El nuevo ataque de phishing "creativo" que debe tener en cuenta

Un investigador de ciberseguridad que advirtió el mes pasado sobre una campaña creativa de phishing ha compartido detalles de una nueva, pero similar, campaña de ataque con el sitio web The Hacker News, que fue diseñada específicamente para atacar a los usuarios móviles.

Como en la campaña anterior, el nuevo ataque de phishing también se basa en la idea de que una página web maliciosa podría imitar la apariencia de la ventana del navegador para engañar incluso a los usuarios más vigilantes para que proporcionen sus credenciales de inicio de sesión a los atacantes.

Antoine Vincent Jebara, co-founder and CEO of Myki password management software, shared a new video with The Hacker News portal, demonstrating how attackers can reproduce the behavior of native iOS, browser URL bar, and Safari's tab-shifting animation effects in a very realistic way on a web page to present fake login pages, without actually opening or redirecting users to a new tab.

Antoine Vincent Jebara, co-fundador y CEO del software de gestión de contraseñas Myki, compartió un nuevo video con el portal The Hacker News, demostrando cómo los atacantes pueden reproducir el comportamiento del iOS nativo, la barra de direcciones del navegador y los efectos de animación de Safari en una página web para presentar páginas de inicio de sesión falsas de una manera muy realista, sin abrir o redirigir a los usuarios a una nueva pestaña.

El nuevo ataque de phishing imita la animación y el diseño del navegador móvil

Un sitio web malicioso de tipo Airbnb incita a los usuarios a autenticarse utilizando su nombre de usuario de Facebook, pero al hacer clic en él, la página muestra un vídeo animado con una pestaña falsa para inducir a los usuarios a pensar que sus navegadores se están comportando con normalidad.

” "Una vez que un usuario accede al sitio malicioso, es manipulado para realizar acciones que parecen legítimas, todo con el objetivo de aumentar su confianza para enviar su contraseña de Facebook en la etapa final del ataque."

Si los usuarios no prestan mucha atención a los detalles y no identifican diferencias menores, terminarán rellenando los campos de nombre de usuario y contraseña en la página de phishing, lo que resultará en la entrega de sus credenciales de medios sociales a los atacantes.

"Este ataque está mal implementado y contiene varios defectos desde el punto de vista del proceso y del diseño. Las advertencias de inicio de sesión con Facebook se presentan como una ventana externa en Safari, no como una pestaña adicional a la que se cambia el usuario. Aparecen minimizadas en la barra de navegación falsa de Facebook ", dijo Jebara.

Aunque los hackers probablemente implementarán esta campaña de una manera más realista, en su forma actual, la mayoría de los usuarios caerían en este ataque, ya que los detalles que lo revelan son relativamente sutiles y, lo que es más importante, el usuario se muestra como específico, acciones familiares que parecen apagar la parte del cerebro que duda de la legitimidad de la página.

Cómo protegerse contra esta nueva forma de estafa de phishing

Es importante tener en cuenta que estos ataques avanzados de phishing no se limitan sólo a los usuarios móviles de Facebook, Safari o iOS, sino que se pueden adaptar fácilmente a dispositivos Android o a cualquier otro sitio web de medios sociales.

Los ciberdelincuentes pueden dirigirse a diferentes plataformas mediante la creación de un sitio web que sirve automáticamente a diferentes versiones de páginas de phishing basadas en la aplicación del navegador y en las víctimas del sistema operativo móvil.

Dado que no existen directrices claras para identificar estos ataques creativos de phishing, se recomienda encarecidamente a los usuarios que lo hagan:

• Utilice administradores de contraseñas que rellenan automáticamente las credenciales en los dominios legítimos, lo que ayuda a evitar las donaciones de credenciales a sitios web falsos.

• Habilite la autenticación de dos factores siempre que esté disponible, evitando que los hackers accedan a sus cuentas en línea, incluso si de alguna manera pueden robar sus credenciales.

Además, Jebara también sugiere que los usuarios se pregunten a sí mismos: "¿Por qué me pide que me registre?" o “¿Aún no estoy conectado con esto?“ cuando los hackers intentan imitar los inicios de sesión de los sitios web más populares para los que ya tienes una aplicación en tu smartphone.

El phishing sigue siendo una de las amenazas más graves para los usuarios y las empresas, y los hackers siguen probando nuevas y creativas formas de inducirlos a proporcionar detalles confidenciales y financieros que luego podrían utilizar para robar su dinero o piratear sus cuentas en línea.

Traducido de: https://mundohacker.net.br/novo-ataque-de-phishing-criativo-em-que-voce-deve-prestar-atencao/