Seguro que alguna vez has recibido un mensaje que te prometía una recompensa fácil, que era muy alarmante o que te pedía ayuda para alguien conocido. Cuidado, lo más probable es que el SMS fuese un fraude y el emisor, un ciberdelincuente.
Definición de smishing
El smishing es un tipo de ciberataque en el que los delincuentes envían mensajes de texto (SMS) fraudulentos aparentando ser de bancos, empresas de envíos, entidades gubernamentales u otros servicios confiables (tiendas, empresas…). Su objetivo es engañar a las víctimas para que revelen información personal, como contraseñas, datos bancarios o credenciales de acceso.
¿Cómo funciona un ataque de smishing?
El objetivo principal de este tipo de fraudes es obtener información personal como usuarios y contraseñas, números de teléfono o domicilios e información bancaria para así poder llevar a cabo otros fraudes o hacerse con el dinero de la víctima. A través de esa suplantación de identidad, los ciberdelincuentes incitan a sus víctimas a entrar en una página web falsa, descargarse algún archivo malicioso o realizar una transferencia, una suscripción o una llamada a un número de tarificación especial.
Ejemplos de smishing
Debido a que la variedad de mensajes de smishing es amplia, el Instituto Nacional de Ciberseguridad (INCIBE) recoge en su página web los tipos más comunes para que la próxima vez que los recibas no caigas en la trampa:
- Suplantación de entidades bancarias: estos mensajes suelen alertarte del inicio de sesión en un nuevo dispositivo, de la fecha de caducidad de una tarjeta o de un nuevo cargo elevado en la cuenta. A continuación, ofrecen un enlace para aclarar esas situaciones o verificar tu identidad y ahí es cuando roban tu información.
- Suplantación de entidades públicas: del mismo modo, avisando de la necesidad de actualizar determinado servicio o del reembolso de un impuesto, puedes recibir SMS falsos que se hacen pasar por la Agencia Tributaria, la Seguridad Social o las Fuerzas y Cuerpos de Seguridad del Estado, entre otros.
- Suplantación de empresas de paquetería: este tipo de mensajes advierten de la ausencia de un dato en la dirección en la que debe entregarse el paquete o de un pago de las tasas de aduana.
- Suplantación de otras entidades privadas: estas pueden ser compañías eléctricas, proveedores de servicios de Internet…, y suelen atraer la atención con sorteos, premios, descuentos o problemas de seguridad en tu cuenta.
Casos reales de fraude por smishing
La página web del INCIBE también incluye casos reales de smishing para que sirvan de ejemplo y eviten el engaño de nuevas víctimas.
El primero de ellos cuenta el caso de un menor que recibió un SMS de un número extranjero ofreciéndole varias opciones de regalo de una franquicia de hamburguesas muy conocida. Para recibir alguna de ellas solo debía contestar al mensaje. Lo hizo y cuando, a final de mes, llegó la factura del móvil, comprobó que desde su teléfono se habían enviado más de cien mensajes a números extranjeros y eso había multiplicado el valor de la factura.
Otro caso es el de una mujer adulta a la que le robaron su cuenta de WhatsApp. Recibió varias llamadas de países extranjeros a las que no contestó y finalmente un mensaje en el buzón de voz en el que le facilitaban un código de verificación de inicio de sesión de WhatsApp. De esta forma, los ciberdelincuentes consiguieron robarle su cuenta. Además, sospechaba que habían llegado hasta ella haciendo lo mismo con uno de sus contactos, del que habían extraído su número de teléfono para empezar a hacer llamadas.
Diferencias entre phishing y smishing
Quizá hayas relacionado los casos anteriores con otras situaciones similares que te han ocurrido o que te han contado. Sin embargo, existen varias técnicas fraudulentas que responden a un mismo interés y que pueden confundirse. El phising, al igual que el smishing, busca obtener información confidencial de sus víctimas. No obstante, su forma de actuar no es a través de SMS, sino mediante de correos electrónicos.
¿Cómo prevenir y evitar el smishing?
Para evitar ser víctima de un ataque de smishing hay diferentes consejos fáciles de aplicar. Si queremos prevenir este tipo de fraudes en las personas de nuestro alrededor, podemos hacerles llegar esta información y, además, analizar con ellas los diferentes SMS que nos llegan y decidir si son peligrosos o no.
Consejos para protegerte del smishing
La principal forma de protección ante el smishing es ser capaz de reconocer por ti mismo un mensaje fraudulento. Estas son las características más comunes de estos SMS para que te mantengas alerta:
- Remitente desconocido: los remitentes de SMS fraudulentos suelen ser desconocidos y tan solo se hace referencia a la empresa suplantada en el cuerpo del mensaje. No obstante, esta técnica cada vez es más avanzada y la apariencia tiende a asemejarse más a la de la empresa real, así que no es suficiente signo de confianza que el remitente incluya el nombre o logo de la empresa.
- Errores gramaticales y ortográficos: estos no son habituales en entidades con buena reputación, pero sí en los SMS fraudulentos.
- Solicitudes inusuales o te piden información confidencial: Te solicitan datos personales, bancarios o credenciales de acceso. Debe llamarte la atención el hecho de que se te solicite información personal.
- Enlaces sospechosos: nunca hagas clic en un enlace si no estás seguro de su procedencia, ya que puede llevarte a una web maliciosa o descargar de forma automática una aplicación.
- Amenazas o urgencia: un SMS fraudulento suele incitar a la víctima a tomar medidas de manera rápida para evitar tener problemas.
¿Qué hacer si has sido víctima de smishing?
Si estos consejos han llegado tarde y crees que ya has sido víctima de un ataque de smishing, el INCIBE recomienda aplicar los siguientes pasos para anular los posibles efectos:
- Escanea tu dispositivo con un antivirus actualizado.
- Elimina cualquier archivo que hayas descargado desde el SMS o cualquier enlace adjunto.
- Cambia las contraseñas de las cuentas que hayan podido ser vulneradas.
- Activa la verificación en dos pasos en las cuentas que lo permitan para evitar la suplantación de identidad.
- Contacta con el banco para cancelar pagos no autorizados e incluso tu tarjeta.
- Bloquea los SMS que se consideren spam.
- Recopila toda la información posible y denuncia ante las Fuerzas y Cuerpos de Seguridad del Estado.
