Un ejército de miles de sitios falsos de Apple ataca a compradores en todo el mundo

Los especialistas han identificado una campaña de fraude a gran escala en la que miles de tiendas en línea falsas se hacen pasar por conocidas marcas internacionales con el objetivo de robar los datos de pago de los compradores.

El esquema lleva operando varios meses. Los delincuentes han creado toda una red de sitios falsos que copian por completo el diseño y la oferta de empresas como Apple, PayPal, Nordstrom, Hermes y Michael Kors. Los usuarios son engañados mediante escaparates realistas y páginas de pago, con el fin de que introduzcan voluntariamente los datos de sus tarjetas bancarias.

Los primeros indicios del fraude fueron reportados en mayo por el periodista mexicano Ignacio Gómez Villaseñor, durante la semana nacional de descuentos en México. Posteriormente, los especialistas de la empresa Silent Push llevaron a cabo su propia investigación y descubrieron que el esquema es mucho más amplio. Afecta a usuarios de países de habla inglesa y española fuera de México.

Aunque los organizadores concretos aún no han sido identificados, los expertos de Silent Push hallaron detalles técnicos en la infraestructura de los estafadores que apuntan a una posible conexión con China. En particular, el código contiene elementos con palabras en chino.

Algunos sitios falsos son tan convincentes que replican las descripciones originales de los productos e incluso utilizan widgets auténticos de Google Pay para generar confianza. Sin embargo, los productos nunca son enviados al comprador. Al introducir los datos de pago, el sistema simula un proceso de compra estándar. También se han detectado ejemplos claramente sospechosos. Por ejemplo, un sitio falso de la tienda de instrumentos musicales Guitar Center ofrecía productos para niños que no tenían ninguna relación con la música.

La cantidad exacta de víctimas y el daño total aún se desconocen. Algunos sitios falsos ya han sido bloqueados por los proveedores de alojamiento, pero según datos de Silent Push, solo en el último mes siguen operando activamente miles de estos recursos.

No se trata del primer esquema de este tipo. Anteriormente, los especialistas ya habían detectado campañas similares en las que los delincuentes pirateaban tiendas en línea legítimas y redirigían a los clientes a sitios falsos. En esos casos, los estafadores ofrecían productos escasos que nunca se enviaban y utilizaban códigos maliciosos para generar descripciones falsas de los productos y mejorar la posición de los sitios en los resultados de búsqueda.

Los ataques de phishing relacionados con marcas conocidas siguen siendo una de las herramientas favoritas de los ciberdelincuentes. En los últimos meses, varias grandes casas de moda informaron sobre incidentes graves relacionados con la seguridad de los datos. En mayo, la empresa Victoria’s Secret sufrió una filtración de datos que obligó a posponer la publicación de su informe trimestral. Problemas similares afectaron a Cartier, Adidas, Tiffany & Co. y Dior, con filtraciones que comprometieron tanto a clientes como a empleados de las compañías.