El phishing como un servicio: esta web permite hacerlo a cualquiera sin conocimientos técnicos

Efectivamente, has leído bien: ya no es necesario contar con conocimientos avanzados para hacer phishing y suplantar la identidad de determinados servicios, sino que la firma Fortinet acaba de descubrir un sitio que permite a cualquiera hacerlo de un modo escalofriantemente sencillo.

En concreto se trata de Fake Game, un portal ruso que ya en su descripción se jacta de ser “el lugar para secuestrar cuentas”. De hecho, asegura (en el momento de escribir estas líneas) haberlo logrado ya con más de 700 mil. Una cifra que actualiza en tiempo real y que, no obstante haber afectado ya a cientos de usuarios de productos de empresas de la talla de Facebook, Google y otros muchos, sigue activa.

En qué consiste Fake Game

Así con ella, todo aquel que quiera “jugar a ser un ciberdelincuente” ya puede hacerlo. Sí, porque esta página y según explica la citada empresa de seguridad, ha convertido el phishing en una suerte de servicio que, por cierto, lleva activo desde hace más de un año y que cuenta con el número nada desdeñable de 60 mil usuarios activos.

Y no es de extrañar si tenemos en cuenta (además del amplio abanico de personas malintencionadas) lo fácil que es ponerlo en marcha –incluso cuenta con videotutoriales específicos y un bot de asistencia técnica-. Para empezar, eso sí, la plataforma solicita a los interesados que se registren, momento a partir del cual podrán empezar a explotar sus (cuestionables) posibilidades.

El siguiente paso, tal y como explica Fortinet, será entonces elegir qué tipo de credenciales (de qué servicio) se quieren hackear. Las páginas de phishing se encuentran disponibles, además de para las citadas herramientas, para Warface, Steam, Wargaming, Google, Mail.ru, Yandex y Classmates. Una lista que deberías tener en cuenta si crees que podrías haber sido víctima de este tipo de ataque. Pero vayamos con un caso concreto.

De esta manera, si el cliente decide simular la herramienta de phishing de Gmail, el servicio automáticamente genera un enlace que contiene el subdominio gmail. El link incluye un identificador para cada usuario, de manera que puede saberse (e incluso hacer un seguimiento) si las cuentas robadas han sido obra de una misma persona.

Para ponerlo en marcha, por supuesto, tendrá que hacérselo llegar al potencial afectado. El aspecto que tendrá la página sería el que se muestra justo arriba de este párrafo. Una vez que este introduzca los credenciales, el interesado recibirá este aviso. Además, la web Fake Game cuenta con una función que verifica la validez de la información obtenida. De no serlo, muestra un mensaje de error y vuelve a cargar la supuesta web, llevando al objetivo al primer paso.

Para acabar y con el fin de ayudar a los cibercriminales novatos a sacar provecho de la plataforma, esta les proporciona un hipervínculo que les redirige a otro sitio ruso donde pueden vender las credenciales que han robado por un precio que ronda entre los 0,015 dólares y los 15,39. La web también les permite ponerse en contacto con otros usuarios para intercambiar opiniones.

Dicho lo cual y analizado su funcionamiento, Fake Game es un ejemplo clásico de “delincuencia como prestación”, una clase de servicios que permiten a los aspirantes a delincuentes cibernéticos participar en actividades ilícitas no obstante carecer de conocimientos técnicos específicos.

Vía | Fortinet

En Genbeta | El ransomware sigue y suma: el 93% del phishing lo contiene