Dinero enviado a Matamu.club

Hoy en la mañana recibí un correo que parecía provenir de PayPal. Como he estado usando mi cuenta para comprar algunas cosas en eBay, es normal recibir avisos de pago o de envío de dinero, por lo que en un principio no le presté mucha atención.

Después de unos minutos de haber recibido el correo lo decidí abrir. Pude leer el encabezado del correo que decía: “You’ve just sent payment to Matamu.club” (mi PayPal está configurado en inglés), en mi defensa puedo decir que en mi teléfono sólo se veían las primeras 4 palabras por lo que no me había dado cuenta de que indicaba un negocio del cual no tengo ni la menor idea de que vende. Si lo hubiera visto, hubiera abierto el correo inmediatamente.

Inicia la adrenalina a correr por mi cuerpo, dudas como: ¿me habrán hackeado?, ¿será real?, ¿será una nueva forma de tratar de robar mi información (phishing)?. Después de respirar profundo un par de veces, me decido a ver con detenimiento este correo recibido:

Al estar en el celular revisando el correo se pierde algo de información que normalmente puedo ver al revisar mi correo en la computadora. Otro punto en mi contra es que soy de la generación pasada, de los primeros que tuvimos clases de computación en secundaria, de los que no tuvimos celular desde niños, por ello me identifico más con el uso de la computadora para revisar correos, documentos y en general navegar por internet.

El correo indicaba que había mandado $34.88 a la empresa Matamu.club, que si no había autorizado dicha compra, que visitara una liga que ahí proporcionaban. Aun cuando me parecía sospechoso, decidí seguir la liga para reportar que yo no había autorizado dicha compra. A la hora que se abre la página, mis sospechas se hacen más fuertes, veo que la dirección de la página no es un simple paypal.com sino support-paypal.com.cgisup y algo más. Aquí se puede ver la captura de pantalla del celular.

Ya con la sospecha casi al 100% de que me quieren robar mi usuario, contraseña e información general, decido poner un Email y Contraseña inventados. En mi mente está la idea de que, si es un sitio real de PayPal, marcará error de que el usuario no existe o de perdido si el usuario si existe, que la contraseña está equivocada. No me imagino el cálculo de probabilidad que pueda ser de que elija un Email y Contraseña al azar y que sean válidos.

Al poner la información falsa me abrió otra ventana en donde se me decía que PayPal trabaja constantemente para detectar señales fraudulentas con las cuentas para proteger a sus usuarios, que se ha detectado un posible fraude y que requieren que confirme mi información personal. Para cumplir con lo anterior me pasa a otra ventana en donde se muestra lo siguiente:

La información no cabe en la pantalla de mi celular, por lo que procedo a girarlo y ponerlo de forma horizontal. Así consigo ver por completo la dirección de la página que estoy visitando y con ello se confirma que no es una dirección válida de PayPal ya que termina el dominio con .info y PayPal termina con .com

En la página indican que ya confirmé mis datos de inicio y que ahora el siguiente paso es actualizar la dirección. En esta pantalla no sólo piden la dirección, sino que también número telefónico, nombre de soltera de la madre, número de seguro social y la fecha de nacimiento. Con esta información se puede robar la identidad de la persona y hacer mal uso de la misma. En Estados Unidos las personas afectadas tienen muchos problemas ya que su historial crediticio se ve afectado, impidiendo con esto obtener nuevos créditos (tarjetas, auto, casa, etc.) y hasta afecta a los créditos ya obtenidos. En casos extremos afecta la posibilidad de conseguir habitación de renta, trabajo y hasta un plan de teléfono celular.

Aquí paré mi investigación por medio del celular. Los pasos que seguían eran el de poner información de tarjetas de crédito y también información bancaria (como chequera o cuenta de ahorros).

Con el objetivo de integrar la información para este artículo, decidí abrir el correo desde la computadora. Mi correo lo consulto por internet desde mi navegador (no uso una aplicación especial de correo) visitando la página de Hotmail.com.

Primero decidí abrir un correo válido de PayPal:

Aquí puedo ver alguna características de un correo real de PayPal. Las podemos observar como:
1.- La dirección de correo es del tipo @paypal.com y la hora en que se recibe el correo.
2.- El correo tiene un sistema que le indica a Hotmail que si proviene de donde se indica, es decir, es un correo enviado desde una cuenta confiable.
3.- La hora de la transacción es unos segundos antes que la hora del correo. 14:51:55 CST son las 2:51 PM con 55 segundos. La hora en el punto 1 dice 2:52 PM
4.- Todos los correos que recibo de PayPal tienen mi nombre (no sólo el email)

Ahora tenemos el correo ‘sospechoso’:

1.- La dirección de correo no indica que sea de PayPal, la hora de recibido es 6:16 AM y no dice por ningún lado que es un correo enviado desde una cuenta confiable.
2.- La hora indicada de la supuesta compra es 7:34 AM hora del Pacífico. El reloj del Pacífico es menor que la hora del Centro que es donde me encuentro, así que la hora está mal. No puedo recibir un correo indicando una compra hecha en el futuro. Las 7:34 AM del Pacífico son las 9:34 AM hora del Centro.
3.- Por ningún lado se puede encontrar mi nombre.
4.- Al poner el cursor sobre la dirección de internet que piden que uno visite, no hace referencia a PayPal. Aunque es común usar un ‘compactador de URL’ bit.ly para no indicar direcciones muy largas, también es común que se use para ‘ocultar’ la dirección real a la que se enviará al visitante. Cuando el correo es importante, sobre todo cuando es de una institución que maneja dinero, no debemos seguir direcciones que no sean de la empresa o que estén ocultas.

Recomendaciones generales:

– Cuando recibamos un correo sospechoso, NUNCA dar clic en ninguna liga
– En este caso, hay que abrir una ventana nueva y visitar PayPal.com directamente
– Al visitar un sitio seguro, se indicará un candado o la leyenda ‘seguro’, como lo es PayPal y cualquier institución bancaria
– Si no hay movimiento en la cuenta, se puede borrar el correo, mandarlo a ‘correo no deseado’, o reportarlo con Hotmail en la opción de ‘phishing’
– Si por un error caímos en la trampa, lo mejor es tratar de cambiar la contraseña y contactarse con todas las instituciones involucradas (PayPal, tarjeta bancaria, banco, inclusive en Estados Unidos con los burós de crédito solicitando se congele el reporte y poniendo una alerta de fraude en el mismo)

No caigamos en la trampa. Los sistemas de seguridad se han perfeccionado pero eso ha llevado a que se desarrollen nuevas formas de tratar de obtener la información de la gente. Muchas veces es más fácil simular un sitio real y que el visitante nos de la información, a meterse a su computadora o celular. ¿Y a ti te ha llegado un correo de este tipo?