Actualmente, el mercado del alquiler en España está en alza. Y con más personas buscando vivienda o habitaciones para compartir en los portales inmobiliarios en Internet, más posibilidades hay de que se produzca una ciberestafa que genere una brecha de seguridad en el usuario que ha puesto un anuncio para alquilar una propiedad.
El fraude comienza de la siguiente manera: un usuario pone un anuncio en un portal inmobiliario para alquilar un inmueble. El ciberdelincuente utiliza la técnica del phishing y haciéndose pasar por un posible cliente envía un correo electrónico al anunciante con un enlace malicioso. Ya sabemos que el envío de correos electrónicos es un procedimiento muy habitual para realizar un ataque de phishing: En el tercer trimestre de 2022, la institución APWG Phishing Activity Trends Report observó 1.270.883 ataques de phishing en total, un nuevo récord, según este organismo. La razón es la eficacia de este ataque: una de cada tres personas hace clic en el enlace.
Pero la pericia del ciberdelincuente puede llevarles más allá del robo de credenciales. Un hacker puede ser capaz, incluso, de secuestrar los hilos de los correos electrónicos para hacerse pasar por el interlocutor original. Lamentablemente, el phishing sigue en alza, ya que está previsto que en 2023 siga creciendo esta técnica, que resulta tan rentable para los hackers y que van perfeccionándola y adaptándola cada vez más al perfil de la víctima.
En el ciberataque del alquiler, el atacante suele decir en email que está muy interesado en la propiedad, pero que no está seguro de si es esa la que se alquila. Naturalmente, el enlace es falso y no se corresponde con el anuncio real, sino con una dirección web engañosa pero muy similar a la del sitio donde está alojada la información sobre el alquiler.
El anunciante y propietario del bien, deseoso de alquilar o vender su propiedad a este potencial cliente, cae en la trampa y pincha en el enlace. Es cuando se produce el robo de credenciales sin que, probablemente, el propietario del inmueble haya sido consciente de este robo. Por supuesto, el falso cliente no vuelve a dar señales de vida y jamás vuelve a contestar los emails del vendedor preguntándole si sigue interesado. Los ciberdelincuentes son expertos en ghosting tras haber conseguido lo que quieren.
Acto seguido el delincuente crea un nuevo anuncio en el portal inmobiliario digital utilizando las credenciales robadas y comienza el timo. Los interesados en el inmueble que supuestamente se alquila -en realidad no existe tal inmueble- envían sus mensajes a través de la plataforma para conocer más detalles. Y la posibilidad de esconder su condición de delincuente simulando ser el vendedor a través del chat es lo que le ayuda a rematar la faena: pedir dinero para reservar el inmueble a través de un bizum, por ejemplo.
“Los ciberdelincuentes abusan de la necesidad que tienen las personas de agradar y captar potenciales clientes para el alquiler de sus inmuebles. Utilizando tretas que simulan que ya hay una relación de confianza previa entre ellos, les piden vía correo electrónico que pinchen en un enlace para robar las credenciales asociadas al anuncio en el portal. Como usuarios tenemos que permanecer atentos y ser conscientes de que cuando exponemos en Internet productos y bienes para vender o alquilar a través de plataformas digitales, podemos ser víctimas de un ciberataque”, afirma Hervé Lambert, Global Consumer Operations Manager de Panda Security.
