Campaña de Suplantación de Bróker Forex
Un solo actor malicioso operando 12 canales de suplantación dirigidos a un bróker forex regulado, con un promedio de 47 nuevas víctimas por semana antes de la intervención.
Panorama de la Amenaza
Un solo actor malicioso había establecido 12 canales Telegram suplantando a un bróker forex regulado de la UE. Cada canal utilizaba activos de marca oficiales extraídos del sitio web del bróker y presentaba falsos 'gestores de cuenta' que ofrecían señales de trading apalancado. Las víctimas eran canalizadas a través de un bot Telegram que solicitaba depósitos en billetera para 'requisitos de margen'. El actor utilizaba tarjetas SIM desechables y cuentas Telegram compradas en Fragment, rotando canales cada 72 horas para evadir la detección automatizada.
Cronograma del Compromiso
Día 1
Descubrimiento de Red
Escaneo de variantes de nombre de usuario (distancia de Levenshtein) para descubrir los 12 canales clones activos. Marcados 3 canales históricos que habían sido eliminados.
Día 2-4
Atribución y Rastreo
Rastreo de direcciones de billetera de depósito en cadena. Identificación de 2 billeteras TON conectadas con historial de transacciones vinculado a clusters de estafas conocidos. Descubrimiento de un grupo Telegram público donde el actor reclutaba miembros.
Día 5-7
Desmantelamiento y Disrupción
Inicio de desmantelamiento paralelo en los 12 canales. Envío de direcciones de billetera a plataformas de análisis blockchain para listas negras. Disrupción de operaciones de reclutamiento mediante infiltración de grupo.
Día 8-10
Monitoreo
El monitoreo posterior al desmantelamiento detectó 2 canales adicionales creados por el mismo actor en 48 horas. Ambos fueron neutralizados dentro de las 6 horas posteriores a su creación.
Tácticas Utilizadas
Resultados
Volver a Casos de Estudio