Los ciberataques casi siempre empiezan con un clic en el lugar equivocado. Puede ser en un enlace que nos lleva a una web de descarga, en un adjunto de un correo electrónico fraudulento o, también, en un SMS. En una época marcada por la revolución digital y móvil, en que convivimos con más tecnologías que nunca, los mensajes de texto siguen siendo una puerta de entrada abierta para los ciberdelincuentes. Es lo que se conoce como smishing.
El smishing es, en realidad, un tipo de phishing. Los ciberdelincuentes se hacen pasar por alguien, una persona o una entidad, de apariencia confiable para lograr sus fines fraudulentos. En el caso del smishing, lo hacen utilizando un SMS aparentemente inofensivo. De acuerdo con el Instituto Nacional de Ciberseguridad (INCIBE), el smishing “es una técnica que consiste en el envío de un SMS por parte de un ciberdelincuente a un usuario simulando ser una entidad legítima con el objetivo de robarle información privada o realizarle un cargo económico”.
Estos fraudes suplantan la identidad de todo tipo de entidades o personas con el objetivo de que los usuarios que reciben el SMS hagan clic en un enlace hacia una web falsa. En esta continúa la suplantación de identidad y se intenta que el usuario descargue un archivo, haga una transferencia o incluso llame a un teléfono de tarificación especial. De acuerdo con la Oficina de Seguridad del Internauta (OSI), existen una serie de claves para reconocer un intento de smishing:
Un intento de smishing no persigue objetivos muy distintos a los de otros tipos de ciberataques. Tal como señala la compañía de ciberseguridad Kaspersky, el objetivo suele ser el robo de datos personales o de dinero. En el caso de una empresa, las consecuencias podrían ser mayores porque podría implicar el robo de datos de clientes o de cantidades económicas más abultadas. Para hacerlo, el SMS fraudulento suele tener tres objetivos principales:
El smishing, como el phishing, es una técnica de ingeniería social. Es decir, busca obtener información confidencial a través de la manipulación de usuarios legítimos. En este sentido, la protección frente al smishing no se consigue con complicados sistemas de seguridad ni costosas soluciones tecnológicas. La primera línea defensa, y la más importante, es el factor humano. Para no sufrir un ataque de smishing en la empresa y gestionar los ciberriesgos de forma adecuada es fundamental que los empleados estén al día de estas técnicas y mantengan una serie de buenas prácticas que impidan que los ciberdelincuentes tengan éxito.
Para ello, es clave saber reconocer el smishing mediante los tres rasgos señalados en el primer apartado de este artículo. Además, todo usuario debe tener en cuenta los siguientes consejos que recoge la OSI:
Los intentos de fraude mediante smishing son bastante comunes. Entre los anzuelos más habituales destacan el SMS urgente del banco que asegura que nuestra cuenta ha sido bloqueada y necesita información para que vuelva a funcionar o el mensaje de una cadena comercial asegurando que hemos ganado un premio económico. Los siguientes son dos casos de smishing recientes detectados en España.
Cada año, coincidiendo con la campaña de la renta, se produce el mismo tipo de ataque, según alerta el INCIBE. El objetivo del SMS, que parece llegar de la Agencia Tributaria, es que el receptor acceda a una página fraudulenta en la que se intentan sustraer los datos bancarios.
La solución más efectiva es la prevención: no hacer clic en enlaces sospechosos. Aun así, si se cae en el anzuelo, es importante ponerse en contacto inmediatamente con el banco para anticiparse a posibles operaciones.
Este es otro de los ataques habituales. De acuerdo con el INCIBE, son varias las compañías de paquetería cuya identidad ha sido suplantadas en diferentes intentos de smishing. En este caso, el SMS suele pedir al usuario que pague los gastos de envío para recibir un paquete que, de otro modo, no podrá ser entregado. Teniendo en cuenta el alto volumen de compras online que existen en la actualidad, los ciberatacantes esperan que alguien acabe mordiendo el anzuelo.
La solución, de nuevo, vuelve a pasar por la prevención. Basta con no hacer clic en el enlace del mensaje y eliminar el SMS. Aun así, si se accede a la web y se facilita la información bancaria, es importante ponerse en contacto con el banco para que estén al corriente de la situación y bloqueen la tarjeta.
Sea cual sea el nivel de sofisticación empleado por los delincuentes, al final el smishing no deja de ser un simple engaño. Así, la medida de mitigación de riesgos más efectiva es estar al corriente de estas prácticas y no caer en la trampa de los cibercriminales.
