El siguiente es un ejemplo sencillo de phishing en el cual copian el diseño de Western Union. Una vez que la víctima se loguea en el portal falso con su usuario y contraseña, se le solicita información de la tarjeta supuestamente para cancelar un envío de dinero:
Luego de ingresar los datos, la víctima es redireccionada al sitio real de Western.
Lo que me pareció extraño es que en ningún momento piden el número mismo de la tarjeta de crédito, lo que roban es la fecha de nacimiento del usuario, el CVV de 3 dígitos y un código que se utiliza para realizar compras más seguras por internet.
Ya que también obtienen el acceso a la cuenta (usuario y contraseña), por un momento pensé «no puede ser que Western Union esté mostrando el número de tarjeta completo en los perfiles de usuario«, así que me registré para comprobarlo y como debe ser los números de tarjetas asociados están ocultos (xxxxxxxxxxxx1234), es decir, si una persona no autorizada accede a la cuenta nunca podrá ver los números de las tarjetas. Esta es una medida de seguridad que todos los servicios que impliquen el uso de tarjetas aplican.
Sin embargo a los atacantes no les importa, la información que roban es la que necesitan para realizar transferencias de dinero desde la cuenta de la víctima y enviarlo, por ejemplo, a Nigeria. La siguiente captura es del sitio real de Western Union (notar la URL con HTTPS), se puede ver que al realizar un pago es necesario ingresar el código de seguridad (CVV) de la tarjeta, dato que los phishers justamente roban:
Como vemos, es un ataque simple y sencillo de identificar, pero pensado y adaptado al funcionamiento de WU. Sería muy sospechoso para el usuario tener que ingresar su número de tarjeta cuando esa información ya está guardada en la cuenta, en cambio ingresar el código de seguridad parece algo normal de la operación y ayuda a camuflar el engaño.
Ver también:
Western Union y el lavado de dinero online.
Herramienta falsa para hackear Western Union.