Los tres son influencers y los tres, como muchos otros, tienen historias de intentos de hackeos en sus perfiles de Instagram. Usamos dos casos distintos para ejemplificar una modalidad de extorsión que viene en aumento.
@gabi.cocina
Una mañana, Gabriel San Juan pidió la verificación de su cuenta de Instagram. Completó sus datos, subió la imagen de un documento oficial para demostrar su identidad y dejó hecho el pedido. A las pocas horas, recibió un mensaje por privado en la aplicación. “Un día a la mañana había solicitado la verificación de Instagram y a las 3, 4 horas me llegó un mensaje al directo de Instagram desde una cuenta verificada. Entré a la cuenta para ver qué onda. Se llamaba “Instagram verification”, relató.
El mensaje, en inglés, decía que su cuenta había cumplido los requisitos para obtener la insignia azul junto con un link para completar la operación. Al ingresar, le pidieron el correo asociado a su cuenta de Instagram y el código que le había llegado a ese correo. “Lo que menos se me ocurrió es que les estaba dando el código para poder realizar el cambio de contraseña y hackearme”, cuenta Gabriel. “Apenas les mande el código, me apareció un mapita que estaban intentando entrar desde Turquía y a los pocos segundos, desde Madrid. A los 2, 3 minutos ya tenía la cuenta cerrada”, recordó.
¿Qué fue lo que pasó?
Tanto Gabriel como Agostina, fueron víctimas de phishing, una de las formas de ingeniería social que más se utilizan para comer ciberdelitos. El phishing es, nada más y nada menos, que la suplantación de identidad. Los delincuentes pueden hacerlo en forma dirigida, con una víctima específica en mente, o en forma generalizada, cuando envían mensajes o correos a muchos destinatarios esperando que alguno pique el anzuelo.
Los influencers o las personas que tienen muchos seguidores son un objetivo muy buscado por los ciberdelincuentes porque, al ser una plataforma de exposición y de trabajo, las cuentas valen mucho más. Tienen valor de reventa en la deep web (algo así como el mercado negro que Google no muestra en el buscador) y tiene valor para pedir rescate para recuperar el control de los perfiles.
En el caso de Gabriel (@gabi.cocina), se hicieron pasar por staff de Instagram y aprovecharon la información que obtuvieron (puede haber sido a través de un post) de que él había pedido la verificación para tirar el anzuelo y ver si Gabriel les creía y entraba al link. A partir de ahí, cuando Gabriel completó su mail asociado, obtuvieron la primera parte de la combinación que necesitaban para entrar en la cuenta. Cuando le pidieron el código, les estaban mandando el código que Instagram usa para verificar un cambio de contraseña.
Para Agostina (@agostina.oficial), al hacer click en la página para ingresar a su cuenta de Instagram que era falsa, los datos que tipeó –usuario y contraseña– fueron obtenidos por quien se hizo pasar por representante de la marca que buscaba trabajar con ella. En ambos casos, los dos estaban contentos de haber recibido algo que buscaban: Gabriel la verificación y Agostina, un posible trabajo. Esto es lo que hizo que mantuvieran sus alertas bajas y no cayeran en la cuenta de que podía tratarse de una estafa. Eso les costó volver a empezar y perder, al menos, 30.000 seguidores.
El abogado especialista en cibercrimen, Jorge Litvin, agrega otras alternativas de phishing de las que fueron víctimas algunos de sus clientes: "Muchas de las aplicaciones para hacer sorteos y del tipo de 'conocé quién te ha eliminado o bloqueado', nos requieren nuestros datos de usuario y allí, con ingenuidad, los cargamos".
Para evitarlo, la mejor opción es hacer una doble verificación de cuenta y mantenerse alerta ante los mensajes y correos recibidos, sobre todo si tienen un link que lleva a otro sitio. También es recomendable hacer caso omiso a los anuncios que se reciban por otros lugares u otras cuentas que parezca que tienen que ver con la aplicación, incluso si amenazan con cerrar la cuenta.
¿Qué hacer si sos víctima del robo de cuentas?
“Si la cuenta no fue borrada de forma definitiva, puede recuperarse”, explica Litvin. ”Para esto, hay que contactarse con el centro de ayuda de la plataforma que hasta incluyen dentro de la pestaña “problemas para iniciar sesión”. Ahí, hay una alternativa que suele llamarse “creo que hackearon mi cuenta”. Después de un intercambio de correos electrónicos con el personal de la plataforma, se nos va a requerir verificar la identidad, habitualmente, con una fotografía y una credencial (DNI, pasaporte, licencia de conducir, etc.)", detalla.
El trámite demora entre 48 horas y hasta dos semanas dependiendo de la red social y la carga de trabajo de su personal. En lo legal, estos delitos están tipificados en el Código Penal y se pueden denunciar en la fiscalía más cercana o comunicarse directamente con la Unidad Fiscal Especializada en Ciberdelincuencia al 0-800-333-47225 o por correo electrónico a denunciasufeci@mpf.gov.ar