Desde el día 27 de diciembre, varios clientes de la compañía de mensajería MRW, están recibiendo un SMS en el móvil para que abonen unos falsos gastos de envío, especificando albarán y la tienda donde compró, seguida de un enlace en el que la persona debe pinchar para que se complete la estafa. Todos estos datos coinciden con los del usuario del número de teléfono, que justamente está esperando recibir un pedido online tramitado mediante esta empresa de envíos. La única parte que no pueden comprobar mediante los datos de su pedido es el enlace final, donde se solicitan que depositen 0,99 euros para recibir el envío.

Mediante este enlace, la red fraudulenta se apropia de las credenciales bancarias del cliente de MRW para retirar el dinero de su cuenta. Esta estrategia es habitual, de forma periódica, con alguna de las empresas que trabajan con pedidos o ventas de forma online, de hecho, clientes de la empresa de mensajería Sending también han sufrido una operación fraudulenta del mismo estilo.

Estas estrategias, según señalan varios expertos en ciberseguridad, se dan con mayor frecuencia en campañas de ventas de gran volumen, como es Navidad o Black Friday, ya que existe una mayor cantidad de compradores online no habituales, que no están acostumbrados a los procedimientos de estas empresas, y resulta más fácil que un mayor porcentaje de usuarios pique en esta treta.

Un caso de mayor complejidad

Lo extraordinario y más peligroso de esta ocasión, es que la trama responsable de la estafa, tenía datos concretos de los envíos que solo la empresa de mensajería debería tener, como la tienda donde se realizó la compra, e inclusive el número de envío que asigna la propia empresa. Según los indicios, esta situación tan comprometida se podría haber dado a causa de una filtración desde dentro de la propia empresa por alguien con acceso a este tipo de datos.

Al comenzar esta situación, y ser conocedora de varios casos, la empresa de paquetería emitió un mensaje en redes, alertando de un posible fraude vía SMS bajo su identidad corporativa, pero sin apuntar a las causas finales que han permitido que esto ocurra. Pese a las sospechas de esa posible filtración de información, no hay una revelación oficial del procedimiento que ha desembocado en esta estafa.

¿Qué hacer para prevenir estos fraudes o en caso de ser víctima de ellos?

Este caso, como bien mencionábamos antes, entraña una complejidad mayor para los usuarios y los organismos de ciberseguridad, puesto que varias de las recomendaciones que realizan las autoridades no funcionan en este caso concreto. Principalmente, se recomienda a los clientes cuando reciben mensajes durante el proceso de envío, que se cercioren de haber realizado el pedido con dicha empresa y en los plazos concretados, y que posteriormente se aseguren que las credenciales ofrecidas en el momento de recibir un SMS o cualquier alerta, coinciden con las que se muestran en el momento de realizar la compra.

Ante este caso, la mejor y más rápida forma de detectar el fraude es identificar el dominio que se aporta en el SMS, ya que en este caso era "envios-mrw.com", en lugar de "mrw.es", que es el oficial registrado por la empresa y con el que operan en la relación con sus clientes. El dominio fraudulento, según se ha podido comprobar, se creó tan solo unas horas antes de comenzarse a enviar los mensajes que han denunciado varias personas.

Por otro lado, para todas las personas afectadas por este fraude, la Oficina de Seguridad del Internauta marca unas pautas a seguir para minimizar daños dentro de lo posible: “los afectados deben contactar lo antes posible con la entidad bancaria para informarles de lo sucedido y cancelar posibles transacciones que se hayan podido efectuar, así como bloquear el acceso a las cuentas y tarjetas, y actualizar las credenciales de acceso a los servicios de banca en línea. Además, los ciudadanos y empresas afectados por incidentes de ciberseguridad tienen a su disposición el número de ayuda gratuito del Incibe, 017", dicta la web del organismo.