Twitter: nuevo ataque de phishing a cuentas verificadas

Las cuentas verificadas de Twitter son, desde hace mucho tiempo, un objetivo realmente goloso para los ciberdelincuentes. ¿Por qué? Porque todavía son muchos los usuarios que conceden una enorme credibilidad a dicha distinción. Ya pudimos verlo en verano del año pasado, cuando se produjo uno de los ataques más sonados que ha sufrido la red social. Y es que los atacantes se hicieron con el control de cuentas de personas y empresas muy conocidas, todas ellas verificadas, con las que en pocas horas lograron hacerse con 180.000 dólares.

Si no lo recuerdas, en aquella ocasión los atacantes lograron hacerse con el control, durante unas horas, de dichas cuentas, en las que publicaron mensajes en los que invitaban a sus seguidores a realizar transferencias de criptomonedas a sus cuentas, con la promesa de que recibirían el doble de vuelta. Suena de lo más sorprendente, claro, pero el verificado «confirmaba» que realmente eran esas empresas y personalidades las que lo estaban ofreciendo, ¿y quién desconfiaría de una cuenta verificada de Twitter?

Un año antes, en julio de 2019, vivimos un caso parecido en España, si bien en aquel caso el ataque se basó en phishing e ingeniería social. En aquel caso una de las víctimas fue la popular divulgadora Rocío Vidal, más conocida como La Gata de Schrödinger. En aquel caso, el ataque se inició con una cuenta que simulaba ser oficial de Twitter, y mediante el engaño lograron que la divulgadora les facilitara un código de recuperación de cuenta. ¿Y en qué se basaba el engaño? En que supuestamente iba a obtener el verificado de Twitter.

El verificado de Twitter es, en resumen, un reconocimiento que, sea desde un lado o desde el otro, puede llegar a distorsionar la percepción de la realidad, volviendo a las personas más confiadas y, por lo tanto, poniéndolas en bandeja para que los ciberdelincuentes puedan hacer de las suyas.

Esto nos deja claro, por si no lo sabíamos ya  previamente, que las campañas de ataques alrededor de Twitter se relacionan, en bastantes ocasiones, con el ansiado verificado.

El último ejemplo de ello lo encontramos en una publicación de Cyware, en la que la compañía de ciberseguridad informa de una nueva campaña de phishing dirigida específicamente a cuentas de Twitter verificadas. La obtención de las direcciones de correo electrónico de sus usuarios fue sencilla, ya que muchos la añaden directamente en la biografía, como medio de contacto para fines profesionales.

En el correo electrónico que suplanta la identidad corporativa de Twitter, se indica a los usuarios que deben actualizar los detalles de su perfil de manera inmediata, pues en caso contrario perderán la verificación. Obviamente, el correo cuenta con un enlace que lleva, supuestamente, a la red social, para que el usuario pueda actualizar sus datos y mantener el verificado. Ni que decir tiene, claro, que en realidad la página web a la que estos usuarios son dirigidos no tiene nada que ver con Twitter.

¿Y por qué puede funcionar este engaño? Principalmente porque las políticas de Twitter con respecto a los verificados han sido siempre bastante erráticas, y con la llegada del nuevo CEO a la compañía una de las medidas que se han tomado ha sido la eliminación del verificado de algunas cuentas que ya no cumplen con las condiciones necesarias para obtenerlo. Esto ha generado el temor de una revisión masiva de los mismos, por lo que un engaño de este tipo, justo en este momento, es un mix de lo más peligroso.