Home Sociedad Un nuevo ataque de phishing amenaza a todos los usuarios de Instagram

Un nuevo ataque de phishing amenaza a todos los usuarios de Instagram

Investigadores de Sophos, descubrieron una estafa furtiva de phishing, que utiliza una solicitud de autenticación falsa de dos factores para engañar a los destinatarios de correo electrónico a fin de que introduzcan sus credenciales de inicio de sesión Instagram.

“Alguien ha intentado acceder a su cuenta de Instagram. Si no fue usted, por favor, utilice el siguiente código para confirmar su identidad”, según el correo electrónico fraudulento, que proporciona un código de seis dígitos que supuestamente debe introducirse después de que la posible víctima haga clic en un enlace que conduce a lo que parece ser una página de inicio de sesión.

“El uso de lo que parece un código 2FA es un toque limpio: la implicación es que no vas a necesitar usar una contraseña, sino simplemente confirmar que el correo electrónico te llegó”, explica el tecnólogo principal de Sophos, Paul Ducklin, en un artículo publicado en el blog de la empresa el 23 de agosto. “Y los códigos de autenticación de dos factores rezuman ciberseguridad, porque, bueno, porque 2FA”, continúa.

Pero si el destinatario del correo electrónico hace clic en el enlace, se le lleva a un dominio.CF (República Centroafricana) malicioso que hace una imitación convincente de una pantalla de inicio de sesión real de Instagram, repleta de un certificado HTTPS válido.

“Una campaña de phishing que utiliza una respuesta 2FA falsa da la ilusión de una comunicación segura, pero en realidad es exactamente lo contrario. Es casi como la ingeniería social, en la que alguien quiere hacer lo correcto, pero no lo piensa del todo”, dijo Dan Conrad, estratega de campo de One Identity, en comentarios enviados por correo electrónico. “Los correos electrónicos de un impostor de Instagram son sólo un pequeño indicador de los tipos de ataques y daños que podrían ser posibles en el futuro.”

Sin embargo, todavía había algunas señales que delataban la estafa de Instagram. Para empezar, los correos electrónicos que ofrecen a los destinatarios, enlaces para acceder a un servicio en línea deben ser tratados como una bandera roja. Los destinatarios siempre pueden simplemente ir al sitio web o a la aplicación del servicio para iniciar sesión, y deben utilizar el procedimiento oficial del servicio para comprobar la actividad de inicio de sesión anterior.