Sandra (61) acaba de estar buscando el nombre de su banco para ingresar a una operación de rutina. Hace clic en la primera respuesta que devolvió el motor de búsqueda, un enlace patrocinado. La página era exactamente idéntica a la banca local con la que era familiar. Ingrese su usuario y contraseña como siempre lo hace. Pero algo falla.
Piden una ficha. Por el lado, un letrero advirtió que esta orden era normal y se hizo para evitar estafas. Luego aceptó ingresar el código. Momentos después, todo se pone en blanco. En unos minutos, faltan 9 millones de pesos. Su cuenta está vacía.
Sandra fue víctima de una banda de estafadores, que intercedió entre la página real y la asamblea. Un caso más de phishing, del cual se han repetido exponencialmente desde la pandemia hasta la fecha. Pero, según un banco, en la maniobra también tenía la responsabilidad de Google.
Esa es la teoría de que el nuevo Banco de Chaco, que después de una serie de robos a sus clientes, y para pedirle al gigante tecnológico que los evite, ahora tomó una decisión sin precedentes: ahora tomó una decisión inédita: Denunció criminalmente el motor de búsqueda ante Justice.
La presentación, a la que tenía acceso Clarínfue llevado a cabo en la Oficina del Fiscal No. 13 de Resistencia, especializada en Cibercrimen, por Victor Recio. Allí, el banco establece que la compañía «hace una contribución fundamental» a la maniobra de las bandas cibercriminales al no proporcionar herramientas que permitan a la entidad bancaria anticipar el fraude, que se extienden a través de los anuncios de Google.
Como se explica en el área de seguridad informática del banco, los sistemas anti -cerebro Bloquearon más de 200 cuentas de usuario que habían sido engañadas por estafadores justo antes de que puedan darse cuenta del robo. Sin embargo, en el medio, unos 14 usuarios sufrieron pérdidas. Fue entonces cuando comenzaron desde el banco para aparecer contra Google para ayudarlos.
El phishing se realiza a través de anuncios en el motor de búsqueda (Photo ShutterSock)Pero la demanda del sector bancario hacia el gigante no es nueva, según al menos tres fuentes diferentes consultadas por Clarínque confirmó haber contactado al motor de búsqueda para encontrar soluciones que permitan contrarrestar el aumento de las estafas y no tuviera respuestas útiles de la empresa.
La maniobra se desarrolla de la siguiente manera. Los estafadores configuraron una página falsa que Copiar detalle por detalle la fachada de la banca de origen, incluido el espacio para ingresar al usuario y la contraseña. Este paso a paso se puede comprar incluso como un kit cerrado a través de Telegram, donde se explica el paso detallado. Ni necesita ser un especialista en programación.
Luego adquieren un paquete de publicidad a través de los anuncios de Google, el servicio de publicidad digital que ofrece el motor de búsqueda para que aparezca una página entre los primeros resultados al buscar una palabra o frase específica.
Como lo explicó el banco, la banda usa los anuncios de Google para Taggear avisos muy específicos dirigidos a ciertos grupos demográficos para cuando buscan palabras clave como «banca bancaria chaco», por ejemplo.
Sin ir más allá Clarín Trató de buscar en Google ‘Banco Chaco’ para ilustrar esta nota: el primer resultado fue un anuncio fraudulento. Dirigió a una página falsa, que pretendía ser una entidad bancaria.
Los anuncios fraudulentos que aparecen en Google después de buscar a Banco Chaco, según ClarínAl rastrear en la pestaña ‘Más información’, el anuncio fue pagado por un usuario llamado César MC, un año de 25 años que vive en las 135 casas, en las afueras de San Miguel de Tucumán. Según sus redes sociales, es entrenador de fútbol de un equipo aficionado.
Cómo se promueve el engaño
No solo los bancos: las páginas de truchas también han proliferado con regalos de boletos, falsos aniversarios, anuncios para jubilados, para fiestas en diciembre, que inician clases, servicios como luz o agua, para aquellos que buscan cómo acceder a subsidios o descuentos. Incluso para las piezas de repuesto de la bomba de agua, contaban con una empresa líder en el campo. El truco es encontrar la audiencia adecuada para el engaño.
Google publicidad funciona a través de ofertas o subastas. El postor que más paga el que aparece primero en la búsqueda. Si bien el nuevo Banco de Chaco también utiliza el servicio de anuncios de Google para promocionar sus productos, descubrieron que las bandas Realizan campañas específicas para encontrar un tipo de víctima puntual, Donde enfocan todo el presupuesto que tienen en la publicidad para ganar la oferta en esos lugares a la entidad misma.
El anuncio fraudulento, en nombre de un año de 25 años.Por ejemplo, desde la ciberseguridad podrían detectar que apunta a hombres y mujeres durante 60 años en el área de Charata. Eso permite que el banco sea latido y evite los controles que tiene el banco, ubicado en Resistencia, cuando realiza búsquedas para encontrar estafadores. «Si hipersegmento a un lugar, sé que voy a hacer un Ofertas (una oferta) más alto que otra compañía que va a todo el país «, explican del sector.
«Google no nos da ningún panel O informe dónde nuestro equipo puede verificar y prevenir avisos maliciosos que tengan proximidad a las palabras clave de nuestra entidad. Es por eso que estamos atados de la mano y el pie, sin poder prevenir o anticipar, que son las funciones de nuestro equipo «, resumen.
Por otro lado, desde el banco también querían comunicarse con Google Argentina para advertir sobre la maniobra. Como explicaron, confirmaron la recepción del mensaje, pero no avanzaron con más medidas, lo que causó la presentación judicial. «O no les importa el fraude o solo les importa que su negocio sea necesario para la acción u omisión», argumentan en la denuncia penal.
Clarín Trató de comunicarse con Google Argentina, quien confirmó la recepción de un «comercio» por la justicia de Chaco, pero negó que fuera una demanda. Consultados por medidas específicas para proporcionar una mayor seguridad a sus usuarios y herramientas a las empresas, se limitaron a enviar una declaración. Tampoco aceptaron responder preguntas sobre ciberseguridad o prevención de estafas.
Dentro de las políticas del motor de búsqueda para evitar la usurpación de la identidad en los anuncios, Google tiene desde 2023 con una medida de publicación de anuncios limitada, que tiene como objetivo evitar marcas de identidad de marca en los anuncios, restringiendo las impresiones para los nuevos usuarios. También brinda a las empresas la posibilidad de proteger la marca en sí, para aplicar restricciones para usar.
Otras compañías, como los peajes, también denuncian la aparición de sitios falsos.«El sistema es cada vez más permisivo. Proteger a las marcas y/o informar su mal uso no es tan simple como debería «, dice Ricardo, un ex empleado de Google y especialista en anuncios que pidió cambiar su nombre para hablar Clarín.
«Recientemente, para reforzar la seguridad, lanzaron la verificación del anunciante. Cada compañía que se ejecuta en Google debe verificarse como anunciante. Cualquier anuncio que vea en Google, si hace clic en el botón de contexto, consulte quién lo publica. Puede verificar como anunciante e igual a la estafa porque tiene que encontrar el banco condenado», resume él. Resume
«Antes de que las campañas se hicieran por correo. Ahora lo hacen más dirigido, a través de Google Adwords o por objetivo. Le da la posibilidad de geolocar las campañas, cuántas veces desea que aparezca. Es difícil encontrar esas maniobras», explica una referencia en la ciberseguridad de los bancos que también prefiere mantener el anonimato.
También en Instagram hay estafas que simulan las promociones bancarias«Hay bancos que fueron a hablar, pero no es tan fácil porque Google no tiene oficinas aquí. Es difícil encontrar a alguien que te dé una pelota», dice. Es que, como explican en el sector, la mayoría de las entidades prefieren perder dinero y tenerlo dentro de los pronósticos de pérdida en lugar de tratar de avanzar causas contra los estafadores o ir en contra de las empresas técnicas.
Debido al aumento en los casos de estafas, los bancos comenzaron a trabajar dentro de las puertas para atacar el problema, pero sin un vínculo con la tecnología. «Nosotros en este tipo de estafas No tenemos forma de averiguarlo hasta que llamen a las primeras víctimas. Pero implica un riesgo de reputación para el banco, porque las estafas creen que el banco es el que cobró la «Comisión por adelantado», gráfico del sector.
El mismo tipo de modus operandi se repite con la mayoría de las entidades, ya sean provinciales, privadas o incluso fintech. Silvana, por ejemplo, cayó en el engaño cuando trató de ingresar a la banca local del ICBC. Luis, cuando estaba buscando una respuesta con un problema con Mercadopago.
Pero los expertos en ciberseguridad indican que no afecta solo a Google y que están cada vez más en Instagram. Allí pueden combinar una serie de promociones. Por ejemplo, un banco nacional con YPF, advertencia de falsos descuentos para los jubilados. Así es como el periodista deportivo Guillermo Salatino cayó hace unas semanas, donde perdió 1.8 millones de pesos.
Esa estadificación está conectada con sistemas de alerta para la banda, que reciben inmediatamente la información cuando un usuario se conecta. Esto puede ocurrir por telegrama, o por que una persona monitoree constantemente.
«Son campañas que se pagan ingresando tarjetas de trucha o robado, que se logran en foros de Internet. O piratear la cuenta de Google ADS de un usuario que tiene un saldo. Es por eso que es muy difícil encontrar quién es responsable de configurar las campañas «, dice otra fuente.
Sin embargo, otro de ellos contradice este aspecto y pide que se enfrente a las mulas que reciben el dinero o de las tarjetas que se usan como la única forma de cortar estos circuitos de estafa. Como se observó, cuando las sanciones son tan bajas y tan complejas de entender, a menudo no se investigan. Pero eso se esconde detrás de bandas que operan en una escala.
Cómo evitar e informar este tipo de estafas
Según las diferentes fuentes consultadas, la mejor manera de evitar esta modalidad de estafas de phishing es nunca usar el motor de búsqueda de Google para llegar al sitio web de HomeBanking, por fácil y cómodo que sea para ahorrar tiempo.
Para hacer esto, indican que la opción más segura es dejar la página utilizada para ingresar al HomeBanking en los favoritos del navegador y establecer ese canal seguro.
Del mismo modo, revise la dirección del navegador donde se ingresó para tener cuidado de no ingresar sitios similares donde se intercambia una letra o carácter por un objetivo muy similar al objetivo de la referencia.
Desde Google y Meta también indican que se pueden informar páginas que suplacen a otras marcas.
Si ha sido víctima de una estafa, debe informar en el Policía o enjuiciamiento más cerca de casa y antes de la entidad especializada de ciberseguridad.
En todo el país: unidad fiscal especializada en cibercrimen de la oficina del fiscal, [email protected];
Ciudad de Buenos Aires: Unidad fiscal especializada en delitos y contravenciones informáticas de la oficina del fiscal del fiscal de CABA, [email protected].
