Cuidado con este malware que imita una app de Verificación en 2 paso
El blog de la entidad BBVA alerta de una estafa en la que la aplicación de verificación de seguridad es la que está contaminada.
De moda en los servicios digitales en estos últimos años por la capa extra de seguridad que añade, la autenticación o verificación en 2 pasos (2FA) es un proceso que duplica la seguridad de una cuenta introduciendo un segundo elemento, en este caso un teléfono móvil que sirve para confirmar que somos los dueños de la cuenta tras iniciar sesión y meter la contraseña, que requerirá de un segundo código para validarla.
En aplicaciones como WhatsApp por ejemplo, cuando activas la verificación en dos pasos cualquier intento de verificación de tu número de teléfono en WhatsApp debe ir acompañado de un PIN de seis dígitos que tú has creado. Y en servicios de banca digital como las aplicaciones móviles de las entidades bancarias, añaden pasos extra de seguridad para cuando realizas una operación. Pero, ¿y si precisamente lo que creías que era el elemento de seguridad extra es en realidad malware?
Una app 2FA de BBVA con malware
Como advierten desde el blog de la entidad bancaria BBVA, desde inicios de mes “sido detectada una nueva campaña de mensajes maliciosos (smishing) que suplantan la identidad de BBVA y contienen un malware que, al ser descargado, toma el control del dispositivo de los usuarios”. Los ciberdelincuentes comunican en estos mensajes a los receptores que la aplicación que tienen instalada del banco no cumple los requisitos de seguridad, por lo que deben descargar una app de autenticación en dos pasos (2FA) a través del enlace que incluyen en el SMS.
Dicho enlace redirige a una página web falsa en la que también suplantan la identidad de la web del BBVA y en la que está alojada la aplicación maliciosa. Y aquí viene la trampa, porque si descargas la app, aparecerá en tu móvil una ventana emergente pidiéndote diversos permisos que, una vez aceptados, hacen que este se instale en el terminal, posibilitando que el malware realice el seguimiento y robo de tus datos.
Los ciberdelincuentes también pueden utilizar otros pretextos en sus mensajes, como por ejemplo, que la cuenta bancaria del usuario ha sido suspendida o bloqueada o que se ha producido un intento de acceso sospechoso a la misma.
Por tanto, si eres del BBVA y has recibido un SMS similar y no estás seguro de si es verídico o no, lo mejor es que contactes con la entidad bancaria para que te informen, aunque vaya por delante que “BBVA nunca te enviará un SMS con un enlace. Si recibes alguno que incluya un link, aunque aparezca en el hilo de BBVA, es falso”
Consejos de seguridad del BBVA
- Por regla general, no descargues aplicaciones o programas en páginas web a las que has accedido desde un enlace incluido en un SMS o email.
- Los códigos de un solo uso (OTP, por sus siglas en inglés) son secretos y BBVA nunca va a pedirlos por correo, llamadas entrantes o SMS. Estos códigos solo son solicitados en las aplicaciones oficiales del banco y en procesos concretos que lo requieran (por ejemplo, en las transferencias no habituales).
- Descarga siempre las aplicaciones desde los mercados oficiales o desde la página web oficial del desarrollador.
- Desconfía de todos aquellos mensajes alarmantes o que tengan tono de urgencia y contengan faltas de ortografía o erratas.
- Nunca respondas a este tipo de mensajes sospechosos.
- Recuerda que las páginas web seguras comienzan siempre por https y contienen un candado cerrado en la barra de navegación. Pulsa sobre él para comprobar que el certificado es válido.
- Contacta con BBVA en el 900 102 801 en caso de ser víctima de este fraude o si sufres cualquier otro incidente de seguridad relacionado con tus cuentas o tarjetas.