En las últimas horas ha aparecido un sitio fraudulento que ofrece números tarjetas de crédito y débito de forma gratuita y a través de la instalación de un aplicación móvil de Android (.APK) e iOS (.IPA).

El sitio web se encuentra alojado en un proveedor gratuito de hosting llamado Weebly y simplemente ofrece la aplicación móvil que hay que descargar para luego acceder a las datos de las tarjetas (robadas):

Luego de descargar e instalar la aplicación, en un video promocional el delincuente promete mostrar cierta cantidad de tarjetas de crédito/débito listas para usar. En esta imagen se puede ver la aplicación funcionando y mostrando dicha informació, según el video del delincuente grabado en junio pasado:

Suponiendo que creamos que esto es cierto, se puede descargar la aplicación (en este caso el APK para Android) y analizar el código fuente. En mi caso simplemente descargué el APK (5MB) y decompile la aplicación. Luego de dedicar pocos minutos, se puede obtener un enlace a otro sitio web también alojado en Weebly, desde donde efectivamente se muestra la información de las tarjetas:

En este caso se puede acceder directamente al sitio y visualizar la misma información de tarjetas:

Como conclusión, se puede decir que efectivamente la aplicación muestra tarjetas (que pueden ser válidas o no) pero además también muestra publicidad y Ads al usuario, de forma tal que cualquiera que la instale, en realidad está beneficiando al delincuente al ver publicidad y/o potencialmente acceder a alguna de ellas.

Si bien, en este caso el delincuente no abusa de los permisos de la aplicación, lo podría hacer sin problemas, desde el mismo momento en que el usuario acepta instalar una aplicación de terceros.

Este es un típico ejemplo donde un delincuente ofrece algo relativamente fácil de obtener a cambio de la instalación de un troyano o de una aplicación que le da acceso al teléfono de la víctima y a ofrecerle publicidad.

Desde Segu-Info hemos denunciado el sitio web y el mismo ya ha sido dado de baja.