El remitente del mensaje de suplantación es MyDhl.es pero a poco que el receptor del mensaje se entretenga a observar la dirección real del remitente [email protected] se hace evidente el engaño.

El fraude de la entrega en espera se basa en provocar al receptor del mensaje para pagar una cantidad muy baja de dinero, de esa que en teoría no debe preocupar a ningún bolsillo, por un paquete con entrega en espera que puede coincidir en el tiempo con que estemos esperando realmente la llegada de un envío.

La primera parte de la ingeniería social de este tipo de fraudes es enviar miles de mensajes spam desde dominios legales que hubieran estado operativos para operaciones legales y de pleno derecho, que han sido suplantados por deficiencias técnicas en una web operativa (normalmente se trata de hackear una web con defectos de seguridad, algo típico en instalaciones WordPress desatendidas), o han expirado y los ciberdelincuentes han recomprado para uso ilegal.

La segunda parte y principal ingrediente del engaño de la entrega en espera es el momento de la inundación de spam: siempre alrededor de los picos de ventas del calendario.

Black Friday, Cyber Monday, Navidades, San Valentín, etc. Puntos álgidos de ventas online que además generan miles de devoluciones y cambios. Todo esto alimenta la maquinaria de las empresas de transporte y mensajería como DHL, con lo que estadísticamente está plenamente justificada la intención de los ciberestafadores.

La trampa. El botón de pago

Por supuesto 1,74€ no son ni una gran logro ni una gran pérdida (aunque si la campaña triunfa puede generar una auténtica fortuna tal como analizamos en este caso), pero no perdamos de vista que lo verdaderamente preocupante es el uso que vayan a hacer con los datos bancarios capturados en la web trampa que atiende al desafortunado intento de pago. Ahí sí que puede haber drama.

El botón rojo que indica El pago completo no nos lleva a la plataforma de pago online oficial de DHL, sino que se desvía a la dirección

https://zhn8-d5zz.accessdomain.com/XXX/ES/DHL.ES/unlock.php

Hemos maquillado la URL para evitar visitas no deseadas, pero la ruta de la dirección ya evidencia que los estafadores pueden (y lo hacen) segmentar estos ataques por idioma y por tanto región/-es; para el caso en español por lo que pueden abarcar un gran volumen de víctimas potenciales.

Mensaje literal DHL de la supuesta entrega en espera