10 correos reales de phishing que llegaron a empresas en MX
Analizamos 10 correos reales de phishing recibidos en México (SAT, BBVA, Banamex, DHL, CFE, multas y CFDI): cómo se ven en Gmail y qué los delata.
El mejor material para aprender a detectar phishing no es un ejemplo inventado: son los correos que de verdad llegaron a empresas en México. Estos 10 correos reales de phishing fueron reenviados a Dory entre 2022 y 2023. Los reconstruimos como se vieron en Gmail, con los logotipos oficiales de las marcas que suplantaron, y cada uno trae su dictamen.
Los 10 correos, uno por uno
#0007 · Banamex MT103: el «pago rechazado» con Excel
Notificación de TesoreríaComprobante MT103Buenos días,
El pago realizado a los datos bancarios que encontramos en la factura ha sido devuelto a nuestra cuenta hoy.
Verifique el extracto bancario adjunto y confirme que todos los detalles son correctos y por qué se nos devolvió el pago.
Espero su pronta confirmación.
Atentamente.
- Archivo adjunto con doble extensión engañosa (#MT103 DEVOLUCIÓN DE PAGO.xlsx.txt).
- Exploit CVE-2017-11882 oculto dentro del objeto OLE (xl/embeddings/oleObject1.bin) para ejecutar código al abrir Excel.
- Urgencia financiera simulando un pago devuelto para forzar a contabilidad a abrir el archivo.
Y lo que puedes ver tú: Ningún banco ni cliente envía un comprobante SWIFT/MT103 en un archivo .xlsx editable. Si abres ese Excel en Windows sin parches, el troyano se instala sin pedir permisos de macros.
#0005 · BBVA y SPEI: el comprobante con comas en el dominio
Banca en LíneaTransferencia interbancaria SPEIArchivo adjunto (547 KB) · Descargar todo como .zip
[Una empresa real] envía a usted el archivo PDF y XML correspondiente a Transferencia interbancaria a cuenta de cheques / ahorro.
COMPROBANTE DE PAGO ELECTRÓNICO.
Aquí puede obtener el Comprobante de pago realizado a través de SPEI®:
https://rebrand.ly/ddbab3-COMPROBANTE-ELECTRONICO-PAGO-CEP
https://emision.banxico,org,mx/descargascfd.jsp?idLiga=[FOLIO_PROTEGIDO]-cep
Le informamos que le fue enviada una Transferencia interbancaria a cuenta de cheques/ahorro.
- Archivo comprimido de alto riesgo disfrazado de CFDI (Reporte_Estado_De_Pago.pdf.html.zip).
- Acortador rebrand.ly ocultando la descarga real del supuesto CEP de Banxico.
- Texto visual engañoso con comas en lugar de puntos: «emision.banxico,org,mx».
Y lo que puedes ver tú: Mira de cerca la URL escrita en el correo: pusieron comas («banxico,org,mx») para que el filtro antispam no lo detectara como enlace falso, mientras el clic real te lleva a rebrand.ly para bajar un .zip malicioso.
#0027 · CFE: el recibo que se descarga desde Qatar
CFEMailEstado de cuenta PDF y XMLEstimado cliente:
Como parte del servicio de CFEMail, al que estás suscrito, te enviamos el acceso donde encontrarás el estado de cuenta en formato PDF y XML.
Número de Servicio: [TELEFONO_PROTEGIDO]
Archivo PDF: Ver → https://autenticar-web-centrales.qatarcentral.cloudapp.azure.com?OTROS/ConfirmacionAccesoServicios/DescargaFacturas.aspx?rpu=[FOLIO_PROTEGIDO]
Archivo XML: Ver → https://autenticar-web-centrais.brazilsouth.cloudapp.azure.com/
- Servidor en la nube (Azure Qatar y Brasil) abusado para simular descarga de factura CFDI.
- Identificador de lote automatizado en el asunto («Factura 1738»).
- Mezcla de imagen legítima de app.cfe.mx con enlaces de descarga hacia otro continente.
Y lo que puedes ver tú: El logotipo sí carga desde app.cfe.mx para que confíes, pero los botones «Ver PDF» y «Ver XML» apuntan a máquinas virtuales en Qatar y Brasil (cloudapp.azure.com).
#0086 · Casa de bolsa: la «transferencia» de $640,451.25
Banca / Operaciones CambiariasConfirmación de operaciónApreciable cliente:
Por medio de la presente, le damos aviso de la(s) operación(es) con deal(s) No. [FOLIO_PROTEGIDO] (640,451.25) MXN VENTA TRANSFER, que usted ha pactado vía telefónica y/o por medios electrónicos el día de hoy.
Se anexa al presente la(s) remisión(es) que contiene(n) los datos de la(s) operación(es) correspondiente(s).
En caso de no reconocer la presente operación le pedimos amablemente se ponga en contacto con su ejecutivo.
Atentamente, [Una casa de bolsa real].
- Archivo adjunto con exploit troyano embebido: TRANSFERENCIA(640,451.25).xlsx.
- Error gramatical del atacante en el asunto («MN moneda nacionale»).
- Ingeniería social por susto: monto de $640,451.25 MXN para que abras el archivo sin pensar.
Y lo que puedes ver tú: Cuando ves un cargo de $640 mil pesos que no hiciste, tu primer impulso es abrir el adjunto para ver qué pasó. El detalle «moneda nacionale» (en italiano/portugués) y el archivo .xlsx delatan la trampa.
#0072 · CFDI: la factura no pagada que era un archivo HTML
Factura Electrónica CFDI 4.0Aviso de Cobranza-----Mensaje original-----
Buenos dias.
Se adjunta la factura No Pagada del servicio del dia 01/04/2023
Favor de verificar a la brevedad.
Saludos Cordiales.
- Archivo HTML disfrazado de factura electrónica mexicana (_CFDI_334721.html).
- Alerta en el perímetro de correo y mensaje ultracorto para forzar la apertura del adjunto.
Y lo que puedes ver tú: Una factura CFDI en México jamás es un archivo .html. Al darle doble clic a _CFDI_334721.html se abre tu navegador con una ventana falsa de inicio de sesión de Microsoft 365 o Google Workspace para robarte la contraseña.
#0001 · DHL On Demand Delivery con documentos en Excel
ON DEMAND DELIVERYRecordatorio: retire su envíoEstimado receptor,
Encuentre sus documentos publicados recientemente para sus envíos y servicios suministrado por DHL Express.
Finalización de la cuenta del remitente -> *****83291
Nos gustaría agradecerle por aceptar los servicios de DHL Express.
Atentamente, Equipo DHL Excelencia.
ESTE ES UN MENSAJE AUTOMATIZADO, POR FAVOR NO RESPONDA.
- Archivo adjunto malicioso Dhl09 documentos.xlsx con firma de troyano.
- Traducción automática deficiente («servicios suministrado por DHL Express»).
- Uso de número de cuenta truncado (*****83291) para simular autenticidad.
Y lo que puedes ver tú: Las paqueterías nunca te mandan guías ni documentos de aduana en una hoja de Excel adjunta. Siempre verifica el número de guía escribiendo tú mismo dhl.com en el navegador.
#0039 · La cotización «urgente» en un archivo .doc
Orden de Compra ComercialPedido de compra · Microsoft WordEstimado señor,
Indique amablemente su mejor PRECIO con el TIEMPO DE ENTREGA MÁS CORTO para la lista de cotizaciones adjunta.
NOTAS IMPORTANTES:
1. Su oferta debe llegarnos con URGENCIA.
2. Si los archivos adjuntos no están claros, infórmenos de inmediato.
3. Si no está en condiciones de cotizar, infórmenos de inmediato.
4. Su oferta debe tener una validez mínima de 60 DÍAS.
ENCUENTRE ADJUNTO LA CARTA DE NUESTRA EMPRESA y la lista de Quataion.
POR FAVOR, CONFIRME LA RECEPCIÓN DE ESTE CORREO ELECTRÓNICO.
- Documento .doc malicioso dirigido al área comercial (#nuevo pedidoO06708.doc).
- Texto traducido de plantillas de phishing globales («lista de Quataion»).
- Presión comercial para que el vendedor abra el archivo sin revisarlo con TI.
Y lo que puedes ver tú: El área de ventas está entrenada para abrir cualquier «solicitud de cotización» lo más rápido posible. Los atacantes lo saben y usan archivos .doc antiguos para ejecutar troyanos.
#U002 · «13 mensajes pendientes»: el kit de contraseñas en IPFS
WebmailNotificación del servidor IMAP[Tu empresa] Soporte De Administrador
Hola area@[empresa].com.mx,
⚠ Tienes mensajes pendientes en nuestro servidor remoto.
Sus mensajes (13) no leídos en nuestra nube que no se entregaron a su buzón debido a un error durante el tiempo de espera del servidor imap, resuélvalo ahora a continuación:
Liberar correos no entregados
→ https://bafybeibnrg6xbp7xnbxohm2kgirabjl3nv7n6a5pjwoz3vkiarqglfjza4.ipfs.dweb.link/#area@[empresa].com.mx
Fuente: Administrator Support © [Tu empresa]
- Kit de robo de credenciales alojado en IPFS (ipfs.dweb.link).
- Correo de la víctima incrustado después del # en la URL para prellenar la pantalla falsa con el logo de su empresa.
- Bandera de amenaza confirmada en los encabezados del servidor de correo.
Y lo que puedes ver tú: Al poner tu correo después del símbolo # en el enlace, la página pirata carga automáticamente el logotipo de tu empresa y tu correo ya escrito, esperando solo tu contraseña.
#U006 · Fotocívicas: 4 multas en 4 minutos
GOBIERNO DE LA CIUDAD DE MÉXICOSubsecretaría de Control de Tránsito / FotocívicasEstimado Conductor area@[empresa].com.mx
INFRACCIONES-FOTOCIVICAS
DESCARGAR INFRACCIONES
→ http://72.132.167.72.host.secureserver.net/GN/?multa=area@[empresa].com.mx
• Uso de distractores mientras se conduce — 2 Octubre 2023 10:20:27
• Circular a exceso de velocidad — 2 Octubre 2023 10:21:54
• Invadir carriles de transporte público — 2 Octubre 2023 10:23:21
• No utilizar el cinturón de seguridad — 2 Octubre 2023 10:24:33
Folio: [FOLIO_PROTEGIDO]
- Dirección IP cruda oculta en un subdominio de hosting compartido (72.132.167.72.host.secureserver.net) sin HTTPS.
- 4 supuestas multas consecutivas en un lapso de 4 minutos para alarmar al conductor o encargado de flotilla.
- Patrón compuesto de phishing de alta confianza.
Y lo que puedes ver tú: Ninguna secretaría de movilidad ni gobierno estatal envía fotomultas desde un enlace http:// con dirección IP de GoDaddy (secureserver.net). El enlace descarga un troyano bancario en .zip.
#0122 · «Último aviso pre-judicial» con enlace acortado
Poder Judicial · Ministerio PúblicoNotificación automáticaNotificación automática emitida por el sistema de poder judicial.
ÚLTIMO AVISO PRE-JUDICIAL
Buenos días Sr,
Se comunica con usted, [Nombre protegido], Asistente Operativa de la Sección de Decisión y Litigación Temprana, del Ministerio Público, con la finalidad de notificarle de la Resolución de Archivo Provisional, la cual se encuentra adjunta.
Resolución de Archivo Provisional:
→ https://jf27z.app.goo.gl/JWQkDySMW5RTVjU19
Si tiene alguna duda, luego de leer la Resolución, me lo puede indicar.
Nota: Si el enlace no funciona, descargue el archivo adjunto.
- Enlace acortado de Firebase Dynamic Links (app.goo.gl) haciéndose pasar por expediente judicial.
- Táctica de coerción legal («Convocatoria obligatoria de suma importancia / ÚLTIMO AVISO PRE-JUDICIAL»).
- Terminología copiada de fiscalías de otros países (Colombia/Perú) reciclada contra empresas en México.
Y lo que puedes ver tú: Ninguna Fiscalía ni Poder Judicial en México te notifica una carpeta de investigación mediante un link acortado de app.goo.gl.
¿Qué tienen en común?
- Un adjunto que no corresponde. Excel, Word o HTML donde debería ir un PDF, o un .zip: seis de los diez traían un archivo adjunto.
- Prisa o miedo. Un pago devuelto, una transferencia de $640 mil, multas de tránsito o un "último aviso pre-judicial".
- Un enlace que no es de la institución. Acortadores, servidores en la nube de otro país, direcciones IP o dominios con comas.
- El logotipo perfecto. Que el diseño se vea idéntico al de la marca no prueba nada: copiarlo es lo más fácil.
¿Qué hago si me llega uno parecido?
- No abras el adjunto ni des clic. Ni siquiera "para ver qué es".
- Revísalo en Dory. Pega el correo en dory.mx o reenvíalo a
[email protected]. Es gratis. - Entra por tu cuenta. Escribe tú mismo la dirección oficial del banco, del SAT o de la paquetería.
- Avisa a tu equipo. Si un correo llegó a una persona de tu empresa, probablemente llegó a más.
Si ya abriste el archivo o escribiste datos, sigue el paso a paso de qué hacer si ya diste tus datos en un link falso.
