Archive for December 2014

Campaña de Phishing – Banco Estado

Revisaba mi correo cuando me llamó la atención en mi bandeja de entrada lo siguiente:



Al entrar al correo nos encontramos con el siguiente contenido, y ya podemos comenzar a sospechar:

























Seguir Leyendo >>

Leer artículo original: Campaña de Phishing – Banco Estado

1# Estafas por Internet | Falso Depósito BancoEstado

Hoy en día vemos la gran cantidad se sitios que nos permiten publicar de forma gratuita nuestros cosas en venta [ Yapo – OLX – entre otros]. Sin necesidad de registrarse muchas veces solo toma un par de segundos publicar, agregar unos datos de contacto y listo: Nuestro producto esta en la web para que cualquiera pueda visitarlo y comprarlo.


Estas mismas publicaciones llegan a manos de inescrupulosos que andan en busca de la oportunidad para aprovecharse y engañar para su propio beneficio

Caso Real – CHILE


Producto en venta:  Macbook en Yapo.cl



























Resulta que a los días un interesado se comunica por el número publicado y se muestra interesado en el producto y se coordina todo por whatsapp. 

El “interesado” explica que no esta en la ciudad y que es la mujer quien hará el depósito del dinero pero que debe ser en una cuenta de “Banco Estado” , por lo que se le entrega la opción de retirarlo en el domicilio y así pasar el dinero en el momento y entregar el equipo simultáneamente, a lo que por diversas razones dice que no.

El interesado insiste que hará la [Transferencia electrónica – que despues veremos que en verdad era un depósito]por lo que entregamos los datos y esperamos.

Al pasar unos minutos, nuestro “comprador” nos comunica que realizo la transferencia y que quiere retirar el equipo el mismo día, lo mas pronto posible.

Procedemos a revisar la cuenta y nos encontramos con lo siguiente:



El supuesto dinero aparece en nuestra cuenta pero solo como saldo contable y como retención. Es decir no podríamos sacar inmediatamente el dinero si quisiéramos.

Tomemos en cuenta lo siguiente:

  • El comprador tenia el dinero supuestamente en efectivo pero no queria hacer un intercambio mano a mano.
  • Solicito que el banco destino fuera si o sí un Banco Estado.
  • El dinero esta como retención en nuestra cuenta.


Se le explica que no se le puede entregar el producto hasta que el dinero se encuentre como saldo disponible en la cuenta por lo que intenta persuadirnos de que lo estamos estafando, que nos denunciará y que finalmente estamos nosotros intentando engañarlo, con lo que argumenta además que nos enviara una foto del comprobante de depósito del dinero para que nosotros le creamos y le entreguemos el producto ese día, y en todo momento se negaba a esperar un día a que se liberara el dinero en el banco.



Finalmente ante nuestra rotunda negativa de entregar el equipo ante la situación, el “comprador” dejó de comunicarse y llamar ese día.
Al otro día al revisar la cuenta, sucede lo que esperábamos que el dinero ya no se encontraba.

¿Por qué sucede esto?

Banco estado nos permite realizar depósitos mediante sobres en los cajeros automáticos que no necesariamente llevan el dinero adentro.
El dinero queda como retenido, hasta que el banco procesa el depósito y verifica que realmente el sobre contenía el dinero.
Además a esto debemos sumar que banco estado proporciona la facilidad de obtener una cuenta RUT a cualquier persona que la solicite, una mezcla bastante peligrosa.

Leer artículo original: 1# Estafas por Internet | Falso Depósito BancoEstado

Open URL Redirection en SURA

Se ha descubierto una vulnerabilidad del tipo Open Redirect que afecta a uno de los servicios de SURA. Esta vulnerabilidad permite a un atacante redireccionar a usuarios a otros sitios web, permitiendo distintos tipos de ataques.

La vulnerabilidad afecta al subdominio mailing.sura.cl que permite redireccionar a los visitantes a sitios de terceros mediante la variable link.

SURA - Vulnerabilidad de Redireccion de URL Abierta

SURA – Vulnerabilidad de Redireccion de URL Abierta

Tambien se puede ver en los headers que se expone la version del motor http, framework y que se está balanceando con un BigIP.

La vulnerabilidad ha sido reportada bajo la categoría Arbitrary URL Redirection con el ID #2615.

Leer artículo original: Open URL Redirection en SURA