Un equipo de investigadores de la firma de seguridad ESET ha descubierto en Google Play dos apps falsas para cambiar bitcoins y otras criptomonedas que roban los credenciales de la cuenta de Gmail de las víctimas.
Ambas herramientas decían ser la app oficial de Poloniex, uno de los principales sistemas de intercambio de bitcoins, altcoins y otras criptomonedas más populares del mundo, por lo que además de obtener las claves de la cuenta de Google también roban la contraseña de este servicio.
La primera aplicación maliciosa llegó a Google Play a finales del mes de agosto y estaba publicada con el nombre POLONIEX y el desarrollador Poloniex. Aunque los usuarios ya habían dejado comentarios y opiniones desfavorables, eso no impidió que entre el 28 de agosto y el 19 de septiembre la instalaran unos 5.000 usuarios.
La segunda app falsa, llamada POLONIEX EXCHANGE del desarrollador Poloniex Company no se ha extendido tanto gracias a la notificación de ESET. Fue detectada por sus expertos el pasado 15 de octubre, y para cuando fue eliminada de Google Play ya acumulaba alrededor de 500 instalaciones.
Una vez instalados en el móvil Android, ambos programas maliciosos roban las credenciales de Poloniex cuando las víctimas las introducen en la pantalla inicial. Si el usuario no tiene activado el doble factor de autenticación, los atacantes ya tienen el acceso a su cuenta para hacer transacciones, cambiar los ajustes o impedir el acceso al propietario modificando la contraseña.
Tras esto, el sistema muestra una supuesta pantalla para activar la verificación de dos pasos pasos de Google, invitando a la víctima a ingresar sus usuario y password. Si escribe y manda los datos también quedarán en poder de los criminales.
Si has instalado alguna de estas apps falsas de Poloniex, elimínalas cuanto antes, cambia tus contraseñas de Poloniex y Gmail y habilita el doble factor de autenticación en ambos servicios. Para no caer en estas estafas en el futuro, antes de instalar aplicaciones de servicios online que ya utilizas asegúrate de que son las oficiales. Además, evita facilitar los credenciales de tu cuenta de Google en ventanas emergentes de apps de terceros.
