Una vez un amigo me digo: “Si vas a pasar vergüenza, pásala completa”. Así que les cuento: El pasado 28 de noviembre, a las 5:22 p.m., me encontraba buscando el logotipo de VEX Exchange Venezuela en Google Imágenes. Consigo una con el logo en cuestión y decido que voy a entrar a VEX para tomar algunas captures para un artículo que estaba escribiendo. Ingresé por medio del enlace de la imagen mostrada, esta acción me dirigió a una web falsa con un nombre y apariencia similares a vex.sunacrip.gob.ve (que es la dirección oficial y válida). Ingreso mi correo y contraseña y luego de un rato estoy en mi cuenta VEX tomando captures. Les muestro el historial de ese momento y ese día.

Fue un movimiento imperceptible, simple, inocente. Sin darme cuenta, le proporcioné mis datos de ingreso a un desconocido. Un acto del cual no me enteré hasta el miércoles 2 de diciembre, cuando descubro en mi correo la siguiente notificación por parte de SUNACRIP:

No vi la notificación ni el día ni a la hora que se hizo la transacción, sino un día después. Por supuesto que en ese momento se me encienden las alarmas ya que hacía días que no entraba a PetroApp, yo no había hecho esa transferencia. Ingreso a mi PetroApp, reviso el historial y me encuentro que efectivamente mi billetera Petro estaba en cero, que mi dinero había sido transferido a un usuario desconocido cuyo correo es yekmar@hotmail.com, quien por supuesto no está en mis contactos de la billetera, ni en mis contactos personales.

El administrador de este correo yekmar@hotmail.com, dueño de la wallet Petro PSynLuMZ67gk55YHEqeoknhN8zaEHiAMWi, me robó mediante la estafa phishing.

Del susto cambié la contraseña de PetroApp y me fui a verificar la billetera de familiares y amigos que también manejo. Todo estaba en orden, yo había sido la única víctima, lo que me dejaba aliviado pero al mismo tiempo confuso. ¿Cómo sabían mis datos? ¿Quién es yekmar@hotmail.com? ¿Qué debo hacer para recuperar mis menes?

Ya que Google guarda mis contraseñas, verifiqué esa base de datos que se encuentra en el menú que aparece arriba a la derecha del navegador (representado por 3 puntos), a la opción Configuración.

Allí hay una sección llamada Autocompletar, donde se muestra el apartado de Contraseñas. ¡Ahora si que el susto fue mayúsculo! Decía que tenía 31 contraseñas hackeadas. ¡31 cuentas de banco, correos, blogs, sitios de compras…! ¡31 cuentas hackeadas!

Pasé todo un día cambiando contraseñas y activando donde se podía la verificación de 2 paso (PetroApp incluida).

Ahora solo quedaba reflexionar sobre cómo había ocurrido esta vulnerabilidad en mi seguridad. Si observan nuevamente la primera imagen de este post, notarán que efectivamente entré a la VEX de imitación. Luego, 2 líneas más arriba, estoy ingresando a la web VEX real. Aunque ya conocía lo que es el phishing, no sabía su forma de operar, pues es tan sencillo como esto: Entras de forma descuidada a la web falsa, intentas ingresar con tu usuario y contraseña, la web recopila esta información e inmediatamente después te redirige a la web verdadera, donde coloca nuevamente tu usuario y contraseña, entrando a tu cuenta sin enterarte de lo que pasó. Claro, si uno observa detenidamente la pantalla, seguramente notarás algo rato, que hay un comportamiento poco familiar en la página.

Hace un par de días, en el chat Telegram de PetroMap un usuario lanzó la advertencia sobre la existencia de una web VEX falsa, esto me llevó a mirar mi historial y así darme cuenta de que yo mismo fui el que le brindó el acceso al administrador del correo yekmar@hotmail.com, al dueño de la wallet Petro PSynLuMZ67gk55YHEqeoknhN8zaEHiAMWi.

¿Qué errores cometí?

• No fijarme en la dirección web a la que estaba ingresando.
• No tener activa la sincronización de mi correo para enterarme inmediatamente de cualquier movimiento en mi cuenta.
• No haber activado (por pereza y negligencia) la Autenticación de Doble Factor (2FA), mediante la instalación de una aplicación en el celular.

Es perturbador sentirse inseguro, vulnerable, eso es verdad; pero peor es la sensación de ineptitud por haber sido yo mismo quien le entregó mis datos de acceso a un malicioso desconocido.

Aunque me resulta vergonzoso confesar esto, lo cuento como advertencia para que otros no caigan en la trampa, para que estén siempre pendientes y que procuren activar las medidas de seguridad necesarias.

Para mi fue un Curso a Trancazos para el Aprendizaje en Seguridad Informática que me costó 0.87649671 PTR.

FIN DEL RELATO

Sitios de interés

Puedes unirte al grupo Telegram de PetroMap usando el siguiente enlace: @PetroMapOficial.

Si solo deseas mantenerte información sobre la actualidad del Petro, tasas y otras noticias, te invitamos a unirte al canal Telegram de PetroMap en el siguiente enlace: @CanalPetroMap.