Una nueva campaña de ingeniería social a través de WhatsApp aprovecha el confinamiento a raíz de la pandemia COVID-19 para robar datos personales de los usuarios.

Bajo la consigna “Quedate en casa”, las potenciales víctimas reciben un mensaje en el que se ofrece un supuesto bono como forma de ayuda, aunque sin hacer referencia a una entidad, empresa u organismo como responsable de esta iniciativa.

El mensaje, descubierto por la empresa de seguridad informática ESET, apela a la necesidad de quienes precisan una ayuda e intenta dar la sensación de que se trata de un dominio real asociado a una campaña legítima.

Otra particularidad, que cada vez se ve más en este tipo de engaños, es que la URL cuenta con certificado SSL, logrando de esta manera que la navegación por el sitio se presente como segura al comenzar la URL con HTTPS.

La dirección a la que invita a acceder posee algunos errores ortográficos claros, se trata de un dominio finalizado en “CAS” en lugar de “CASA”, e inclusive en el texto se aprecia un error de concordancia en el término CASAS.

Desde el primer momento que se accede a la página se solicita al usuario el ingreso de sus datos. Además, el mensaje advierte que, si durante las primeras 24 horas no recibe información al respecto, ingrese los datos nuevamente.

Una vez que la víctima ingresa sus datos personales, la campaña continúa con una simple encuesta. Finalizado este proceso, el engaño realiza una supuesta verificación de las respuestas.

Luego, como parte de la estrategia de distribución de este tipo de engaños, se solicita al usuario compartir el mensaje con un mínimo de 10 grupos o contactos de WhatsApp.

Una de las recomendaciones para este tipo de casos es siempre buscar información adicional sobre el mensaje que se recibe. Lo ideal es realizar una simple búsqueda, ya que en casos como este podrían corroborar, como en este caso, que este engaño ya fue reportado.

Según el análisis de ESET no se detectó la instalación de códigos maliciosos en el dispositivo de las víctimas, sino que el objetivo parece ser el robo de datos personales y la entrega de publicidad a lo largo del proceso.