Un grupo de ciberdelincuentes originario de Nigeria utiliza direcciones de correo institucionales de universidades para engañar a estudiantes y hacer que les entreguen cientos de dólares en tarjetas de regalo. La operación fue detectada por la firma de seguridad Proofpoint, que describió un esquema de fraude de anticipo de pago (AFF, por sus siglas en inglés) dirigido principalmente a estudiantes universitarios en países occidentales.
Según los investigadores, todavía no se sabe cuántas personas cayeron en la trampa ni desde cuándo opera la red, pero sí identificaron el motivo por el cual los atacantes eligen como blanco a la comunidad académica.
Por qué los estudiantes son el objetivo principal
Los expertos de Proofpoint explicaron que los estudiantes más jóvenes suelen tener menos experiencia con la correspondencia por correo electrónico y recién comienzan a explorar oportunidades laborales o de generación de ingresos, lo que los vuelve más vulnerables al engaño.
Los exalumnos, por su parte, pueden mantener cuentas de correo activas pero de uso poco frecuente, una situación que los delincuentes aprovechan para secuestrar sus listas de contactos sin que la víctima lo note de inmediato.
El personal docente y administrativo también representa un blanco atractivo, ya que recibe constantemente mensajes de estudiantes, familiares y miembros de la comunidad desde direcciones personales e institucionales. “Al acceder a una cuenta .edu, los actores de amenazas pueden usar la autoridad del dominio para dar credibilidad a sus estafas”, señalaron los investigadores de Proofpoint.
Cómo funciona el engaño en dos etapas
El fraude comienza con un correo de phishing dirigido a cualquier titular de una dirección .edu. El mensaje advierte que la cuenta será desactivada por una excusa inventada, como un supuesto retiro, graduación o traslado. La víctima recibe la instrucción de “verificar” su dirección y, en ese proceso, termina compartiendo su contraseña con los atacantes.
Una vez que los delincuentes obtienen acceso a la cuenta comprometida, la utilizan para enviar un segundo correo de phishing, esta vez dirigido a los contactos del estudiante y a cualquier otra persona con dirección .edu. Este mensaje promociona una oferta de empleo falsa. A quienes “consiguen el trabajo” se les entrega una copia de un cheque por 1.000 dólares y se les indica que lo depositen en su cuenta bancaria.
El mecanismo de la estafa con tarjetas de regalo
Las instrucciones para las víctimas son precisas: deben quedarse con la mitad del dinero como supuesto salario y usar la otra mitad para comprar tarjetas de regalo, que luego tienen que enviar a los estafadores. El cheque, por supuesto, es falso, y para cuando el banco detecta la irregularidad, la víctima ya compró las tarjetas y las envió. La entidad bancaria revierte el depósito y deja al estudiante con una pérdida de 500 dólares.
Los investigadores de Proofpoint lograron infiltrarse en la operación al postularse ellos mismos a una de estas falsas ofertas laborales, lo que les permitió documentar todo el modus operandi.
También constataron que, si la víctima no sigue las instrucciones al pie de la letra, los delincuentes se vuelven agresivos: sugieren el uso de distintos servicios de pago e incluso llaman por teléfono haciéndose pasar por agentes del FBI que amenazan con acciones legales y arresto.
El rastro que llevó hasta Nigeria
Atribuir la estafa a un grupo específico resulta complejo, admitieron los investigadores. Sin embargo, lograron engañar a los estafadores para que usaran Grabify, un servicio de acortamiento de URL y rastreo de direcciones IP empleado habitualmente por especialistas en marketing digital.
A través de estos enlaces, que permiten extraer información del dispositivo y la dirección IP de quien hace clic, el equipo de Proofpoint rastreó la actividad hasta Nigeria. Aunque existen métodos para ocultar una dirección IP, la firma de seguridad se mostró confiada respecto al origen geográfico de la operación.
“Si bien es posible que los actores de amenazas falsifiquen su infraestructura, con base en nuestras investigaciones de cientos de casos, estos estafadores de fraude de anticipo de pago suelen utilizar su infraestructura de red móvil real para cometer sus delitos”, concluyó Proofpoint.
La firma agregó que, incluso cuando los atacantes recurren a una VPN, suelen hacer clic en los enlaces de los investigadores desde sus dispositivos genuinos, debido al estilo de comunicación multiplataforma que emplean y a su interés por monetizar el fraude pese al riesgo de ser identificados.