Según información de la empresa especializada en ciberseguridad Eset, una base de datos del buscador Elasticsearch indebidamente configurada y operada por ciberdelincuentes expuso nombres de usuario y contraseñas de más de 100.000 cuentas de Facebook.
La vulneración descubrió una campaña de engaño a usuarios de Facebook. Al vincular sus cuentas a una herramienta que supuestamente revelaba quién había visto su perfil, su objetivo final era robar sus credenciales.
No se sabe exactamente cómo llegan las víctimas a estos sitios falsos que prometen revelar quienes visitaron su perfil de Facebook pero se relacionó a 29 dominios. Estos sitios incluían, por ejemplo, mensajes como “Tu perfil recibió 32 visitas en los últimos dos días. Continúa para ver la lista”. Si la víctima hacía clic en un botón “abrir la lista” sería dirigida a una falsa página de inicio de sesión de Facebook y se solicitaría que ingrese sus credenciales de acceso a la plataforma.
Las credenciales se almacenan en la base de datos controlada por los atacantes para luego comenzar con la otra fase de la campaña maliciosa. Los comentarios en las cuentas de las víctimas que contienen enlaces a sitios que forman parte de un esquema fraudulento operado por los cibercriminales.
La red de sitios es una estrategia para evadir los mecanismos de detección y evitar ser bloqueados, según Eset, el principal objetivo era dirigir a las víctimas a sitios en los que se invitaba a registrarse para acceder a una cuenta gratuita de trading de Bitcoin y depositar 250 euros. En caso de realizar el depósito, el dinero iba a parar a manos de los cibercriminales.
Datos almacenados de las cuentas de Facebook
- Nombres de usuario y contraseñas de entre 150.000 y 200.000 cuentas de Facebook, además de direcciones IP.
- Información de identificación personal (PII) de víctimas, como dirección de correo, nombres, o números de teléfono.
- Textos utilizados por los estafadores al momento de publicar comentarios en las cuentas comprometidas para dirigir a las víctimas a sitios maliciosos.
“Aprovechamos para recomendar a los usuarios no utilizar la misma contraseña en más de un servicio. Para evitar dolores de cabeza teniendo que recordar cada una de las contraseñas utilizadas en cada cuentas o servicios, recomendamos utilizar un gestor de contraseñas”, dice Camilo Gutiérrez Amaya, Jefe del Laboratorio de Investigación de ESET Latinoamérica.
Con información de infobae.