UNIR Revista
Este fraude consiste en el envío de un SMS haciéndose pasar por una institución o empresa para recabar datos personales, acceder a cuentas bancarias o que el usuario descargue malware.
Los fraudes a través de dispositivos digitales aumentan y se perfeccionan a medida que crece su uso tanto a nivel personal como profesional. Uno de ellos es el smishing, una técnica que consiste en el envío de SMS por parte de ciberdelincuentes haciéndose pasar por una entidad legítima —como un banco— con el objetivo de que quien lo recibe realice un pago, descargue malware o se pueda acceder a su información privada.
El uso del SMS entre particulares ha quedado casi relegado tras la irrupción de otros sistemas de comunicación instantánea como WhatsApp. Sin embargo, los SMS profesionales han experimentado una tendencia inversa y, de hecho, según la Comisión Nacional del Mercado de la Competencia (CNMC), en España se realizaron en 2021 más de 5.440 millones de envíos de este tipo, lo cual supone más del 84 por ciento del total.
Este tipo de mensajes se utilizan por parte de la administración, empresas u ONG para la confirmación y recordatorio de citas, publicitar ofertas, recaudar fondos, etc. Algunos ciberdelincuentes se aprovechan de estos usos para suplantar la identidad de una identidad legítima enviando mensajes fraudulentos.
Cómo funciona el smishing
El smishing emplea los SMS para contactar con usuarios particulares haciéndose pasar por otras empresas o la administración con el fin de acceder a sus cuentas bancarias, datos personales, llamar a un número de teléfono de tarificación especial, acceder a un enlace con malware, dar de alta suscripciones a determinados servicios, etc. Para ello, simula mensajes parecidos a los que suelen emplear las entidades reales en este tipo de comunicación, creando una falsa urgencia como decir que su tarjeta de crédito ha sido bloqueada, que no podrá acceder a su banca online, que tiene un aviso urgente muy importante, que ha ganado un premio, etc.
Normalmente el smishing implica que el usuario que recibe el SMS deba realizar algún tipo de acción, como acceder a un enlace, introducir datos personales, su número de cuenta, etc. Por ejemplo, se le indica que su cuenta bancaria ha sido desactivada y que para recuperarla debe entrar en una página web en la que hay introducir las claves de acceso a la cuenta y el número de tarjeta.
Riesgos personales y corporativos del smishing
El smishing supone un grave perjuicio tanto para particulares como empresas y entidades públicas. En el caso de personas supone:
- Acceso a datos sensibles/personales que pueden ser utilizados para suplantar nuestra personalidad digital.
- Uso de nuestro correo electrónico y redes sociales.
- Realizar transacciones económicas a nuestro nombre.
- Robo de dinero.
- Bloquear nuestras cuentas bancarias.
- Disponibilidad de datos bancarios que pueden venderse a terceros.
- Activación de virus en los dispositivos digitales.
- Derivación a webs fraudulentas en la que se introduce información personal, como correo y contraseña, a la que pueden acceder los ciberdelincuentes.
Para las empresas y organismos públicos el smishing también supone un daño ya que afecta a su imagen y confianza ante el consumidor y, además, deben gestionar incidencias provocadas por terceros que, en algunos casos, suponen un grave perjuicio en sus clientes, como el bloqueo de una cuenta bancaria o transacciones con tarjetas de crédito. Por eso, es importante que adopten una serie de medidas como:
- Informar a sus clientes que nunca piden datos personales por SMS u otros medios de comunicación digitales como WhatsApp o correo electrónico.
- Comunicar a los clientes qué medios utilizará para ponerse en contacto con ellos.
- Alertar periódicamente sobre el riesgo del smishing introduciendo, por ejemplo, un banner al abrir la aplicación de la banca online.
- Enviar mensajes claros en los que se especifique el remitente y no un simple número de teléfono.
- Contar con un buen sistema de ciberseguridad en sus comunicaciones tanto a nivel interno como con proveedores y usuarios. Para ello, es importante contar con especialistas en el área, con formaciones como las que aporta el Máster en Ciberdelincuencia online de UNIR.
Claves para detectar y evitar el smishing
Entre los consejos para detectar el smishing señalar:
- Desconfiar de mensajes que prometen premios o que informan de que hemos sido ganadores de un concurso.
- Sospechar siempre de SMS solicitando datos personales o transferencias de dinero.
- Fijarse en la ortografía y redacción. Si hay errores gramaticales o parece ser una traducción automática es indicativo de fraude.
- Las entidades financieras nunca solicitan por SMS datos sensibles, como el número de cuenta o el PIN de tarjetas.
- Fijarse en el número de teléfono desde el que recibimos el mensaje ya que, por ejemplo, que tenga pocos dígitos puede indicar que proviene de una dirección de email.
- Comprobar el remitente, especialmente en aquellos casos en los que solo consta un número de teléfono o símbolos sin el nombre de la empresa.
- Desconfiar de información sobre gestiones o procesos que no hemos realizado, como postularse a un puesto de trabajo, el envío de un paquete, concursos, etc.
- Controlar los movimientos de nuestras cuentas bancarias para detectar cobros o compras sospechosas.
- No guardar contraseñas ni datos bancarios en el teléfono móvil.
¿Cómo actuar en caso de ser víctima de smishing?
En caso de que haber sido víctima de este tipo de fraude cibernético, es importante seguir una serie de recomendaciones:
- Escanear nuestro smartphone con un antivirus.
- Eliminar los archivos o enlaces adjuntos que hayamos descargado del SMS en cuestión.
- Cambiar las contraseñas de cuentas que hayan podido ser vulneradas, como correo electrónico, redes sociales, tarjetas bancarias, etc.
- En caso de estar relacionado con nuestra entidad financiera, ponerse en contacto con ella para alertarla.
- Denunciar el caso ante la Policía o la Guardia Civil aportando el mayor número posible de pruebas.
- También se puede reportar al INCIBE, el Instituto Nacional de Ciberseguridad.
Los delitos del siglo XXI pueden cometerse sin contacto alguno entre delincuente y víctima, como es el caso del smishing. Por eso, es fundamental seguir una serie de medidas básicas a nivel particular y que empresas e instituciones públicas implementen sistemas de ciberseguridad.
