Los cibercriminales no dejan de buscar nuevas vías para cometer sus crímenes, haciendo gala de un incuestionable ingenio, mediante el uso de ingeniería social y las nuevas tecnologías, por lo que mediante esta modalidad de estafa, consiguen obtener el código de verificación, conocido como doble factor de autenticación (2FA), o verificación en dos pasos. Consiguiendo, de este modo, acceder a las cuentas de usuarios de servicios tales como CoinBase, Paypal, Amazon entre otros.

Los ciberdelincuentes deberán tener una lista o base de datos con el email y contraseña de dichos usuarios. Esta parte, aunque parezca que es la parte más compleja del plan, suele resultar, sorprendentemente, la parte más sencilla del acto; ya que debemos de recordar que cuando un servicio o compañía sufre una brecha de datos, estos datos son publicados (incluso de manera gratuita) o puestos a la venta en foros underground, donde se exponen datos personales de los usuarios.

Una vez los cibercriminales cuentan con estos datos, es hora de desplegar la artillería, en este caso, a través de bots que pueden adquirirse desde los 100$ hasta los 1000$ por suscripción.

El siguiente paso consiste en ingresar el número de teléfono de la víctima junto a un comando y el nombre del servicio que quiera suplantar, El bot realiza una llamada a la víctima haciéndose pasar por el susodicho servicio o compañía, mediante la excusa de que hubo un movimiento sospechoso u otro pretexto. Para ello hace creer a la víctima que deberá verificar su identidad ingresando un código que recibirá en su teléfono (2FA), y es en el momento de ingresar dicho código que, de manera automática, el ciberdelincuente recibirá el mismo código a través de esta herramienta.

Fuentes:
https://unaaldia.hispasec.com/2021/11/robo-del-codigo-de-autenticacion-2fa-mediante-bots-de-voz.html

https://www.vice.com/en/article/y3vz5k/booming-underground-market-bots-2fa-otp-paypal-amazon-bank-apple-venmo