La red oscura - Eduardo Casas Herrer

llevar a cabo al invadir ordenadores de uno en uno. Por ello, una vez detectada una
vulnerabilidad en cualquier programa, idean una herramienta que les pueda servir
para sus propósitos, de una complejidad muy variable. Algunos de ellos no difieren
demasiado del phishing que vimos en el capítulo seis. En 2012 la empresa de
seguridad Eset detectó un código malicioso en hasta veintidós aplicaciones Android,
llamado Boxer, que infectaba el teléfono y suscribía a sus víctimas, sin que ellas lo
detectasen, a un servicio SMS Premium. Este tipo de mensajes telefónicos tienen la
característica de que la empresa emisora cobra a quien los recibe; es el receptor quien
paga por ellos. Aunque su uso es legal —por ejemplo para obtener consultas de
astrología solicitadas de antemano—, es utilizado con asiduidad por los delincuentes.
Boxer era capaz de detectar el país en que se encontraba y redirigir los SMS a una u
otra empresa. En España el número en cuestión era el 35969, de la empresa World
Premium Rates, cuyo principal contratista legal era un número de tarot de Tenerife.
Como los teléfonos Android no pueden infectarse sin la colaboración activa de su
dueño, el gancho que utilizaban era el de aplicaciones con apariencia de juegos o
sobre salud que el incauto instalaba sin saber que, desde ese momento, cada vez que
la ejecutaba, hacía que le enviasen tres SMS de alto coste, engordando de manera
notable la factura a fin de mes.
Dos años después, el antivirus español Panda Security avisaba de cuatro
aplicaciones que se habían colado durante un tiempo en la tienda de Google —hasta
que fueron detectadas y eliminadas— con una forma de funcionamiento muy similar,
aunque todavía un poco más intrincada. Sus nombres eran «Dietas para reducir
abdomen» y «Peinados Fáciles» de Clark Beggage por un lado y «Cupcakes recetas»
y «Rutinas y ejercicios para el gym» de CanarApp por otro. Una vez instalada,
mostraba un aviso en segundo plano y tamaño ilegible sobre lo que nos iban a cobrar
por el mero hecho de usarla, para darle una apariencia de legalidad que, de hecho, no
tenía. A partir de ahí, la programación era más sofisticada que los anteriores. Los
servicios SMS Premium, para evitar estos abusos, exigen introducir un código de
seguridad que envían al usuario, también mediante mensaje de texto. Pues bien, este
virus capturaba el número de teléfono del usuario —que, por diseño de los
terminales, suele ser invisible para las aplicaciones—, que es obligatorio
proporcionar para acceder a la mensajería instantánea de WhatsApp. Una vez que lo
tenía, se suscribía al servicio y, sin que el usuario lo viese, recibía el mensaje de
confirmación y validaba el código. Después eliminaba los SMS recibidos y enviados.
De esta forma, hasta la primera factura la víctima no era consciente de que estaba
infectada.
El año anterior, la Brigada de Investigación Tecnológica de la Policía Nacional
detuvo a un ingeniero murciano de veintitrés años que había estafado, en tan solo dos
meses, a más de once mil personas, lo que le proporcionó un beneficio de cuarenta
mil euros, gracias en parte a una intensa campaña de publicidad online. Usaba uno de
los ganchos más populares entre aquellos con menos cultura informática: WhatsApp
www.lectulandia.com - Página 158