Campaña de phishing de PayPal utiliza enlaces genuinos para secuestrar cuentas

Una sofisticada campaña de phishing está dirigida a los usuarios de PayPal, explotando enlaces y direcciones de correo electrónico legítimos para engañar a las víctimas y apoderarse de sus cuentas. Este alarmante ataque, destacado por la empresa de ciberseguridad Fortinet, demuestra cómo los atacantes están eludiendo los controles de seguridad tradicionales y aprovechándose de la confianza de los usuarios.

Cómo funciona la campaña de phishing

Los correos electrónicos de phishing enviados a las víctimas imitan la correspondencia legítima de PayPal. Incluyen detalles como identificadores de transacciones, montos de pago e incluso advertencias que se parecen a las notificaciones auténticas de PayPal. Lo más engañoso es que los correos electrónicos provienen de una dirección de PayPal genuina y contienen URL legítimas, lo que les permite pasar controles de seguridad críticos como SPF, DKIM y DMARC.

Así es como se desarrolla la estafa:

1. Correo electrónico de phishing enviado: las víctimas reciben un correo electrónico que parece provenir de PayPal y les informa sobre una solicitud de pago.
2. Detalles que parecen legítimos: el correo electrónico contiene detalles de transacción realistas diseñados para provocar pánico o curiosidad.
3. Enlace legítimo a la página de inicio de sesión: al hacer clic en el enlace, las víctimas son dirigidas a una página de inicio de sesión auténtica de PayPal, lo que las convence aún más de la legitimidad del correo electrónico.
4. Robo de cuenta: si la víctima inicia sesión en su cuenta, la dirección de correo electrónico del atacante se vincula en secreto a la cuenta de PayPal de la víctima. Esto le permite al atacante controlar la cuenta.

Aprovechamiento inteligente de las funciones de Microsoft 365 y PayPal

Según Fortinet, los atacantes aprovecharon el Sender Rewrite Scheme (SRS) de Microsoft 365 para modificar la dirección del remitente y garantizar que los correos electrónicos pasaran por alto los controles de seguridad. Registraron un dominio de prueba gratuito en Microsoft 365, crearon una lista de distribución con las direcciones de correo electrónico de las víctimas y utilizaron el portal web de PayPal para enviar solicitudes de pago.

La combinación de servicios legítimos y pasos ingeniosamente diseñados hace que esta campaña sea particularmente peligrosa. Ni siquiera las medidas de detección de phishing internas de PayPal pueden marcar estos correos electrónicos como maliciosos.

¿Por qué este ataque es tan efectivo?

Esta campaña de phishing se destaca por su dependencia de elementos legítimos:

• Enlaces genuinos de PayPal: el uso de URL auténticas genera confianza.
• Dirección de remitente auténtica: el correo electrónico parece provenir de PayPal, lo que engaña tanto a los destinatarios como a los sistemas de seguridad.
• Páginas de inicio de sesión legítimas: las víctimas son dirigidas al sitio web real de PayPal, donde se produce el phishing durante una sesión real.
• Sin malware ni páginas falsas: el ataque evita los marcadores de phishing tradicionales, como sitios web falsos o archivos adjuntos cargados de malware, lo que reduce su detectabilidad.

Cómo protegerse de los sofisticados ataques de phishing

Esta campaña subraya la necesidad de una mayor vigilancia y de medidas proactivas para defenderse de los intentos de phishing cada vez más sofisticados. Siga estos consejos para mantenerse a salvo:

1. Sea escéptico con los correos electrónicos no solicitados: incluso si un correo electrónico parece provenir de una fuente legítima, trate los mensajes inesperados con precaución.
2. Verificar solicitudes de pago: comuníquese con PayPal directamente a través de su sitio web o aplicación para confirmar las solicitudes de pago en lugar de hacer clic en los enlaces de los correos electrónicos.
3. Supervise su cuenta: revise periódicamente su cuenta de PayPal para detectar actividad inusual y desvincule cualquier dirección de correo electrónico desconocida.
4. Eduque a su fuerza laboral: capacitar a los empleados para reconocer los intentos de phishing es fundamental para la seguridad personal y organizacional.
5. Habilitar la autenticación de dos factores (2FA): agregar 2FA a su cuenta de PayPal proporciona una capa adicional de protección contra el acceso no autorizado.

Conclusión

Esta campaña de phishing de PayPal es un escalofriante recordatorio de cómo los atacantes están evolucionando sus tácticas para explotar incluso los sistemas más seguros. Al utilizar enlaces legítimos y eludir los indicadores de phishing tradicionales, los atacantes dificultan tanto a los usuarios como a las medidas de seguridad automatizadas la detección de sus estafas.

Mantenerse informado, alerta y proactivo es fundamental para protegerse a sí mismo y a sus cuentas. Revise siempre los correos electrónicos, especialmente los que involucran transacciones financieras, y priorice la capacitación en ciberseguridad para mitigar los riesgos. A medida que los ataques de phishing se vuelven más sofisticados, una actitud cautelosa puede significar la diferencia entre estar seguro y convertirse en víctima.