Creían hablar con Apple: 195,000 $ en criptomonedas evaporados en Singapur

Una ventana emergente, una llamada, y la billetera se vacía. La Fuerza Policial de Singapur ha emitido una alerta pública sobre una estafa que usurpa la identidad de Apple para sifonar criptomonedas. Al menos cinco víctimas han sido registradas, con más de 195,000 dólares singapurenses desaparecidos (casi 130,000 euros), y un modus operandi que no requiere ninguna destreza técnica: una notificación bien colocada, una voz tranquilizadora al teléfono, un código de seis dígitos obtenido en el momento adecuado.

El comunicado de la policía singapurense menciona dos nombres de dominio utilizados por los estafadores, << chat-apple.com >> y << case-apple.com >>, así como un prefijo telefónico recurrente: << +1 >>, el de América del Norte.

Puntos clave {#h-puntos-cles}

• Al menos cinco víctimas en Singapur y más de 195,000 dólares singapurenses en criptomonedas robadas a través de una suplantación del soporte de Apple
• El escenario combina una falsa notificación de seguridad, una llamada desde un prefijo << +1 >> y sitios falsos << chat-apple.com >> y << case-apple.com >>
• El Apple ID comprometido da acceso al llavero de iCloud y a las notas, donde muchos almacenan imprudentemente su frase semilla
• Las claves de acceso, la lista blanca de direcciones de retiro y el almacenamiento fuera de línea de las claves cortan la cadena antes de la transferencia

Una notificación, una llamada y la mecánica se cierra {#h-una-notificacion-un-appel-et-la-mecanique-se-referme}

Todo comienza con una alerta inesperada en el dispositivo Apple de la víctima: se habrían realizado intentos de acceso no autorizados a su cuenta, es necesario cambiar la contraseña de su Apple ID sin demora. Unos momentos después, suena el teléfono. Al otro lado de la línea, un supuesto técnico del soporte de Apple confirma la mala noticia y toma el control de la conversación.

La víctima es entonces dirigida a uno de los sitios de asistencia falsos, donde se le piden sus credenciales de Apple, las de su cuenta de criptomonedas, y luego los famosos OTP (One-Time Passwords, esos códigos de un solo uso que se supone validan cada operación sensible). Con este llavero completo, los estafadores acceden a las cuentas de trading o a las billeteras vinculadas y transfieren los fondos en cuestión de minutos. La mayoría de las víctimas solo se dieron cuenta de lo que había sucedido al descubrir el historial de transacciones salientes.

El detalle del prefijo << +1 >> no es trivial. En Singapur, todas las llamadas entrantes desde el extranjero se indican con un << + >> delante del número, una medida impuesta a los operadores precisamente para desactivar este tipo de suplantación. Una salvaguarda que pesa poco cuando la pantalla acaba de mostrar una alerta de seguridad y el interlocutor habla el lenguaje del soporte técnico.

<< Apple nunca te pedirá que compartas tu contraseña de Apple ID, tus códigos de un solo uso o cualquier otra identificación de inicio de sesión a través de llamadas telefónicas no solicitadas, ventanas emergentes o enlaces. Nunca divulges esta información a nadie. >>

Departamento de Asuntos Públicos, Fuerza Policial de Singapur -- Fuente

El Apple ID, esa llave maestra que los estafadores codician {#h-l-apple-id-ce-passe-partout-que-les-escrocs-convoitent}

Ninguna línea de código de la blockchain fue forzada en este caso. Los atacantes apuntan al nivel anterior: la cuenta de usuario y su propietario. Un Apple ID comprometido abre el acceso al llavero de iCloud, a las notas sincronizadas y a la fototeca. Sin embargo, es exactamente ahí donde muchos inversores guardan, por comodidad, una captura de pantalla de su frase semilla o una nota que contiene sus doce palabras. Una vez que el identificador de Apple cae, la billetera sigue sin resistencia.

Resta la capa OTP, el último candado antes del retiro. No cede ante un ataque informático, sino ante una conversación telefónica bien llevada: la víctima dicta ella misma el código que autoriza la transferencia. Y a diferencia de un fraude con tarjeta de crédito, ningún procedimiento de reembolso vendrá a recuperar el error. Una transferencia confirmada en la cadena es definitiva, lo que convierte a estas cuentas en un objetivo mucho más rentable que una cuenta corriente.

Singapur no es nuevo en estas alertas. La ciudad-estado había registrado más de 51,000 casos de estafa solo en el año 2024, con aproximadamente 1.1 mil millones de dólares singapurenses robados, un récord. El Parlamento respondió con la Ley de Protección contra Estafas, que autoriza a la policía a congelar temporalmente las operaciones bancarias de una persona considerada bajo influencia. Una herramienta eficaz frente a una transferencia bancaria, pero mucho menos efectiva ante un retiro de criptomonedas ejecutado desde una plataforma ubicada al otro lado del mundo.

ADD, CHECK, TELL: Las recomendaciones de la policía

La policía de Singapur presenta sus recomendaciones en tres pasos, resumidos por el acrónimo ACT:

• ADD: instalar la aplicación gubernamental ScamShield para bloquear llamadas fraudulentas, activar la autenticación de dos factores en el Apple ID y en todas las cuentas de criptomonedas, limitar los montos de transacción cuando la opción esté disponible.
• CHECK: verificar la legitimidad de cualquier llamada, ventana emergente o enlace a través de los canales oficiales de Apple, y controlar la actividad de su billetera a través de la aplicación del proveedor, nunca a través de un enlace recibido.
• TELL: informar a su proveedor de servicios de criptomonedas, a sus seres queridos y a la policía, a través de la línea 1800-255-0000 o el portal iWitness.

Algunos ajustes adicionales cierran la puerta aún más temprano. Reemplazar el OTP por SMS por una clave de acceso (passkey) o una clave de seguridad física quita a los estafadores el objeto mismo de su llamada, ya que no hay código que dictar. Activar la lista blanca de direcciones de retiro en su exchange, con el período de carencia de 24 a 48 horas aplicado después de cualquier adición o conexión desde un nuevo dispositivo, deja tiempo para reaccionar. Y una frase semilla no debe estar en la nube, en una nota o una foto: su lugar es un soporte fuera de línea, idealmente una billetera de hardware.

Un punto de referencia suele ser suficiente para detener todo: el soporte de Apple solo existe en apple.com y support.apple.com, y nunca llama primero para solicitar un identificador. << chat-apple.com >> y << case-apple.com >> nunca han pertenecido a la firma de Cupertino. En caso de duda, la línea ScamShield 1799 responde las 24 horas, y el portal scamshield.gov.sg enumera las variantes en circulación.

Este contenido se ofrece únicamente con fines informativos generales y no constituye un asesoramiento financiero, de inversión, legal ni fiscal. Cualquier evento, recompensa, promoción en línea o información relacionada que se mencione en el presente documento no debe considerarse como una recomendación, solicitud o invitación a comprar, vender, operar o de negociar de otra manera con cualquier criptoactivo. Los criptoactivos son sumamente volátiles y pueden provocar pérdidas. La disponibilidad de los servicios, productos y eventos relacionados de WEEX puede variar según la región. Tienes la responsabilidad de asegurarte de que tu participación esté de acuerdo con las leyes y regulaciones locales vigentes.