Nueva estafa en este servicio de paquetería

El Instituto Nacional de Ciberseguridad y la Oficina de Seguridad del Internauta han informado de que ha sido detectada una campaña de phishing que suplanta a la empresa de paquetería FedEx. 

A través de un correo fraudulento, se intenta engañar a la víctima utilizando como cebo que tiene un pedido sin reclamar y debe pulsar en el enlace para obtenerlo. Dicho enlace redirige a una web que suplanta a la legítima y pide al usuario que introduzca tanto los datos personales como bancarios para poder realizar un pago que desbloquee un supuesto paquete. 

En estos correos se ha detectado que la excusa usada es la imposibilidad de entrega de un envío. Los asuntos de correo observados hasta la fecha son: 

• Todavía tienes (1) pedido sin reclamar 

• Hola, Esto es una actualización sobre tu paquete no entregado. 

Los correos electrónicos fraudulentos son enviados desde cuentas de correo ficticias que usan los alias “Servicio al cliente” y “Verificación de la cuenta”. Estos alias evitan despertar sospechas en la suplantación de la empresa de mensajería y paquetería. 

El cuerpo de los correos puede ser similar a los enviados por una plataforma automatizada de mensajes y gestión de incidencias, pero no usan los formatos, direcciones de correo o imágenes corporativas de la compañía. 

“En el correo se observa una ausencia de datos de la víctima, ofreciendo únicamente un número de seguimiento, acompañado de un mensaje que urge al destinatario a pulsar en el enlace aportado para evitar la supuesta pérdida de un pedido. Si se pulsa en enlace, la víctima es redirigida a una página web, bajo la falsa identidad de FedEx, para gestionar el pedido. En la primera página ofrecida se informa a la víctima de la imposibilidad de enviar un paquete, debido a información pendiente, para que el usuario pulse en la opción “Encuentra mi paquete”, al pulsar en esta opción, se redirige a una nueva página donde solicitan el código facilitado en el correo fraudulento, simulando la gestión de un paquete. En el mensaje informativo se detalla que se trata de un smartphone y que está pendiente un pago de 1,90€ para tramitar el envío. Para ello, se ofrece a la víctima un enlace en el que se solicita confirmación”. 

Una vez definidos los métodos y horarios de entrega, se muestra una página de confirmación en la que se informa de que hay un último paso para definir la entrega. 

El último paso solicitado es el pago de un supuesto importe necesario para la entrega del paquete de 1,99€, donde se pide la información asociada a una tarjeta de crédito o débito, como son el correo electrónico, nombre completo, número de tarjeta, fecha de caducidad y CVV. A continuación, se puede ver en la pantalla una ventana emergente con un mensaje, indicando que el pago ha sido fallido y que se pulse el botón para intentarlo de nuevo. 

Llegados a este punto, el proceso no avanza al introducir los datos de la tarjeta bancaria por segunda vez, pero los ciberdelincuentes ya tendrán tus datos. 

Solución 

Desde la página de INCIBE recomiendan: “Si recibes un correo electrónico que aparenta ser de la compañía FedEx y te pide que realices un pago para recibir un supuesto paquete, pero aún no has facilitado tus datos personales o bancarios, márcalo como correo no deseado o spam, bloquea al remitente y borra el email de tu bandeja”. 

En caso contrario, si has accedido al enlace y has proporcionado tu información personal y bancaria para posteriormente proceder a realizar el pago que, presuntamente, desbloquea la entrega del paquete, sigue las siguientes recomendaciones: 

• Contacta con tu entidad bancaria para informar del incidente y asegurarte de que se tomen las medidas de seguridad necesarias. 
• Toma capturas de pantalla del proceso y comunicaciones como pruebas. Para verificar estas, puedes utilizar testigos online. 
• En los próximos meses, te recomendamos realizar búsquedas en Internet para comprobar si hay presencia de tus datos personales mediante la práctica del egosurfing. Si lo necesitas, puedes solicitar que eliminen tus datos personales con el derecho al olvido. 
• Cuando recibas en el futuro un correo electrónico con características similares, asegúrate de revisar si proceden de fuentes oficiales. 
• Reporta el fraude e interpón una denuncia en las Fuerzas y Cuerpos de Seguridad del Estado con las pruebas que reuniste del fraude. 
• Si realmente tienes pendiente un pedido de FedEx, puedes comprobar su estado a través del enlace oficial de FedEx. 
• Si te quedan dudas, puedes echarle un vistazo a algunos ejemplos de correos fraudulentos suplantando a FedEx.