El phishing bancario llega a la Android Marketplace de Google

09Droid era el nick que utilizaba un estafador cibernético para vender aplicaciones bancarias fraudulentas en la tienda online de Android, un sistema operativo para móviles desarrollado por Google.

Imagen de Brandon McGee vía F-Secure

El estafador tenía toda una colección de aplicaciones, actualmente eliminadas de la Android Marketplace, la tienda de Google donde los desarrolladores pueden vender sus programas u ofrecerlos de forma gratuita.

No se conoce con exactitud qué hacían las aplicaciones de 09Droid, pero dado que no estaban autorizadas ni desarrolladas por los bancos, se sospecha un intento de phishing para robar credenciales de acceso…

El caso se conoce desde el pasado mes de diciembre, al menos de esa fecha (22/12) son las alertas de seguridad emitidas por algunas entidades financieras, sin embargo hay casos similares con fechas anteriores.

Más aplicaciones bancarias sospechosas:

09Droid tenía como punto de contacto un blog de Blogger.com, actualmente vacío; a finales de noviembre en el blog and.roid.es se publicó un escenario similar relacionado con la entidad española la Caixa y una aplicación no oficial, es decir, desarrollada por un tercero que, curiosamente, también tiene como página de contacto un blog de Blogger.com.

Cabe mencionar que «la Caixa» tiene su propia aplicación para Android y es gratuita, lo mismo otras entidades bancarias.

Blog de 09Droid

Buscando aplicaciones de Android en algunos directorios me encontré con 09Droid y su versión para el banco Chase; y con un tal cooldroid2010 que tiene un blog en las mismas condiciones que 09Droid y varias aplicaciones bancarias a la venta. Que coincidencias…

Aplicación para el banco Chase de 09Droid

Aplicaciones bancarias creadas por cooldroid2010

Blog de cooldroid2010, similar al de 09Droid

Como en nuestra PC, el sentido común es fundamental a la hora de instalar programas en el móvil, sobre todo si se trata de algo tan sensible como el acceso a la banca online. Siempre se debe usar una aplicación oficial, nunca algo desarrollado por personas desconocidas.