LockPhish roba el código de desbloqueo de Android con pishing (iPhone y Windows también)

A través del pishing, alguien puede obtener tu usuario y contraseña de redes sociales, cuentas bancarias, etc., pero también el código de desbloqueo de tu celular o computadora. Esto no es tan difícil, ya que existen herramientas como LockPish que permiten hacer esto de un modo relativamente fácil.

El pishing es cuando alguien pretende hacerse pasar por otra persona o institución, usualmente a través de correos electrónicos. Si has recibido correos sospechosos de tu banco solicitando tu usuario y contraseña de acceso a tu cuenta bancaria, o el login de tu Facebook, sabrás de lo que hablo. El correo tiene la apariencia de ser auténtico, pero el remitente o las URL a las que te redirige son falsas. Cuando ingresas a esas direcciones web y pones tus datos ahí, ya te han hackeado.

A similar tool – Lockphish – is available on GitHub. It is convincing, and a user in a hurry can be easily tricked

Lockphish is a tool for phishing the lock screen, designed to grab Windows credentials, Android PIN, and iPhone Passcode using a https link https://t.co/Lxx1a0eSqt pic.twitter.com/l1alBtAQUK

— Mobile Hacker (@androidmalware2) April 24, 2024

Para obtener el código de desbloqueo de tu celular, el ladrón o persona quien sustrajo tu teléfono puede usar herramientas como LockPish para intentar obtener el PIN de tu pantalla de bloqueo. Básicamente podría enviarte un correo electrónico falso, con un poco de texto convicente y una dirección web, misma que si haces clic te mostrará una pantalla de desbloqueo idéntica a la de tu celular. Si ingresas allí tu PIN de Android, código de desbloqueo de tu iPhone o PIN de Windows, el ladrón habrá obtenido este código de forma remota y podrá tener acceso a tu dispositivo.

No creas que esto es tan difícil como se escucha. Herramientas como LockPhish solo requieren que el hacker tenga un PC con Linux y allí instalar este software con un par de comandos de texto. La configuración es igual de parecida y una vez hecho eso, solo tiene que dar con tu correo electrónico para enviarte el anzuelo. LockPish incluso se puede ejecutar desde otro dispositivo móvil, bajo ciertas condiciones.

Si no te fijas bien en la dirección del remitente de los correos que recibes, o la URL a la que te redirigirán al hacer clic, podrías terminar por darle el código de acceso de tu teléfono directamente al ladrón de tu dispositivo. Nunca he visto que en Android, iPhone o Windows al hacer clic en un vínculo salte la pantalla de bloqueo del dispositivo, así que ésta puede ser otra cosa a la cual estar alerta.