Investigadores de la firma de ciberseguridad SafetyDetectives acaban de compartir que recientemente encontraron una base de datos sin protección alguna, sin contraseñas ni cifrado, que pone de relieve la temida existencia de una red organizada para la creación de revisiones falsas en plataformas de comercio electrónico, afectando incluso a la propia Amazon, y cuyo procedimiento hacen parecer revisiones completamente legítimas ante los encargados de revisarlas.
Básicamente, los participantes usaban también mecanismos ajenos a las plataformas como Amazon, especialmente para la comunicación y los pagos, según los datos encontrados en la base de datos desprotegida, compuesta por más de 13 millones de registros, equivalente a 7GB de datos, que encontraron en el servidor ElasticSearch.
Estos registros pertenecen tanto a los revisores como a los proveedores de artículos, llegando a afectar estimadamente de 200.000 a 250.000 usuarios, acorde a los datos personales directa e indirectamente identificables encontrados en los mismos, incluyendo nombres completos, direcciones de correo electrónico, direcciones de Paypal, enlaces a perfiles de Amazon, e incluso números de teléfonos para la comunicación por WhatsApp y Telegram, y más.
Buscando parecer reseñas legítimas ante los moderadores
El modos operandi consiste en que los creadores de reseñas falsas reciben de los proveedores de artículos una lista de artículos para escoger aquel sobre el que desea crear la reseña, realizando posteriormente la compra del artículo escogido, y una vez reciban el artículo en casa, a los pocos días, realizan una reseña falsa, ofreciendo una calificación de cinco estrellas.
Los propios proveedores de la red instaban a los creadores de revisiones a esperar unos días después de recibir los artículos para dar más veracidad a las propias reseñas, llegando incluso a indicarles que realicen reseñas mucho más largas de lo habitual.
Una vez que los creadores de reseñas falsas publican sus reseñas, llegan a ponerse en contacto con los proveedores indicándoles una dirección web con el enlace a sus perfiles en Amazon y sus direcciones de Paypal para que los proveedores de artículos verifiquen que se han realizado las reseñas, siempre con calificación de cinco estrellas, realizando posteriormente el reembolso del importe vía Paypal, aunque en algunos casos han podido llegar a ofrecer algo más.
En la práctica, es conseguir los artículos deseados de forma gratuita a cambio de reseñas falsas con calificación de cinco estrellas.
En este punto cabe recordar que Amazon no utiliza Paypal como sistema de pagos, y este procedimiento permite parecer, a priori, como reseña legítima ante una compra efectuada. Los investigadores desconocen quién es el propietario de la base de datos, por lo que no pudieron hacer la notificación oportuna.
Aún así, cinco días después del descubrimiento de la base de datos, o sea, el 1 de marzo de 2021, el propio servidor la protegió, haciéndola inaccesible a terceros. Los investigadores consideran que la base de datos podría no pertenecer a los proveedores de artículos que forman parte de la red de reseñas falsas, sino más bien a un tercero que se pone en contacto con los revisiones en nombre de los proveedores, o de incluso de una gran empresa con varias subsidiarias.
Más información: SafetyDetectives