Hackers apuntan a usuarios VIP de Twitter en una estafa de bitcoin

En las últimas horas, Twitter sufrió un hackeo masivo que afectó algunas de las cuentas verificadas más importantes del mundo con el objetivo de una estafa. Te contamos qué tenían para decir los expertos en seguridad acerca del suceso y los consejos para no caer en estas trampas.

Un hackeo masivo sin precedentes en la red social Twitter ha dejado al descubierto posibles riesgos en la seguridad de esta plataforma que afectarían a las cuentas verificadas de numerosas personalidades y compañías, como así ha sido en el caso de los magnates Bill Gates y Elon Musk, el expresidente de EE UU Barack Obama, el músico Kanye West, la empresa de movilidad Uber o la tecnológica Apple, entre otras.

Esta estafa de tipo “giveaway”, cuyo origen y alcance aún están bajo investigación, tenía como objetivo convencer a millones de usuarios de la plataforma del contenido de una serie de mensajes fraudulentos en los que se les instaba a abrir un enlace y pagar una cantidad de dinero en la moneda virtual Bitcoin.

Desde Proofpoint, su director sénior de Estrategia de Ciberseguridad en la región de EMEA, Loïc Guézo, recuerda que “los ciberdelincuentes siguen teniendo en el punto de mira a las personas, incluso en escenarios en los que se puedan ver comprometidos ciertos sistemas. Según se ha podido constatar a través de la ingeniería social de esta estafa, los atacantes se dirigieron a empleados de la compañía Twitter que disponían de acceso a determinadas herramientas internas, aprovechándose de la confianza que despierta el hecho de que una cuenta esté verificada y del atractivo que supone que te devuelvan el doble de una cantidad de dinero”.

Gabriel Zurdo, CEO de BTR Consulting, consultora especializada en temas de ciberseguridad comenta: “no hay un antecedente de que lo pasó, porque intrusaron las cuentas de personalidades y empresas, además de los principales traders de criptomonedas del mundo. Es un ataque dirigido que constituye una especie de “Zero Day”, yo diría el “Cononavirus digital”. Si bien no deja de ser una modalidad de estafa tradicional, ya que se trata de apropiarse de la identidad digital en TW de una cuenta, con motivo supuestamente solidario por causa COVID, para que se deposite dinero a través de un link, billetera virtual; lo que es nuevo en esto es la táctica utilizada. Utilizar nombres de personalidades y marcas reconocidas, con cierto prestigio, a la vez que se complementan con los mayores traders de criptomonedas del mundo. Lo que le da credibilidad, ya que genera la posible impresión de que el “mercado” salió a solidarizarse con la causa de la pandemia. Hoy pienso en dos hipótesis: un posible troyano -ya que en las últimas dos semanas se visualizaron varios ataques- y la otra hipótesis es que sea de una fuente propia de la compañía Twitter”.

“Hackear cuentas populares para publicar mensajes de estafa no es una práctica nueva, como tampoco lo es el timo de recobrar por duplicado una donación. Lo que es curioso en este caso es la escala del ataque y el hecho de que el actor se haya apoderado completamente de las cuentas verificadas – se han cambiado sus correos electrónicos, por lo que los propietarios no son capaces de recuperar el acceso con la suficiente rapidez. Esta estafa ha sido extremadamente efectiva – la cantidad recogida de las víctimas equivale ya, en tan solo un día, a más de 120.000 dólares. Creo que podemos extraer dos grandes lecciones de este incidente. En primer lugar, los usuarios tienen que ser conscientes de la existencia de este tipo de estafas y ser cautelosos en las redes sociales; tienen que ser capaces de reconocerlas. En segundo lugar, tenemos que ser muy cuidadosos con nuestros activos online, cualquier cosa crítica tiene que tener, como mínimo, una autenticación de dos factores”, comenta Dmitry Galov, investigador de seguridad de Kaspersky.

Para que la estafa pareciese auténtica, se estableció un límite de tiempo para llevar a cabo la operación y se puso a disposición de los usuarios una opción de pago fácil con la que conseguir una respuesta aún más rápida.

Inicialmente La cuenta de Twitter de Elon Musk fue aparentemente hackeada tras una serie de ataques a cuentas relacionadas con las criptomonedas, incluyendo grandes exchanges como Binance, Coinbase y Gemini. Otras incluyeron la cuenta oficial de @Bitcoin en Twitter.

La cuenta de Elon Musk hizo un tweet a las 4:17pm ET que sugería que el empresario duplicaría cualquier cantidad de Bitcoin enviada a la dirección de billetera proporcionada.

Luego se supo que Twitter tendrá que enfrentar que las cuentas oficiales de personalidades como la del cofundador de Microsoft, Bill Gates; el fundador de Amazon, Jeff Bezos; el exvicepresidente de EEUU Joe Biden; la de las empresas Apple, Uber o Tesla han sido corrompidas para mostrar una estafa con bitcoins, esto se produjo en cascada y todas con un mensaje similar.

El mensaje mostrado en la cuenta de Musk y de Gates prometía doblar la cantidad de bitcoins de todos los usuarios que le mandasen 1.000 dólares en bitcoins a una cartera en concreto o bien poniendo el coronavirus como excusa para recaudar fondos.

Una estafa bastante reconocible pero que ha revolucionado la red social durante unos minutos debido al alto perfil al que han accedido para gestionar la estafa. Además de a estos referentes en el mundo tecnológico, también han sido hackeadas las cuentas de @bitcoin, @gemini, @ripple, @coindesk, @coinbase o @binance.

 

    Este ataque a la plataforma Twitter sería a su vez la evolución de una anterior estafa con criptomonedas que había sido observada a principios de 2018. Este tipo de fraudes tiene como blanco de los ataques a usuarios de Ethereum y Bitcoin, a quienes se les suele pedir que envíen una pequeña cantidad de dinero a cambio de un supuesto pago mucho mayor en la misma divisa digital. Si bien los ciberdelincuentes distribuyen con bastante frecuencia malware de criptominería o lanzan ataques de phishing de credenciales en monederos o cambios con criptomonedas, estas estafas “giveaway” se posicionan como una nueva táctica mediante la cual robar estas divisas, algo que recuerda a los fraudes “419” tan comunes hace unos 10 o 15 años. Esto viene a refrendar el hecho de que los atacantes continúan buscando nuevas formas con las que explotar el denominado factor humano, y que también las personas son propensas a caer víctimas de cualquier estafa que les prometa conseguir fácilmente commodities como criptomonedas.

    Durante el ataque, como una medida de protección, Twitter implementó una prohibición temporal para todas las cuentas verificadas para escribir nuevos tuits, esto permitió frenar la propagación de la campaña.

    Para poder identificar estafas en redes sociales, tenga en cuenta los siguientes factores:

    • El elemento más importante en cualquier intento de fraude es el límite temporal. De esta forma, no sólo se evita que la víctima tenga tiempo para comprobar en profundidad la veracidad de lo que ocurre, sino que también presiona psicológicamente al usuario, haciendo más probable que obvie algún detalle. El miedo a perder una gran oportunidad es capaz de persuadir incluso al más avezado a que asuma un riesgo o caiga en la trampa del atacante.
    • En este caso, la ciberestafa ha sido diseñada a medida de la personalidad del propietario o al tono de voz de la cuenta hackeada, lo que hace que parezca más legítima. Los cibercriminales podrían incluso ir más allá e ilustrar el fraude con un diseño que parezca auténtico o a través de un deepfake. Hay que tener en cuenta que las campañas oficiales e incluso las iniciativas individuales de tal envergadura siempre cuentan con documentos prescriptivos como soporte para las promociones, aunque su duración temporal sea muy corta, y que estos se publican fuera de las redes sociales. Asimismo, los aspectos financieros suelen ser más transparentes y no se vinculan a carteras de bitcoin privadas.
    • Recuerde que es muy poco probable que una empresa oficial o una persona reconocida le pida transferir dinero, aunque sea con la intención de ser devuelto a posteriori, o incluso como una broma, debido a las posibles implicaciones fiscales o a nivel de informes financiero.

    Para proteger al máximo su cuenta en redes sociales, tenga en cuenta:

    • Es absolutamente esencial tener una contraseña fuerte, pero también debe ser única, de modo que, si un sitio web filtra su credencial, el resto de sus cuentas permanezcan seguras. Para crear una contraseña segura y compleja para cada sitio web, utilice técnicas de memoria o un gestor de contraseñas.
    • Utilice la autenticación de dos factores, en la que el nombre de usuario y la contraseña deban ser confirmados introduciendo un código especial. Además, piense en la posibilidad de no utilizar un mensaje de texto para recibir este código, ya que puede ser secuestrado, sino una aplicación que genere dichos códigos. También puede usar una llave física, conectada al dispositivo mediante un cable USB o NFC.
    • Otra medida de seguridad a poner en marcha es una revisión exhaustiva de las aplicaciones que tienen acceso a la cuenta de Twitter. Estas se pueden encontrar en la configuración de dicha cuenta. Recomendamos revocar el acceso a la cuenta de todas ellas, o de aquellas que no considere completamente protegidas para que, en caso de que sean pirateadas no sea posible acceder a su cuenta.
    Etiquetas
    Florencia Gómez Forti

    Florencia Gómez Forti

    Periodista especializada en tecnología y espectáculos. Comenzó su camino en los medios y el mercado IT de la mano de ITSitio y hoy es Editora de Contenidos para toda la región. Realiza coberturas especiales internacionales y nacionales para marcas como HP Inc. e IBM.

    Deja un comentario

    Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *

    Close
    X