En primer lugar, pido disculpas si este post no está dirigido al subforo más adecuado. Soy visitante y lector ocasional, he visto los existentes subforos y Offtopic me parecía el más adecuado para mi mensaje.
Ayer recibí un SMS en mi teléfono móvil que pertenece a una "supuesta" campaña de phishing. Yo nunca he recibido ningún SMS ni correo electrónico de estos, pero conozco los detalles que suelen tener y lo identifiqué. Fundamentalmente, "notifican" al usuario que su cuenta bancaria se ha bloqueado, y que puede desbloquearla "de forma segura" a través de un enlace que se incluye en el mismo SMS. El remitente del SMS es identificado como "Noticias", y el enlace que envían está generado a través de un servicio de acortamiento de URLs. Inmediatamente tras recibir el SMS lo notifiqué a la Policía a través de este enlace. No sé si es la forma más adecuada de notificarles, y, aunque supongo que tendrán constancia de la campaña por otras notificaciones anteriores, lo puse en conocimiento de ellos (tras 2 intentos, ya que en el primero el sistema me lanzó un error al intentar enviar el formulario).
Mientras escribía la notificación a la Policía, investigué un poco acerca de esa URL acortada incluida en el SMS. La abrí en un navegador de mi ordenador y se abrió un portal que imita al legítimo de la entidad bancaria. A simple vista, la página Web parecería la legítima, por tipografía y estilos. El portal consiste, principalmente, en un formulario que solicita el DNI/NIF/Pasaporte y la clave de acceso. Luego tiene un footer con los enlaces típicos de "Aviso legal", "Privacidad", etcétera. En ningún momento rellené nada en el formulario dado que conocía que el sitio es fraudulento.
La URL acortada lleva a otra completa. Esta URL completa está formada por una dirección IP a secas y una ruta, con un parámetro de la URL cuyo valor parece una dirección de correo electrónico y que está a simple vista. Identifiqué el sitio como fraudulento por:
- La URL no tiene ningún nombre de dominio asociado al banco, es una dirección IP a secas, además del parámetro con la dirección de email que aparece.
- La conexión no es segura, se utiliza el protocolo http en lugar de https.
En cuando vi la dirección IP, la introduje en la herramienta de WHOIS que se proporciona en Banda Ancha y me devolvió que pertenece a Microsoft. Así que contacté con Microsoft y les notifiqué que a través de una IP de su pool se estaba llevando a cabo una supuesta campaña de phishing y les puse los detalles de la dirección IP. En muy poco tiempo me respondieron, indicándome que esa IP pertenece a sus servicios en la nube, y cerraron la incidencia, notificándome lo siguiente:
La actividad reportada está asociada con una cuenta de un cliente del servicio de Microsoft Azure. Microsoft Azure proporciona una plataforma de computación en la nube en la cual los clientes pueden desplegar sus propias aplicaciones de software. Los clientes, y no Microsoft, controlan qué aplicaciones se despliegan en sus cuentas.
En otras palabras, entiendo que Microsoft no puede detener ni cerrar/borrar la instancia que se esté utilizando para llevar a cabo dicha actividad, lo cual me sorprende de primeras, aunque intuyo que puede haber alguna explicación con base legal detrás, la cual desconozco actualmente.
Actualmente el sitio sigue funcionando, y mientras tanto cualquier persona que desconozca que se trata de phishing puede verse afectada.
Un saludo, y cuídense.
