Si usas PayPal, atento a esta estafa en la que está cayendo casi todo el mundo
Un nuevo tipo de estafa está afectando a los usuarios de PayPal, y lo alarmante es lo real que parece. No hay errores ortográficos evidentes, remitentes sospechosos ni fallos gramaticales.
Para colmo, el correo electrónico proviene directamente de la dirección legítima de PayPal: [email protected]. A simple vista, es casi imposible desconfiar… y eso es precisamente lo que lo hace tan peligroso.
🎁 ¡Tenemos nuevos cupones de AliExpress hasta 70€ válidos hasta el 26/3! ¡Corre!
El origen de la estafa: una función útil, convertida en trampa
PayPal lanzó hace poco una función llamada dirección de regalo, diseñada para facilitar el envío de productos a direcciones distintas sin tener que actualizar manualmente el domicilio principal del usuario. Aunque es una herramienta útil—sobre todo para quienes envían regalos o hacen compras para otros—, los estafadores han encontrado la manera de convertir esta funcionalidad en un arma de engaño.
Utilizando el sistema automatizado de notificaciones de PayPal, los estafadores logran enviar correos que parecen completamente legítimos. El usuario recibe un mensaje advirtiendo que se ha añadido una nueva dirección de envío y que se ha confirmado una compra costosa. Todo parece indicar que alguien ha hackeado su cuenta.
El objetivo final de estos criminales es inducir al usuario al pánico para que instale un software de acceso remoto (RAT), permitiendo así que el estafador tome el control total del equipo.
Cómo funciona exactamente el fraude
El truco radica en el aprovechamiento del sistema de correos automáticos de PayPal. Cuando se realiza un cambio en una cuenta (como añadir una dirección nueva), PayPal envía una confirmación automática al titular.
Los estafadores se aprovechan de esto. El estafador accede a una cuenta de PayPal, ya sea propia o una que ha hackeado, y añade una nueva dirección. Al hacer esto, PayPal envía automáticamente un correo de confirmación al titular de la cuenta. Este correo proviene directamente del dominio real de PayPal, por lo que parece completamente legítimo.
Luego configuran un reenvío automático que permite que ese correo llegue a la víctima. El correo legítimo de PayPal se envía primero a una dirección falsa que ellos controlan, la cual está configurada para reenviar el mensaje a una lista de distribución de Microsoft 365. Esa lista incluye miles de direcciones de correo electrónico, todas posibles víctimas.
Para hacerlo aún más alarmante, suelen añadir un mensaje personalizado en el campo de dirección de regalo, indicando que has comprado un artículo de alto valor, como una consola de videojuegos. También incluyen un número de atención al cliente falso para que llames inmediatamente.
¿Por qué esta estafa es más peligrosa que otras?
A diferencia de los ataques tradicionales de phishing, donde los correos provienen de dominios falsificados o con errores en la dirección del remitente, esta nueva estafa utiliza directamente la infraestructura legítima de PayPal.
Como el correo proviene realmente de [email protected], los filtros de spam no detectan nada sospechoso. Esto genera una sensación de confianza en la víctima, que no percibe que se trata de un fraude hasta que ya es demasiado tarde.
El momento crítico: cuando decides llamar
Si caes en la trampa y decides llamar al número incluido en el correo, te atenderá una persona que suena profesional y convincente. Te agradece por contactar y se presenta como empleado de PayPal. Te explica que tu cuenta ha sido vulnerada y que se están realizando compras fraudulentas en tu nombre.
A continuación, viene la parte peligrosa: te piden que instales un programa de soporte remoto como TeamViewer, ConnectWise o AnyDesk. Estas herramientas son legítimas y se usan en entornos técnicos, pero en manos equivocadas se convierten en puertas abiertas a tu privacidad.
Una vez que das acceso, el estafador puede:
- Entrar a tu cuenta de PayPal.
- Cambiar la configuración de seguridad.
- Robar contraseñas y acceder a tus bancos.
- Instalar programas espía para monitorizarte más adelante.
Algunos casos incluso reportan que los delincuentes observan en tiempo real cómo las víctimas ingresan sus contraseñas, tomando el control al instante.
Cómo protegerte de esta amenaza
Lo primero que debes hacer si recibes un correo alarmante de PayPal es mantener la calma. No llames al número incluido en el mensaje ni hagas clic en ningún enlace sospechoso.
Sigue estos pasos:
- Ve directamente a PayPal escribiendo la dirección manualmente en tu navegador.
- Revisa tu historial de actividad: si no ves ninguna transacción sospechosa, probablemente todo está bien.
- Verifica tus direcciones guardadas: si no hay cambios, ignora el correo.
- Nunca instales software a pedido de correos no solicitados.
PayPal nunca incluye números de teléfono en sus correos. Cualquier mensaje que lo haga debería levantar sospechas de inmediato.
