Skype Phishing, nuevas técnicas de robo de identidad

Un reciente informe del Internet Storm Center (ISC), describe un fenómeno nuevo -o no tanto-, el phishing vía Skype, el más popular servicio de voz sobre IP (VoIP).

La idea es robar las credenciales de acceso a Skype, de la misma manera que el phishing tradicional intenta robar los datos de acceso a instituciones financieras.

Phishing es la técnica utilizada para obtener información confidencial mediante la suplantación de una persona o institución legítima (generalmente por medio de un "scam", mensaje electrónico fraudulento, o falsificación de página web).

En el reporte se describen ataques que se remontan a mayo de 2007, donde la mayoría adoptan un enfoque obvio con mensajes como el siguiente: "Es necesario que actualice sus credenciales, pulse aquí para acceder a [...]", y se muestra un enlace a un sitio falso que simula ser el de Skype.

La pregunta es, ¿porqué querría alguien robar las credenciales de acceso a un servicio gratuito?. La teoría del ISC, es que con el uso de la voz, podrían mejorarse otras técnicas utilizadas para delinquir, y llevar a cabo ataques de phishing más elaborados, tales como el clásico correo electrónico con estafas "a la nigeriana".

Pero, ¿porqué robar las cuentas y no crearlas con nombres falsos?. Tal vez porque Skype es bueno bloqueando la creación de cuentas de forma automática, y puede resultar mucho más fácil utilizar la clásica ingeniería social para que el propio usuario sea quien termine proporcionando sus datos al atacante.

Ello tiene lógica, desde que toda nueva técnica que sirva para que los delincuentes detrás del phishing puedan obtener más ganancias, seguramente será explorada por éstos tarde o temprano.

Más allá de ello, usted no debería actuar de forma diferente a como siempre aconsejamos hacerlo para no caer en las trampas de quienes intentan robarle su identidad. O sea, si recibe un mensaje de Skype que por cualquier razón le solicitan que haga clic en un enlace para luego ingresar o confirmar sus datos de acceso, no lo haga.

Después de todo, ésta lógica debería aplicarla para cualquier mensaje no solicitado en donde se le pida hacer clic en un enlace, y mucho menos si luego se le solicita un nombre de usuario y contraseña, o cualquier otro dato que normalmente solo debería ingresar en la página a la que usted accede escribiendo la dirección del sitio en su navegador.


Más información:

Vishing, Skype, and VoIP-Based Fraud
http://isc.sans.org/diary.html?storyid=3486