ESET identificó una campaña de phishing que promueve una falsa herramienta para obtener ventajas en juegos, que roba datos de la tarjeta de crédito de los usuarios y apunta a Fortnite y otros 67 videojuegos.
Esta herramienta busca obtener ventajas en Fortnite, como la obtención de mods, cheats o V-Bucks, entre otras cosas, cuyo objetivo final es recopilar datos de tarjetas bancarias de usuarios desprevenidos, alertó ESET.
Además, descubrieron que la misma herramienta está disponible para otros 67 videojuegos como Animal Crossing o League of Legends, por nombrar algunos.
El engaño actúa a través de una página inicial que incluye 150 enlaces sobre distintas temáticas relacionadas con Fortnite (mods, V-bucks, etc.). Atraen a las víctimas quienes buscan obtener algún de tipo de ventaja.
Todos los enlaces en esta página dirigen a la víctima a un mismo sitio en el cual se solicita ingresar la dirección de correo electrónico y/o nombre de usuario, así como también indicar la plataforma desde la cual juega el usuario.
Desde ESET comentan que es probable que esta información quede en manos de los operadores detrás de este engaño. Es decir que, si la dirección de correo y/o la contraseña ingresada son utilizadas para acceder a la cuenta de Fortnite o a la de otro servicio, recomiendan modificarla cuanto antes.
En una segunda instancia, la potencial víctima debe seleccionar los elementos del juego y cantidad de recursos que aparentemente serán generados para su cuenta en Fortnite.
Entre las opciones, se incluye la obtención de V-Bucks, desbloqueo de elementos del juego, armas o puntería, entre otros aspectos que son característicos de este juego.
Luego de seleccionarlos, se ejecuta un script que simula conectarse a un servidor y llevar a cabo una autenticación cifrada que, entre otras cosas, también muestra los datos previamente ingresados por el usuario, en un intento por darle más veracidad al phishing.
Luego de la aparente ejecución exitosa de la herramienta, el usuario debe autenticarse con información real antes de que se añadan los supuestos beneficios a su cuenta de Fortnite y de esta manera verificar que no se trata de un bot.
El sitio indica que esta autenticación permite “ayudar y prevenir el abuso del hack”. Es ahí donde será dirigido a un sitio donde se le pedirá el nombre completo de la víctima, el código postal y los datos de su tarjeta bancaria.
Además, el engaño solicita que el usuario verifique su dirección postal y que proporcione un número de tarjeta de crédito válido, ya que garantizan no aplicar ningún cargo por validar la cuenta.
Luego de que el usuario ingresa la información solicitada por el sitio, se presenta un mensaje de error, que además insta a continuar en otra página e ingresar nuevamente las credenciales, concretando así el robo de información.
No solo Fortnite
ESET comprobó que los operadores detrás de este engaño no solo van por los usuarios de Fortnite, también afectan a otros 67 videojuegos, incluida una herramienta para obtener seguidores en Instagram. La compañía también detectó otros dominios comprometidos usados para distribuir la misma falsa herramienta.
De acuerdo con los investigadores, se trata de una campaña modular que puede tener mayor persistencia, dado que en caso de que el sitio de phishing sea reportado y dado de baja, el resto de los sitios utilizados en los engaños y la Ingeniería Social, permanecerán activos.
Los gamers son desde hace tiempo un blanco atractivo para los cibercriminales, lo que explica la diversidad amenazas informáticas, menciona Camilo Gutiérrez Amaya, Jefe del Laboratorio de Investigación de ESET Latinoamérica.
Este ejemplo sirve para alertar sobre este tipo de estafas que podrían resultar básicas y conocidas, pero que todavía resultan efectivas, especialmente entre usuarios desprevenidos o que desconocen la manera en la que operan este tipo de engaños, explica.
Además se debe tener en cuenta que pese a tener característias de sitio legítimo, en la actualidad, un alto porcentaje de sitios de phishing utilizan certificados de seguridad, lo que demuestra que no es un factor para determinar un sitio seguro.
Para hacerle frente, es importante tener los sistemas actualizados o contar con una solución de seguridad en nuestros dispositivos, concluye Gutiérrez. Todos los detalles de la investigación aquí.
