INCIBE ha alertado de una nueva campaña de smishing que está suplantando la identidad de varias entidades bancarias. El objetivo, en esta ocasión, ha sido alertar de una transferencia he incitar a los usuarios a llamar a un número de teléfono incluido en el mensaje.
Una característica clave de esta estafa es que los ciberdelincuentes logran que los SMS se integren en el hilo de conversación que el usuario ya tiene con su banco, lo que les hace confiar en que ese mensaje también proviene del banco, pero no es así. Al llamar al número incluido en el mensaje, los estafadores intentan obtener información personal y financiera de la víctima.
Teniendo en cuenta lo ocurrido, es crucial saber identificar este tipo de ingeniería social y, por ello, repasaremos las características comunes de estos mensajes y las medidas que podemos adoptar para protegernos de este tipo de ataques.
¿En qué consiste el smishing?
El smishing es una variante de phishing que utiliza mensajes de texto (SMS) en lugar de correos electrónicos para engañar a las personas (el término es una combinación de “SMS” y “phishing”). En esencia, los ciberdelincuentes envían mensajes de texto que simulan provenir de fuentes verídicas, como bancos, empresas de entrega de paquetes, el gobierno o incluso contactos conocidos. Estos mensajes suelen crear un sentimiento de urgencia o curiosidad, incitando a la víctima a hacer clic en un enlace malicioso o a llamar a un número de teléfono fraudulento.
El objetivo principal del smishing es obtener información personal confidencial con fines maliciosos, como nombres de usuario, contraseñas, números de tarjetas de crédito o información bancaria.
Este tipo de ingeniería social es muy efectiva porque las personas tienden a confiar más en los mensajes de texto que en los correos electrónicos, lo que los convierte en blancos fáciles para este tipo de estafas.
¿Cómo podemos identificar estos mensajes?
Para detectar un mensaje de smishing presta atención a los siguientes indicios:
- Sensación de urgencia: estos mensajes tratan de generar una necesidad de actuar rápidamente. En este caso alertaba de una transferencia por un importe de dinero alto para asustar al usuario y que llamara al número de teléfono fraudulento.
- Contenido sospechoso (a pesar del remitente): aunque el remitente parezca ser tu banco y se integre en el hilo de SMS legítimo, el contenido puede ser engañoso, ya que es muy raro que tu banco te envíe un SMS con un número de teléfono para que llames.
- Solicitud de información personal o financiera sensible: las entidades bancarias y los organismos oficiales no pedirán, mediante SMS, información sensible como contraseñas, números de tarjeta o códigos de autenticación que no has solicitado previamente. En esta ocasión se solicitaba dicha información a través del número de teléfono incluido en el mensaje.
- Enlaces o números de teléfonos desconocidos: estos mensajes incluyen enlaces o URLs que no coinciden con la web oficial. En caso de que proporcionen un número de teléfono, este no coincide con el número oficial de la entidad u organización.
Una vez que has aprendido a identificar las características de un mensaje de smishing, es crucial saber cómo actuar de manera correcta para protegerte y evitar caer en la trampa de los ciberdelincuentes. Tu reacción puede marcar la diferencia entre mantener tu información segura o comprometerla.
¿Cómo debemos actuar ante estos mensajes?
- Mantén la calma y no actúes impulsivamente: el primer paso es no dejarte llevar por la urgencia o el miedo que los atacantes intentan generar. Tómate un momento para evaluar la situación antes de actuar.
- No respondas al mensaje ni hagas clic en enlaces: bajo ninguna circunstancia debes contestar al SMS sospechoso. Del mismo modo, evita hacer clic en cualquier enlace que venga incluido en el mensaje, por muy inofensivo que parezca. Estos enlaces suelen redirigir a páginas web fraudulentas diseñadas para robar tus credenciales o instalar un malware en el dispositivo.
- No llames a ningún número proporcionado en el SMS: los ciberdelincuentes incluyen un número de teléfono en el mensaje para que les contactes directamente. Al llamar, te atenderá un estafador que intentará manipularte para que reveles información sensible.
- Contacta directamente con tu banco a través de sus canales oficiales: si te preocupa la veracidad del mensaje o tienes dudas sobre la seguridad de tu cuenta, la única forma segura de verificarlo es contactando directamente con tu entidad bancaria.
- Borra el mensaje: una vez verifiques que el mensaje es fraudulento es recomendable borrar el SMS del dispositivo para evitar confusiones o posibles acciones accidentales.
- Comunica el incidente: considera denunciar lo ocurrido a tu propio banco. Asimismo, también puedes contactar con INCIBE o con la Policía.
El smishing es uno de los métodos más comunes de ingeniería social, que, además, se evoluciona y adapta constantemente. Por ello es de suma importancia conocer las características principales de este método de engaño y cuáles son las formas de protegerse para no ser una víctima de smishing.
