Smishing (Suplantación de identidad por SMS): Estafas por mensaje de texto explicadas
Smishing, acrónimo de SMS y phishing, representa una de las amenazas de ciberdelincuencia de más rápido crecimiento, con la Comisión Federal de Comercio reportando un aumento del 146% en reportes de fraude basado en SMS entre 2020 y 2023. Estos ataques explotan la inmediatez y confianza asociadas con la mensajería de texto, con víctimas perdiendo un promedio de $800 por incidente. A diferencia del phishing por correo electrónico, que a menudo se filtra, los mensajes de texto tienen una tasa de apertura del 98% y se leen dentro de tres minutos de la recepción, lo que los hace vectores de ataque excepcionalmente efectivos. Los estafadores envían mensajes de texto fraudulentos haciéndose pasar por bancos, servicios de entrega, agencias gubernamentales o empleadores para crear urgencia y pánico. Estos mensajes típicamente contienen enlaces maliciosos que conducen a sitios web falsos diseñados para recopilar credenciales de inicio de sesión, números de tarjetas de crédito, números de Seguro Social u otra información sensible. El Centro de Quejas de Delitos por Internet del Buró Federal de Investigaciones recibió más de 52,000 quejas de smishing solo en 2023, con pérdidas totales que superan los 42 millones de dólares. Lo que hace que el smishing sea particularmente peligroso es su capacidad de evadir las medidas de seguridad tradicionales. Los dispositivos móviles a menudo carecen del robusto filtrado de spam y software de seguridad presentes en las computadoras, y los usuarios tienden a confiar más en los mensajes de texto que en los correos electrónicos. Los atacantes aprovechan la tecnología de suplantación para hacer que los mensajes parezcan provenir de números telefónicos legítimos o códigos cortos de empresas, y explotan desencadenantes psicológicos como el miedo al cierre de cuentas, fallos en la entrega de paquetes o problemas fiscales para impulsar la acción inmediata sin pensamiento crítico.
Common Tactics
- • Estafas de entrega de paquetes donde los defraudadores envían textos afirmando que un paquete está retrasado, sin entregar o requiere acción inmediata, con enlaces a sitios falsos de FedEx, UPS, USPS o Amazon diseñados para robar información de pago o credenciales de acceso.
- • Alertas falsas de seguridad de cuenta bancaria que afirman actividad sospechosa, cuentas bloqueadas o verificación requerida, usando números suplantados que coinciden con el banco real de la víctima para parecer legítimos y dirigir a los usuarios a sitios de recopilación de credenciales.
- • Mensajes de suplantación de impuestos o gobierno que afirman impuestos impagos, suspensión del Seguro Social, elegibilidad para pagos de estímulo o amenazas de órdenes de arresto que exigen pagos inmediatos a través de tarjetas de regalo, transferencias bancarias o criptomonedas para resolver problemas fabricados.
- • Ataques de evasión de autenticación de dos factores donde los estafadores envían códigos que parecen provenir de servicios legítimos, engañando a las víctimas para que reenvíen códigos de autenticación que otorguen acceso a cuentas reales dentro de minutos de la interceptación.
- • Notificaciones falsas de premios y sorteos que afirman ganancias de lotería, recompensas de tarjetas de regalo o premios de concursos que requieren que las víctimas paguen tarifas de procesamiento, proporcionen detalles bancarios o hagan clic en enlaces maliciosos para reclamar ganancias inexistentes.
- • Estafas de empleo y nómina dirigidas a empleados con mensajes falsos de departamentos de recursos humanos o ejecutivos solicitando información W-2, cambios de depósito directo o transferencias bancarias urgentes, a menudo programadas durante períodos ocupados cuando la verificación es menos probable.
How to Identify
- Mensajes de texto inesperados de números desconocidos o códigos cortos que pretenden representar empresas familiares, especialmente si no tiene transacciones pendientes, entregas o problemas de cuenta con esa organización.
- Lenguaje urgente que crea presión de tiempo artificial como 'responda dentro de 24 horas', 'se requiere acción inmediata' o 'la cuenta será cerrada' diseñado para eludir su escepticismo natural y forzar decisiones apresuradas.
- URLs acortadas o enlaces sospechosos que no coinciden con el dominio oficial del supuesto remitente, a menudo usando bit.ly, tinyurl.com o variaciones mal escritas de sitios web de empresas legítimas.
- Solicitudes de información sensible por texto incluyendo contraseñas, números de Seguro Social, detalles de tarjetas de crédito o NIP de cuentas, que las organizaciones legítimas nunca solicitan a través de comunicaciones por SMS.
- Saludos genéricos como 'Estimado cliente' o 'Titular de cuenta' en lugar de su nombre real, lo que indica mensajes de estafa distribuidos en masa en lugar de comunicación personalizada de empresas que conocen su identidad.
- Errores gramaticales y ortográficos, formato inusual o fraseología incómoda que difiere del estilo de comunicación profesional de organizaciones legítimas, a menudo indicando traducción de operaciones de estafa extranjeras.
How to Protect Yourself
- Nunca haga clic en enlaces de mensajes de texto no solicitados, incluso si parecen legítimos; en su lugar, escriba manualmente el sitio web oficial de la empresa en su navegador o use su aplicación oficial para verificar el estado de su cuenta directamente.
- Habilite la autenticación multifactor usando aplicaciones autenticadoras en lugar de códigos SMS cuando sea posible, ya que la autenticación de dos factores basada en SMS sigue siendo vulnerable a intercambio de SIM e interceptación por atacantes sofisticados.
- Verifique mensajes sospechosos contactando a la organización directamente usando números telefónicos del sitio web oficial o el reverso de su tarjeta de crédito, nunca usando información de contacto proporcionada en el texto sospechoso en sí.
- Reporte intentos de smishing a su proveedor de servicios móviles reenviando textos sospechosos al 7726 (SPAM), lo que ayuda a los proveedores a identificar y bloquear mensajes de estafa mientras contribuye a bases de datos más amplias de prevención de fraude.
- Instale software de seguridad móvil que incluya protección anti-phishing y actualice regularmente el sistema operativo de su teléfono para parchear vulnerabilidades que los ataques de smishing explotan para instalar malware o spyware.
- Registre su número de teléfono en el Registro Nacional de No Llamadas y sea especialmente cauteloso con cualquier texto que afirme necesitar códigos de verificación, ya que las empresas legítimas nunca le pedirán que comparta códigos de autenticación a través de ningún método de comunicación.
Real-World Examples
Una residente de Chicago recibió un texto que parecía ser del USPS diciendo que su paquete no era entregable debido a una dirección incorrecta y proporcionando un enlace para actualizar la información de entrega. El enlace condujo a un sitio falso convincente del USPS que solicitaba su información de tarjeta de crédito por una tarifa de reentrega de $3.49. Después de ingresar sus detalles, los estafadores hicieron inmediatamente cargos fraudulentos de $2,400 y vendieron su información de tarjeta en la web oscura, resultando en meses de complicaciones de robo de identidad.
Un dueño de pequeño negocio en Texas recibió un texto que parecía provenir del código corto oficial de su banco advirtiendo sobre actividad de cuenta sospechosa e instruyéndole que verificara su identidad inmediatamente haciendo clic en un enlace. El sitio bancario falso capturó su nombre de usuario, contraseña y respuestas a preguntas de seguridad. Dentro de 45 minutos, los estafadores iniciaron transferencias bancarias totalizando $18,000 a cuentas en el extranjero antes de que el dueño del negocio descubriera el fraude al verificar su aplicación bancaria legítima.
Una pareja de ancianos en Florida recibió textos alegando que debían $847 en impuestos impagos y enfrentaban arresto dentro de 72 horas a menos que pagaran inmediatamente a través de tarjetas de regalo. El mensaje incluía un número de rellamada a un falso agente del IRS que los presionó durante una llamada de tres horas para que compraran $5,000 en tarjetas de iTunes y Google Play, dictando los números de las tarjetas por teléfono antes de que la pareja se diera cuenta de que ninguna agencia gubernamental legítima acepta pagos con tarjetas de regalo.