Una queja de una de las figuras más reconocidas en la seguridad informática, Troy Hunt, volvió a situarse en lo más alto del agregador Hacker News, generando casi 200 votos positivos y más de 40 comentarios: los correos oficiales enviados por FedEx parecen más una estafa que las propias trampas de los ciberdelincuentes.
Troy Hunt es el creador de “Have I Been Pwned”, la plataforma de referencia para comprobar si una cuenta ha sido expuesta en filtraciones de datos. En febrero de 2024, relató su experiencia real en un artículo titulado «Thanks FedEx, this is why we keep getting phished» (Gracias FedEx, por esto nos siguen haciendo phishing). Que la publicación haya vuelto a la portada de Hacker News dos años después demuestra que el problema sigue intacto.
¿Qué fue lo que ocurrió?
Troy estaba esperando una impresora 3D enviada desde Estados Unidos con un valor de 799 dólares (unos 1.215 dólares australianos), por lo que existía la posibilidad de tener que pagar aranceles en la aduana de Australia. De repente, recibió un SMS:
«Alerta de FedEx: Su paquete número 216.21 requiere el pago urgente de impuestos y aranceles por un importe de 216.21 para tramitar la entrega. Por favor, realice el pago hoy en el siguiente enlace.»
Imagen: SMS oficial de cobro de aduanas enviado por FedEx. Fuente: troyhunt.com
Preste atención a las cifras: el número de seguimiento era 216.21 y el importe a pagar era exactamente 216.21. Que el número de referencia y la cantidad coincidan palabra por palabra es de por sí una enorme señal de alarma. Para colmo, el enlace redirigía a bpoint.com.au, un dominio que suena sospechosamente a web de fraude.
Troy publicó la captura en X (antes Twitter) y pidió la opinión de más de 4.000 seguidores. Un abrumador 87% votó que era «extremadamente sospechoso». Él mismo enumeró 7 señales de peligro: mayúsculas incorrectas en la marca, un número de seguimiento anormalmente corto, tono de urgencia excesivo, ausencia de moneda, un dominio que no pertenecía a FedEx y errores gramaticales.
Imagen: SMS de phishing de estafadores alegando error de dirección. Fuente: troyhunt.com
Al compararlo con los mensajes reales de los ciberdelincuentes —«Su paquete está retenido por dirección incorrecta, corrija urgentemente»—, la redacción, el tono y el formato de los enlaces eran prácticamente calcados.
¿El resultado? El correo oficial era auténtico.
Troy accedió al sitio web oficial de FedEx y no encontró ninguna explicación sobre el pago de aranceles. Al llamar a atención al cliente, el contestador automático entró en un bucle interminable recomendando el mismo número al que ya estaba llamando. Tres días después, recibió un correo en su bandeja de entrada: el cuerpo indicaba que su paquete estaba retenido por impuestos de importación recolectados por FedEx en nombre del gobierno australiano, la cantidad coincidía y el enlace seguía siendo bpoint.com.au.
Imagen: Cuerpo del correo oficial de FedEx, idéntico al phishing. Fuente: troyhunt.com
El mensaje adjuntaba un PDF con la factura completa de la impresora 3D, incluyendo número de pedido, precio y detalles de envío. Los estafadores no tenían forma de conseguir eso. El 87% de los usuarios se equivocó: el SMS «extremadamente sospechoso» había sido enviado por la propia FedEx.
¿Por qué la comunicación oficial termina siendo así?
En primer lugar, por la arquitectura técnica. El campo del remitente en los SMS y correos electrónicos nunca tuvo validación por diseño. Que ponga «FedEx» no garantiza que proceda de FedEx, un fallo presente desde la invención del correo electrónico. Más tarde se añadieron SPF y DKIM, permitiendo a los propietarios de dominios declarar qué servidores están autorizados para enviar mensajes en su nombre.
Aunque SPF y DKIM resuelven gran parte del problema, sufren una falla fatal: cuanto mejor funcionan, más invisibles son para el usuario. Una persona común solo ve el nombre del remitente, el asunto y el diseño del texto. El resultado de la verificación SPF y DKIM está oculto en las cabeceras. La formación en ciberseguridad enseña a «comprobar la dirección del remitente», cuando es precisamente el elemento más fácil de falsificar.
En segundo lugar, por la estructura organizativa. En Hacker News se planteó una hipótesis muy lógica: la sede central de FedEx probablemente prohíbe a sus filiales usar el dominio fedex.com para el cobro de impuestos locales, delegando este trámite en un proveedor de pagos australiano llamado BPoint (propiedad del Commonwealth Bank). Como resultado, el enlace de pago se aloja en un dominio desconocido y sin relación visible con FedEx, adoptando el aspecto típico de un sitio de phishing.
En las grandes empresas, los departamentos operan en silos. Marketing busca conversión, Operaciones busca cobros y Seguridad busca confianza. Los usuarios de HN lo denominan «Shadow IT»: un departamento crea su propio sistema de notificaciones para cumplir plazos, y cuando recuerdan la necesidad de usar los canales y dominios corporativos oficiales, el presupuesto ya se ha gastado.
Tampoco hay que olvidar los incentivos comerciales: la urgencia vende. Expresiones como «Urgente», «Último aviso» o «Actúe ahora» generan las mayores tasas de apertura. Marketing lleva décadas usándolas y no las abandonará solo para no parecer phishing. El esfuerzo del equipo de seguridad queda anulado por las campañas comerciales.
¿Por qué la educación contra el phishing es cada vez más difícil?
Cuando los ciberdelincuentes imitan a las marcas oficiales y las marcas oficiales se comportan como estafadores, el concepto de «confianza oficial» queda destruido. La educación contra el phishing consiste fundamentalmente en enseñar a reconocer billetes falsos. Sin embargo, si los propios bancos emiten dinero con apariencia de falso, la lección pierde todo su sentido.
Los comentarios de HN están llenos de ejemplos reales: SMS de aseguradoras redirigiendo a dominios como allstate.yem.bo; empresas que realizan simulacros de phishing y cuyos empleados ignoran días después un correo de formación legítimo porque reúne todos los indicadores de peligro enseñados en el curso; o la confusión habitual sobre si facebookmail.com es un dominio auténtico de Facebook.
En el artículo de Troy se cita un dato impactante: los australianos pierden más de 3.000 millones de dólares australianos al año por estafas. Las autoridades bloquearon 336 millones de SMS de phishing, pero esa cifra es solo la punta del iceberg.
¿Cuál es la mayor ironía de este caso?
En plena era de la inteligencia artificial, donde los correos de phishing generados por IA son cada vez más difíciles de detectar, FedEx ha logrado imitar a la perfección a los estafadores. En palabras del propio Troy Hunt, FedEx pareció decirles a los ciberdelincuentes: «Quitaos de en medio, mirad cómo se hace», consiguiendo una nota perfecta en resultar indistinguible de un ataque de phishing.
Este caso demuestra que no se trata de un problema exclusivo de FedEx. Microsoft, PayPal, agencias tributarias y aseguradoras ofrecen constantemente tutoriales gratuitos a los ciberdelincuentes. Dos años después, los SMS de FedEx siguen siendo idénticos y en Hacker News los usuarios continúan compartiendo capturas de notificaciones de aduana recién recibidas.
La educación contra el phishing es vital, pero se enfrenta al obstáculo de las empresas que sacrifican la credibilidad en favor de las métricas. Hasta que los correos oficiales no vuelvan a parecer oficiales, la formación en ciberseguridad carecerá de una base firme. Hasta entonces, ante cualquier SMS sobre un paquete retenido, la regla de oro sigue siendo la misma: no haga clic en el enlace; acceda directamente a la web oficial por sus propios medios.
Enlaces de referencia:
- Troy Hunt: Thanks FedEx, This Is Why We Keep Getting Phished
- Discusión en HN (item?id=49175192)
