Previo al Super Bowl XLVIII los aficionados de los Broncos de Denver y Seattle Seahawks han estado tuiteando sobre el juego y Symantec ha identificado que muchos de ellos han recibido diversos mensajes de spam generados por bots de Twitter. Adicionalmente, los fans de la estrella del pop Miley Cyrus también se han visto envueltos en una campaña de spam muy similar que usa palabras clave específicas.
El verano pasado, publicamos un blog sobre una campaña similar que se centró en los BET Awards y los fans de Justin Bieber, una dirección y Rihanna. La campaña en esta ocasión sigue el mismo modelo pero ahora mejorado.
La estafa comienza con los tuiteros, quienes sin saberlo usan en sus mensajes palabras clave específicas que controlan los robots de spam en el servicio. Las palabras clave pueden ser acerca del Super Bowl, los Broncos , Seahawks , o los jugadores individuales en el equipo , como el quarterback Peyton Manning de los Broncos de Denver o el esquinero Richard Sherman de los Seattle Seahawks. En el caso de Miley Cyrus, las menciones de su nombre completo o su primer nombre por sí solo puede recibir una respuesta de los robots de spam .
Los robots identifican los mensajes y responden con un tuit (mensaje) mencionando al usuario y ofreciendo un supuesto premio o boleto para un sorteo y una imagen.
Figura 1. Ejemplo de spam de Twitter generado por bots que utilizan fotos adjuntas con supuestos premios relacionados con la NFL o Miley Cyrus
Estos robots de spam no tuitean links o incluyen links en la sección de biografía de sus perfiles de Twitter, en lugar de ello esriben manualmente la dirección URL en los mensajes que envían a los usuarios junto con la imagen. Esta es una medida que han adaptado para asegurar que los filtros antispam no identifiquen o bloqueen sus cuentas.
Figura 2. Los sitios web fraudulentos solicitan a los usuarios a verificar los nombres de usuario de Twitter
Los sitios Web que se mencionan en las fotos siguen el mismo método y cuando el usuario da clic, en la página de inicio solicitan el nombre de Twitter del usuario alegando que lo necesitan para comprobar su identidad y confirmar la elegibilidad para el premio. Después de eso, el sitio solicita la información personal del usuario, como su nombre completo, domicilio, correo electrónico y número de teléfono.
Figura 3. Los usuarios son invitados a participar en una encuesta y les piden descargar aplicaciones móviles.
Antes de que un usuario pueda continuar y obtener el supuesto premio, se les dice que los patrocinadores solicitan que complete una “oferta/encuesta especial” con el fin de tener la oportunidad de ganar el premio. Por lo general, esto conduce a una encuesta, pero ya que esta estafa está basada en móviles, a los usuarios se les pide que instalen una aplicación móvil y así les generan ganancias económicas a los estafadores por cada instalación exitosa a través de programas de afiliados. Esto incentiva a los estafadores de spam a ser más agresivos con los usuarios pues entre más usuarios contacten por medio de mensajes de Twitter, más posibilidades tienen de obtener ganancias.
El aumento de la movilidad y la popularidad de los servicios de redes sociales en los últimos años ha animado a los spammers y estafadores para dirigirse a estos grupos de usuarios aprovechando los comentarios sobre los principales acontecimientos y personajes públicos, de forma similar a como lo hacen los fabricantes o vendedores. La pregunta es, ¿qué evento o figura pública será la próxima que utilicen?
Frente este tipo de estafas Symantec recomienda a los usuarios tener cuidado y evitar dar clic en este tipo de ligas, además de seguir las mejores prácticas de seguridad, incluyendo el uso de software en sus dispositivos móviles.