¿Qué es el fraude 'smishing' y 'spoofing'? Así funciona la estafa del SMS bancario

Las nuevas tecnologías han traído consigo nuevas formas de engaño y estafa. Los malhechores nunca descansan y, ante el desconocimiento que las innovaciones pueden generar en parte de la población, ellos detectan una oportunidad para aprovecharse de los demás. Por desgracia, estas malas prácticas van, por definición, por delante de la Justicia. También de la concienciación de la población. Por ello, existe una ventana de indefensión hasta que pueden ser atajadas, generalmente por medio de la educación y la formación en ciberseguridad de los usuarios.

Según ha publicado la OCU, un cliente de Unicaja ha sido reintegrado con 9.570 euros que perdió tras ser víctima de un sofisticado fraude de smishing y spoofing telefónico. En su caso, la entidad bancaria se negó inicialmente a realizar la devolución pues los estafadores se habían hecho pasar por ella sin que tuviese involucración alguna. Sin embargo, la legislación del Parlamento Europeo, enmarcada en la directiva de servicios de pago PSD2, considera fraudulentas no solo las operaciones de pago no autorizadas, sino también aquellas en las que el usuario ha sido manipulado para prestar un consentimiento que, en realidad, está viciado por el engaño. De ahí que, finalmente, pudiese recuperar su dinero.

No obstante, ante la extensión de estas prácticas maliciosas por parte de los ciberdelincuentes, conviene conocer su funcionamiento para evitar ser víctima de las mismas.

Qué es el fraude del 'smishing'

El smishing es la técnica fraudulenta que consiste en engañar a una persona a través de mensajes de texto. De hecho, recibe su nombre de la mezcla de los términos SMS y phishing, una forma de engaño digital más conocida. De esta manera, los estafadores suelen hacerse pasar por una entidad o empresa conocida, que en este caso fue Unicaja, aunque además de bancos también pueden ser empresas de electricidad, seguros, mensajería, etc. para extraer los datos personales de la víctima.

Para ello, los estafadores suelen utilizar técnicas de ingeniería social que impiden a su objetivo una respuesta racional que detecte el engaño. Por ejemplo, en el caso de Unicaja, el mensaje le alertaba de un supuesto intento de compra fraudulenta, lo que hizo que la víctima tratase de frenarla con la mayor celeridad posible. Otras actuaciones habituales son comunicar que un paquete ha sido retenido en aduanas, la existencia de una multa pendiente o que un familiar cercano se encuentra en problemas. Unas técnicas que, en muchas ocasiones, se suelen combinar con el spoofing.

Qué es el 'spoofing'

El spoofing básicamente consiste en la suplantación de identidad, en este caso en un contexto digital. Nuevamente, en el caso de Unicaja denunciado por la OCU, uno de los estafadores se hizo pasar por un trabajador de la entidad bancaria durante una llamada telefónica. En ella consiguió los datos necesarios para poder saquear su cuenta, realizando tres retiradas de efectivo de 990 euros cada una, dos compras con tarjeta por importe de 980 y 850 euros, respectivamente, y una transferencia de 4.760 euros.

Cómo evitar ser víctima del 'smishing' y el 'spoofing'

La regla de oro para evitar caer en un engaño basado en el smishing es la de desconfiar de todo SMS que nos llegue al teléfono móvil. No en vano, actualmente los estafadores han perfeccionado tanto la técnica que los mensajes pueden aparecer dentro del mismo hilo de mensajes legítimos anteriores. Por ello, nunca se debe hacer click en un enlace que nos llega por mensaje. A cambio, lo recomendable es acudir a las redes oficiales de la entidad en cuestión, ya sea su aplicación o a través de su página web. Con toda seguridad, cualquier comunicación que deseen realizarnos se verá allí reflejada.

Además, una red flag notable es si el mensaje intenta generarnos un sentido de urgencia. Las apelaciones directas más frecuentes son las que hablan de inmediatez, por ejemplo, a la hora de pagar una multa o detener una supuesta estafa. Siempre que detectemos estos patrones, es muy importante no dejarse llevar por el pánico, respirar hondo y buscar posibles incoherencias, porque es muy probable que nos encontremos ante un intento de smishing.

Por su parte, para evitar el spoofing se ha de verificar siempre la identidad del emisor. De hecho, una buena práctica es llevar siempre la iniciativa: ante cualquier duda, lo correcto es colgar la llamada entrante y ser nosotros los que llamemos al número oficial de la entidad. Los estafadores siempre van a intentar sonsacar los datos en la llamada que ellos realizan; por ello, colgar y ponerse en contacto de una manera proactiva permitirá evitar caer en sus redes. Recuerda que tu banco nunca te pedirá contraseñas, PINs ni códigos de verificación SMS por teléfono.