La estafa de las subvenciones de Facebook

Facebook ofrece 100 millones de dólares en efectivo a los negocios afectados por la pandemia del coronavirus. Los solicitantes que cumplan con los requisitos pueden recibir una subvención de un valor aproximado de 3300 dólares; la noticia se anunció en el blog oficial de la empresa y pronto se hicieron eco los medios más importantes. Y, como era de esperar, los ciberdelincuentes ya se han puesto manos a la obra desarrollando estrategias para explotar esta generosidad.

Los ciberdelincuentes, que sabían que muchos ya habían oído hablar de esta subvención, se aprovecharon de que pocos conocían los detalles y presentaron la noticia como si Facebook estuviera repartiendo dinero entre todos los usuarios de la red social afectados por el COVID-19.

El cebo

Las víctimas se encuentran con un artículo aparentemente del CNBC, líder mundial en noticias empresariales con una audiencia mensual de cientos de millones, que afirma que Facebook está ofreciendo subvenciones a los usuarios afectados por el COVID-19. En el artículo, se incluye un enlace para solicitar la ayuda. Detectar la estafa es muy sencillo: solo hay que fijarse en la ortografía y la URL, que no empieza con cnbc.com, sino con otros elementos sospechosos.

Aquellos que pasan por alto la mala ortografía y la URL incorrecta llegan a otro portal que se asemeja sorprendentemente al sitio oficial de Mercy Corps, una organización benéfica que ayuda a las víctimas de desastres naturales y conflictos armados. Sin embargo, este sitio falso solo hace referencia a las subvenciones de Facebook, donde se le pregunta a la víctima cuántos años lleva usando la red social. La ortografía del sitio no deja de ser pésima y la mayoría de los enlaces no funcionan. Es una pena que no se pueda hacer clic en la oferta laboral para el puesto de CEO del programa de subvenciones de Facebook; alguien podría haber tenido la oportunidad de optar a un trabajo con un sueldo decente. Y, por supuesto, la URL del sitio no contiene facebook.com, por lo que, claramente, nada tiene que ver con Facebook.

Si sigues ignorando todas estas obviedades y decides solicitar la ayuda, te pedirán tu nombre de usuario y contraseña en Facebook. Si los introduces, irán a parar directamente a manos de los ciberdelincuentes. Después, para aceptar tu solicitud, el sitio pide mucha más información, para supuestamente verificar tu cuenta: tu domicilio, el número de la seguridad social (para usuarios de los EE. UU.) e incluso una copia escaneada de tu documento de identidad por ambos lados. Ningún campo debe quedar sin completar, por lo que el sitio te pide que no omitas nada.

Cuando has completado y enviado el formulario, el sitio muestra un mensaje de confirmación de que tu solicitud ha sido aceptada y que te contactarán en breve.

Pero no te hagas ilusiones. El proceso de verificación es simplemente una estratagema para ganar acceso a tu cuenta de Facebook, que los ciberdelincuentes pueden usar para intentar engañar a tus amigos y sacarles dinero. Además, los campos del formulario les conceden a los delincuentes la información personal que necesitan como para robar tu identidad. Con esto y tus documentos escaneados, es muy probable que puedan acceder a cualquiera de tus cuentas, incluyendo la banca online.

Lo cierto es que el sitio auténtico del CNBC sí tiene un artículo sobre las ayudas de Facebook, pero es para los verdaderos beneficiarios del programa: las empresas.  Además, podemos afirmar que el autor contaba con un nivel superior de inglés. En cuanto a las noticias falsas del CNBC, su único cometido es engañarte para que creas que Facebook es ahora una organización benéfica que vela por sus usuarios.

Cómo evitar caer en el phishing

Para mantenerte a salvo del phishing, lo primero que necesitas es estar alerta y, después, una solución de seguridad de confianza que no te permita acercarte a los sitios de phishing. Y, aunque la nuestra es bastante sencilla (solo tienes que instalar la solución y listo), para mantenerte alerta en todo momento deberás hacer algunos esfuerzos:

• Revisa cuidadosamente las URL de los sitios que visites. Si alguna letra parece fuera de lugar o si el típico .com ha sido reemplazado con un .com.tk o algo similar, tu instinto debería alertarte de que se trata de phishing. Nunca introduzcas información personal en este tipo de sitios.
• Presta atención a la ortografía y el diseño. Si algo parece sospechoso, probablemente lo sea.
• Presta especial atención a los formularios que requieran información personal. Si te piden una copia escaneada de tu pasaporte, comprueba bien si realmente te encuentras en un sitio oficial y, aunque lo estés, piensa bien si la oferta merece tanto la pena como para enviar información confidencial.