A nuevo tipo de ataque de phishingdescubierto recientemente por la firma de seguridad ESET, expone seriamente a los usuarios de iPhone y Android. Esta sofisticada técnica se basa en el uso de aplicaciones web progresivas (PWA)comprometiendo así la seguridad de la información bancaria y personal de las víctimas.
El ingenio detrás de este método de phishing
Los ataques de phishing tradicionales siempre han buscado redirigir a las víctimas a sitios web falsos para extraer información confidencial. Sin embargo, este nuevo enfoque va aún más allá. Animando a los usuarios a instalar PWA a través de un enlace maliciosolos atacantes pueden crear aplicaciones que parecen legítimas pero que están diseñadas para robar datos confidenciales, como credenciales bancarias.
Una PWA es una aplicación que se comporta como una aplicación móvil independiente y se instala directamente desde un navegador web. Puede enviar notificaciones automáticas y acceder a funciones del teléfono, imitando perfectamente cómo funciona una aplicación real. La característica preocupante de este método es que permite la instalación de estas aplicaciones sin requerir la aprobación explícita del usuario para instalar aplicaciones de terceros, lo que elude incluso las estrictas protecciones de ecosistemas tan controlados como el de Apple.
El modus operandi de los hackers
Para desplegar estos ataques, Los ciberdelincuentes difunden enlaces maliciosos. a través de diversos medios, incluidas llamadas telefónicas automáticas, mensajes SMS y anuncios fraudulentos en redes sociales. Una vez que la víctima cae en esta trampa, se la dirige a una versión falsa de tiendas de aplicaciones conocidas como Google Play Store o Apple App Store.
Allí, se le pide al usuario que instale una actualización para su aplicación bancaria. En Android, esta instalación crea una aplicación nativa simulada por el navegador, mientras que en iOS, se solicita a los usuarios que agreguen la PWA a su pantalla de inicio. Estas aplicaciones falsificadas son casi idénticas a las aplicaciones bancarias reales, lo que dificulta que el usuario se dé cuenta del engaño.
Impacto y prevención para las empresas
Esta nueva amenaza impone a las empresas, particularmente a las del sector financieropara informar a sus clientes sobre los riesgos asociados con la instalación de PWA de fuentes no oficiales. Es imperativo monitorear periódicamente las actividades sospechosas y trabajar en estrecha colaboración con expertos en ciberseguridad para identificar y neutralizar rápidamente cualquier campaña de phishing emergente.
Además, es esencial organizar campañas de concientización para ayudar a los usuarios a identificar solicitudes de instalación sospechosas. Las empresas deben enfatizar la importancia de descargar aplicaciones sólo a través de canales oficiales. Además, podría resultar beneficioso introducir pasos adicionales para verificar la integridad de las instalaciones de nuevas aplicaciones o al realizar conexiones desde nuevos dispositivos.
Casos documentados y difundidos
Los primeros casos de uso de esta técnica se observaron en julio de 2023 en Polonia, seguidos de una segunda campaña en la República Checa en noviembre. Los informes también indican Campañas en curso en Hungría y Georgia.. La naturaleza multiplataforma de las PWA significa que estos ataques pueden afectar potencialmente a un número mucho mayor de personas.
Para convencer a las víctimas de que hagan clic en una URL con trampa explosiva, los atacantes utilizan llamadas telefónicas automáticas, mensajes SMS y “publicidad maliciosa”. anuncios maliciosos en las redes sociales explotando la imagen de los bancos existentes.
Vigilancia continua contra las amenazas en evolución
El desarrollo de técnicas de phishing a través de PWA representa un nueva etapa preocupante en la lucha contra el cibercrimen. Estos métodos avanzados engañan eficazmente a los usuarios para que obtengan su información personal sin las típicas señales de advertencia asociadas con las expectativas tradicionales de los ataques de phishing.
Es fundamental que las empresas permanezcan alerta, adapten continuamente sus estrategias de seguridad y mantengan esfuerzos concertados entre ellas y los consumidores para reducir de manera efectiva los riesgos asociados con estos ataques sutiles pero altamente perniciosos.