A diferencia del phishing tradicional, en el que se clonan páginas web de forma estática, el phishing dinámico importa logotipos y personaliza formularios en tiempo real, generando páginas falsas que resultan prácticamente indistinguibles de las oficiales. El objetivo: obtener contraseñas, datos bancarios y credenciales corporativas o personales de forma fraudulenta.

“El engaño comienza con un correo electrónico aparentemente oficial, que redirige a un sitio de login falso. La diferencia es que este sitio personaliza la experiencia según la empresa objetivo: muestra su logotipo y, en algunos casos, hasta precarga el correo de la víctima, lo que refuerza la sensación de autenticidad”, explica Camilo Gutiérrez Amaya, jefe del Laboratorio de Investigación de ESET Latinoamérica.

La técnica utiliza servicios como Clearbit para insertar automáticamente los logotipos en la página de inicio de sesión falsa. Al introducir sus datos, la víctima envía su información directamente a los atacantes mediante tecnología AJAX, quienes luego la redirigen al sitio oficial, evitando levantar sospechas.

Este tipo de ataques han sido detectados por el equipo de RiskIQ, quienes señalan herramientas como LogoKit, que permiten montar sitios falsos con apariencia profesional en cuestión de minutos. Además, los delincuentes aprovechan servicios como Firebase, Oracle Cloud o GitHub para alojar sus campañas, lo que dificulta su detección por parte de los filtros de seguridad tradicionales.

Otra táctica que utilizan es el abuso de redirecciones abiertas en plataformas confiables, lo que les permite esconder enlaces maliciosos detrás de URLs aparentemente seguras.

Desde ESET recomiendan a las organizaciones y usuarios implementar medidas como el segundo factor de autenticación (MFA) y reforzar la capacitación en ciberseguridad, ya que, como advierte Gutiérrez Amaya, “el phishing dinámico es un recordatorio claro de que los ciberdelincuentes están aprovechando las mismas tecnologías que usamos para mejorar la experiencia del usuario, pero con fines maliciosos”.

El líder nacional del sector, Eduardo Paniagua refirió que se está dando seguimiento a este tema que ha lacerado no sólo al turismo sino a muchas empresas del sector turístico que han visto como se utilizan sus marcas y sus nombres para cometer fraude.

Se busca, dijo que estos delitos sean tipificados como un delito grave dentro del Código Penal federal, a fin de que se pueda apoyar a la policía cibernética con mayores elementos para dar seguimiento al tema.

En este sentido refirió que se busca la modificación de las leyes para que se castigue esta acción y se congelen las cuentas bancarias donde se hacen estos depósitos.

En este sentido, refirió que actualmente cuando se hace una denuncia ante la Procuraduría Federal del Consumidor, finalmente no hay elementos ni forma legal de vincularlo a las cuentas bancarias, lo que se convierte en uno de los principales obstáculos, por lo que se busca que la modificación legal a fin de que se tengan las herramientas necesarias para lograrlo.

Cabe señalar que la AMAV ha venido denunciando y trabajando en el tema desde hace varios años, pero el líder del sector confió que este año, se tenga el acercamiento con los diputados y senadores para lograr avances significativos en el Código Penal y que el turista incluso pueda hacer su denuncia anónima sin tener que acudir a la Fiscalía para que se le de seguimiento a estas empresas patito o call center que timan al turista y que le roban su dinero.

Así también se busca que este delito sea catalogado dentro del Código Penal como un delito grave sin derecho a fianza.

El último dato aportado por la asociación refería que se cometían 450 fraudes por minuto en las redes sociales en América Latina, lo que genera un promedio de 431 millones de dólares en pérdidas anuales.

En este sentido, también se ha referido que Quintana Roo es uno de los estados donde hay mayor número de fraudes, seguido de Baja California y Sinaloa, donde se utilizan el nombre de empresas para cometer el fraude.

Con información de Diario Cambio 22