Hace unas semanas, tras la publicación de una nota sobre estafas en el homebanking y cómo denunciarlas, un lector me escribió para contarme su caso: había creído ser contactado por su banco, confió, ofreció datos y luego fue estafado. Parecía ser un caso más de los tantos, pero a él le llamó la atención cómo ocurrió el engaño.

“Escribí un mensaje privado a la cuenta de Instagram oficial del banco. Luego me responden, también por mensaje privado, desde otra cuenta que se llamaba `Atención al cliente´, que también tenía el logo del banco y ahí fue donde yo caí”, explicó el usuario.

Contó que al día siguiente le pidió a un amigo que hiciera lo mismo y el resultado fue igual: primero escribió un mensaje privado a la cuenta oficial de ese mismo banco y respondió otra cuenta, diferente a la primera, que también tenía el logo de dicho banco y se hacía pasar por la entidad oficial.

Lo primero que atinó a pensar este usuario fue que lo habían estafado con la ayuda de alguien dentro de la entidad bancaria. Se preguntaba cómo era posible que escribiendo un mensaje privado a la cuenta oficial del banco luego recibiera respuesta de otra cuenta trucha. ¿Cómo podía ser tal coincidencia?

Infobae consultó a especialistas de ciberseguridad de Eset por este tema y ellos explicaron que lo que ocurrió es que la cuenta falsa que lo contactó en realidad detectó que el usuario había comenzado a seguir a la cuenta oficial del banco hacía apenas unos minutos justamente para poder establecer el contacto inicial con su consulta.

“La mayoría de los usuarios de redes sociales comienzan a seguir a una institución financiera cuando necesitan enviar un mensaje privado para realizar algún reclamo o consulta. Es decir, que la acción de seguir a esta cuenta y enviarle un mensaje ocurre casi instantáneamente”, dijeron.

El web scraping o “raspado” web para obtener información

En este contexto, los expertos hablaron del web scraping o raspado web, que es una técnica para extraer información de sitios web de forma masiva y mediante scripts automatizados. “Esta técnica se utiliza para la indexación de sitios o para realizar análisis de datos de diferentes páginas y se ha vuelto muy popular en algunas acciones de marketing digital, como mejorar el posicionamiento web u obtener métricas. Esto hace que muchas de las herramientas de scraping se encuentren disponibles en internet y sean muy fáciles de utilizar”, explicaron.

Si se aplica esta metodología en las redes sociales, entonces se puede obtener información pública del usuario como los me gusta, nombre de perfil y lista de seguidores. Como aclaran los especialistas, estas técnicas de scraping van en contra de los términos y condiciones de la mayoría de las redes sociales, pero no hay una medida técnica que impida hacerlo.

Esto es exactamente lo que hacen los atacantes en redes sociales como Twitter o Instagram para cometer sus fraudes. Utilizan un script de scraping para obtener la lista de seguidores de las cuentas oficiales de bancos e instituciones financieras. Corren nuevamente ese script minutos más tarde y vuelven a obtener la lista. Comparan de forma automática ambas listas e identifican aquellos usuarios que no estaban en la primera lista y aparecen en la nueva lista de seguidores. Estos son aquellos que comenzaron a seguir la cuenta hace unos minutos”, analizaron los investigadores.

A su vez, un bot automático desde la cuenta falsa que simula ser la entidad bancaria o financiera se pone en contacto con lo usuarios identificados por la técnica anteriormente mencionada, se hace pasar por un asesor virtual y solicita que se le envíen los datos. Como se trata de usuarios que acaban de contactar al banco por una consulta, al recibir, casi de forma inmediata una respuesta por otra cuenta que emula ser de la entidad (e incluso tienen el mismo logo) tienden a confiar y dan la información que le solicitan.

“Después de realizar algunas pruebas observamos cómo apenas unos minutos después de comenzar a seguir a diferentes entidades financieras en Instagram, llega el primer contacto desde una cuenta falsa: un cálido saludo de un asesor de atención al cliente que nos pide el número de teléfono para contactarnos. Cada cuenta tiene su mensaje de bienvenida personalizado y, siempre amablemente, nos indica una lista de temas en los que nos puede ayudar y nos pide un número de contacto. No importa cual sea el motivo de consulta, el atacante seguirá insistiendo para obtener el número de teléfono y poder continuar la estafa vía telefónica”, explicaron los investigadores de ciberseguridad.LS