El spam y el phishing que explotan vectores de ataque no tradicionales pueden ser lucrativos para los ciberdelincuentes, pues tienen la posibilidad de engañar a usuarios experimentados que tal vez no caigan con amenazas comunes. Este es precisamente el caso cuando se trata de servicios legítimos de confianza, como las funciones predeterminadas del calendario de correo electrónico, que son aprovechadas para el llamado «phishing de calendario».
La detección de numerosas notificaciones emergentes no solicitadas en el calendario durante el mes de mayo fue resultado de una explosión de spam en mensajes de correo electrónico bien elaborados y enviados por los estafadores. Esos correos electrónicos aprovechaban una característica predeterminada que es común para las personas que usan Gmail en su teléfono inteligente: la opción y notificación automática de invitaciones en el calendario. El fraude se produce cuando el estafador envía una invitación no solicitada al calendario que contiene un enlace URL de phishing. Aparece entonces una notificación de la invitación en la pantalla de inicio del teléfono y recomienda al destinatario hacer clic en el enlace.
En la mayoría de los casos, se redirigía al usuario a un sitio web con un cuestionario simple que ofrecía premios en efectivo. Para recibir la recompensa, se le solicita al usuario un pago «de trámite» para el cual debe ingresar los detalles de su tarjeta de crédito y agregar cierta información personal, como nombre, número de teléfono y dirección. Esta información va directamente a los estafadores que la utilizan para robar dinero o la identidad.
“La ‘estafa del calendario’ es una estratagema muy eficaz, pues la gente está más o menos acostumbrada a recibir mensajes de spam en correos electrónicos o a través de mensajes instantáneos y no confían de inmediato en ellos. Pero puede que este no sea el caso cuando se trata de la aplicación de calendario, cuyo propósito es organizar la información, más que transferirla. Hasta ahora, el ejemplo que hemos visto contiene texto que muestra una oferta obviamente extraña, pero, como suele ocurrir, todas las estratagemas simples se vuelven más elaboradas y engañosas con el tiempo. La buena noticia es que no es necesario tomar medidas complejas para evitar este tipo de estafa, pues la función que la hace posible se puede desactivar fácilmente en la configuración del calendario», dijo Maria Vergelis, investigadora de seguridad en Kaspersky.
Para evitar ser víctimas del spam malicioso, los investigadores de Kaspersky aconsejan a los usuarios:
- Desactivar la adición automática de invitaciones a su calendario: para ello, abra Google Calendar; en la configuración, haga clic en el ícono del engrane y luego en configuración de eventos. Haga clic en el menú desplegable de la opción ‘agregar invitaciones automáticamente’, y seleccione ‘No, solo mostrar las invitaciones a las que he respondido’. Debajo de esto, en la sección ver opciones, asegúrese de que ‘Mostrar eventos rechazados’ NO esté marcado, a menos que específicamente desee verlos.
- Nunca ingresar su información personal si no tiene certeza de que un sitio web al que se le redirige es real y seguro.
- Seleccionar una solución de seguridad confiable, como Kaspersky Security Cloud, para tener protección integral contra una amplia gama de amenazas
Para mayor información, consulta el informe en Kaspersky Daily.
