No todos los héroes llevan capa, algunos tienen un ordenador y conexión a internet y les basta para hacer un poco de justicia. Un ejemplo es el del desarrollador informático y tuitero Winix, que ha relatado en un hilo el troleo que les ha hecho a unos estafadores que se hacen pasar por Correos para timar a usuarios a través de SMS, la técnica conocida como phising o suplantación de identidad.

Winix explica que recibió uno de los clásicos mensajes falsos que aseguran que tienes un paquete pendiente de entrega y que si no pagas lo devuelven. El enlace lleva a una página que simula ser la de Correos y te pide los datos de tu tarjeta para sacarte los cuartos. Pero este usuario tiró de conocimientos informáticos para inundar con datos falsos la base de datos de los malos, lo que como mínimo les complicará un poco las cosas. Así lo ha explicado.

Hoy me ha llegado un SMS de phising de "Correos". Como mi socio estaba reiniciando servidores y no podía trabajar, he pensado… pues me voy a divertir un rato.

Si este hilo le sirve a alguien para entender un poco más como funcionan estos timos, eso que hemos ganado. 🧵⬇️ pic.twitter.com/iZoVD8zUbP

— Winix (@WinixRun) May 13, 2024

Lo primero que he hecho ha sido crear una nueva VM con Kali Linux (aunque no he hecho nada que justifique usar Kali, pero así soy como un 30% más Mr.Robot)

Después he "enchufao" la VPN y me he dispuesto a acceder al enlace desde mi nueva máquina virutal. Pero ha pasado algo. pic.twitter.com/BXxNKfhfam

— Winix (@WinixRun) May 13, 2024

¿Todo en blanco?¿De verdad los malos son tan inútiles que me mandan el SMS pero se les olvida que la página no funciona? He revisado que no se estuviese ejecutando alguna mierda turbia en mi navegador y tras comprobar que no, he abierto el enlace con mi smartphone de pruebas.

— Winix (@WinixRun) May 13, 2024

En el smartphone si carga, qué cosas. Esto es una práctica habitual de los malos para que sea un poquito más difícil darse cuenta del timo. Pantalla más pequeña = menos detalles que les puedan delatar. Bien jugado, malos…

¿O no tanto?

— Winix (@WinixRun) May 13, 2024

En este caso somos mas listos que ellos y cambiando el User Agent de nuestro navegador hacemos que pase por un smartphone de cara al servidor y…

¡Tachán!

La página carga correctamente y es exactamente igual que la de Correos (vamos, como que es un copiapega). pic.twitter.com/kftntZ6O4u

— Winix (@WinixRun) May 13, 2024

Para sorpresa de nadie me piden que les de todos los datos de mi tarjeta de crédito, cosa que voy a hacer de forma diligente (con una tarjeta invent, claro). Al hacerlo, puedo ver las cosas que ocurren cuando le doy al botón de pago y así entender lo que está pasando. pic.twitter.com/SvO43OIJWa

— Winix (@WinixRun) May 13, 2024

Aquí viene la cosa. En vez de mandar los datos al servidor de correos, estoy mandando los datos al servidor de los malos. Y encima cuando le doy, ya me redirecciona a la página real de correos, para que no sospeche.

— Winix (@WinixRun) May 13, 2024

Gracias a las herramientas de desarrollador, ya se la url a la que tengo que hacer la request y como le tienen que llegar los datos para que el servidor los acepte y los guarde

name=SE+TENSA&cc=371926125029063&month=06&year=2026&cvv=9211&pin=1111&telefono=%2B34679997580

— Winix (@WinixRun) May 13, 2024

Para no informáticos, ahí les estoy mandando:
(Todos los datos son falsos, obviamente).
name -> Nombre
cc -> Número de tarjeta
month&year -> Caducidad de la tarjeta
cvv -> pues eso, el cvv
pin -> el código pin de la tarjeta
telefono -> mi número de teléfono

— Winix (@WinixRun) May 13, 2024

En este punto, la has cagado. Ya tienen tus datos y tienes solo una opción (si te das cuenta del timo) llamar al banco cagando leches y cancelar tu tarjeta.

Si alguna vez haces algo así y ves que no te llega la notifiación del cargo de la app del banco. DESACTIVA LA TARJETA.

— Winix (@WinixRun) May 13, 2024

Ahora… ya que tenemos a los malos pillados y sabemos lo que hacen…. sería… sería una pena no darles un poco de amor en forma de requests con datos de mierda. ¿No? 😀

— Winix (@WinixRun) May 13, 2024

Hago un pequeño script en js en el que genero números aleatorios y nombres aleatorios para llenarles su base de datos o txt de mierda. Si tenemos suerte, igual no tienen backup o no pueden borrar por hora de entrada y les hemos jodido todos los datos reales de gente que ha picado pic.twitter.com/JuSfM8vVbj

— Winix (@WinixRun) May 13, 2024

Si el timo es sofisticado tendrán una base de datos configurada debidamente y el impacto no va a ir más allá de recuperar un backup sin mis datos. Pero ahí estaré mañana y pasado también 🤓🤓

— Winix (@WinixRun) May 13, 2024

Para los que no saben que demonios es esto. Básicamente he creado un miniprograma que se aprovecha de que conocemos la estructura de datos que espera el servidor y les manda datos falsos a ritmo de 1 por segundo. (No quería que me banease el host por parecer un DoS). pic.twitter.com/KYqp80EfS6

— Winix (@WinixRun) May 13, 2024

En definitiva y como siempre, mucho cuidado con SMS de cosas que no esperáis. Nadie regala nada y no, ninguna modelo rusa quiere casarse contigo.

Os dejo un pequeño recurso para aprender a diferenciar correos fraudulentos de phishing de correos legítimoshttps://t.co/FGESgegnqJ

— Winix (@WinixRun) May 13, 2024

Los usuarios de la red social han recibido el relato entre aplausos y alabanzas. Quien más quien menos le ha tenido que advertir a sus mayores o a amigos con pocos conocimientos en cuestión de internet sobre estos timos.

Crackear una web de estafas. No todos los héroes llevan capa… https://t.co/8iLq6pQ6W2

— Germán Tercedor (@germen1975) May 14, 2024

A ti. Me alegra que esto haya llegado a mucha gente. Cuánta más información, más difícil lo tienen los malos.

— Winix (@WinixRun) May 13, 2024

Me parece improtante mencionar que no soy experto en ciberseguridad. Yo soy desarrollador frontend (los que hacemos la parte que se ve de una aplicación) y cada vez menos, porque al trabajar en mi propia empresa me tocan más labores organizativas que desarrollar, por desgracia.

— Winix (@WinixRun) May 13, 2024

Felicidades, no he entendido un carallo pero me ha encantado

— Fichajes Celta (@TopoBalaidos) May 14, 2024

El Batman de la informática, ¡Qué crack! 👏🏻👏🏻👏🏻

— Hugo Chinchilla Hurst (@hugochinchilla) May 13, 2024

No es la primera vez que sabemos de un troleo a unos timadores y la verdad es que siempre sienta muy bien. Como aquella vez en que un tuitero tiró de ironía e ingenio para tener a medio Twitter entretenido mientras jugaba con unos estafadores que se escondían tras el anuncio de un piso.