Analizamos un falso sitio diseñado para robar robar credenciales que suplanta la identidad del popular servicio para verificar si una dirección de correo, contraseña o número de teléfono fueron expuestos en una filtración de datos.
Cibercriminales diseñaron un sitio falso para recolectar direcciones de correo y contraseñas de usuarios que se hace pasar por el sitio oficial de Have I Been Pwned, el servicio para verificar si nuestros datos fueron expuestos en una filtración. El sitio apócrifo no solo presenta un diseño similar al oficial, sino que la URL es bastante similar, lo que puede llevar a que más de uno crea que se trata del legítimo.
Imagen 1. A la Izquierda el sitio que se hace pasar por HaveIBeenPwned y a la derecha el sitio legítimo.
Si observamos detenidamente la URL podemos observar que la diferencia entre el sitio legítimo y el falso es la extensión. Mientras que en la página oficial es .com, en el sitio falso es diferente. Sin embargo, que el nombre de dominio sea el mismo puede llevar a más de uno a caer en el engaño. Por otro lado, la estética es muy parecida con prácticamente los mismos elementos.
Un cambio clave que implementaron los ciberdelincuentes en el sitio falso es la forma de realizar la consulta: mientras que en la página oficial solo se debe ingresar la dirección de correo o número de teléfono para verificar si los datos fueron expuestos en una filtración, en el falso sitio se solicita ingresar primero la dirección de correo e inmediatamente se suma el campo para agregar la contraseña.
Esto debería generar sospecha, sobre todo para quienes ya utilizaron el servicio previamente, ya que para verificar si una contraseña fue filtrada en alguna brecha el sitio oficial cuenta con una sección aparte disponible desde la barra del menú llamada “passwords”, en la cual los visitantes puedan verificar si una contraseña que utilizan fue filtrada, pero sin vincular esta información con un nombre de usuario o dirección de correo en particular.
Probamos ingresando una dirección de correo ficticia
Si los usuarios desprevenidos ingresan ambos campos, estarán enviando a los atacantes las credenciales de acceso.
Para no generar sospecha en las víctimas, luego de ingresar los datos el falso sitio redireccionará al sitio legitimo indicando que las credenciales ingresadas no se registraron en ninguna brecha.
El sitio falso redirecciona a la página oficial una vez que la víctima ingresó sus credenciales
Have I Been Pwned: un servicio para verificar si tus datos fueron expuestos
Have I Been Pwned es un servicio al que recurren usuarios que quieren verificar si la contraseña que utilizan o su dirección de correo fue expuesta como consecuencia de un incidente de seguridad que sufrió algún servicio online en el que los usuarios tienen una cuenta. Cuenta con una amplia base de datos que recopila direcciones de correo, contraseñas y números de teléfono de más de 600 sitios web que han sido afectados por una brecha y más de 11.000 millones de cuentas expuestas.
Fuente info
Autor: Juan Manuel Harán