Els anuncis d’Instagram que suplanten institucions financeres com Bank of Montreal (BMO) i EQ Bank (Equitable Bank) s’utilitzen per apuntar als consumidors canadencs amb estafes de pesca i frau d’inversió.

Alguns anuncis fan servir vídeos hipertrucats basats en intel·ligència artificial per intentar recollir la vostra informació personal, mentre que d’altres fan servir la marca oficial per generar trànsit fora de la plataforma cap a dominis il·lícits semblants que no estan afiliats a bancs.

Suplantar de prop la marca del banc

Ens hem trobat amb diversos exemples d’anuncis d’Instagram que poden semblar gestionats per bancs canadencs, però que són estafes.

Un exemple d’anunci que es mostra a continuació afirma ser d’«Eq Marketing» i imita molt la marca i l’esquema de colors d’EQ Bank, tot i que promet un rendiment d’interès força optimista del «4,5 %».

En tocar la pantalla, però, et porta a una falsificació RBCpromos1[.]cfd lloc web de pesca que no està afiliat a EQ Bank i intenta recollir les vostres credencials bancàries.

Les lletres «RBC» del domini de pesca també impliquen que el domini podria haver estat associat a altres campanyes de pesca dirigides, per exemple, als consumidors de RBC o Royal Bank of Canada, un dels bancs canadencs més grans.

En tocar «Sí, continuar amb el meu compte» es presenta a l’usuari una pantalla d’inici de sessió fraudulenta a «EQ Bank», que demana les credencials bancàries.

Per contra, un anunci legítim d’EQ Bank vist per nosaltres a plataformes com Reddit condueix als visitants al lloc web oficial eqbank.ca (i es veu que promou un tipus d’interès més realista).

Ús de vídeos hipertrucats d’IA d’un estrateg bancari

Un altre anunci fraudulent amb el títol «BMO Belski» apareix com a story a Instagram. L’anunci demana als usuaris unes quantes preguntes de selecció com ara «Quant de temps fa que inverteixes en accions?»

Les preguntes de selecció són una eina de participació habitual que fan servir els anunciants legítims per avaluar els seus clients potencials abans de dirigir-los a les ofertes de productes més rellevants.

En aquest cas, però, després de respondre aquestes preguntes falses, l’usuari es dirigeix ​​a una pantalla que li demana que enviï informació de contacte a l’anunciant, és a dir, «BMO Belski».

L’anunci és intel·ligent: no només fa un mal ús del nom de BMO, sinó que també implica afiliació amb Brian Belski, l’estrateg en cap d’inversions del banc i líder del grup d’estratègia d’inversió. Es pot enganyar un usuari ocasional perquè cregui que se li ofereix assessorament financer i productes d’inversió creïbles d’un expert reconegut.

A més, ens vam adonar que els anuncis de «BMO Belski» reproduïen vídeos de Belski generats per intel·ligència artificial, atraient la gent a un «grup privat d’inversió de WhatsApp».

“L’anunciant de Facebook no està a Instagram” 

Un tema comú que vam observar entre aquests anuncis era que els comptes d’anunciants que els executaven no existien a Instagram, sinó només a Facebook.

‘BMO Belski’ té un pàgina de Facebook (arxivat) amb més de mil seguidors, però sense presència a Instagram on es mostrin els anuncis de l’entitat.

Meta Business Manager permet executar anuncis d’Instagram mitjançant la teva pàgina de Facebook (sense tenir un compte l’Instagram).

El motiu exacte dels estafadors que segueixen aquesta ruta no està clar. Sospitem, però, que fer-ho estalvia als estafadors la molèstia d’establir la seva presència i el seu seguiment a Instagram, cosa que podria trigar temps. A més, els comptes d’Instagram de creació recent (enllaçats a un anunci) poden ser més fàcils de detectar que… si simplement no existissin.

Curiosament, la pàgina de Facebook ‘BMO Belski’, que existeix des del 27 d’octubre de 2023, conté només dues publicacions, totes dues fetes aquesta setmana.

Abans de fer-se per suplantar la identitat del portaveu de BMO, la pàgina es va anomenar originalment «Brentlinger Matt Blumm» quan es va crear, un altre signe que els actors d’amenaça reutilitzaven actius digitals com les pàgines de xarxes socials robades, com el domini de pesca RBCpromos 1 esmentat anteriorment.

Mentre que la creació de pàgines noves per a les seves estafes tindria una data de creació recent, cosa que advertiria d’alguna cosa anòmala, reutilitzar les pàgines dona més credibilitat als estafadors, perquè ara poden demostrar que una pàgina existeix durant un temps i té seguidors (siguin reals o robots).

Vam informar dels anuncis fraudulents a Instagram, però aquests anuncis van continuar apareixent fins i tot dies després, indicant els perills d’aquestes campanyes a causa dels retards logístics a l’hora de destruir-les.

BleepingComputer es va posar en contacte amb BMO i EQ Bank per fer-los conèixer aquestes campanyes. També ens hem adreçat a l’equip de comunicació de Meta per fer comentaris.

Una font familiaritzada amb l’assumpte va dir a BleepingComputer que Meta està investigant actualment aquest contingut i eliminarà qualsevol que es consideri fraudulent.

EQ Bank va dir a BleepingComputer que és conscient de la campanya d’anuncis de pesca i està treballant de manera proactiva amb les plataformes per retirar-les com més aviat millor.

«Per descomptat, no els consentim ni els avalem de cap manera», va dir un portaveu d’EQ Bank a BleepingComputer.

«És lamentable que aquest tipus d’estafes tan elaborades estiguin en augment per aprofitar-se dels clients».

«La seguretat i la protecció dels nostres clients continuen sent la nostra màxima prioritat. Instem als nostres clients que tinguin precaució quan es trobin amb promocions en línia i que verifiquin la legitimitat de qualsevol comunicació tot contactant amb nosaltres directament a través dels nostres canals oficials. També hem informat a tota la nostra base de clients de l’augment d’aquest tipus d’estafes per assegurar-nos que són conscients sobre què han de buscar i on han de ser prudents.»

Els lectors n’han de ser conscients quan fan clic als anuncis de plataformes de xarxes socials com ara Instagram i Facebook, fins i tot si aquests semblen ser d’organitzacions legítimes i porten la seva marca.

Els anuncis que apareixen des de comptes d’Instagram amb una insígnia de «verificat», que es mostra més amunt, poden proporcionar una seguretat addicional sobre la seva credibilitat. Tanmateix, els usuaris haurien d’assegurar-se que els condueixin a llocs web o formularis que no siguin suplantacions sinó dominis i actius oficials de l’organització a la qual diuen que representen.

Com diu la dita, si sembla massa bo per ser veritat, probablement ho és.