¿Por qué hay que desconfiar hasta de los SMS que nos lleguen como si fuera de nuestro banco?

Como si fuera un banco, sea este BBVA, BCP, Interbank o Scotiabank, envían un SMS informando que: "lamentamos informarle que su cuenta ha sido desactivada. Por su seguridad le rogamos que complete la siguiente verificación". Y un enlace a una web que imita a la del banco donde solicita introducir los datos personales. Preste atención al siguiente informe y no forme parte del gran porcentaje de estafados con este método.

Es el último caso de lo que se conoce como 'smishing', un caso de phishing aplicado a los SMS. Un ataque que se repite periódicamente y puede venir camuflado bajo todo tipo de entidades, sean bancos como operadoras, pasando por tiendas o servicios que tengamos contratados.

¿Qué es el phishing? Esta es una estafa que tiene como objetivo obtener mediante internet datos privados de los usuarios, especialmente para acceder a sus cuentas o datos bancarios. El 'Smishing', en cambio, es un tipo de delito o actividad criminal a base de técnicas de ingeniería social con mensajes de texto dirigidos a los usuarios de telefonía móvil. Se trata de una variante del phishing

A principios de julio, el propio Instituto Nacional de Ciberseguridad (INCIBE) alertaba de los mensajes de texto que suplantan al BBVA para capturar nuestros datos, dándole una alta importancia de 4 sobre 5.

Los afectados son aquellos clientes de las entidades por las que se hacen pasar los jackers informáticos. Intentan suplantar al banco enviando SMS que llegan al mismo hilo en el que se encuentran los mensajes originales de la entidad, en este caso del BBVA.

Nunca acceda desde un enlace recibido vía SMS. En caso de dudar, es recomendable acudir directamente a la web del banco o ponerse en contacto con el banco por otras vías.

En caso de haber sido víctima de este engaño, es importante cambiar la contraseña y contactar con el banco ante una futura estafa.

El mensaje llega al mismo hilo que el resto y apunta a un enlace, con aspecto de la web oficial pero que en realidad es una web fraudulenta. Si acabamos colocando los datos personales, estos llegarán a manos de los atacantes y en consiguiente seremos presa fácil de estos delincuentes.

¿Cómo consiguen que esos mensajes lleguen al mismo hilo que los oficiales? Para conocer la respuesta debemos entender cómo funcionan los SMS. La técnica utilizada se conoce como SMS Spoofing, que consiste en enviar un mensaje desde una fuente desconocida haciéndose pasar por una fuente habitual, con el mismo ID del usuario original.

Los hilos de los SMS se basan en una selección de caracteres y hay servicios como SMSGang o Spoofbox que permiten seleccionar el campo "from" para elegir cuál será el remitente.

Para hacerse pasar por el BBVA o cualquier otra entidad lo que tienen que hacer los atacantes es repetir el identificador utilizado por el banco, que en este caso es simplemente el nombre de la propia entidad.

Una técnica "sencilla" para los atacantes y por la que conviene estar alerta. Como en el 'phishing' de los correos, la recomendación siempre es vigilar que el mensaje parezca legítimo y sobre todo no dar datos personales mediante enlaces que hemos recibido directamente.