El equipo de investigación de ESET identificó una nueva campaña maliciosa que suplanta a una reconocida institución bancaria argentina con el objetivo de robar dinero e información personal de sus víctimas.
El engaño comienza con un contacto inicial a través de una página de Facebook (actualmente dada de baja) que utilizaba imágenes y mensajes alusivos al banco, prometiendo descuentos en servicios para adultos mayores.
Para acceder al supuesto beneficio, la víctima debía comunicarse con un número telefónico mediante una llamada de WhatsApp.
Ingeniería social al servicio del fraude
Según ESET, la campaña se apoya en técnicas de ingeniería social, manipulando psicológicamente a las víctimas para que realicen acciones que comprometan su seguridad.
En este caso, los atacantes se hacen pasar por empleados del banco y convencen a los usuarios de descargar una aplicación bajo el pretexto de recibir los descuentos ofrecidos.
Tras la llamada, los delincuentes envían un enlace para instalar una aplicación desde la tienda oficial de Android.
Una vez instalada, la víctima ingresa un código de confirmación que permite al atacante conectarse remotamente, tomar el control del dispositivo, ver la pantalla, interactuar con las aplicaciones, transferir archivos y realizar acciones en su nombre.
Una app legítima usada con fines maliciosos
La aplicación utilizada en esta campaña se llama Supremo, una herramienta legítima de administración remota que permite controlar dispositivos móviles o computadoras a distancia.
Aunque está pensada para brindar soporte técnico, los ciberdelincuentes la usan para obtener acceso total a los celulares de sus víctimas.
“Si bien inducir a las víctimas a instalar una aplicación de control remoto no es una técnica nueva, sí resulta novedoso en el contexto de las estafas bancarias. Posiblemente responde a las campañas de concientización sobre no compartir credenciales: si el atacante no puede obtenerlas, opta por controlar el dispositivo donde está la app del banco”, explicó Martina López, investigadora de ESET Latinoamérica.
En la página de Google Play, numerosos usuarios argentinos reportan haber sido víctimas de estafas desde mayo de 2024, con diversas excusas.
Además del banco afectado, ESET identificó que la identidad de Netflix, Starlink, Mercado Libre y YPF también ha sido utilizada para engañar a usuarios e inducir la instalación de Supremo.
Algunas víctimas incluso denunciaron el robo de dinero o la toma de préstamos bancarios mediante el control remoto de sus dispositivos.
Cómo protegerse de estas estafas
ESET recomienda una serie de medidas preventivas para evitar ser víctima de este tipo de ataques:
- Desconfiar de anuncios o perfiles en redes sociales no verificados que se presenten como bancos, entidades gubernamentales o marcas reconocidas.
- Evitar hacer clic en enlaces o responder mensajes que prometan regalos, descuentos o promociones.
- No descargar aplicaciones por pedido de desconocidos, ni instalar software que no esté verificado como oficial del banco o empresa.
- Contar con un software antivirus actualizado en el dispositivo móvil.
- Mantener el sistema operativo y las apps actualizadas.
- Modificar contraseñas y monitorear los movimientos de las cuentas en caso de sospecha de intrusión.
Esta nueva modalidad demuestra cómo los atacantes adoptan herramientas legítimas para ejecutar sus fraudes, reforzando la necesidad de que los usuarios estén informados, mantengan una actitud crítica frente a las comunicaciones online y utilicen canales oficiales de atención ante cualquier duda o promoción bancaria.
