El diálogo se originó porque uno de ellos era un vendedor y tenía publicada una consola de videojuegos Playstation 4 en el popular sitio. Las dos personas que participan, aparentemente de Buenos Aires, habían sido vinculadas por Mercado Libre, uno era el comprador y el otro el vendedor. El hombre que había publicado la consola no se había percatado que el producto seguía estando visible en la plataforma, lo que indicaba que seguía disponible en el sitio. En el correo electrónico que había recibido, supuestamente de parte de Mercado Libre, con un formato muy similar al de los que envía la plataforma, le pedían su dirección y le explicaban que un motomandados iba a retirar la consola y luego de eso, el recibiría el pago, algo que lógicamente nunca pasó.
El caso es un buen ejemplo de pishing o suplantación de identidad. Aquí los estafadores se hicieron pasar por los mensajes que Mercado Libre genera automáticamente al realizar una venta, copiando hasta el más mínimo detalle del diseño del mensaje e induciendo al usuario a que entregue el artículo sin darse cuenta que está siendo robado. A continuación, las capturas de pantalla de la conversación.
Cómo funciona Mercado Libre
El sistema de transacción del sitio cuenta con la protección de Mercado Pago y funciona de la siguiente manera: alguien se crea una cuenta de usuario y publica un producto para vender, otra persona lo compra, así la plataforma devela los datos de contacto de cada uno entre las dos partes. El comprador elige el medio de pago, sea cual sea, exceptuando el efectivo, la compra está protegida ya que el dinero no se le depositará al vendedor hasta tanto la persona que adquirió el producto lo califique como «positivo». El vendedor en cambio puede recurrir a un administrador de la plataforma con el comprobante de entrega del correo o la encomienda firmado por el comprador, en caso de que éste no quiera calificarlo para liberarle el pago.En el caso narrado, el vendedor sufrió una estafa ya que alguien había accedido a su cuenta de Mercado Libre y a través de ella, a los productos que tenía publicados en la plataforma y fue solo cuestión de seleccionar qué artículo querían que el «les regale». Posteriormente le avisaron a la víctima que su artículo había sido vendido, y que iban a buscar la Playstation (en este caso) por la dirección que él les había proporcionado. Luego de eso le explicaron que el pago le sería acreditado en su cuenta cuando el comprador lo califique. El vendedor solo se dio cuenta cuando un verdadero usuario adquirió la consola a través de la plataforma, ya que de haber sido vendida automáticamente se hubiera marcado como invisible y nadie más podría verla.
Pishing y otro caso en Mercado Libre
Luego de darse a conocer esta situación, otro usuario de Mercado Libre publicó un video, en el mismo grupo de Facebook, contando que habían querido estafarlo de otra manera con el mismo método, el pishing. Aquí el engaño era diferente, el joven recibió un correo electrónico, supuestamente de la plataforma de compra venta, donde le indicaban que habían tenido que cerrar su cuenta por «un comportamiento irregular» y al final del mail le dejaban una enlace donde debía ingresar para reestablecer su usuario. El detalle es que lo único que los estafadores no pueden copiar es el dominio de Mercado Libre, por lo general los correos electrónicos oficiales enviados de la plataforma tiene un formato como no-responder@mercadolibre.com, en tanto que los falsos generalmente figuran con dominios desconocidos o en gmail, o hotmail.Teniendo conocimiento de esto, el usuario siguió los pasos como si fuera a caer en el engaño. Al hacer click en el enlace que le proporcionaban para «recuperar su cuenta» el navegador lo redireccionó a un sitio con exactamente el mismo diseño y formato de Mercado Libre donde le pedían que ingrese su usuario y contraseña, y luego le solicitaban los datos completos de su tarjeta de crédito. El usuario ingresó información falsa y el sitió le validó los datos y para completar el trámite, debía subir una foto de su DNI de frente y del reverso, algo que Mercado Libre jamás solicita.
Si el usuario hubiera ingresado los datos del plástico, su usuario y contraseña y la imagen del DNI tal como le solicitaban, los estafadores estarían en condiciones de usar su tarjeta de crédito e incluso hacer compras fuera del sitio. El video que grabó el usuario en el que cuenta el intento de estafa que había sufrido
Un antecedente similar
El pasado 16 de enero el sitio Infobae publicó una nota en la que Elena Paolini, una redactora y publicista freelancer había sido víctima de un robo mediante su tarjeta de débito. En este caso, los ladrones le habían logrado sustraer $6.000 en pequeñas transacciones de su caja de ahorro sin utilizar el plástico. El método que utilizaron los estafadores fue de crear una billetera virtual en el conocido sitio Todo Pago, que permite vincular una tarjeta de débito y así realizar compras y transferencias sin necesidad de tener ninguna identificación. Para conseguir la información de su tarjeta, bastó con tomar una fotografía en la que se vieran los datos del titular y los números de identificación que tiene impreso el plástico, en un momento de descuido de la propietaria.En éste último caso, Todo Pago reconoció la falla de seguridad de su sistema y le reintegró el dinero a Paolini. En cuanto al hombre que entregó su Playstation 4, lo único que se puede leer al final de los mensajes es «Voy a hacer la denuncia en la policía a ver si tengo suerte».
A tener en cuenta
Para no ser víctima de una estafa por pishing, hay que ignorar los correos electrónicos con dominio dudoso, por ejemplo, si es un mensaje de Mercado Libre debería ser no-responder@mercadolibre.com, o ventas@mercadolibre.com.Evitar compras en sitios desconocidos o extranjeros que soliciten el ingreso de datos de las tarjetas de crédito o personales. No brindar esa información en los chats que generan algunas plataformas.
Cuando se realice un pago con tarjeta en un comercio, controlar que el plástico esté siempre a la vista, ya que hay máquinas similares a postnets que sirven para clonar las tarjetas, o en algunos casos, con una simple fotografía basta para causar varios dolores de cabeza.
Asegurarse de que cuando se están por introducir datos sensibles, la dirección de la página en la parte superior del navegador comience con https y no con http. La "s" es de "seguro", eso nos da la tranquilidad de que el sitio está cifrado y protege los datos que estamos por ingresar contra terceros.
.png)
.jpg)
.png)
.jpg)
