Estafadores suplantan a tribunales estadounidenses con SMS falsos de multas de tráfico para robar datos

Introducción

Durante las últimas semanas, analistas de ciberseguridad han detectado una campaña de phishing altamente dirigida, en la que actores maliciosos están suplantando a tribunales estatales en Estados Unidos mediante mensajes SMS fraudulentos. El objetivo de estos ataques es engañar a los usuarios para que paguen supuestas multas de tráfico mediante enlaces a webs de phishing, capturando así tanto información personal como financiera. Esta tendencia pone de relieve la sofisticación creciente de las campañas de ingeniería social y el riesgo real que representan para ciudadanos y empresas por igual.

Contexto del Incidente

La campaña identificada se basa en el envío masivo de mensajes SMS que notifican a los destinatarios la existencia de una supuesta “Notice of Default” (notificación de impago) por una infracción de tráfico. Los mensajes, cuidadosamente redactados para simular comunicaciones oficiales de tribunales estatales, instan a la víctima a actuar de inmediato para evitar mayores sanciones legales o económicas. Los atacantes buscan explotar la urgencia y el temor al castigo administrativo, dos elementos clásicos de la ingeniería social.

El modus operandi incluye la inserción de un código QR en el mensaje, que redirige a las víctimas a un sitio web fraudulento. Esta web replica el entorno visual y el lenguaje de las páginas oficiales de los tribunales estadounidenses, solicitando el pago inmediato de una multa supuestamente pendiente, por un importe de 6,99 dólares. Paralelamente, la web capta credenciales, datos personales, información bancaria y de tarjetas de crédito.

Detalles Técnicos

Hasta el momento, no se ha identificado un CVE específico asociado a la campaña, ya que la técnica principal es el phishing por SMS (smishing) y la manipulación de QR Codes, en lugar de la explotación de vulnerabilidades técnicas conocidas. No obstante, los TTP empleados se alinean con el marco MITRE ATT&CK, particularmente con las siguientes técnicas:

– **T1566.002 (Phishing: Spearphishing via Service)**: Uso de servicios de mensajería para entregar enlaces maliciosos.
– **T1204 (User Execution)**: Requiere que la víctima acceda activamente al enlace y proporcione sus datos.
– **T1589 (Gather Victim Identity Information)** y **T1608.001 (Stage Capabilities: Upload Malware)**, en caso de que el sitio web incluya descargas adicionales.

Los principales IoC identificados incluyen:

– Dominios recientes con nombres similares a los de tribunales estatales.
– Redirecciones a sitios HTTPS autofirmados o con certificados Let’s Encrypt de corta duración.
– Códigos QR con rutas parametrizadas para tracking de campañas.

Según análisis de inteligencia de amenazas, algunos dominios fraudulentos han sido desplegados en AWS, Cloudflare Pages y otros servicios de hosting automatizados, lo que dificulta su rastreo y cierre inmediato.

Impacto y Riesgos

Aunque el importe exigido es bajo (6,99 dólares), el verdadero riesgo radica en el robo de información personal y financiera. El spearphishing masivo puede llevar a:

– Fraude financiero directo (clonación de tarjetas, compras no autorizadas).
– Suplantación de identidad y apertura de cuentas bancarias fraudulentas.
– Compromiso de credenciales de correo electrónico o cuentas empresariales si la víctima reutiliza contraseñas.
– Reputación negativa para los organismos oficiales suplantados.

En términos de alcance, se estima que decenas de miles de mensajes han sido enviados en los últimos días, con tasas de conversión superiores al 8% según fuentes de threat intelligence. El impacto económico potencial supera los 250.000 dólares solo en los primeros días de la campaña.

Medidas de Mitigación y Recomendaciones

Para empresas, organismos públicos y usuarios, se recomiendan las siguientes medidas:

– Alertar a los empleados y ciudadanos mediante campañas de concienciación sobre smishing y QR phishing.
– Implementar filtros avanzados de SMS y monitorización de dominios sospechosos.
– Reforzar el uso de autenticación multifactor (MFA) en servicios críticos.
– Desarrollar capacidades de threat hunting orientadas a la detección de dominios y patrones de tráfico anómalos.
– En caso de recibir comunicaciones sospechosas, verificar siempre la autenticidad a través de canales oficiales, evitando el uso de enlaces o QR proporcionados en el mensaje.

Opinión de Expertos

Expertos en ciberseguridad, como Troy Hunt (Have I Been Pwned), alertan sobre el auge de ataques de smishing que combinan técnicas de ingeniería social y QR codes, ya que estos últimos dificultan la inspección previa del enlace por parte de la víctima. Además, desde el sector legal, se recuerda que los tribunales nunca solicitan pagos vía SMS ni emplean códigos QR para gestionar sanciones.

Implicaciones para Empresas y Usuarios

El uso de identidades institucionales suplantadas en campañas de phishing incrementa la dificultad de detección, especialmente en organizaciones con personal no técnico o ciudadanos con baja alfabetización digital. Para empresas sujetas a GDPR o NIS2, un incidente de robo de datos personales derivado de este tipo de campañas puede acarrear sanciones y obligaciones de notificación a la autoridad competente en menos de 72 horas.

Conclusiones

La campaña de smishing analizada confirma la tendencia al alza de ataques de ingeniería social dirigidos, aprovechando la confianza en organismos oficiales y nuevas formas de interacción como los códigos QR. La protección frente a estas amenazas exige una combinación de formación, tecnología anti-phishing y procedimientos robustos de verificación de comunicaciones. La colaboración público-privada y la denuncia temprana de estos dominios fraudulentos serán clave para mitigar su impacto.

(Fuente: www.bleepingcomputer.com)