Los estafadores están usando bots para drenar las cuentas de criptomonedas

“Cuando ella lo recoge, aparece un cartel, una notificación que dice: ‘Su cuenta está en peligro’”, dijo.

La advertencia, que dijo que era un mensaje de texto, lo incitó a tomar su teléfono. Fue entonces cuando comenzó la pesadilla de la pareja.

Es el tipo de pesadilla que enfrentan muchos titulares de cuentas criptográficas en todo el país, ya que los piratas informáticos apuntan a un auge en la industria, dijeron expertos en seguridad cibernética.

Los Apgar, ambos obstetras con sede en Maryland, comenzaron a invertir en criptomonedas hace varios años. Para diciembre, su cuenta había crecido a alrededor de $106,000, principalmente en bitcoins. Al igual que millones de inversores en todo el país, su cuenta está en Coinbase, la plataforma de criptomonedas más grande del país.

Cuando Apgar descolgó el teléfono, una voz femenina dijo: “Hola, bienvenido a la línea de prevención de seguridad de Coinbase. Hemos detectado actividad no autorizada debido a un intento fallido de inicio de sesión en su cuenta. Esto fue solicitado desde una dirección IP de Canadá. Si este (no es) usted, presione 1, para completar las precauciones para recuperar su cuenta ”. La llamada duró apenas 19 segundos.

Alarmado, Apgar presionó el 1.

Dijo que no puede recordar si ingresó manualmente su código de autenticación de dos factores o si apareció automáticamente en su pantalla. Pero lo que sucedió en ese momento provocó que su cuenta quedara bloqueada en menos de dos minutos. Como Apgar no ha recuperado el acceso, dijo que asume que los estafadores robaron la mayor parte, si no todas, las criptomonedas, pero no puede estar seguro.

“Fue solo pavor y un vacío de solo, ‘Oh, Dios mío, no puedo recuperar esto”, dijo.

Los Apgar fueron objeto de un tipo de fraude particularmente insidioso que aprovecha la autenticación de dos factores, o 2FA. Las personas usan 2FA, un segundo nivel de seguridad que a menudo implica un código de acceso, para proteger una variedad de cuentas en intercambios de cifrado, bancos o cualquier otro lugar donde realicen transacciones digitales.

Pero este nuevo tipo de fraude va directo al código 2FA y usa el miedo de las personas de que sus cuentas sean pirateadas en su contra. Al tomar medidas que creen que los protegerán, en realidad se exponen a los ladrones.

La herramienta de fraude se llama bot de contraseña de un solo uso, o OTP, por sus siglas en inglés.

Un informe producido por la firma de seguridad cibernética con sede en Florida y colaborador de CNBC Q6 Cyber ​​dijo que los bots OTP están generando pérdidas sustanciales para las instituciones financieras y de otro tipo. El daño es difícil de cuantificar ahora porque los ataques de bots son relativamente nuevos.

“Las llamadas de los bots se elaboran de manera muy hábil, creando una sensación de urgencia y confianza por teléfono. Las llamadas se basan en el miedo, convenciendo a las víctimas de que actúen para ‘evitar’ el fraude en su cuenta”, dice el informe.

La estafa funciona en parte porque las víctimas están acostumbradas a proporcionar un código de autenticación para verificar la información de la cuenta. Al principio, las llamadas automáticas pueden sonar legítimas, especialmente si la víctima está acosada o distraída por otras cosas en el momento en que entra la llamada.

“Es la naturaleza humana”, dijo Jessica Kelley, analista de Q6 Cyber ​​y autora del informe. “Si recibe una llamada que le dice que alguien está tratando de iniciar sesión en su cuenta, no está pensando: ‘Bueno, no estaba tratando de hacerlo’”.

Los bots comenzaron a aparecer a la venta en la plataforma de mensajería Telegram el verano pasado. Kelley identificó al menos seis canales de Telegram con más de 10 000 suscriptores, cada uno vendiendo los bots.

Si bien no hay una estimación oficial sobre la cantidad de criptografía robada, Kelley dijo que los estafadores se jactan de forma rutinaria en Telegram de lo bien que han funcionado los bots, obteniendo para cada usuario miles o cientos de miles de dólares en criptografía. El costo de los bots oscila entre $100 por mes y $4,000 por una suscripción de por vida.

“Antes de estos bots OTP, un ciberdelincuente tendría que hacer esa llamada él mismo”, dijo Kelley. “Tendrían que llamar a la víctima y tratar de que divulgue su información de identificación personal o el PIN de la cuenta bancaria o su código de acceso 2FA. Y ahora, con estos bots, todo el sistema está automatizado y la escalabilidad es mucho mayor”.

“Una vez que la víctima ingresa ese código 2FA, o cualquier otra información que solicitó que la víctima pusiera en su teléfono, esa información se envía al bot”, dijo Kelley. El bot “luego lo envía automáticamente al ciberdelincuente, quien luego tiene acceso a la cuenta de la víctima”.

Ella dijo que los delincuentes podrían “potencialmente robar todo, porque con estas transacciones, pueden hacerlas una tras otra hasta que la cantidad básicamente se agote”.

En una declaración a CNBC, un portavoz de Coinbase dijo: “Coinbase nunca hará llamadas no solicitadas a sus clientes, y alentamos a todos a ser cautelosos al proporcionar información por teléfono. Si recibe una llamada de alguien que dice ser de una institución financiera (ya sea Coinbase o su banco), no revele ninguno de los detalles de su cuenta o códigos de seguridad. En su lugar, cuelgue y vuelva a llamar al número de teléfono oficial que figura en el sitio web de la organización”.

David Silver, otro cliente de Coinbase, sabía que la empresa no lo llamaría. Recientemente recibió una llamada automática que decía que había un problema con su cuenta.

“E inmediatamente, fue una voz electrónica que me dijo que era el Departamento de Fraude de Coinbase”, dijo. “Y de inmediato me volví hacia el abogado que estaba sentado a mi lado y le dije: ‘Empiece a grabar’. Supe instantáneamente qué era esto y qué iba a ser”.

Silver sabía de qué se trataba la llamada porque no es solo un cliente de Coinbase, es un abogado que se especializa en casos de fraude financiero y criptomonedas.

Silver presionó 1 y se encontró en una llamada en vivo. Una persona se puso al teléfono fingiendo ser un empleado de Coinbase.

“E inmediatamente comenzaron a decirme cosas que sé que violan lo que haría Coinbase”, dijo. “Por ejemplo, nunca te pedirán tu contraseña. Nunca intentarán apoderarse de su computadora”.

Silver preguntó si se le podía enviar un correo electrónico verificando que la llamada era de Coinbase. La respuesta fue no.

“Y su respuesta fue no porque solo hay ciertas formas de enmascarar el correo electrónico que proviene directamente de un dominio que hoy en día, los operadores de dominio como GoDaddy, Google, es muy difícil falsificar el correo electrónico que proviene de los dominios”, dijo. “Y no estaban dispuestos a enviarme el correo electrónico. Diría que esa fue mi última pizca de esperanza de que fueran legítimos cuando les pedí que me enviaran el correo electrónico y me dijeron que no”.

Después de casi siete minutos, se le pidió a Silver que compartiera la pantalla de su computadora. Terminó la llamada.

“No me sorprende haber recibido la llamada. Pero me pregunto cómo tenían mi número de teléfono celular personal y de dónde obtienen esa información para vincularme con Coinbase”, dijo.

Apgar dijo que desearía no haber contestado nunca el teléfono. Para empeorar las cosas, no ha podido restaurar el acceso a su cuenta, dijo. Cuando CNBC se comunicó con Coinbase para que los Apgar recuperaran el acceso a su cuenta, un portavoz de la compañía dijo que el asunto se entregó a su equipo de seguridad.

Apgar dijo el lunes que acababa de responder a un correo electrónico de Coinbase para ayudar a restablecer el acceso a la cuenta.

El servicio al cliente en Coinbase ha sido un problema generalizado, descubrió CNBC el año pasado . Los clientes de todo el país dijeron que los piratas informáticos estaban vaciando sus cuentas, pero cuando recurrieron a Coinbase en busca de ayuda, no pudieron obtener una respuesta. Después de la historia, Coinbase estableció una línea de soporte telefónico para ayudar a los clientes, pero incluso eso ha estado plagado de problemas .

Cuando se le preguntó qué podría haber hecho diferente, Apgar dijo que es simple: no contestar el teléfono.

CNBC.