Recientemente un grupo de expertos de Eset, compañía especializada en ciberseguridad, detectó una aplicación maliciosa que intenta utilizar la popularidad ‘Clubhouse’, para robar datos personales e información bancaria de usuarios Android.

Se trata de una app falsa que simula ser la versión de de Clubhouse para dispositivos Android, reconocida plataforma de contenidos en formato audio a la que solo se accede por invitación y cuya versión solo existe para iPhone. 

De acuerdo con los expertos, la app falsa es distribuida desde un sitio web que tiene imita la apariencia de la página oficial de de Clubhouse. Esta aplicación maliciosa esconde un troyano que tiene la capacidad de robar las claves y datos de acceso para al menos de 458 plataformas en línea.

Entre la lista plataformas y servicios que puede robar información están las aplicaciones de exchange de criptomonedas y servicios como Twitter, WhatsApp, Facebook, Amazon, Netflix, Outlook, eBay, Coinbase, Plus500, Cash App, BBVA y Lloyds Bank.

“El sitio web parece el auténtico. Es una copia bien lograda del sitio web legítimo de Clubhouse. Sin embargo, una vez que el usuario hace clic en ‘Obtenerla en Google Play‘, la aplicación se descargará automáticamente en el dispositivo del usuario», explicó Lukas Stefanko, investigador de Eset que identificó el troyano.

El experto también recordó que los sitios web legítimos siempre redirigen al usuario a Google Play en lugar de descargar directamente la aplicación.

¿Cómo opera el virus?

Una vez que la víctima cae en la trampa y descarga e instala la app maliciosa, el troyano intenta robar sus claves mediante un ataque de superposición, conocido en inglés como ‘overlay attack’. Cada vez que un usuario inicia sesión en una red social u otra plataforma, el malware creará una pantalla que se superpondrá a la de la app original y solicitará al usuario que inicie sesión.

Gracias a esta técnica la victima entrega, sin saberlo, todas sus claves de acceso a los ciberdelincuentes.

Expertos recomiendan usar herramientas como la verificación en dos pasos mediante SMS, pues este recurso ayuda a impedir que se logre acceder a las cuentas en caso de tener el malware en el teléfono.

Recomendaciones de seguridad

• Solo utilice tiendas oficiales para descargar aplicaciones en sus dispositivos.
• Tenga cuidado con los tipos de permisos que se otorga a las apps.
• Mantenga su teléfono actualizado, configure la instalación automática de actualizaciones.
• Si es posible, use tokens de contraseñas de un solo uso (OTP) basados en hardware o software en lugar de SMS.
• Antes de descargar una aplicación, investigar un poco sobre el desarrollador, las calificaciones y reseñas que han puesto otros usuarios de la aplicación.
• Utilice una solución de seguridad móvil de confianza.