CAMPAÑA DE CIBERDELINCUENTES SUPLANTA A MÁS DE 20 MARCAS DEL SECTOR TURÍSTICO CON FINES DE ENGAÑAR A CLIENTES DESESPERADOS
· Números falsos de atención al cliente de aerolíneas se aprovechan de sus resultados de búsqueda, entregando respuestas engañosas generadas por IA
· Cuidado al solicitar asistencia por problemas de viaje asociados con empresas turísticas, investigación de Check Point parte dos (2)
En nuestra investigación anterior, titulada “Estafadores vigilan las quejas sobre aerolíneas y se hacen pasar por el servicio de atención al cliente”, los investigadores de Check Point descubrieron a estafadores que monitorean las quejas contra aerolíneas en redes sociales y se hacen pasar por representantes de atención al cliente. También han identificado una campaña relacionada que se centra en una etapa anterior del proceso de búsqueda de ayuda: el momento mismo en que el usuario busca asistencia.
Los ciberdelincuentes están creando a gran escala documentos PDF y publicaciones fraudulentas de atención al cliente, alojándolos en sitios web de confianza y difundiendo los mismos números de teléfono a través de redes sociales y respuestas generadas por IA. La campaña suplanta la identidad de más de 20 marcas del sector turístico, incluidas importantes aerolíneas, agencias de viajes y empresas de transporte.
Puntos clave
1. Se están creando documentos PDF fraudulentos a gran escala que suplantan a más de 20 marcas del sector turístico y promocionan números fraudulentos de atención al cliente y gestión de reembolsos.
2. El contenido se aloja en dominios de confianza. Los documentos aparecieron en sitios web del sector público e institucionales (incluidos portales universitarios y gubernamentales), así como en plataformas comerciales. Los formularios de carga pública y las funciones que permiten a los usuarios generar contenido parecen servir como punto de entrada.
3. La autoridad del dominio otorga credibilidad a la estafa. Los dominios consolidados facilitan que los documentos fraudulentos aparezcan en las búsquedas de asistencia para viajes y parezcan legítimos.
4. La campaña se extiende a las redes sociales y a las respuestas generadas por IA. Los números fraudulentos aparecieron en publicaciones de Instagram y Facebook, así como en resúmenes generados por Meta AI. Los títulos de los documentos, optimizados para la búsqueda, ayudan a que el contenido llegue a los motores de búsqueda y a los sistemas de IA.
5. Los números están vinculados a operaciones de fraude mediante llamadas telefónicas. Es posible que se presione a quienes llaman para que paguen cargos fraudulentos o proporcionen datos de sus reservas y pagos.
6. Los métodos tradicionales de análisis de archivos no detectan esta amenaza. Ninguno de los archivos analizados, pertenecientes a la campaña, fue detectado por los entre 61 y 64 motores antivirus utilizados en cada escaneo, ya que los archivos PDF como tal, no contienen código malicioso.
Cómo los sitios web de confianza se convierten en parte de la estafa
Los investigadores han observado que los formularios web de universidades, portales de solicitud de empleo, sistemas gubernamentales de envío de documentos y otros formularios públicos permiten subir archivos y exponerlos a través de URL públicas. Una vez subido, un archivo PDF fraudulento puede ser servido desde el dominio de confianza de la organización e indexado por los motores de búsqueda.
Los componentes de los sistemas de gestión de contenidos (CMS) también desempeñan un papel importante. Los investigadores identificaron rutas de carga públicas asociadas a formularios web de Drupal, complementos de formularios para WordPress, Optimizely y portales gubernamentales personalizados. Dado que los archivos PDF son un formato esperado en muchos de estos formularios, los documentos pueden superar la validación estándar de archivos, a pesar de contener información fraudulenta.
De los resultados de búsqueda a las respuestas de la IA
Los investigadores encontraron números fraudulentos promocionados a través de anuncios en Instagram y páginas de Facebook. Un par de estos números apareció en un archivo PDF alojado en línea, en un anuncio de Instagram, en una publicación de un creador de contenido para Lenovo y en un PDF dentro de un portal del gobierno estatal de Utah.
Los números también aparecieron en los resúmenes de búsqueda de Facebook, etiquetados como “Resumido por Meta AI”. Las búsquedas relacionadas con el servicio de atención al cliente de Booking.com arrojaron respuestas generadas por IA que contenían números de contacto fraudulentos.
La campaña parece diseñada para influir en la optimización para motores de respuesta (AEO) y la optimización para motores generativos (GEO), además de en la búsqueda tradicional. El uso de títulos formulados como preguntas, la repetición de números de teléfono, textos cargados de palabras clave y la publicación en dominios de autoridad pueden aumentar la probabilidad de que información fraudulenta aparezca en las respuestas generadas por IA.
Cómo funciona el ataque
Los investigadores estructuraron la campaña en un proceso de cinco etapas:
1. Creación: Se generan masivamente guías del tipo «cómo contactar con [marca]» a partir de plantillas compartidas, sustituyendo los nombres de las marcas y los números de teléfono en cada documento.
2. Difusión: Los archivos PDF y las publicaciones se distribuyen a través de sitios web y plataformas de terceros que aceptan contenido público y lo exponen a los rastreadores (bots) de los motores de búsqueda. 3. Indexación: Los motores de búsqueda, los sistemas de respuesta basados en IA y los resúmenes generados por plataformas incorporan el contenido; de este modo, la información fraudulenta se beneficia de la autoridad del dominio que la aloja.
4. Captación: Un viajero que se enfrenta a una cancelación, a la pérdida de un vuelo, a un reembolso retrasado o a cualquier otro problema urgente busca asistencia, encuentra el número y realiza una llamada.
5. Monetización: Es posible que, durante la llamada, se presione al usuario para que pague cargos fraudulentos o revele datos de su reserva y de pago.
Por qué el escaneo de archivos tradicional no detecta la amenaza
Los investigadores volvieron a analizar los archivos vinculados a esta campaña, utilizando entre 61 y 64 motores antivirus en cada escaneo. Ninguno de los archivos fue detectado. Los archivos PDF no contienen código de explotación (exploit), macros maliciosas, cargas útiles (payloads) integradas ni comportamientos ejecutables sospechosos que las herramientas tradicionales de escaneo de archivos puedan identificar. La amenaza reside en la información que presentan y en las señales de confianza que aprovechan.
La operación también muestra indicios de una automatización creciente. Los investigadores observaron el uso de plantillas compartidas, archivos generados con apenas segundos de diferencia, contadores incrementales y diversos métodos de producción. A lo largo de siete semanas, el flujo de trabajo evolucionó desde exportaciones de Google Docs hasta la generación mediante scripts y el uso de una aplicación de automatización personalizada.
Qué pueden hacer las organizaciones y los viajeros
Las empresas del sector turístico deben supervisar continuamente los resultados de búsqueda, las plataformas sociales, los repositorios de archivos y las respuestas generadas por inteligencia artificial, con el fin de detectar información de soporte fraudulenta asociada a su marca. Asimismo, deben garantizar que sus canales de atención al cliente verificados sean fácilmente localizables en sus sitios web oficiales, aplicaciones y comunicaciones relacionadas con las reservas.
Las organizaciones que permiten la carga de archivos por parte del público deben implementar controles adecuados de autenticación y moderación, evitar que los archivos subidos queden expuestos en directorios rastreables, revisar las rutas temporales de carga y auditar periódicamente el almacenamiento de acceso público.
“Los viajeros deben obtener los números de atención al cliente únicamente a través del sitio web oficial de la empresa, su aplicación móvil o la confirmación de la reserva. Cualquier solicitud de datos de pago, comisiones para tramitar un reembolso, tarjetas de regalo, criptomonedas, software de acceso remoto o transferencias urgentes debe considerarse una señal de alerta”, advierte Ángel Salazar, Gerente de Ingeniería de Canales en América Latina de Check Point Software.
Check Point continúa monitoreando su evolución. Los hallazgos demuestran cómo es posible aprovechar dominios de confianza y la visibilidad en los resultados de búsqueda o en las respuestas generadas por IA para difundir información fraudulenta, incluso en ausencia de código malicioso.
No hay comentarios:
Publicar un comentario