Las capturas de pantalla y la estafa de criptomonedas en Lightshot

Las estafas de criptomonedas parecen estar cobrando fuerza por momentos. Tras haber estafado a los usuarios de Discord ofreciendo monedas inexistentes en plataformas de intercambio falsas, inventando historias sobre ganadores afortunados en sitios de noticias también falsos y simulando dinero de helicóptero, una nueva estrategia se está aprovechando de la herramienta para compartir pantalla de Lightshot con el objetivo de obtener el dinero de inversores de criptomonedas demasiado curiosos.

La comodidad no garantiza la seguridad

Lightshot es una herramienta para crear, personalizar y enviar rápidamente capturas de pantalla. Se trata de una aplicación para Windows, macOS, Ubuntu y su portal en la nube prnt.sc que permite a los usuarios compartir capturas de pantalla rápida y fácilmente: un clic o un acceso directo envía una imagen a la nube y devuelve una URL para compartir.

Cualquiera puede ver las capturas de pantalla publicadas sin autentificación; ni siquiera necesitas una cuenta de Lightshot. Eso hace que el servicio sea rápido y cómodo, pero no muy seguro.

Además, para ver una captura de pantalla, ni siquiera necesitas el enlace exacto; las URL son secuenciales, por lo que, por ejemplo, si reemplazas un carácter en una de ellas por el siguiente en orden, se abrirá otra imagen. El proceso incluso se puede automatizar. Con un simple script se puede aplicar un proceso de fuera bruta a las URL y la descarga del contenido solo tardaría unos minutos.

Pero todo esto no se trata de un error; el servicio advierte a sus usuarios que las imágenes cargadas son públicas. Sin embargo, dado que las filtraciones de información valiosa a través de Lightshot aparecen regularmente en las noticias, es evidente que no todo el mundo lee la letra pequeña.

Cómo filtrar datos en Lightshot

Entonces, ¿qué pasa si las capturas de pantalla ingresan en el dominio público? ¿A quién iba a importar una captura de pantalla de un juego o de un mensaje de broma en el trabajo? Pongámosle un poco de imaginación: los usuarios de Lightshot pueden practicar el doxing de al menos tres formas muy plausibles.

Por ejemplo, imagínate que un empleado realiza una captura de pantalla de una interfaz para obtener ayuda para configurar un nuevo programa. Todo bien. Eso sí, ¿qué pasa si un documento confidencial está abierto, parcialmente oculto debajo de la ventana de la aplicación? ¿O si alguien comparte un correo electrónico de trabajo estúpido con un amigo de confianza, solo para reírse? ¿O alguien presume de una charla íntima pero se olvida de difuminar nombres y direcciones?

Una vez publicadas en Lightshot, estas capturas de pantalla podrían significar serios problemas. Unos simples alborotadores pueden buscar fotos reveladoras por diversión; los trols utilizarlas para el acoso y los ciberdelincuentes utilizar la amenaza de exposición para extorsionar a las víctimas.

Una trampa para los entrometidos

A su vez, incluso aquellos que mantienen la privacidad de los datos valiosos y siempre revisan las capturas de pantalla en busca de condiciones adicionales no deseadas pueden encontrarse con algunos de los inconvenientes del servicio. Por ejemplo, en un día cualquiera, el portal Lightshot puede contener capturas de pantalla con información para acceder a un monedero de criptomonedas. A veces, las capturas de pantalla parecen sugerir que la cuenta se ha compartido de forma deliberada. Algunas muestran solicitudes de ayuda, otras resultan extrañas y no están relacionadas, de hecho, incluso hemos encontrado una nota de suicidio.

Capturas de pantalla de correspondencia que muestran credenciales para el acceso a cuentas de criptomonedas falsas

En otros casos, parece que las “credenciales” aparecen en Lightshot como por accidente o por descuido. Por ejemplo, hemos visto capturas de pantalla que parecían ser correos electrónicos de recuperación de contraseña para monederos de criptomonedas.

Correos electrónicos de restablecimiento de contraseña falsos para cuentas de criptomonedas igualmente falsas

Si un usuario visitara la URL de la captura de pantalla, se encontraría en un sitio web que se hace pasar por una plataforma de intercambio de criptomonedas y, al introducir las credenciales, accedería a una cuenta falsa que parece contener una cantidad impresionante de criptomonedas, por ejemplo, 0,8 BTC (más de 45.000 dólares en estos momentos). Desde dentro de la cuenta, la víctima podría intentar retirar los fondos y transferirlos a la suya propia.

En ese caso, la plataforma de intercambio solicita una pequeña comisión. Una minucia en comparación a la suma total, pero es falso y no hará más que llenar los bolsillos de los estafadores. Y, por supuesto, esta “minucia” es relativa: una comisión de entre 0,001 a 0,0015 BTC, por ejemplo, de acuerdo con el valor actual del bitcoin, asciende aproximadamente a unos entre 60 y 90 dólares.

Dicho esto, esta estrategia parece funcionar bien. En estos momentos, se han transferido aproximadamente 0,1 BTC (unos 6.000 dólares) al monedero de “comisiones”.

Cómo ahorrar dinero y proteger tus datos

La comodidad no significa seguridad o privacidad, de hecho, a menudo supone todo lo contrario. Lightshot es un buen ejemplo. A continuación, te dejamos algunos consejos para trabajar de forma segura con las capturas de pantalla:

• Antes de instalar Lightshot, considera si realmente deseas compartir capturas de pantalla haciéndolas públicas.
• Si decides seguir adelante, recuerda que la información confidencial (datos bancarios, contraseñas u otra información personal) es el alimento fundamental de los ciberdelincuentes. Usa canales seguros, y no Lightshot, para compartir esta información o, mejor aún, no la compartas nunca.
• Si ya has usado Lightshot y ahora te arrepientes, obtén la URL buscando entre tus mensajes. Visítala y haz clic en Reportar abuso o envía una solicitud a support@skillbrains.com.
• Utiliza las herramientas integradas y los accesos directos de tu sistema operativo para crear capturas de pantalla. En Windows, usa la Herramienta Recortes o el botón de Imprimir pantalla, mientras que los usuarios de Mac pueden presionar Mayús+Comando+3 para guardar una captura de pantalla completa o Mayús+Comando+4 para seleccionar un área para la captura de pantalla.

Para finalizar, no recomendamos que inicies sesión en cuentas de desconocidos, ni siquiera por curiosidad. Y, para evitar que tus credenciales de inicio de sesión acaben por accidente en manos de los estafadores, usa una solución de seguridad de confianza que te alertará si te pierdes por un sitio web sospechoso.