Técnicas como el spoofing están permitiendo sofisticar el smishing y disparar las cifras de fraude bancario por SMS
Índice de contenidos
Un simple mensaje telefónico puede amargarte la existencia. Las cifras de fraude bancario por SMS (conocido como smishing) no paran de crecer. En buena medida, por las capacidades cada vez mayores de los ciberdelincuentes para sofisticar sus ataques y suplantar a bancos y entidades financieras. El Banco de España y el Instituto Nacional de Ciberseguridad (INCIBE) han alertado sobre el repunte de estos incidentes.
¿Cuál es la razón de este crecimiento? Principalmente, el perfeccionamiento de técnicas como el spoofing. Una práctica que permite lanzar el mensaje como si procediese directamente desde el banco de la víctima, en muchas ocasiones, insertando el mensaje en el hilo de las conversaciones precedentes con la entidad.
En definitiva, dándole una apariencia de legitimidad a lo que en realidad es un fraude bancario por SMS.
Procedamos, entonces, a analizar las principales cuestiones relacionadas con esta ciberestafa.
¿Qué es el fraude bancario por SMS o smishing?
El smishing es una forma de phishing que emplea SMSs para engañar a los usuarios de banca con el propósito de obtener información confidencial. Los mensajes simulan alertas bancarias, bloqueos de cuenta o movimientos sospechosos para generar una reacción en el receptor. Una reacción que posteriormente será aprovechada para materializar la estafa.
Los textos suelen ser alarmantes y se apoyan en la urgencia para generar nerviosismo en el usuario. ¿Un ejemplo frecuente? “Tu cuenta ha sido bloqueada. Accede aquí para verificar tus datos”.
Al hacer clic en la url que incorpora el SMS, el usuario aterrizará en una página fake donde introducirá sus credenciales bancarias. En muchos casos, los actores hostiles llegan a pedir códigos de verificación o incluso inducen a marcar combinaciones que activan redirecciones de llamadas.
Ejemplos de fraude bancario por SMS
La alerta del Banco de España y el INCIBE por el crecimiento imparable del smishing no es casual. Y no lo es porque esta clase de ataque presenta con frecuencia altas tasas de eficacia debido a que el usuario está habituado a recibir SMS de su banco. Dicho en román paladino, está confiado.
A ello hay que sumarle además un dato inquietante: la tasa de clics en enlaces SMS supera ampliamente a la de los mails. Según Klaviyo y Constant Contact, la diferencia es de un 14,5% frente a un 2% en favor de los primeros.
Estos son algunos de los ejemplos más típicos de mensaje que esconden casos de fraude bancario por SMS:
- Aviso de cargo no autorizado.
- Supuesto intento de acceso desde un dispositivo desconocido.
- Promociones falsas o reembolsos urgentes.
- Redirecciones que instalan malware o secuestran el dispositivo.
El target global
El análisis de las estadísticas de esta clase de ciberestafa arroja además otra conclusión preocupante. No hay un target definido. No importa si eres joven o mayor, mujer u hombre. Todos estamos expuestos al smishing.
Incluso las empresas. En su caso, por el crecimiento del teletrabajo y el uso de dispositivos personales para acceder a las redes corporativas (lo que se conoce como modelo BYOD).
De nuevo las grandes cifras son concluyentes en este sentido. De acuerdo con el estudio State of the Phish 2024 de Proofpoint, el 75 % de las organizaciones experimentaron ataques de smishing en 2023. La FTC (Comisión Federal de Comercio de EE. UU.), por su parte, sostiene que el 10 % de los mensajes de smishing suplantan a instituciones financieras.
Cuidado con el SMS Spoofing
En la expansión, pero sobre todo eficacia, del fraude bancario por SMS ha influido decisivamente el spoofing. Gracias a esta técnica, el atacante logra colocar su mensaje con una apariencia de legitimidad que despista al receptor, quien acabará por pinchar en el enlace que acompaña el SMS.
En esencia, el spoofing tiene su origen en la existencia de proveedores que permiten personalizar el nombre del remitente. Así, el mensaje se cuela en la misma conversación donde están los mensajes reales del banco y acabar por detonar la estafa.
A ello se suma, obviamente, el perfeccionamiento del diseño de las páginas en las que se aterrizan a las víctimas. Webs que replican con una fidelidad muy precisa la del banco en cuestión. En ocasiones, distinguir las buenas de las fraudulentas no resulta fácil para el ojo no entrenado.
En la url, eso sí, siempre encontrará una prueba de la trampa.
Sea como fuere, el spoofing inquieta de forma muy notable a bancos y expertos en ciberseguridad. ¿Por qué? Por la dificultad para detectarlo y, sobre todo, por su eficacia. No en vano, ha sido protagonista de miles de casos de fraude bancario por SMS solo en España, de acuerdo con fuentes oficiales.
Y si caigo en la trampa… ¿Qué puedo hacer?
Afortunadamente para las víctimas del smishing, el vishing o el phishing, el Tribunal Supremo acaba de marcar un hito en la protección de los derechos de los consumidores. El alto tribunal estableció en abril pasado la obligación de los bancos de devolver el dinero por estos fraudes bancarios.
Será así salvo que la entidad financiera logre demostrar negligencia o dolo (voluntad de estafar) por parte del cliente. Esto es, ahora, la carga de la prueba recaerá sobre el banco, lo que representa un punto de inflexión en favor de los clientes y empresas que aspiren a recuperar el dinero de un fraude bancario.
Cinco consejos para evitar el fraude bancario por SMS
El sentido común, la información y ciertas dosis de tranquilidad conforman la mejor receta para hacer frente al smishing. Con todo, hay otros consejos que resultarán de utilidad para evitar verse envuelto en un incidente de esta naturaleza:
- Desconfía siempre de los SMS inesperados. Especialmente si incluyen enlaces o piden datos sensibles. Y recuerda: un banco jamás te pedirá tus credenciales a través de un mensaje, un mail o una llamada telefónica.
- No introduzcas códigos en tu teléfono si no comprendes su función.
- No pinches en enlaces ni escanees códigos QR recibidos por SMS. Accede a tu banco desde su app oficial o escribiendo la URL directamente en el navegador.
- Activa las alertas de seguridad en tu app bancaria para detectar movimientos sospechosos.
- Verifica con tu banco cualquier mensaje dudoso usando canales oficiales (teléfono de atención, web, oficina).
En conclusión
Todo indica que el fraude bancario por SMS no va a desaparecer. A los ciberdelincuentes les gusta esta modalidad porque es barata y altamente rentable. Precisamente por eso es vital mantenerse informado, recelar de cualquier comunicación inesperada y sospechosa y estar al tanto de los derechos legales que le asisten como consumidor. Sobre todo ahora que se puede recuperar el dinero de una estafa online.
La moraleja final es sencilla: si un SMS te parece urgente, sospechoso o poco habitual, detente y verifica. Tu dinero y tu identidad están en juego…
