piden que verifique mis datos haciendo click en los enlaces que aparecen al final (no tengan miedo, no pasa nada si solo miran la página). No es necesario llegar al final del mensaje para saber que se trata de un auténtico engaño, sin embargo la curiosidad de recibir un mensaje asà me puso a pensar e investigar un rato.
Lo más obvio es que ningún banco pide que se confirmen los datos por Internet, pero asumiendo que es posible, lo mÃnimo que incluirÃa el mensaje serÃa el nombre del usuario. Lo siguiente es ver la dirección real a la que llevan los links del final, ambos enlaces llevan al mismo lugar por cierto. Posando el mouse sobre el link, se puede ver claramente que la dirección lleva a una página alojada en eleos.com, una empresa de consultorÃa de administración. Si algún incauto solamente hace click sin ver a donde lleva realmente, el fraude esta a medio camino.

La página en cuestión tiene un formulario que hace creer a cualquiera que es válido, mientras no mire la barra de direcciones por supuesto. Y aunque la mire, lo más seguro es que la mayorÃa caerÃa en el engaño. Lo curioso también es que si trato de ver el código fuente de la página, me muestra el código de una página de error diciendo que no pudo encontrar la página solicitada. jmmm…
La siguiente pista es la falta del certificado de seguridad que tiene que mostrar el navegador. Algo asà como este:

Luego seguà investigando un poco sobre el correo y hurgando entre los encabezados me encuentro con que el servidor SMTP que lo envió esta en albatros.janene.com. Resulta que janene.com es una empresa de alojamiento web de Singapur que se mira decente. Pero en el subdominio albatross solamente hay una página de prueba de un servidor web en MacOSX. jmmm…
Pues como todo informático bien awebado (de web), le pregunté al oráculo y me vomitó esta dirección en la que se explica el fraude. El detalle que no sabÃa es que si hubiera hecho click estando en Internet Explorer, la ventana que me hubiese mostrado no tendrÃa visible la barra de direcciones, haciendo más fácil caer en la trampa. ¡ajá!
Por esas casualidades de la vida, hoy en la noche recibà un mensaje de la compañia de tarjetas de crédito diciendome que detectaron que mi sistema de correo no tenÃa la capacidad de mostrar correos en formato HTML, por eso crearon una versión para mÃ.
¿Y adivinen que? El mensaje estaba en HTML….



