Más de 150 apps forman parte de una campaña de estafa anunciada en Tik Tok e Instagram, destinada a engañar a los usuarios para que se suscriban a servicios de SMS premium
Ciudad de México, México, 26 de octubre de 2021 – Avast (LSE:AVST), líder mundial en seguridad y privacidad digital, ha anunciado el descubrimiento de más de 150 aplicaciones de estafa de SMS premium, que forman parte de una campaña que Avast ha bautizado como «UltimaSMS». Todas las aplicaciones son casi idénticas en estructura y funcionalidad; y pueden costar a las víctimas, que no reciben ningún tipo de recompensa, más de 40 dólares al mes, dependiendo de su ubicación y compañía de telefonía móvil. La semana pasada, de las 150 aplicaciones, más de 80 todavía estaban disponibles para ser descargadas en Google Play Store. Avast las reportó al equipo de seguridad de Google, lo que provocó su rápida eliminación de la tienda.
Las aplicaciones que habían sido descargadas más de 10 millones de veces según datos de Sensor Tower, una empresa de inteligencia y marketing de aplicaciones móviles, se disfrazaban de teclados personalizados, escáneres de códigos QR, editores de vídeo y fotos, bloqueadores de llamadas de spam, filtros de cámara y juegos, entre otros. Según los datos de Sensor Tower, las aplicaciones se promocionaban a través de anuncios en redes sociales, como Tik Tok e Instagram, y han sido descargadas principalmente por usuarios de Oriente Medio, Estados Unidos y Polonia.
«Las aplicaciones son todas casi idénticas en cuanto a su funcionamiento, lo que me lleva a creer que un solo actor o grupo de malos actores está detrás de la campaña», dijo Jakub Vávra, analista de amenazas de Avast. «La persona o personas detrás de la campaña UltimaSMS parecen estar hambrientas de dinero, ya que están anunciando las aplicaciones a través de Tik Tok, Instagram y Facebook, lo que también habla del tamaño y el impacto de esta cepa particular de estafa.»
Una vez descargadas, las aplicaciones comprueban la ubicación del dispositivo de los usuarios, el IMEI (International Mobile Equipment Identity) y el número de teléfono para determinar en qué idioma mostrar la estafa. Cuando el usuario abre la aplicación, se le pide que introduzca su número de teléfono y, en algunos casos, también su dirección de correo electrónico, para poder utilizar los fines anunciados por la aplicación. Si el usuario comparte esta información, es suscripto a un servicio de SMS premium, que en algunos casos se describe en la letra pequeña debajo del botón de llamada a la acción, pero no siempre.
Una vez suscrito, los SMS premium se cobran semanalmente y las funciones anunciadas de las aplicaciones no se desbloquean después de este paso, sino que se muestran otras opciones de suscripción de SMS o las aplicaciones dejan de funcionar por completo.
«Las apps se disfrazan de aplicaciones auténticas mediante perfiles bien construidos en la Play Store. Estos perfiles presentan fotos llamativas, con descripciones bien escritas, y a menudo tienen altos promedios de reseñas. Sin embargo, cuando se mira más de cerca, tienen declaraciones genéricas de política de privacidad, presentan perfiles básicos de desarrolladores que incluyen direcciones de correo electrónico genéricas», explicó Jakub Vávra. «A pesar de tener altos promedios de reseñas, muchas tienen numerosas reseñas negativas de usuarios que identificaron correctamente las aplicaciones como estafas o que han caído en el engaño. Desgraciadamente, los niños parecen ser susceptibles a estas estafas, según las reseñas dejadas en los perfiles de las aplicaciones.»
¿Cómo pueden protegerse los usuarios contra las estafas de los SMS Premium?
Jakub Vávra recomienda a los usuarios de móviles, en primer lugar, desactivar las opciones de SMS Premium con sus operadores, a menos que sea absolutamente necesario, para evitar que incluso los usuarios más precavidos sean víctimas. Además, aconseja a los usuarios de móviles que comprueben detenidamente las reseñas antes de descargar aplicaciones, ya que las aplicaciones fraudulentas suelen tener una media de reseñas elevada, pero las reseñas deficientes suelen ser una señal de alarma. Además, los usuarios deben evitar introducir información personal, como números de teléfono o direcciones de correo electrónico. Él también recomienda buscar y leer siempre la letra pequeña para evitar caer en estafas como UltimaSMS. Finalmente, Jakub advierte contra la descarga de aplicaciones fuera de las tiendas de aplicaciones oficiales, especialmente considerando que muchas de las aplicaciones descubiertas por Avast todavía están disponibles para descargar fuera del Play Store.
La lista completa de las aplicaciones UltimaSMS descubiertas por Avast se puede encontrar aquí.
Más información sobre cómo funciona esta campaña puede encontrarse en el blog de Avast.
Acerca de Avast
Avast (LSE:AVST), una compañía del FTSE 100, es un líder global en seguridad digital y privacidad, con sede en Praga, República Checa. Con más de 435 millones de usuarios en línea, Avast ofrece productos bajo las marcas Avast y AVG que protegen a las personas de las amenazas en Internet y del cambiante panorama de las amenazas del IoT. La red de detección de amenazas de la compañía está entre las más avanzadas del mundo, utilizando tecnologías de aprendizaje automático e inteligencia artificial para detectar y detener las amenazas en tiempo real. Los productos de seguridad digital de Avast para móviles, PC o Mac están clasificados y certificados por VB100, AV-Comparatives, AV-Test, SE Labs y otros. Avast es miembro de la Coalición contra el Stalkerware, No More Ransom y la Internet Watch Foundation. Visite: www.avast.com.
