Net Alert

Alertas Acerca de

Phishing y la sociedad civil

Qué es el Phishing?

El Phishing es una táctica para robar información personal, como contraseñas, engañándote para que ingreses tus contraseñas en sitios web que parecen legítimos, pero que son realmente falsos.

El Phishing puede ser utilizado por delincuentes para robar información bancaria y otros delitos financieros, pero también puede utilizarse para ingresar a las cuentas de periodistas, activistas y trabajadores humanitarios para espiar sus actividades.

El Citizen Lab ha documentado numerosos ejemplos del uso de phishing contra grupos de la sociedad civil por motivos aparentemente políticos.

Periodistas y activistas tibetanos atacados por phishing

Periodistas, activistas y trabajadores humanitarios en la comunidad tibetana han sido perseguidos persistentemente mediante espionaje digital durante más de una década. Recientemente, la comunidad ha sido objeto de campañas de phishing diseñadas para robar credenciales de Gmail.

Así es como funciona:

Un activista tibetano recibe un email que parece que es de un miembro de la comunidad con un mensaje que dice tener borradores de imágenes para un sitio web tibetano.

Mientras que el email parecía tener archivos adjuntos, los archivos eran en realidad links que se dirigían a un dominio que fue diseñado para lucir como un dominio de Google Drive.

Al hacer click en los links, el usuario era dirigido a lo que parecía una página de inicio de sesión de Google.

Cualquier credencial de inicio de sesión (e.g. usuario y contraseña) ingresada en dicho sitio web es enviado a los administradores de la página de phishing. Después de haber ingresado las credenciales, los administradores usan un ingenioso truco, redirigen al usuario a un archivo en Google Drive que es el logo descrito en el email.

Puedes protegerte de este tipo de phishings siendo cuidadoso con los emails y links que recibes, especialmente links que parecen ser páginas de inicio de sesión, y activando la verificación en 2 pasos en tus cuentas online. Configura la verificación en 2 pasos ahora.

Para más información: Jakub Dalek, Masashi Crete-Nishihata y John Scott-Railton, Shifting Tactics: Tracking changes in years-long espionage campaign against Tibetans

Campaña de Phishing a gran escala dirigida a la sociedad civil en Egipto

En 2016, activistas, abogados y periodistas en Egipto fueron objeto de una campaña de phishing a gran escala que incluyó más de 90 emails con phishing. Casi todos los objetivos que identificamos también se encuentran implicados en el Caso 173, un caso legal extendido por el gobierno egipcio contra ONGs, el cual ha sido calificado como una "represión sin precedente" sobre la sociedad civil de Egipto.

Los emails con phishing pretendían venir de servicios como Dropbox, Google y afirmaban compartir información relevante para los objetivos.

Aquí hay un ejemplo:

En uno de los casos, un email con phishing fue enviado a colegas de Azza Soliman, una prominente abogada y directora del Centro de Asistencia Legal para Mujeres Egipcias (CEWLA, por sus siglas en inglés). El 7 de diciembre de 2016, Soliman fue arrestada en su hogar. A las pocas horas de su arresto, mientras Soliman aún era interrogada en la comisaría, varios de sus colegas en otras ONGs recibieron un email que afirmaba ser un archivo compartido en Dropbox con su orden de arresto.

Mientras que en un primer vistazo el email parecía provenir de Dropbox, una inspección más detallada revela que fue enviado desde una cuenta de Gmail y que dirige a un dominio que no es realmente Dropbox.

Al hacer click en el link se accede a una página de phishing que busca obtener las credenciales de Dropbox, pre-rellenada con el nombre de usuario del destinatario.

Puedes protegerte de este tipo de phishings siendo cuidadoso con los emails y links que recibes, especialmente links que parecen ser páginas de inicio de sesión, y activando la verificación en 2 pasos en tus cuentas online. Configura la verificación en 2 pasos ahora.

Para más información:

John Scott-Railton, Ramy Raoof, Bill Marczak y Etienne Maynier, Nile Phish: Large-Scale Phishing Campaign Targeting Egyptian Civil Society

Avisa a tus amigos!