El kit de phishing Milk Dragon roba datos de pago mediante falsos descuentos en redes sociales

La empresa de ciberseguridad Group-IB ha detallado el funcionamiento de Milk Dragon, un kit de phishing también rastreado como NaiLong que atrae a compradores en línea mediante falsos descuentos de marcas en redes sociales. Activo desde octubre de 2025, este marco de phishing se ha vinculado a 258 páginas fraudulentas que afectan a víctimas en 66 países.

Explotación del deseo de ofertas en redes sociales

A diferencia de las campañas tradicionales de phishing que recurren al pánico provocado por falsas alertas bancarias, multas impagadas o problemas con entregas de paquetes, Milk Dragon aprovecha el miedo de los consumidores a perderse una oferta. Según Group-IB, los atacantes publican enlaces maliciosos directamente en anuncios ordinarios de los mercados de Facebook y TikTok.

Estas publicaciones promocionan grandes descuentos en bienes de consumo populares e imitan a 21 marcas distintas de sectores como moda, cosmética, alimentación, productos para bebés y supermercados regionales. Entre los objetivos documentados figuran marcas como LEGO, Calvin Klein y Aeon Malaysia. Los señuelos emplean perfiles falsos en redes sociales, algunos de los cuales utilizan contenido generado por IA y recuentos inflados de seguidores para integrarse con naturalidad en las publicaciones.

Captura de pulsaciones de teclas en tiempo real durante el pago

Cuando los compradores hacen clic en los enlaces promocionales, son redirigidos a sitios de WordPress que ejecutan el complemento legítimo de comercio electrónico WooCommerce. Sin embargo, las tiendas también ejecutan un complemento personalizado llamado BytePress, el cual inyecta opciones fraudulentas de pago con tarjeta de crédito y PayPal.

BytePress mantiene una conexión WebSocket persistente con el servidor de comando y control de los atacantes. Esta configuración captura los datos de pago y la información personal carácter por carácter a medida que el usuario escribe, incluso antes de enviar el formulario de pago. A través de este canal en vivo, los ciberdelincuentes pueden navegar de forma activa por la sesión del navegador de la víctima, activar notificaciones personalizadas o validar los datos de la tarjeta en tiempo real.

Intercepción automatizada de 2FA y control centralizado de campañas

Para autorizar las transacciones fraudulentas, el flujo de trabajo muestra una pantalla de carga falsa de Turnstile mientras los operadores presentan una página de verificación suplantada, diseñada para imitar los desafíos de autenticación 3D Secure. Una vez que la víctima introduce la contraseña de un solo uso, los atacantes retransmiten el código de inmediato para completar los cargos no autorizados o apoderarse de las cuentas.

Group-IB informó que el panel de control centralizado del kit permite a múltiples afiliados gestionar campañas, supervisar el tráfico de visitantes y almacenar los registros de tarjetas capturadas organizados por banco emisor y tipo de tarjeta. La infraestructura examinada incluía plantillas que imitaban a 36 instituciones financieras, junto con alertas automatizadas enviadas a través de bots de Telegram. Group-IB aconseja a los consumidores evitar enlaces de descuento no verificados de terceros y ponerse en contacto de inmediato con los emisores de sus tarjetas si detectan actividad sospechosa durante el proceso de pago.

Ilustración editorial generada con IA; no es una fotografía documental.

Fuente: Fake brand discounts on social media prey on shoppers’ fear of missing out