Twitter: Nuevas advertencias de phishing

Los correos electrónicos de phishing se dirigen cada vez más a cuentas verificadas de Twitter con correos electrónicos diseñados para robar sus credenciales de cuenta, como lo demuestran numerosas campañas en curso realizadas por actores de amenazas.

Las cuentas verificadas en Twitter se designan con una marca azul junto a su nombre, lo que indica que los titulares de las cuentas son personas influyentes notables, celebridades, políticos, periodistas, activistas y organizaciones gubernamentales y privadas.

Para recibir esta 'insignia azul', los usuarios de Twitter deben  solicitar la verificación , lo que implica enviar información adicional, incluidas tarjetas de identificación, referencias a sitios web y otras razones que hacen que su cuenta sea 'notable'.

Estas cuentas suelen tener muchos seguidores o se consideran "autorizadas" en algunos círculos y, por lo tanto, los actores de amenazas las buscan mucho para promover campañas de estafa y actividades maliciosas.

Al mismo tiempo, como no es fácil obtener una insignia azul, los correos electrónicos que advierten que Twitter la quitará tienden a hacer que las personas reaccionen rápidamente sin analizar el mensaje adecuadamente en busca de signos de comportamiento sospechoso rápidamente.

Dirigirse a usuarios verificados de Twitter
Durante la semana pasada, numerosos reporteros de BleepingComputer fueron atacados con correos electrónicos de phishing que pretendían ser de Twitter Verified, la plataforma de cuentas verificadas de Twitter.

Estos correos electrónicos dicen que hay un problema con la cuenta verificada del destinatario y que deben hacer clic en 'Comprobar notificaciones' para obtener más información sobre el problema.

Los correos electrónicos de phishing advierten que ignorar este mensaje podría provocar la suspensión de la cuenta.


Al hacer clic en el botón 'Comprobar notificaciones', el destinatario accede a una página que le solicita que ingrese sus credenciales de inicio de sesión. Además, la página pedirá a los usuarios que ingresen sus credenciales dos veces, que los actores de amenazas usan para verificar que la información incorrecta no se haya ingresado por error.

Después de ingresar las credenciales, el kit de phishing restablecerá la contraseña de su cuenta utilizando la dirección de correo electrónico ingresada. La página de phishing solicitará a los objetivos que ingresen un código de verificación de inicio de sesión, que los atacantes utilizarán para finalizar el proceso de restablecimiento de contraseña.


Si bien las páginas de phishing claramente no pertenecen a Twitter, los errores ocurren en nuestras vidas, a menudo agitadas, y las víctimas suelen enviar sus credenciales por accidente.

Justo ayer, el periodista verificado  Wudan Yan  admitió haber caído en una estafa de phishing similar dirigida a usuarios verificados de Twitter promocionados a través de mensajes directos en el sitio social.

En un hilo en Twitter, Yan comparte su experiencia y cómo los actores de amenazas cambiaron su imagen, biografía y nombre de cuenta para que pareciera ser Twitter y comenzaron a enviar más mensajes directos para promover la estafa a otros usuarios.


Afortunadamente, Yan pudo recuperar su cuenta rápidamente, pero otros no siempre tienen tanta suerte o no saben que sus cuentas fueron pirateadas.

En estos casos, las cuentas se usan comúnmente para promover una variedad de estafas entre sus seguidores, generalmente estafas de criptomonedas.

En 2021, los actores de amenazas realizaron una violación a gran escala de numerosas cuentas verificadas de Twitter para promover una estafa falsa de obsequio de criptomonedas de Elon Must.

Si bien puede pensar que esto es ridículo y que nadie caería en una estafa como esta, los  actores de amenazas ganaron más de $ 580,000 en solo una semana .

Como siempre, al recibir correos electrónicos que conducen a formularios de inicio de sesión, asegúrese de examinar la URL de la página de destino y asegúrese de que corresponda a la empresa que supuestamente le envió el correo electrónico.

Si tiene alguna duda, deseche el correo electrónico y comuníquese directamente con la empresa para verificar si el correo electrónico fue una estafa.

Fuente: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta