Cuando el usuario abría la página que se mostraba en el correo veía la captura de la derecha, que muestra una página muy similar a la del banco, incluso con su política de privacidad incluida al final del formulario. En el formulario se le pedían toda serie de datos, desde los personales, hasta el PIN de la tarjeta.

Ya que la anterior estafa utilizaba tanto un servidor gratuíto para alojar las páginas como un redireccionamiento gratuito también para intentar cierto parecido con el banco, en esta ocasión el o los autores del intento de estafa se han tomado unas cuantas molestias más.

En primer lugar registraron un dominio (con toda seguridad bajo un nombre falso) que hacía que pareciera aún más creible que el correo provenía del BBVA. El dominio que eligieron fue http://grupobbvanet.com, que puede llevar a engaño a cualquiera, incluso cliente del BBVA.

Después crean un subdominio (no entiendo muy bien por qué) http://w3.grupobbvanet.com que por medio de un frame apuntaba a otra página: http://www.dufoniks.com/new.html

Aqui es donde se han tomado más molestias, ya que la página en cuestión corresponde a una empresa de Canadá la cual previamente habían crackeado para subir los archivos necesarios. En esta imágen se puede ver la anterior página principal de la empresa.

Además de subir el formulario se valieron de que el servidor donde estaba alojada la página admitía php para subir un archivo sendmail.php, que hacía el envío a una dirección de correo donde el estafador o estafadores recogerían los datos.

En estas dos últimas capturas se puede observar que el código estaba construido por medio de javascript, probablemente para intentar ocultar la página que enviaba el formulario. Así como una de las páginas que habían creado para hacer más creible el engaño y que muestra cómo encontrar el código de seguridad de la tarjeta de crédito.