Alerta de seguridad en la Web3: Apps falsas

En el espacio cripto, las tácticas de los estafadores evolucionan constantemente. Una amenaza de alto riesgo está resurgiendo: las apps de Bitget falsas. Estas apps maliciosas se camuflan hábilmente para parecerse a la app oficial de Bitget, desde el logotipo hasta la descripción de la app, por lo que es casi imposible distinguirlas. Los ciberdelincuentes utilizan diversos trucos para engañar a los usuarios y hacer que descarguen estas apps parecidas con el objetivo de robar información personal y activos digitales.

¿Qué son las apps falsas?

Las apps falsas (también conocidas como apps de phishing o apps de imitación maliciosas) son apps ilegítimas creadas para imitar plataformas populares y legítimas, como exchanges de criptomonedas, billeteras o redes sociales. Replican nombres, logotipos, interfaces e incluso funcionalidades para parecer auténticas. Una vez instaladas, estas apps suelen provocar violaciones de la privacidad o pérdidas económicas.

Características principales

● Elementos visuales similares: Los nombres, logotipos y diseños de las apps se parecen mucho a los de la versión oficial, con pequeñas diferencias (por ejemplo, la combinación de colores del logotipo o detalles de la fuente).

● Funciones clonadas: Las apps falsas pueden replicar funciones básicas de la app real o simplemente redirigir a los usuarios a páginas falsas.

● Permisos maliciosos: A menudo solicitan acceso a funciones excesivas del teléfono como contactos, SMS, cámara o micrófono (mucho más allá de lo necesario) para monitorear el comportamiento del usuario o robar datos.

● Distribución no oficial: Comúnmente se encuentran en tiendas de apps de terceros, sitios de phishing, links enviados a través de SMS o correos electrónicos, o compartidos en comunidades online.

● Falta de credenciales oficiales: La información de los desarrolladores es poco clara o inexistente, y los datos de contacto o las políticas de privacidad suelen ser falsos o no estar disponibles.

● Errores ortográficos, gramaticales o de descripción: Las apps de phishing suelen contener errores básicos, ya que los desarrolladores legítimos suelen revisar el texto cuidadosamente antes de publicarlo.

● Reseñas sospechosas: Bajo número de descargas, calificaciones polarizadas (todas de 5 estrellas o todas de 1 estrella) y desajuste entre la fecha de lanzamiento y la cantidad de reseñas.

Situaciones de ataque habituales

1. Sustitución de la dirección de la billetera:

● Los usuarios intentan depositar o retirar fondos utilizando una app falsa de un exchange.

● La app sustituye en secreto la dirección del destinatario por otra controlada por el atacante.

● Los fondos se envían sin saberlo a la billetera del estafador y no se pueden recuperar.

2. Robo de credenciales:

● Los usuarios ingresan sus credenciales de acceso y códigos 2FA en la app falsa.

● Los estafadores utilizan estos datos para acceder a la plataforma real.

● Los activos se transfieren rápidamente o se utilizan de forma indebida.

3. Phishing por SMS:

● Las víctimas reciben alertas por SMS como "advertencia de seguridad urgente" o "actividad inusual en la cuenta" con links para descargar la app falsa.

● Al sentirse presionados, los usuarios instalan la app y conceden permisos.

● A continuación, la app roba información confidencial, incluidas las frases semilla, o intercepta los códigos de verificación de los SMS, lo que permite el acceso no autorizado.

4. Inyección de malware:

● La app falsa instala software malicioso adicional en segundo plano.

● Puede desplegar keyloggers para capturar los datos que se ingresan en otras apps.

● Se puede acceder y cargar silenciosamente archivos como claves privadas o frases semilla.

5. Control continuo:

● La app se ejecuta en segundo plano y supervisa la actividad del usuario.

● Captura el contenido de la pantalla, especialmente cuando se utilizan apps financieras.

● Los atacantes esperan el momento indicado para interceptar o alterar los datos de las transacciones.

¿Cómo funcionan las apps falsas?

Las apps falsas combinan el engaño técnico con la ingeniería social:

1. Engaño técnico

○ Interfaces y códigos duplicados:

■ Clonar la interfaz, las funciones o incluso el código fuente de la app oficial, haciendo que la app falsa tenga el mismo aspecto y funcione igual.

■ Modificar archivos APK legítimos inyectando código malicioso o sustituyendo direcciones de transferencia para crear versiones alteradas.

○ Abuso de permisos:

■ Solicitar permisos excesivos (por ejemplo, leer SMS, acceder a contactos, rastrear la ubicación) para permitir el robo de datos o el control remoto.

○ Interceptar y cifrar la comunicación:

■ La interceptación de API se utiliza para interceptar y modificar los datos de comunicación entre la app y su servidor.

■ Transmitir información sensible, como direcciones de transacciones o contraseñas, a través de canales cifrados.

○ Evasión de detección:

■ Ofuscación del código: Modificar el código para hacerlo ilegible o más difícil de analizar, lo que ayuda a eludir la detección automática.

■ Activación demorada: El código malicioso solo se activa tras la instalación o cuando se dan determinadas condiciones.

■ Carga dinámica: El código malicioso se descarga tras la instalación en lugar de venir incluido con la app.

■ Solicitud escalonada de permisos: Los permisos sensibles se solicitan gradualmente, lo que reduce la vigilancia del usuario.

2. Ingeniería social

○ Abuso de confianza:

■ Al imitar plataformas de confianza (por ejemplo, Bitget), las apps de phishing heredan la confianza del usuario y hacen que baje sus defensas.

○ Crear urgencia:

■ Utilizar tácticas intimidatorias (por ejemplo, "Tu cuenta está en peligro" o "Se ha detectado la pérdida de activos") a través de SMS o notificaciones push para reducir la vigilancia del usuario y desencadenar acciones rápidas y no verificadas.

○ Trucos visuales:

■ Explotar la incapacidad de los usuarios para notar pequeñas discrepancias visuales, utilizando elementos visuales similares para engañar.

■ Inflar la legitimidad con reseñas falsas y recuentos de descargas manipulados.

○ Distribución selectiva:

■ Dirigirse a grupos específicos, como las comunidades de inversores cripto, para aumentar la tasa de éxito de los ataques.

○ Rebranding frecuente:

■ Cambio continuo de los nombres, iconos y descripciones de las apps para evitar que se la detecte y prolongar la vida útil de la estafa.

Cómo detectar una app falsa

Presta atención a estas señales de alarma:

Icono anormal: Diferencias ligeras pero notables respecto al icono oficial de la app.

● Petición excesiva de permisos: Se solicita permisos innecesarios tras la instalación.

● Reseñas sospechosas: O excesivamente positivas o abrumadoramente negativas.

● Errores gramaticales y ortográficos: Errores evidentes en el nombre o la descripción de la app.

● Volumen de descargas inusual: La app legítima de Bitget debería tener muchas descargas.

● Información sospechosa del desarrollador: Datos de la empresa inexistentes o fraudulentos.

● Fecha de lanzamiento cuestionable: Ten cuidado con las aplicaciones recién lanzadas con un número inusualmente alto de reseñas.

● Fuentes no fiables: Links a aplicaciones compartidos a través de redes sociales, SMS o correo electrónico en vez de canales oficiales.

Protecciones de seguridad de Bitget

Bitget busca que siempre tengas toda la información y estés un paso adelante sobre lo que ocurre en tu cuenta.

Alertas por correo electrónico

Si vinculaste tu correo electrónico, recibirás un mensaje cada vez que inicies sesión desde un nuevo dispositivo. Estos correos electrónicos incluyen tu código anti-phishing, código de verificación, ubicación de inicio de sesión, dirección IP y detalles del dispositivo. Tómate siempre un momento para verificar que esta información coincide con tu actividad.

Si accedes a tu cuenta desde otro lugar, recibirás un correo electrónico de seguimiento en el que se te notifica el inicio de sesión. Verifica este acceso.

Cuando realices un retiro, recibirás un correo electrónico con el código de verificación y todos los detalles de la transacción. Confirma siempre que todo coincide con el retiro que planeaste.

Plazo de reflexión (1 hora o 24 horas)

Para evitar acciones impulsivas causadas por estafas, Bitget implementó un plazo de reflexión, una medida temporal de protección que se activa cuando el sistema detecta riesgos potenciales en la cuenta (como ubicaciones de inicio de sesión inusuales, transacciones sospechosas o sospechas de fraude):

Plazo de reflexión: Según el nivel de riesgo (1 hora o 24 horas).

● Periodo de 1 hora: Para situaciones de menor riesgo (por ejemplo, inicios de sesión remotos), esta breve demora pausa los retiros para que los usuarios puedan verificar la actividad de la cuenta.

● Periodo de 24 horas: En situaciones de alto riesgo (por ejemplo, cambios en el método de verificación o riesgos de phishing), se suspenden todos los retiros, lo que da tiempo a los usuarios para volver a evaluar la seguridad de la cuenta.

Canales de verificación oficial

Si no tienes seguridad sobre la identidad de alguien, siempre puedes verificarla a través del canal de verificación oficial de Bitget.

Prácticas recomendadas para mejorar la seguridad de la cuenta

Activa varios métodos 2FA

La autenticación de dos factores (2FA) es una layer crítica de protección que requiere dos métodos separados de verificación de identidad. Esto puede incluir combinaciones de correo electrónico, contraseñas, SMS, Google Authenticator, llaves de seguridad u otros métodos. Utilizar varias opciones de 2FA refuerza enormemente la seguridad y confiabilidad de tu cuenta.

Establecer código anti-phishing

Un código anti-phishing es una función de seguridad de Bitget para ayudar a los usuarios a identificar sitios web de phishing. Una vez que la actives, todos los correos electrónicos oficiales y SMS de Bitget (sin incluir los códigos de verificación por SMS) incluirán tu código anti-phishing único. Los correos electrónicos y SMS de phishing no contendrán códigos anti-phishing, por lo que los usuarios podrán identificar fácilmente si proceden de los canales oficiales de Bitget.

Para configurarlo, ve a Perfil > Seguridad > Código anti-phishing y sigue las instrucciones.

Visita este link para obtener más detalles sobre los códigos anti-phishing.

Activa la confirmación de la dirección de retiro

Al retirar fondos a través del sitio web de Bitget, existe el riesgo de actividades maliciosas como el secuestro de tráfico, que puede alterar tu dirección de retiro. Para evitarlo, Bitget ofrece una función de verificación entre dispositivos. Se te solicitará que escanees un código QR con la app móvil de Bitget para confirmar la dirección de retiro antes de que la solicitud se procese.

Buenas prácticas de seguridad

Instala software antivirus. Descarga siempre apps y software de fuentes oficiales de confianza y evita hacer clic en links recibidos por SMS. Para mejorar aún más la seguridad de tu cuenta, considera la posibilidad de utilizar un dispositivo específico para acceder a cuentas sensibles o confidenciales. Nunca pongas todos los huevos en la misma cesta. Evita iniciar sesión en tu correo electrónico, insertar una tarjeta SIM y almacenar Google Authenticator en el mismo teléfono. Si pierdes tu dispositivo o se ve comprometido, tenerlo todo en un único dispositivo podría significar perderlo todo. Repartir el riesgo puede reducir significativamente las pérdidas potenciales.

Conclusión: La seguridad empieza por la concientización y depende de ti

La tecnología puede crear defensas en el campo de seguridad de la red, pero tu concientización y vigilancia son la custodia definitiva. Los estafadores se aprovechan de la confusión y de la urgencia, pero cuando cuentas con información, puedes detectar las trampas y responder con confianza. Bitget proporciona un marco de seguridad de múltiples capas para proteger a los usuarios, pero la custodia más poderosa es tu propia comprensión del riesgo. Cada conocimiento sobre estafas que adquieras es otro escudo que protege tus activos.

El conocimiento es poder. La acción es protección. Bitget seguirá actualizando los recursos antiestafa y las alertas de riesgo. Cada vez que compruebas dos veces un detalle o tomas una decisión prudente, ahuyentas a los estafadores. Trabajemos juntos para hacer de la seguridad nuestra base común.

Más información: Prácticas de seguridad recomendadas de Bitget

Artículos relacionados:

Alerta de seguridad en la Web3: Suplantación de identidad vía SMS

Alerta de seguridad en la Web3: Payzero

Alerta de seguridad en la Web3: Tokens de alto riesgo

Alerta de seguridad en la Web3: Apps falsas

Alerta de seguridad en la Web3: Aprobaciones malintencionadas