Solo como prueba de concepto. Ingeniería Social (otro phishing más)

El otro día hablando con un compañero de trabajo (un saludo Geranio :P) sobre "técnicas de ingeniería social"  me dio una idea para trastear un rato.

La idea era sencilla, como no quería complicarme demasiado, y ahora que está de moda el tema de la crisis y con ella la morosidad, se me ocurrió hacer un correo (phishing) diciendo lo siguiente.

Como veis, el engaño era manifiesto, ya que como señalo en la imagen, no me molesté en absoluto en camuflar ni faltas de ortografía, ni de poner el logo de Pepsi rotado.
Además, al pasar el ratón por encima de los enlaces, se pueden ven claramente el subdominio al que apuntaba dicho enlace.

Iba a poner una imagen del logo de Iberdrola y Gas Natural para darle un toque "más pro", pero quizá me hubiese metido en un lío al usar imágenes de empresas para esto.

Analizando fríamente el asunto, cualquiera podría darse cuenta del engaño, pero creo que al jugar con el tema de facturas sin pagar y la morosidad, la gente, con un nudo en la garganta, pincha donde sea con tal de averiguar que ha pasado.

El mail fue enviado para más inri desde una cuenta de correo de esas que duran minutos, así que, si hubiesen mirado el remitente o las cabeceras de los correos como nos explica Angelucho perfectamente aquí, no habrían caído.

Este "correo" fue enviado a un total de 500 personas y... bueno, una imagen vale más que mil palabras. (El periodo de tiempo ha sido del Viernes 7 de Noviembre - 18:30 al Domingo 9 - 0:00)

Como digo siempre, hay que desconfiar de TODO, ya que cualquiera nos la puede liar. 

En este caso como hago siempre, la web solo disponía de un contador para ver el número de personas que visitaban el enlace, pero de forma similar es como se montan los "grandes phishing", en los que se pueden ver afectados tus credenciales, por poner un ejemplo.

Ahora solo me queda una duda, las 65 personas que no visitaron el enlace, fue porque no vieron el correo?, porque analizaron cabeceras o vieron a donde iban los enlaces?, porque buscaron en Google la empresa y vieron que no existía ni el dominio ni dicha empresa?

Os recomiendo visitar el blog de Angelucho, donde te explica todo sin unos ni ceros, para que cualquier persona sin conocimientos se pueda sentir más segura.

Tened cuidado con los enlaces, ya tenéis un poco más de información sobre como proceder.

Roberto García (@1GbDeInfo)

Creando correo phishing sin herramientas

Hola.

Os dejo una entrada sobre como se puede simular fácilmente un phishing.

Ya se que el tema esta trillado y que todos sabéis perfectamente de que va el tema. Pero para los que no, os dejo un ejemplo.

Ademas, me ha llamado la atención que desde una página de una multinacional aeronáutica, no me dejase hacer el envío.
Os dejo los ejemplos.

Es tan fácil como, en casi cualquier pagina, darle a "enviar noticia a un amigo" y rellenar los campos que muestro.

Le damos a enviar y llegará a nuestra bandeja de entrada de Gmail sin mayor problema. Se lo come con patatas ya que no pasa ni por la carpeta de spam.

Ahora os dejo la imagen de lo que os comentaba al principio. Una empresa española, en la que supongo que han pagado a alguien que SI sabe lo que hace y no permite el envío.

Como veis, sale la advertencia de "se ha producido un error" y no deja realizar el envío.
A pesar de lo que pueda parecer, es muy muy fácil encontrar paginas desde las que se puede personalizar nuestro phishing.

Ahora imaginad que el link realmente apunta a algún sitio malicioso y que nos cuelan un troyano, o cualquier otro malware.

Conclusiones:

• Aunque nos llegue un correo que parece legitimo y a pesar de estar en la bandeja de entrada, no os fiéis de nadie, ni siquiera de vuestros propios contactos.
• Tened cuidado en los enlaces que pincháis, podéis verificar el sitio real donde os va a llevar solo pasando el ratón por encima del link y mirando en la parte de la izquierda de la pantalla.

• Siempre usad la cabeza, un banco JAMAS te va a pedir ningún dato como tu PIN de la tarjeta.

Como dice Angelucho, nosotros somos nuestra peor vulnerabilidad, pero también nuestro mejor antivirus.

Saludos

*Quiero dejar bien claro que el correo que he usado para enviarlo es mio propio y que en ningún caso he pretendido hacer nada malo con esto. Solo es a modo explicativo, nunca para que lo uséis contra nadie.