Una campaña fraudulenta de encuestas a consumidores en el Reino Unido se hace pasar por importantes marcas minoristas
Puntos clave
En los últimos 90 días se ha registrado una campaña de phishing multimarca con más de 42 000 casos dirigida a consumidores del Reino Unido, mediante estafas que se hacen pasar por Boots y Superdrug
Promesa de regalos o recompensas a cambio de completar encuestas falsas de satisfacción del cliente
Recopilación de una gran cantidad de información personal y datos de tarjetas de pago para cobrar fraudulentamente 2,95 £ en concepto de «gastos de envío»
Infraestructura de phishing alojada en buckets de AWS S3, que utiliza dominios comprometidos como páginas de destino
Los clones de los sitios web legítimos de las marcas aumentan la confianza de las víctimas y las tasas de envío de credenciales
Resumen de la campaña
El equipo de investigación de amenazas de Mimecast ha identificado un conjunto de campañas de phishing dirigidas a consumidores del Reino Unido mediante estafas que se hacen pasar por conocidas marcas minoristas y proveedores de servicios. Las campañas utilizan tácticas de ingeniería social que prometen regalos gratuitos, recompensas exclusivas o acciones urgentes relacionadas con la cuenta para engañar a los destinatarios y que estos faciliten información personal y datos de pago.
A diferencia de las campañas de phishing tradicionales, que se basan en gran medida en el robo de credenciales, estas operaciones combinan varias fases de recopilación de datos: primero recogen datos personales a través de encuestas falsas y, a continuación, obtienen información de pago bajo el pretexto de gastos de envío o de tramitación simbólicos. La «tarifa de envío» de 2,95 £ representa una cantidad cuidadosamente calculada: lo suficientemente baja como para no despertar sospechas inmediatas, pero lo suficientemente significativa como para validar los datos robados de las tarjetas de pago con vistas a su uso fraudulento en el futuro.
Flujo del ataque e infraestructura técnica
Las campañas siguen un patrón de ataque coherente de varias fases:
Contacto inicial: los destinatarios reciben correos electrónicos con asuntos urgentes o atractivos que hacen referencia a actualizaciones de la cuenta, problemas de entrega o recompensas exclusivas
Redirección a la página de destino: las URL dirigen a las víctimas a páginas de phishing alojadas inicialmente en buckets de AWS S3 antes de redirigirlas a dominios comprometidos o controlados por los atacantes
Suplantación de marca: las páginas de destino presentan clones casi idénticos, al píxel, de los sitios web legítimos de las marcas, incluyendo logotipos, estilo y diseño auténticos
Participación en la encuesta: Las víctimas completan encuestas falsas de satisfacción del cliente en las que se les pide su opinión sobre productos o servicios
Selección de recompensas: Una vez completada la encuesta, las víctimas eligen entre varias opciones de recompensas «gratuitas» (normalmente productos para el cuidado de la piel, tarjetas regalo o artículos promocionales)
El primer formulario solicita el nombre completo, la dirección postal, el número de teléfono y la dirección de correo electrónico.
Comparte esto
Recopilación de datos personales:
Recopilación de datos de pago: El segundo formulario recoge los datos completos de la tarjeta de pago (número de tarjeta, fecha de caducidad y CVV) para abonar los 2,95 £ de «gastos de envío»
Redirección a un sitio web legítimo: Tras el envío de los datos, se redirige a las víctimas al sitio web auténtico de la marca, creando la ilusión de una transacción legítima
Caso práctico: Estafa de la encuesta de Boots UK
Los destinatarios de la campaña de phishing de Boots reciben uno de los dos tipos principales de correos electrónicos diseñados para aparentar legitimidad y atraer a los usuarios.
Notificación de regalo tras la encuesta: los correos afirman que el destinatario ha completado recientemente una encuesta de satisfacción del cliente y ha sido seleccionado para recibir un regalo de cortesía como agradecimiento por su participación.
Solicitud de encuesta tras la compra: Los correos electrónicos hacen referencia a una compra reciente en Boots e invitan al destinatario a completar una breve encuesta de satisfacción del cliente, prometiendo un regalo al finalizarla.
Ambos enfoques se aprovechan de los patrones habituales de interacción con los clientes en el sector minorista. Los consumidores están acostumbrados a recibir solicitudes de opinión tras una compra y comunicaciones de programas de fidelización por parte de los minoristas, lo que hace que estos señuelos sean especialmente eficaces. La promesa de un regalo gratuito crea un incentivo para participar, mientras que la referencia a una actividad reciente (ya sea inventada o basada en información procedente de una filtración de datos) aporta credibilidad al mensaje.
El análisis de la campaña de suplantación de Boots revela una implementación técnica sofisticada. La página de phishing, alojada inicialmente en un depósito de AWS S3, redirige a un dominio comprometido.
La página de destino se presenta como un clon de 1,4 MB de la página de inicio legítima de Boots.com, que contiene 19 549 líneas de código HTML que reproducen el aspecto visual del sitio auténtico.
El principal elemento malicioso es una ventana modal camuflada como un banner de consentimiento de cookies de OneTrust, un cuadro de diálogo de privacidad legítimo con el que están familiarizados los usuarios de Internet del Reino Unido. La ventana modal muestra: «Has sido seleccionado para participar en nuestra encuesta de satisfacción del cliente. Agradecemos mucho tus comentarios y, como agradecimiento, tenemos un regalo especial para ti: un lote de 5 de nuestros productos para el cuidado de la piel más vendidos de nuestro patrocinador, Skinny Tan».
Este enfoque se aprovecha de la familiaridad de los usuarios con los banners de privacidad, al tiempo que crea una sensación de urgencia en torno a las recompensas exclusivas. El botón «Iniciar encuesta» —con un diseño idéntico al de un botón legítimo de aceptación de consentimiento de Boots— envía una solicitud POST al script PHP que inicia la secuencia de recopilación de credenciales.
Se le plantean al usuario unas cuantas preguntas que imitan una encuesta y, a continuación, se le redirige a una página en la que debe elegir entre una selección de regalos gratuitos.
Una vez seleccionado el regalo, se le muestra un formulario en el que se recogen datos personales como el nombre, la dirección de correo electrónico o postal y la fecha de nacimiento.
En la página final, se le solicita al usuario un pequeño pago de 2,95 £ para la entrega del regalo. Una vez realizado el pago, el usuario es redirigido al sitio web legítimo de Boots.
Variaciones de la campaña y expansión geográfica
Aunque se centra principalmente en los consumidores del Reino Unido, hay indicios de que los autores de la amenaza están ampliando sus operaciones y dirigiéndose a víctimas a nivel internacional:
Las campañas sobre licencias de televisión se aprovechan de los requisitos normativos específicos del Reino Unido relativos a la propiedad de televisores, creando una sensación de urgencia en torno a las actualizaciones de facturación y la verificación de los datos de pago. El señuelo coincide con los períodos reales de renovación de las licencias de televisión, lo que aumenta la susceptibilidad de las víctimas.
Las estafas de entrega de EVRi se aprovechan de las expectativas pospandémicas en torno a las frecuentes entregas de paquetes y las notificaciones de entregas no recibidas. Estas campañas solicitan información personal y datos de pago para «reprogramar» entregas inexistentes.
La expansión internacional incluye campañas que se hacen pasar por Costco (dirigidas a varios países) y Shoppers Drug Mart (dirigidas a Canadá), lo que sugiere bien una expansión geográfica por parte del mismo actor malicioso, bien la reutilización de herramientas por parte de operaciones afiliadas.
Indicadores de compromiso (IOC)
Campaña de Boots UK
Ejemplos de asuntos de correo:
Boots: ¡Hay un regalo dentro! ¡Comparte tu opinión! N.º: 748893
¡Dinos qué opinas y disfruta de las recompensas de Boots!
Tu opinión nos importa: ¡participa hoy mismo en la encuesta de Boots! N.º: 314121
Recompensas de Boots: ¡Reclama hoy mismo tu regalo y tu promoción! N.º: 225678
Boots™: ¡Participa en nuestra encuesta y llévate un regalo de agradecimiento! N.º: 210751
Formar al personal para que verifique las asignaciones de tareas inesperadas a través de canales de comunicación independientes antes de hacer clic en los enlaces
Haga hincapié en la verificación de la autenticación: los usuarios deben comprobar siempre la barra de direcciones URL antes de introducir sus credenciales; las páginas de inicio de sesión legítimas de Microsoft utilizarán los dominios login.microsoftonline.com o login.microsoft.com, no variaciones de powerappsportals.com
Las organizaciones deben ser conscientes de que las campañas de estafas mediante encuestas se aprovechan de aspectos fundamentales de la psicología humana relacionados con la reciprocidad y las ofertas por tiempo limitado. A medida que estas campañas se vuelven más sofisticadas en cuanto a la suplantación de marcas y su implementación técnica, las estrategias de detección deben evolucionar más allá de los indicadores tradicionales para incluir el análisis del comportamiento y la evaluación contextual de las encuestas y las ofertas de recompensas que llegan por correo electrónico.
Mantén tu ventaja en materia de inteligencia sobre amenazas
Únete a los miles de profesionales de la seguridad que utilizan nuestras alertas seleccionadas, nuestros análisis de expertos y los indicadores de compromiso (IOC) de nuestras campañas para defenderse de las amenazas cibernéticas emergentes.
Una campaña fraudulenta de encuestas a consumidores en el Reino Unido se hace pasar por importantes marcas minoristas | Mimecast
