Una estafa SMS muy activa en móviles de España se hace pasar por la la empresa de manejo de paquetes postales FedEx, con un mensaje corto que dice lo siguiente: «FedEx: Tu envio esta por llegar, rastrealo aqui», seguido de un enlace que nos lleva a descargar un apk (instalador de aplicación en Android) malicioso. Como de costumbre en este tipo de estafas, faltan las tildes.
2021 está siendo un año muy propicio para este tipo de estafas y engaños. El SMS de Correos de los primeros días de enero llegó con una intensidad enorme a miles de usuarios. Más tarde, fue DHL la compañía de reparto que se usó para engañar a muchos usuarios con el mensaje «DHL: Su paquete esta llegando, rastrealo aquí: [página web que simula ser la de la empresa de mensajería]». Parece claro que suplantar a mensajeras es el nuevo reclamo perfecto para hacerse con datos de potenciales víctimas.
Dado que los atacantes probablemente saben que en España…
…la mayoría de personas utiliza smartphones Android, el esquema solamente es el mismo que el de Correos y DHL en esa plataforma. Esto es, que en el sistema operativo de Google, el enlace que nos llega por SMS nos redirige a una web para que descarguemos «Fedex.apk», una aplicación maliciosa con la que supuestamente podremos hacer «rastreo de nuestro paquete».
En iOS, al detectarse el user agent de Safari móvil, la web que carga es muy distinta, y la estafa es el clásico aviso de que hemos ganado un iPhone en un sorteo, de forma que se nos pedirá introducir nuestros datos para recibirlo, previo pago de una cantidad.
Volviendo al caso de Android…
…que será el más extendido, el archivo apk vuelve a ser un instalador de malware que de hecho Chrome detecta como malicioso al descargar, algo de lo que intenta prevenirnos. Como ocurría en anteriores casos, la web falsa de Fedex nos insta no solo a la descarga, sino que, al tratarse de un instalador ajeno a la Play Store, nos indica cómo «instalar de fuentes desconocidas». De esta forma, los atacantes saben que se saltarán la seguridad del sistema.
Una vez instalado, el apk pedirá permisos para llamar, leer contactos, leer y enviar SMS, etc. Es esto lo que interesa a los atacantes, hacerse con nuestros datos sensibles del teléfono, pero también hacerse con nuestra agenda para poder enviar el SMS de la estafa a cuantos más personas mejor. Es así como la cosa se va propaganda. Si damos permisos más profundos, que la aplicación de Correos pedía, desinstalar el apk será más difícil porque quedará protegido. Habrá que quitar esos permisos para más tarde desinstalar.
Sigue leyendo: «FedEx: Tu envio esta por llegar, rastrealo aqui»: así es la nueva estafa SMS que se hace con nuestros datos en Android
