Ataques de phishing simulan reembolsos de la Seguridad Social y la Agencia Tributaria

En los últimos días se han detectado en España una campaña de ataques de phishing que aprovechan la actual situación administrativa y económica por el COVID-19 y el periodo de declaración de la Renta, para suplantar las identidades de la Seguridad Social y de la Agencia Tributaria. En ambos casos el cebo es un supuesto reembolso.

La Seguridad Social NO te ha enviado un reembolso

Los correos electrónicos detectados en esta campaña tienen como asunto “Se le envía un reembolso de Seguridad Social”, y la dirección de correo del remitente simula pertenecer a la propia Seguridad Social, aunque no se descarta que puedan estar distribuyéndose, con el mismo propósito fraudulento, correos con otros asuntos o direcciones, informan desde la Oficina de Seguridad del Internauta.

La estafa avisa al usuario de que tiene derecho a un pago de la Seguridad Social, y para recibirlo ha de acceder a un enlace que simula ser una dirección web de la sede electrónica de la Seguridad Social, aunque en realidad enlaza a una página fraudulenta. Además, se da al usuario un plazo de tiempo limitado para realizar el supuesto trámite, con la finalidad de acentuar su sensación de urgencia y facilitar el engaño.

Al pulsar sobre el enlace que simula corresponder a la sede electrónica de la Seguridad Social, el usuario es redirigido a una página fraudulenta con la imagen institucional de la Seguridad Social, donde se solicitan sus datos personales en un supuesto formulario de reembolso. Si se completan los datos personales, y se hace clic sobre el botón “Realizar reembolso”, se solicitan los datos de la tarjeta bancaria.

Todo es falso. Simplemente, la Seguridad Social jamás te llamará «cliente». Simplemente eso debería ser un indicativo, pero seguimos cayendo en la trampa y los ciberdelincuentes obtienen nuestros datos personales y bancarios.

Hacienda tampoco te ha enviado un reembolso

Todo un clásico que se repite cuando cada año vuelve la declaración de la Renta a España. De nuevo un correo electrónico simula la identidad de la Agencia Tributaria para ofrecernos un «reembolso» a través de un enlace que viene de regalo y que es un malware detectado como JS/TrojanDownloader. Agent.UQS  por las soluciones de seguridad de ESET.

La víctima será redirigida a un servicio de almacenamiento de ficheros (Sendspace) usado por los delincuentes para alojar las numerosas muestras que han usado en esta campaña y descargará un archivo zip malicioso.

De nuevo la imagen con fallos en los acentos ya debería hacernos desconfiar totalmente y en cualquier caso, Hacienda jamás te va a realizar reembolsos por esta vía, ni va a incluir enlaces tan sospechosos como éste en un correo electrónico.

Cómo identificar los ataques de phishing

Ya hemos comentado en otras ocasiones que este tipo de malware es cada vez más sofisticado y difícil de detectar. La prudencia y el sentido común son la barrera preferente en éste y cualquier tipo de malware. Te dejamos con los consejos generales contra el phishing:

• Utiliza el sentido común con esas promociones que «regalan» cualquier cosa. Desconfía siempre.
• No abras correos de usuarios desconocidos o que no hayas solicitado, elimínalos directamente.
• Ninguna empresa nos va a solicitar nuestros datos por correo electrónico.
• Especialmente las compañías financieras. Nunca te pedirán datos importantes.
• Desconfía de cualquier correo que te redireccione a otras páginas web.
• Entra siempre por una URL oficial protegida y segura con HTTPS. Asegúrate que tenga el certificado correspondiente.
• Cuidado especial con las URLs acortadas, suele ser un mecanismo que utilizan los estafadores para enmascarar los links maliciosos.
• Si recibes un mensaje de tu banco y tienes dudas busca asistencia a través de su página web, oficina física o páginas oficiales.
• Sospecha de las redacciones con faltas gramaticales, son producto de las traducciones automáticas y son todas falsas.
• Nunca compartas tus contraseñas con nadie a través de ningún medio de Internet.
• No descargues ningún archivo adjunto de este tipo de mensajes, incluso de conocidos. Es probable que incluya un troyano bancario.
• Si usas una app móvil, descarga siempre de sitios oficiales.
• Valora el uso de extensiones para tu navegador como Password Alert.
• Aumenta tu seguridad en general: contraseñas fuertes; software actualizado; navegación por sitios web de confianza….