Hace unos minutos un amigo me contó esto. Lo que te voy a explicar no es teoría ni una historia sacada de un foro, pasó hoy, en Ecuador, con alguien que conozco, que perdió alrededor de 4.000 dólares en cuestión de segundos.
La llamada «del SRI» que lo dejó sin un centavo
Todo empezó con una llamada aparentemente normal. Al otro lado había alguien haciéndose pasar por un funcionario del Servicio de Rentas Internas (SRI). Tenían los datos personales de mi amigo, lo cual generó confianza de inmediato. El anzuelo fue sencillo y convincente: había una devolución de IVA pendiente y para procesarla necesitaba instalar una aplicación.
Recomendados por el editor:
Lo escalaron a una videollamada, donde le guiaron paso a paso para descargar un APK desde Google Chrome, desde una página web muy similar a la del SRI, aunque cuya URL no era la del sitio oficial, sino una copia engañosa diseñada para parecer legítima. Parte de la búsqueda que hizo Google para acceder a ella, según recuerda mi amigo, era algo como sriinputos, y desde ahí aparecía la opción de descargar para Android o iOS.
Durante ese proceso, una IA le advirtió que no instalara la app, porque ningún banco ni institución pública pide eso. Pero su hermana, que le lleva la contabilidad, creyó que era legítimo y lo convenció de continuar.
Lo que realmente estaba pasando detrás de pantalla
Mi amigo tenía instalada la app de su banco en el teléfono. Los ladrones probablemente lo asumían antes de la llamada.
Una vez que lo convencieron de instalar el APK y abrirlo, la aplicación le mostró una pantalla falsa con el logo del SRI pidiéndole que se autenticara. Para «confirmar el proceso» tuvo que poner su huella dactilar. Lo que no sabía es que en ese momento no estaba autorizando nada del SRI: estaba autorizando el acceso a su app bancaria.
Mi sospecha es que tras la instalación de la aplicación, los ladrones le pidieron a mi amigo que active todos los permisos posibles para dicha app, incluso el permiso a los servicios de accesibilidad de Android. Con eso activo, el atacante puede leer lo que hay en la pantalla y hacer clic de forma remota sin que el dueño del teléfono lo note. Así es perfectamente posible que el malware detecte si se abre la app bancaria, poner una pantalla falsa encima para interceptar tus credenciales o tu huella.
Con el acceso biométrico capturado y el control remoto del dispositivo, los ladrones entraron a la app del banco y transfirieron todos los fondos a otra cuenta. Fue cuestión de segundos.
El borrado de evidencia: el último movimiento
Justo después de la transferencia, el teléfono se congeló y comenzó un proceso de borrado de datos automático, terminando con un reset de fábrica forzado. Un movimiento deliberado para eliminar cualquier rastro: la URL visitada, el APK descargado, los registros de llamada, capturas de pantalla.
Lo único que quedó fue la notificación en el correo electrónico del banco confirmando la transferencia. Esa es toda la evidencia disponible.
Esto es exactamente el problema con instalar APKs de fuentes desconocidas fuera de la Play Store: una vez que das permisos a una app maliciosa, ya no tienes control de lo que ocurre en tu propio teléfono.
Qué hacer si algo así te pasa (o sospechas que ya pasó)
El virus puede persistir incluso después de un reseteo normal desde los ajustes, porque algunos malware se instalan a nivel del sistema. Como mínimo, haz el reseteo desde el recovery del teléfono. Si quieres una limpieza más profunda, puede ser necesario un reflasheo completo del firmware. Puedes llevar el equipo a un servicio técnico para este procedimiento.
Instala también Truecaller: permite identificar números de estafadores conocidos y denunciar los que no están registrados, lo cual ayuda a proteger a otros usuarios.
Cómo no caer en estas estafas
Hay detalles que en retrospectiva parecen obvios pero en el momento se pasan por alto:
- Ninguna institución pública ni banco te va a pedir que instales una app por fuera de la Play Store.
- Sospecha si la URL es demasiado rebuscada, compleja o larga. Las URL de las instituciones oficiales siempre salen en el primer resultado de Google con solo ingresar su palabra clave y son relativemente simples de recordar. Por ejemplo, la URL del Servicio de Rentas Internas de Ecuador es sri.gob.ec. Desde Google solo deberías poner «sri» para hallarla en primer lugar.
- Si alguien te llama para darte dinero (una devolución, un bono, un beneficio) y el proceso requiere que instales algo, corta la llamada. Ofrecer algo al usuario es el gancho perfecto para hacerlo dudar y convencerlo.
- Si ves que tu teléfono empieza a comportarse raro después de instalar algo desconocido, desconéctalo de internet de inmediato.
Mi amigo hizo todo lo que los atacantes esperaban que hiciera: confió porque le confirmaron sus datos personales, creyó realmente que era el SRI porque le ofrecieron una devolución de IVA, algo que él como empleado público tiene derecho. Sin embargo, toda esta información suele ser compartida por los Bancos a terceros. A veces esta información también es pública, por lo que siempre debes estar alerta ante esta ingeniería social bien ejecutada por parte de los ladrones.
Deja un comentario