Cómo funcionan los ataques de "Enjambre" de los C2C Traders en Wallapop o Ebay

Hoy domingo quería dejaros otra cosa de esas que vivo con mis hijas. En este caso, sobre comprar y vender cosas en los Customer-to-Customer eCommerce (C2C), y la parte más difícil, poner el precio o saber si el precio que estás pagando es el correcto o no, y cómo manipular esto.

Figura 1: Cómo funcionan los ataques de "Enjambre" de los C2C traders

en los Customer-to-Customer eCommerce como Wallapop o Ebay.

Si te has ido a comprar un piso seguro que has mirado si está "caro" o "barato" para la zona. Las plataformas de compra y venta de pisos tienen para saber si está por encima de la media, en la media o por debajo. Es muy común y los especialistas de la "compra-venta", los traders, se conocen estos precios a la perfección. Sucede lo mismo con los de la cuadros de arte, cómics, cromos, libros antiguos, armas de coleccionista, o aparatos electrónicos. 

Figura 2: Venta de Macintosh "Originales"

El negocio, como hacía el querido protagonista de "El Club Dumas", es saber lo que valen las cosas cuando compras y cuando vendes. Así, en esta novela, nuestro marchante de libros se dedicaba a ir a espoliar las bibliotecas de los fallecidos para localizar los incunables. Lo mismo lo hacen los traders del Wallapop, Ebay, y demás C2C. Buscan quién está vendiendo algo sin saber realmente lo que vale.

Figura 3: Información sobre el precio del Macintosh original

Hoy en día con la IA, puedes tener estimaciones y ayudas muy buenas para Comprar y Vender cosas a su precio correcto, y para no equivocarte en lo que compras y vendes, como en estes caso con un Macintosh Original, que su precio puede variar mucho, y te puedes llevar Classic o Plus por Original o SE por Original, si no conoces bien el producto. Curioso que en la búsqueda me saliera el enlace de nuestro blog de Seguridad Apple que hicimos en Informática64.

Figura 4: Ojo con el gato por liebre

Pero existe una cosa que hacen los menos experimentados en el noble arte de ganarse dinero sabiendo lo que valen las cosas. Son los que explotan la debilidad del propio usuario y del propio C2C de dar el precio medio en función de lo que valen los objetos similares que están a la venta. 

Figura 5: Los Macintosh en Wallapop (Classics)

Para eso, utilizan su "Enjambre" de cuentas creadas, controladas, y manipuladas, que ponen a la venta los mismos objetos que quieren comprar, pero a los precios a los que los quieren comprar. Es decir, si desean comprar una Macintosh Original a 500 € y el vendedor lo tiene a 1.500 €, lo que hacen es que sus cuentas del enjambre comienzan a poner a la venta esos mismos Macintosh Original a 400 €, 600 €, 500 €, etcétera. Si el vendedor tiene ganas de vender pronto, sabrá que su producto tardará en salir si no sabe lo que realmente vale lo que vende. 

Figura 6: Macintosh Original en Ebay

Así que, si vas a vender algo en un C2C, antes de ponerlo a la venta, averigua su valor, y ponlo correctamente sabiendo lo que haces. Estos "enjambres" se hacen también "preventivos", ya que se crean mucho antes de que aparezca el producto que quieren comprar, con la esperanza de que cuando alguien venga a vender, ponga el precio basado en los que ya están a la venta.

Figura 7: "Ciberestafas: La historia de nunca acabar" (2ª Edición).por Juan Carlos Galindo en 0xWord.

Y con el mundo Agentic AI, esto es una de las herramientas al alcance los Agentes IA que seguro que utilizarán. Que yo conozco a mucho "C2C trader" y se las saben todas...

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)  

La Policía Nacional detiene a un cibercriminal que usaba DeepFakes para obtener Certificados Digitales gracias a un Glitch

En el año 2017, cuando descubrí los primeros ejemplos de técnicas de FaceSwapping, mi mente viajo al futuro y pensé en el mundo de los Blade Runners y Replicantes Virtuales, pero en el mundo digital. La capacidad de llevar "máscaras digitales" al estilo de la película "Desafío Total (Total Recall)", cruzaba por mi cerebro. Sí, la ciencia ficción siempre me llena la cabeza de posibles futuros que pueden venir detrás cuando veo una nueva innovación.

Figura 1: La Policía Nacional detiene a un cibercriminal que usaba

DeepFakes para obtener Certificados Digitales gracias a un Glitch

Durante esos años, comenzamos a trabajar mucho en el equipo de Ideas Locas con las técnicas de FaceSwapping, los Autoencoders, las herramientas para hacer DeepFakes, y las técnicas de detección. El famoso Test de Voight-Kampff digital que tanta falta sabíamos que hacía, especialmente para un mundo que se estaba yendo a 100% digital, y donde los procesos de Know-Your-Customer (KYC) debían hacerse totalmente online.

Figura 2: Técnicas de IA en ciberseguridad y su impacto en Deepfakes 

Hoy en día, las técnicas de DeepFake son de gran calidad, y los cibercriminales, los estafadores en las redes sociales, y los APTs a las organizaciones las tienen como una herramienta más. En el mundo del uso de la IA para el Cibercrimen, como os conté en el artículo de "Weaponized AI", las herramientas para generar identidades digitales con DeepFake totalmente identificados, documentadas y funcionales, es una pieza más del sistema. 

Figura 3: Vídeo de Haotian AI. DeepFake de Vídeo y Voz

Que sean tan perfectas las herramientas exige en los entornos de alta necesidad de seguridad que estas identidades sean verificadas de formar remota con una gran robustez, si no, se podría estar poniendo a los cibercriminales las cosas sencillas. Por supuesto, entornos de banca, o, como en este caso, Entidades Certificadoras Autorizadas que entregan Certificados Digitales asociados a una Identidad Verificada - por su DNI y su Prueba de Vida - en un proceso de KYC, necesitan, obligatoriamente usar técnicas avanzadas de detección de DeepFakes.

La Policía Nacional detiene a un ciberdelincuente que utilizaba una técnica pionera mediante IA para obtener certificados de firma electrónica

La Policía Nacional, publicó en su Sala de Prensa el pasado 11 de Agosto como habían detenido a un cibercriminal que se había dedicado a sacarse más de 30 Certificados Digitales conseguidos en más de 38 intentos en un Entidad Certificadora Autorizada en España usando, para ello técnicas de DeepFake, trabajadas con iluminación, y documentos falsos que debía mostrar a la cámara.

Figura 4: La Policía Nacional detiene a un ciberdelincuente que utilizaba una

técnica pionera mediante IA para obtener certificados de firma electrónica

El cibercriminal creaba primero la identidad, sobre ella creaba unos documentos de identidad falsos, y luego hacía el proceso de Know Your Customer onnline con sofisticadas técnicas de iluminación para conseguir reproducir los destellos de los hologramas y las medidas de seguridad físicas de los DNIs, asociando el uso del programa de DeepFake al mismo tiempo para salir en vídeo.

Por supuesto, su red de anonimato iba mucho más allá, ya que tenía 320 líneas telefónicas, asociadas a 24 dispositivos móviles distintos, de los cuales la gran mayoría eran contratadas con identidades suplantadas y adquiridas en puntos de venta geolocalizados en Murcia, de donde es el cibercriminal.

Figura 5: "Ciberestafas: La historia de nunca acabar" (2ª Edición).por Juan Carlos Galindo en 0xWord.

En las empresas, los ataques a las organizaciones con empleados falsos empiezan a hacer esto. Primero poner a personal altamente cualificado para pasar el proceso de entrevistas. Hacen un currículo con IA que responda perfectamente a la oferta en concreto - siempre buscando trabajar en remoto - y luego pasan los procesos de selección y onboarding con estas técnicas, para luego dejar el equipo en una granja de ordenadores conectados a empresas que los atacantes pueden utilizar aprovechando las credenciales que la organización le ha entregado.

Figura 6: Glitch en Wikipedia ES

En este caso, todo iba bien, hasta que en uno de los procesos, por la iluminación, un fallo en el equipo, o por simplemente el azar, el software de DeepFake sufrió un Glitch, es decir, un fallo momentáneo como los que tiene nuestra querida Vanellope von Schweetz en la película de Rompe Ralph, y el proceso de Know Your Customer grabó su imagen por un segundo. Si no... difícil cada vez más detectar a estos "Replicantes Digitales".

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)  

El "Trick" del comprobante del Bizum hecho con IA para "ratear" un pago a los colegas

Hace unos años os conté la historia de "El "jeta" del "Yo Pago" con el Apple Pay que es un ScreenShot" donde un "amigo" simulaba tirar de tarjeta con una captura de pantalla. Hoy sábado, os traigo otra historia que me ha llamado la atención porque me la contó mi hija, donde se ve como los "jetas" aprenden nuevas formas de "ratear" pagos, en este caso con el comprobante de Bizum hecho con IA.

Figura 1: El "Trick" del comprobante del Bizum hecho

con IA para "ratear" un pago a los colegas

Esta historia me la contó Mi Hacker, y me hizo mucha gracia. Parece ser que entre su grupo de amigos alguno/a había utilizado este truco de hacer un comprobante falso con GenAI para enviarlo como justificante de que ha pagado su parte. 

Figura 2: Un comprobante de Bizum real

Pero especialmente para cuando un "papá" - y remarco lo de "papá", ha hecho el pago y tiene que recibir el Bizum de otro "papá", ya que parece que las "mamás" lo comprueban más. Alguien paga una cena, unas entradas, o cualquier otra cosa en grupo, y luego los demás ponen su parte a través de Bizum. Algo muy común en nuestra vida. 

Figura 3: Hacking & Pentesting con Inteligencia Artificial.

En 0xWord, escrito por Pablo González, Fran Ramírez,

Rafael Troncoso, Javier del Pino y Chema Alonso

En la de los adolescentes es "mi papá le hace Bizum al tuyo". Así, el padre del pagador, supuestamente hace el Bizum, le manda el justificante a la amiga o amigo, y todos tan contentos. 

Figura  4: Pidiendo la falsificación del precio a Gemini Nano Banana

El "Trick" es que el Comprobante de Bizum es falso. Se podría haber hecho con Photoshop, o con cualquier otra herramienta, pero con el acceso a la IA, todos los adolescentes directamente le piden que les haga los comprobantes y listo.

Figura 5: Razonamiento de Gemini Thinking

Yo lo he querido probar con Gemini Nano Banana, por si había algún control al detectar que era un justificante de pago o similar - como sucedía con el test de COVID -, pero no da ningún problema, y de hecho se esfuerza y mucho por dejarlo todo en su sitio.

Figura 6: Dejándolo perfecto.

El resultado, pues lo que ya imaginamos, que sale un comprobante perfecto pero con otro precio manipulado. Y si ya sabes que funciona, pues le modificas lo que quieras en la próxima. La fecha, el concepto, el destinatario, el precio, etcétera.

Figura 7: El resultado final. Un comprobante de Bizum manipulado.

No es nada nuevo bajo el sol. Solo adaptado a los nuevos tiempos. Supongo que los vendedores online lo mirarán con mucho cuidado, pero si eres de esos que haces cosas con tus hijos adolescentes, cuidado. Los "papás" somos víctimas propicias porque por lo visto las "madres" siempre lo revisan... aunque les manden el justificante. Eso me ha dicho.

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)  

FEDEX & Eurosender Portugal: The Story of a "Fraudulent" Service that became a Nightmare #FEDEX #Eurosender

Today I want to tell you a story of corporate mismanagement that caused FedEx and their partner in Portugal, called Eurosender, to drag us into a mess we haven't been able to get out of yet. No solution, poor management in pre-sales, poor handling of incidents, and poor decision-making. All of this because in the 21st century they don't have a system that prevents something completely missleaading: issuing invoices for a service they cannot execute, collecting payments for a service they won't provide, and getting clients into trouble.

Figure 1: FEDEX & Eurosender Portugal: The Story

of a "Fraudulent" Service that became a Nightmare

If FedEx and Eurosender Portugal had an information system that blocked the issuance of invoices for services they cannot carry out, customers wouldn't end up in this mess. But above all, they wouldn't be issuing misleading invoices.

Summary

Let me explain it to you. Imagine you go to a parcel shipping company and tell them you want to send six bottles of wine. The company's agent tells you there is absolutely no problem and asks you to write down exactly what you want to send so they can generate the invoice. You write exactly what you said: that you want to send six bottles of wine. Then, after reading what you want to ship, the agent creates a proforma invoice providing the retail price for sending those six bottles of wine. You pay the invoice, they come and pack the bottles, you write on the box that it contains wine, and you walk away happy because your colleagues are going to love the Christmas gift you are sending them.

Well, as it turns out, the company later tells you that they cannot ship wine, that it is stated in their terms and conditions, and that you have to pick up your package. But of course, to take your package back home, you have to pay—on top of the shipping costs you already paid—the fees of a customs broker, plus €10 for every day the bottles you sent are kept in storage at customs. To top it all off, you don't even know, nor will they tell you, the exact date the package arrived.

This is the story that a friend and I are currently caught up in with FedEx and their partner Eurosender, and I am sharing it with you so you can avoid ever running into these kinds of problems, which are anything but fun.

I've just given you the summary, but now I'm going to walk you through it with dates, invoices, and conversations so you can see how these companies operate—and, of course, to see if I can get my package with my wine bottles back. While I'm at it, let's see if I can raise awareness among some executives at FedEx or the Portuguese regulator to prevent this from happening again.

Sending wine to colleagues  

It all started on Three Kings' Day (January 6th), when I asked my colleague to help me with this. I had previously shipped several individual bottles from Spain to Amsterdam, Belgium, and Germany without a single issue. However, to ship them from Portugal to the United Kingdom, we chose FedEx and their partner company, Eurosender.

First, we called them by phone, and they told us there was no problem, that they could handle the shipment, and that we just needed to fill out the details on the website and they would take care of everything—from pickup to delivery, backed by the FEDEX GUARANTEE. So, that's what we did. We filled out the details and accepted the terms, as you can see in this image of the Proforma Invoice from January 6th: "Yes, we certify that the information is correct." As you can clearly see, the description explicitly states it is wine.

Figure 2: Proforma Invoice.

Nobody is tricking anybody here. If there is an issue entering the UK or leaving Portugal, the company can easily flag it. Moreover, if they simply do not ship those types of products, they should detect it and cancel the order. It's that simple. But no, they reviewed the invoice, and happy as clam, they sent us the corresponding invoice for us to pay.

Figure 3: Payment invoice with reference code linked to the proforma invoice.

As you can see on the invoice, they are billing us to ship Reference Code: 734836-26, which, as shown, goes from Portugal to Great Britain. In other words, they are invoicing us to ship WINE from PT to GB. Everything seemed correct, which is exactly what we intended to do.

The nightmare began

Until they collected the money for the service, everything was smooth sailing. But on January 23rd, more than two weeks later, the worst customer service I have ever seen began with a message stating that the package was supposedly arriving back in Portugal and we needed to go through a customs clearance process for the goods.

 

Figure 4: Email received from FedEx—but which actually comes from Eurosender.

As you can see, my friend received a message stating that the goods are coming to Portugal, and that to get them out, we have to pay taxes for bringing alcohol into Portugal plus administrative costs (duties), and that’s it. In that same communication, they also provided us with the ruling from the United Kingdom, where, as you can see, it states it is WINE and must be returned to its origin.

Figure 5: UK Border Report from January 22nd.

In other words, it turns out you cannot ship wine without a special export process, even if it is a gift. Perfect. Nobody had told us anything, which is what we expected from FedEx, being a world leader in parcel delivery. After a week of not having the details entirely clear, I kindly asked them to explain the process to me step by step—something they should have done before shipping the package in the first place.

The Worst Customer Service Ever: FEDEX Portugal  

As a result of this, they told us we had to pay, but they wouldn't clarify how much. And, above all, they couldn't tell us when the goods would actually be back in Portugal. In fact, the conversation was so vague that we didn't know if paying meant they would send it to GB or not, nor did we know if it had already returned. Then they told us it wasn't there yet.

Figure 6: On January 23rd, the goods were not here.

When we stated that we wouldn't pay until they clarified the process—just to know whether they were going to ship it or not—they threatened to "return it." Return it where? We are supposed to be the destination it's being returned to, and all we want is for them to give us our package and forget about this mess.

Figure 7: Chaos in customer support. One week asking

questions about the process with poor clarity.

When I told her that I didn't understand, that what she was saying made absolutely no sense, and asked her to please explain what was going on, she replied very rudely, saying that "it seems I am very interested in knowing the whole process," and that only the declaration was missing to proceed with the clearance process, after which I would finally get my package back.

Figure 8: After a week, they threaten to return a package that hasn't even arrived in

Portugal yet, which is where we supposedly want to send it. Utterly senseless.

In the end, we filled out the declaration they asked for—which was just a signed Word document stating it contains wine—thinking that with this, we would either be able to ship it or get it back. But it wasn't going to be that simple, as you can imagine.

Figure 9: We submit the declaration requested on January 29th.

After that, on February 11th, we asked our FedEx "Broker," and she told us she had no idea when our package would arrive, even though we had sent the requested declaration back on January 29th.

Figure 10: No forecast from our FEDEX Clearance Broker-Associate

Suddenly, on February 19th, we received a message from FedEx UK stating that the deadline to return the goods they shipped from GB to PT was February 19th—meaning, the very day we received the message.

Figure 11: FedEx UK.

But the funniest part is that the next day, February 20th, we received a message from our FedEx Broker telling us that we needed to hire a broker.

Figure 12: You need to hire a broker.

To which, thoroughly surprised, I replied that we thought she was our broker, as indicated in the signature of every single communication we had with her from minute one.

Figure 13: I thought you were our broker.

But no, she told me that FedEx does not process those goods—the very goods they charged us for, and the sole reason we contacted them in the first place. To make matters more surprising, this person also works for the partner company and sometimes replied to us from Eurosender.

Figure 14: FEDEX PT & Eurosender PT

So, modern problems require modern solutions: instead of a broker, I have hired a lawyer. I am demanding the return of both the package and the money. To this, they replied on one hand that they would try to get it done, and on the other, that they have no intention of returning either the package or the money until we hire an external broker.

Figure 15: 28th of April after hiring a lawyer

So right now, the package must be waiting for UK clearance to see if it enters the country or gets sent back to its origin in Portugal. It might just be traveling for eternity between Lisbon and London, all due to an infinite lack of professionalism and a misleading invoicing system that allows them to charge for services they will never perform.

Figure 16: That´s the big issue of everything

I will keep you updated on this, because I am going to see this through to the very end. As you can imagine, the €200 that the bottles and shipping cost matter very little at this point in the chaos; what matters is knowing whether the law allows a company to have a system that bills and collects money for services it will not provide. I'll keep you posted.

Best Regards,

Autor: Chema Alonso (Contactar con Chema Alonso)  

Una Campaña de Smishing con SMS Spoofing usando a la Dirección General de Tráfico con la Operación Salida de Libro

La semana pasada me llegó a mi número de teléfono personal un ataque de Smishing para capturar mis datos personales y, por supuesto, mi tarjeta de crédito. El gancho, que la Dirección General de Tráfico (DGT) me había puesto una multa durante la Operación Salida de Agosto y, cumpliéndose el mes, se me acababa el tiempo para pagarla con Descuento.

Figura 1: Una Campaña de Smishing con SMS Spoofing usando

a la Dirección General de Tráfico con la Operación Salida de Libro

El mensaje me vino por SMS, como he dicho, y utilizaba técnicas de SMS Spoofing para que se colara dentro del flujo de mensajes que recibo de la DGT cuando utilizo su app, así que los atacantes prepararon bien la campaña.

Figura 2: El Smishing con el el dominio de Phishing

haciendo SMS Spoofing con el número de la DGT

Ví el mensaje desde el iPhone, sin tener mis gafas a mano y pensé... ¡porras! una multa. El SMS Spoofing, añadido a que alguna vez de eses muy raras he sufrido una "multilla" con mi Malignomóvil, hacía que esa posibilidad estuviera dentro del universo de lo posible. Pero no sólo eso, sino que cuidaron todos los detalles como manda el manual del buen Ciberestafador, como bien nos cuenta Juan Carlos Galindo en su pedazo de libro.

Figura 3: "Ciberestafas: La historia de nunca acabar" (2ª Edición).por Juan Carlos Galindo en 0xWord.

Si me has visto utilizar el iPhone cuando no tengo las gafas a mano, habrás visto que golpeo con mis tres deditos para hacer uso de la lupa. Sí, ver de cerca bin sin gafas no es una de mis capacidades hoy en día, así que uso las opciones de accesibilidad para aumentar el contenido de la pantalla, así que hice clic en el enlace - que veréis que está claro que es un sitio de phishing -, y entré a ver la web.

Figura 4: La web de phishing para mobile

No saltó ninguna protección de Apple Safari para iOS de sitio fraudulento, y la multa describía el hecho el día 1 de Agosto, en plena Operación Salida. Ese fin de semana yo tenía que viajar, que me incorporaba, como ya os conté, al lunes siguiente en Cloudflare, así que viajaba ese día. 

Figura 5: La web de phishing pide datos y los valida

Era fin de mes, había pasado todo el mes de Agosto y caducaba la Reducción del 50% así que decidí que mejor pagarla cuanto antes, pero como no tenía gafas a mano, copie el SMS y me lo envíe por Telegram a los Saved Messages para hacerlo desde el ordenador, a gran pantalla.

Figura 6: Y tras los datos, debes dar los datos de tu tarjeta de crédito.

Si lo haces, te va a salir caro el "descuento" de la multa.

Me puse las gafas, y confiado por todo el proceso, hice clic, y en ese momento me saltó un error de NGINX en el navegador  - Google Chrome para MacOS -, y fue cuando acabó la magia. Ahí ya me fijé en la URL, y como os podéis imaginar, me di cuenta de todo. El Cloacking que hacía ese sitio para evitar conexiones que nos fueran desde USER-Agents de móviles evitaba que se viera el sitio de Phishing desde el escritorio.

Figura 7: Dominio detectado como Phishing en Chrome

Hice las capturas, para contaros esta historia, y a día de hoy el sitio ya está caído, y bloqueado en los filtros antiphishing de Google Chrome, pero me quedé pensando en cuánta gente habrá entregado su tarjeta de crédito y sus datos a una campaña que estaba tan bien preparada. Había hecho.

• Un sitio de Phishing para mobile, con una típica URL de phishing.
• Habían hecho cloacking con el USER-Agent para evitar "curiosos" o "no provenientes del Smishing"
• Una campaña de envío masivo de SMS Smishing
• Habían utilizado SMS Spoofing para meterse en el hilo de DGT de los mensajes
• Habían enviado la campaña a finales de mes con el la urgencia del pago con descuento
• Habían puesto el motivo con algo que podría ser factible: Una multa el día 1 de Agosto.
• Habían conseguido saltar los filtros antiphishing de los navegadores. Apple Safari para iOS lo marca como caído, pero no como marcado.

En mi caso funcionó todo, a excepción de que lo que se había convertido en una ventaja para ellos - que no veía bien sin gafas y no me pude fijar en la URL en el móvil - se convirtió en una protección cuando lo intenté hacer desde el ordenador con mis gafas. 

Figura 8: Libro de Hacking iOS:iPhone & iPad (2ª Edicón) en 0xWord de
Chema Alonso, Ioseba Palop, Pablo González y Alejandro Ramos entre otros.

Por ponerle alguna pega a la campaña, le faltó poner un precio mas realista ya que una multa de 35€ no es ni de aparcamiento en España, y si hubieran hecho la versión web solo para links con redirect usando algún parámetro de tracking, as lo mejor hubiera sido más efectiva incluso. Pero estoy seguro de que esta campaña habrá generado más de algún "premio" para los cibercriminales que la lanzaron. Así que, no hay que relajarse nunca y hay que evitar que la vida ajetreada nos haga bajar las defensas, que por quitarnos las cosas cuanto antes, podemos saltarnos alguna comprobación. 

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)  

Open Gateway: Cómo detectar a un ciberestafador que manipula el GPS con FakeGPS usando el API de Device Location Verification

Las medidas de seguridad informática deben evolucionar al mismo ritmo al que evolucionan los sistemas de las tecnologías de información, y las amenazas que van a apareciendo. Las necesidades cambian y el mundo de la tecnología se adapta de forma dinámica, y las medidas de seguridad deben ir alineadas con los nuevos requisitos marcados por los avances tecnológicos actuales y las amenazas reales existentes. Y por desgracia, las ciberestafas y el fraude crecen en el ámbito digital y, por ello, debemos estar más preparados, aplicar nuevas medidas de fortificación, y ser conscientes de cómo podemos estar más preparados y de qué posibilidades contamos.

Figura 1: Open Gateway - Cómo detectar a un ciberestafador

que manipula el GPS con FakeGPS usando el

API de Device Location Verification

En el presente artículo se quiere hablar del problema de la falsificación de la ubicación y las ciberestafas que se crean. Hay gran cantidad de aplicaciones y servicios que necesitan verificar la ubicación lo más cercana o real posible de un usuario para ofrecerle un catálogo de servicios. O algo más crítico, que alguien se haga pasar por ti, ya que ha extraído o robado tus credenciales y se hace pasar por ti desde una ubicación lejana como, por ejemplo, un país extranjero o una ciudad en la que no vives. 

También para hacer fraude o simplemente para hacer una ciberestafa en una aplicación en la que la ubicación es parte fundamental del servicio, como las plataformas de transportes de personas y mercancías, las de citas, o las de servicios ofrecidos por ubicaciones GPS. También para evitar los controles de rutas hechos por esos servicios basados en ubicación GPS.

Figura 2: "Ciberestafas: La historia de nunca acabar" (2ª Edición).por Juan Carlos Galindo en 0xWord.

Un ejemplo muy claro de protección de sistemas basados en ubicación puede ser la comprobación de la ubicación del terminal móvil cuando se hace uso de una tarjeta de crédito, o comprobar que los accesos a funciones privilegiadas o servicios privilegiados son sólo válidos cuando una persona tiene su terminal móvil con él en una ubicación pre-establecida, como el lugar donde se realiza una compra, o el head-quarter de la compañía. 

Cómo detectar con una línea de código si un terminal está dónde dice que está

Por ejemplo, el acceso a funciones de alta seguridad en una CRA (Central Receptora de Alertas) o un SOC (Security Operation Center) podría ser solo accesible desde la ubicación del centro físico de la CRA o el SOC, por lo que comprobar la ubicación, y comprobar que esta no ha sido manipulada es fundamental. Esto, se puede hacer con el API de Device Location Verification. Vamos a trabajar con Open Gateway y vemos cómo se hace. Para ello partimos del siguiente escenario:

PRIMERO: Yo, como usuario, me encuentro en Distrito Telefónica y lo puedo mostrar con una aplicación como Google Maps. Partimos que estoy aquí. La ubicación es real.

Figura 3: Ubicación real en Google Maps

SEGUNDO: Un atacante utiliza la aplicación FakeGPS para engañar a una aplicación sobre la ubicación que proporciona el GPS del dispositivo. 

Figura 4: Con Fake GPS nos situamos en Málaga

Como se puede ver en la imagen se puede ver como el atacante como la ubicación GPS en Málaga, por lo que cuando la aplicación real haga uso del GPS del dispositivo móvil, ésta recibirá la ubicación de Málaga.

TERCERO: Ahora, en la siguiente imagen, se puede ver que (en este caso Google Maps) se obtiene la ubicación de Málaga. De esta forma si la aplicación hace restricción por ubicación para evitar algo se “bypassea” de forma sencilla por el atacante.

Figura 5: Google Maps nos detecta ahora en Málaga.

Hemos engañado a Google Maps con Fake GPS.

Esto debe ser tenido en cuenta, ya que no podemos fiarnos de dicha ubicación GPS, ya que puede ser modificada y evitar dicha restricción.

CUARTO: Ahora, con la API de Device Location Verification podemos acceder a información real sobre la ubicación, en un radio, dónde se encuentra el dispositivo, y verificar si de verdad se encuentra donde dice que se encuentra. 

Figura 6: API de Device Location Verification en Telefónica

Como se puede ver en la imagen siguiente, a pesar de lo que diga la información GPS, podemos ver gracias a la API de Device Location Verification  que el usuario NO se encuentra en Málaga, que es lo que indica el color rojo.

Figura 7: El API de Device Location Verification

confirma que no está en Málaga.

En otras palabras, lo que nos decía la aplicación anterior que había sido engañada con FakeGPS quedaría invalidado, ya que Device Location Verification nos indica que no se encuentra en Málaga. Para saberlo debemos ir validando diferentes radios que puedan cubrir varias zonas. El usuario tiene un consentimiento explícito en el uso de la API.

Figura 8: Ventajas del uso de Device Location Verification

Por otro lado, si probamos con Device Location Verification (y nuestro querido portal de demos de Open Gateway hecho en IdeasLocas) sobre el Distrito C de Telefónica podremos identificar que realmente nos encontramos ahí, y no dónde nos decía el atacante, como vemos en la imagen siguiente.

Figura 9: El API de Device Location Verification

confirma que estamos en Distrito C.

Es importante, entender que un servicio puede disponer de esta API para validar que un usuario no intenta engañarle con la ubicación, ya sea para abusar del servicio o cualquier intención que exista. Además, es un hecho fundamental cuando se quiere controlar las ciberestafas o el fraude y evitar las acciones sospechosas que se hacen desde ubicaciones lejanas, ya que se puede validar que el usuario no está dónde dice estar. Esto último tiene una clara alineación con evitar el fraude en pagos o transferencias.

Figura 10: Código en Python para detectar el fraude de ubicación.

El ejemplo anterior, con un código en Python, se puede ver cómo se accede a Latitud y Longitud del GPS y luego se verifica con Device Location Verification para detectar el fraude. Además de ese API, Open Gateway tiene la API de Device Status con la que se puede validar si el número se encuentran en Roaming o no. Esto es interesante, ya que permite también sumarle una capa extra de seguridad para identificar que no se encuentra fuera del país.

Figura 11: API de Device Status en Telefónica

En muchas ocasiones, ante un robo de tarjeta, credenciales u otros elementos se hacen uso de ellos desde ubicaciones lejanas (fuera del país), por lo que se puede controlar con Device Status y verificar realmente que la operación no se realiza desde fuera del país.

Figura 12: Telefónica Open Gateway: Developer Hub & Partner Program,

Las capacidades de seguridad que ofrece Open Gateway son altísimas, por lo que este es uno de los casos de uso que se puede encontrar. Iremos desgranando más casos de uso y no dudes en probarlo y revisar la documentación que existe. Tienes el Partner Program y el Developer Hub.

Saludos,

Autor: Pablo González Pérez, escritor de los libros "Metasploit para Pentesters", "Hacking con Metasploit: Advanced Pentesting" "Hacking Windows", "Ethical Hacking", "Got Root",  “Pentesting con Powershell” y de "Empire: Hacking Avanzado en el Red Team", Microsoft MVP en Seguridad y Security Researcher en el equipo de "Ideas Locas" de Telefónica Innovación Digital.  Para consultas puedes usar el Buzón Público para contactar con Pablo González

Contactar con Pablo González