La confirmación del pedido sí es de Staples. El número de atención no.

Llega un correo desde orders.staples.com. Pedido número 9939818875, un Apple iPad, y una línea que dice «Helpline 806 283 7712». Usted no ha comprado ningún iPad. El remitente es real, el dominio es real, el mensaje pasa DKIM y DMARC porque Staples lo envió de verdad. Lo único falso que contiene es el número de teléfono, y era lo único que el estafador tenía que aportar.

Cisco Talos publicó la investigación el 21 de octubre. El truco consiste en iniciar una transacción auténtica y escribir el cebo en un campo que el comercio le devuelve impreso al cliente, normalmente algo de los datos de envío o facturación. La versión de Dell cita el identificador de compra 2009829958247 por Microsoft Project Standard 2024 a 736,09 dólares y da «Helpline 808 232 6397». Talos contó unos 1.400 mensajes entre las dos campañas, y la misma idea en otras dos formas: meter su dirección en formularios de alta para que el correo de bienvenida lleve un texto escrito en el campo de nombre o empresa, y abusar de los avisos de entrega fallida para que el cebo llegue dentro de un error del servidor de correo. Más de 25 plataformas legítimas se han usado así en el último año. Como lo resume Talos, se está tratando la infraestructura de confianza como un atajo hacia el contenido de confianza.

El viejo consejo de mirar la dirección del remitente ha dejado de bastar sin hacer ruido, y su sustituto es más estrecho: no llame nunca a un número que llegó con un problema pegado. Si una confirmación de pedido le inquieta, vaya usted mismo a la web del comercio, o al extracto de la tarjeta, y encuentre el cargo o compruebe que no existe. Una llamada que empieza con un número colocado suele terminar con una petición de instalar software de acceso remoto para que la persona amable pueda ayudarle, y ahí es donde empieza el daño de verdad.

Si alguna de estas llega algún día tan lejos, la comprobación de seguridad de Tendvane enumera las herramientas de acceso remoto y los programas no deseados que han aparecido en su PC, que suele ser el primer rastro visible.