Veinte personas, una ruta por varias tiendas y un iPhone que «mentía» muy bien. Esa es la base de la historia que ha traído de cabeza a la policía de Pensilvania y que demuestra que, a veces, el mejor hackeo no es romper el cifrado de un servidor, sino engañar a la persona que tienes delante.
No tuvieron que ser unos genios de la ingeniería inversa ni buscar el exploit más escondido de Apple Pay. Lo que hicieron estos estafadores fue ir al eslabón más débil de la cadena: la confianza de la persona que está en caja. Si ves la interfaz de Apple Pay y oyes el «clin» de aprobado, asumes que todo es legal. Y ahí estaba la trampa.
El falso Apple Pay que engañaba al personal de caja
El trasfondo de la operación estaba en lo que llevaban instalado en el iPhone. Según la investigación policial del municipio de Montgomery, el grupo utilizaba una aplicación de cartera modificada para imitar la interfaz de Apple Pay.
El funcionamiento era doble. Por un lado, la pantalla mostraba la animación exacta de Apple Pay (la tarjeta, la confirmación, el tick azul) para que el empleado de la tienda viera una transacción normal y no sospechara nada. Por otro, la aplicación inyectaba a través del NFC datos de tarjetas de crédito robadas, pertenecientes a clientes del banco JP Morgan Chase.
Usaban tecnología de tokens de un solo uso, igual que el sistema original, pero alimentada con tarjetas que no eran suyas. El datáfono aceptaba el pago porque los datos bancarios eran válidos, y el cajero no veía nada raro porque la pantalla del iPhone le decía que era un pago estándar. Al tratarse de Apple Pay, el cajero no pedía verificación de persona porque se entiende que la tarjeta es la de tu propio iPhone.
Objetivo: tarjetas regalo de 125 dólares
El grupo no improvisaba. Tenían una ruta establecida por los supermercados Wegmans y las tiendas Home Depot de los condados de Montgomery, Bucks y Delaware. Y siempre iban a por lo mismo: tarjetas regalo por valor de 125 dólares. Es el método clásico para blanquear tarjetas robadas, ya lo hemos visto alguna que otra vez.
Compran una tarjeta regalo antes de que el banco anule la tarjeta de crédito original y convierten ese saldo en dinero limpio, imposible de rastrear. Sin nombres y anónimo. El problema fue la repetición. Los sistemas de seguridad de Wegmans detectaron en enero un patrón: grupos de personas visitando múltiples tiendas en el mismo día para hacer siempre la misma compra.
El final en un parking de Home Depot
La investigación dio sus frutos. La policía, que ya seguía la pista de estas «rutas de compra», localizó a Zhenying Wu, uno de los sospechosos, entrando en el aparcamiento de un Home Depot.
Zhenying Wu conducía un Nissan Altima con matrícula de Nueva Jersey. Al registrar el vehículo, los agentes encontraron la prueba definitiva: múltiples tarjetas regalo de Apple y Macy’s, junto con recibos de tiendas como Dick’s Sporting Goods que coincidían con la actividad fraudulenta detectada. El banco JP Morgan Chase confirmó después que todas esas operaciones correspondían a las cuentas robadas.
Zhenying Wu ha sido acusado de falsificación, robo de identidad y fraude. Pero no está solo: al menos 20 personas más han participado en esta red, y la investigación sigue abierta para identificar y detener al resto de la organización. Una trama que demuestra que, a veces, para saltarse la seguridad más avanzada, solo hace falta una buena imitación.
En Applesfera | Nuevos iPhone 18 – Todo lo que creemos saber sobre ellos
En Applesfera | Nuevo iPhone plegable – Todo lo que creemos saber sobre él
–
La noticia
Han estado meses comprando «gratis» en tiendas gracias a un iPhone trucado. Su método imitaba a Apple Pay tan bien que nadie sospechó durante meses
fue publicada originalmente en
Applesfera
por
Guille Lomener
.
