Phishing a Visa - 'Urgente verificar su cuenta' y abuso de plataforma de e-mail marketing

En el día de hoy hemos recibido varias denuncias de una "campaña" de phishing para atacar clientes de la tarjeta Visa.

El texto del correo falso (errores incluidos) dice:

Asunto: Urgente verificar su cuenta

Estimado Cliente:

Recientemente, hemos determinado que una persona puede usar su tarjeta sin su autorizacion, y no los pagos de varios intentos. Ahora tenemos que confirmar la informacion de tu tarjeta de credito. Para proteger la tarjeta contra el uso fraudulento, y el sistema de actualizacion de seguridad Verified by Visa, por favor, siga este enlace:

click aqui (enlace)

Nota: Si usted no completa este procedimiento antes de 30 de Marzo 2011, nos veremos obligados a suspender su tarjeta de forma permanente, ya que puede ser utilizado de manera fraudulenta.
Gracias por considerar esta informacion y nos ayudan a mantener la confidencialidad y seguridad de su tarjeta de credito.

Cordialemente .

Verified by Visa departamento de servicio de la seguridad.

Y el correo se veía así y al momento de su captura ya no mostraba los logos porque las imágenes fueron alojadas en un sitio gratuito que las bloqueó:

Los enlaces de este caso corresponden a una 

empresa argentina de e-mail marketing

Abuso de plataforma de e-mail marketing

(¡Método nuevo para estos casos!) En particular este caso de phishing no difiere en nada de otros que ya hemos informado. Pero en varios de los correos que recibimos hoy denunciando el caso (no en todos) observamos la particularidad que fueron enviados y confeccionados con el sistema de e-mail marketing de una conocida empresa del ramo en la argentina.

En estos casos los correos fueron enviados a los suscriptores de boletines electrónicos de algunos clientes de esta empresa. Esto evidentemente ayudó a los delincuentes ya que, al provenir el mensaje de una IP reconocida y usual, no fueron filtrados por muchos filtros antispam/antiphishing. Incluso los vínculos son los usados, en este caso abusados, por el sistema de e-mail marketing.

De Segu-Info nos pusimos en contacto con esa empresa y su responsable nos explica:

Aparentemente de alguna manera tomaron la contraseña del usuario y realizaron un envío desde el sistema de manera normal (no hack), ya que subieron la pieza por el sistema como usuarios.

Y también nos comenta de algunas medidas que ya tomaron:

Ya le solicitamos al cliente que revise sus equipos, procedimos a desactivar la URL del mail citado, bloqueamos cualquier mail que pueda salir de nuestro sistema con ese subject, o mail que incluya la palabra visa.

Nos encontramos aquí con la "novedad" sobre el abuso por parte de delincuentes de las credenciales de una plataforma de envíos masivos de correo y su base de suscriptores.

Creemos que esto puede continuar en el futuro en la medida que las empresas de e-mail marketing no tomen mayores medidas de monitoreo y que dificulten o impidan el abuso tal como el observado hoy.

El sitio falso

Se puede ver la página de entrada al sitio falso tal y como ya ha sido denunciada por uno de los lectores que nos alertó de este tema.

Y como decíamos no representa novedad, sigue siendo muy parecida a la original incluso el dominio que registraron para este caso.

Agradecimientos: a Pablo S. por el reporte detallado de este caso y a Alejandro B. por contestar nuestras consultas.

Aclaración: el sitio web de Visa no ha sido abusado. El caso reportado muestra como lo han duplicado y engañan a los usuarios para que ingresen a ese sitio gemelo para robar las credenciales.

Actualización 11/03: en el día de hoy hemos encontrado que dos empresas más de email marketing tienen problemas y vulnerabilidades similares. Continuará...

Raúl de la Redacción de Segu-Info

Suscríbete a nuestro Boletín