Les estafes via SMS (smishing) són relativament fàcils d’identificar per als qui tenim una certa experiència digital. Solen tindre faltes d’ortografia, els missatges són genèrics i l’URL de la web és massa estranya. Són els clàssics senyals que ens serveixen d’advertiment per a evitar caure en aquestes estafes.
El cas que està ocorrent aquests dies amb MRW, l’empresa de paqueteria és considerablement més complex, perquè no sols és un missatge més cura, també inclou dades reals que en principi cap atacant hauria de tindre accés.
Aquest hackeig ho ha denunciat la pròpia companyia, que ha adjuntat una prova dels missatges de text falsificats. En ells, l’usuari rep un avís que ha d’abonar les despeses de l’enviament i un link on suposadament fer-se càrrec d’aqueixos costos.
Aquí un ejemplo de SMS. La URL no coincide con la de MRW. ? pic.twitter.com/8WB7Jbru5n
— MRW España (@mrw_es) December 27, 2021
La pròpia entitat remet a la seua pàgina web per a explicar les comprovacions de seguretat que fer abans de punxar en aqueix enllaç. Entre les pistes que dona per a saber que els SMS són falsos, que MRW ”únicament cobra per les despeses derivades dels enviaments oficials realitzats amb MRW, no sol·licitant en cap moment mitjançant un enllaç el pagament de cap quantitat per a realitzar el lliurament”.
A més, explica que no envien e-mails ni SMS amb enllaços que dirigeixen a pàgines web potencialment perilloses.
No és casualitat que el frau, conegut com a smishing, es desenvolupe en plenes festivitats, època de regals, enviaments i una activitat incessant per a empreses de repartiment com MRW.
SMS falsos, però amb dades reals
MRW explica que si hem rebut un SMS indicant que hem d’abonar unes despeses d’enviament, no ho fem. En concret, aquesta estafa de SMS de MRW segueix el patró següent:
Actualment la pàgina falsa de ‘envios-mrw.com‘ ja no està disponible, però no es descarta que la campanya de SMS fake continue amb una altra direcció similar. Aquesta pàgina fraudulenta té un disseny molt semblant al de l’original de MRW i després de mostrar-nos dades del nostre enviament, ens deriva a una web de pagaments on afegir la targeta bancària per a fer un suposat pagament de 0,99⯀ per a les falses despeses d’enviament.
Si l’usuari entra en l’enllaç que rep a través del SMS, s’accedirà a la web falsa de MRW però on queden reflectits algunes dades correctes com el nom, la localitat a la qual es realitza l’enviament i el localitzador o número d’albarà real. Una dada que només hauria d’estar en mans de qui envia el producte.
De moment no s’han confirmat els detalls de la bretxa de seguretat, però des de MRW expliquen que estan «intentant solucionar-ho al més prompte possible», evidenciant que es tracta d’un problema també pel seu costat i no únicament un intent de phishing alié a l’empresa de paqueteria.
Què fer si s’ha ‘picat’ en l’estafa
L’Incibe recomana contactar com més prompte millor amb l’entitat bancària del titular per a informar de la situació i dels possibles pagaments que s’hagen pogut fer. Si s’han facilitat dades personals, convé revisar quina informació privada apareix en internet i quins usos se li està donant, afig l’organisme, abans de prendre mesures legals.
Sobre l’aparença del lloc web fals, aquest té un disseny molt semblant al de l’empresa suplantada, alguna cosa que no fa sospitar a l’usuari de trobar-se davant una pàgina fraudulenta. La manera de comprovar-ho és revisant l’URL de la web, que no es tracta del domini legítim, sinó d’un que tracta de simular el legítim en utilitzar el nom de l’empresa.
