Investigadores de Kaspersky Lab han descubierto que Clash of Clans, videojuego de estrategia, guerra y construcción de aldeas online para dispositivos móviles con sistema operativo tanto de iOS como de Android, está siendo utilizado por ciberdelincuentes para lanzar ataques de phishing en busca de obtener las credenciales de las víctimas.
El modelo negocio para este juego ha sido cuidadosamente pensado: cualquiera puede jugar sin invertir dinero real. Sin embargo, esto implica que los jugadores pongan un gran esfuerzo en cada batalla y, a menudo, pierdan frente a otros jugadores que sí compran y/o actualizan cartas raras o con gran potencia. Si bien la mayoría de los jugadores no utiliza dinero en el juego, la ambición está presente. Esto hace que con frecuencia busquen formas alternativas, que incluso pueden rayar en la ilegalidad, de adquirir y actualizar tarjetas especiales para ganar batallas de manera más sencilla y clasificarse para jugar en ligas de primer nivel.
Este modelo ha sido explotado por cibercriminales, que sutilmente abusan de la codicia, la ambición y el deseo de los jugadores en convertirse en el que más puntos y mejor aldea tiene, a través de ataques de phishing, con sitios web diseñados alrededor de fechas especiales como Navidad y Año Nuevo o portales que están vinculados a actualizaciones del juego o cambios en la mecánica del mismo. En estos sitios se les solicita a las víctimas llenar un formulario con credenciales de sus cuentas de Google y Facebook. Al recibir la información los ciberdelincuentes toman control de las cuentas de las víctimas. Tras enviar los datos de contacto, la víctima recibe un mensaje para confirmar su registro. Los cibercriminales necesitan esto para verificar la autenticidad de las credenciales especificadas por el usuario.
La siguiente imagen es un ejemplo de un sitio web de phishing dirigido a los jugadores Clash of Clans. Se diseñó especialmente para la víspera de Año Nuevo y, de acuerdo con la descripción, el desarrollador del juego supuestamente otorga regalos a los jugadores, incluyendo monedas de juego, mejoras de nivel de construcción, entre otras cosas.
“Cuanto más popular es el juego, mayor es la probabilidad de que los estafadores busquen hacer una fortuna aprovechándose de su popularidad. Un ejemplo conciso es organizando este tipo de ataques de phishing que buscan obtener las credenciales de los jugadores y así poder realizar otro tipo de ataques”, explica Andrey Kostin, analista de seguridad para Kaspersky Lab. “Tanto la industria de videojuegos, como la comunidad de jugadores, se han convertido en un objetivo muy deseable para los cibercriminales. Una clara evolución de las técnicas utilizadas para la infección y propagación, así como la creciente complejidad de los propios programas maliciosos, ha llevado a un aumento de este tipo de actividad”.
Para evitar ser víctima de este tipo de estafas de phishing, Kaspersky Lab recomienda lo siguiente:
1. No dé clic en ningún enlace en redes sociales, especialmente de grupos no oficiales, o en mensajes de correo electrónico recibidos de usuarios desconocidos, aunque prometan algún beneficio inminente para el juego.
2. Instale un software de seguridad para asegurar el mejor desempeño de su máquina mientras juega, y la funcionalidad anti-phishing para protegerlo de enlaces maliciosos. Una buena solución de seguridad es clave y, además de tenerla instalada, no debes apagarla cuando vayas a jugar en línea.
3. Si la oferta o promoción que encuentre en Internet resulta demasiado tentadora, vaya al sitio oficial del desarrollador del juego para verificar si es genuina, en caso de que no se encuentre en el portal oficial, haga caso omiso.
4. Cuidado con los amigos virtuales. Muchos de los colegas de juego no son inocentes jugadores y esconden malas intenciones. Si se trata de niños, es fundamental que los padres usen herramientas de control parental para protegerlos.
5. Descarga juegos de fuentes legítimas. Una de las principales causas de infección se da a través de la descarga de juegos y aplicaciones fraudulentas.
