Los estafadores envían mensajes y llaman a cientos de miles de personas al día, esperando que alguien responda a sus falsas alertas
Cuidado con los enlaces de Shein, Zara o Decathlon: la Guardia Civil alerta del gancho más usado para robar datos
La Guardia Civil ha comunicado recientemente la desarticulación de una red de ciberestafadores en la Operación Ibermellow con 29 detenidos y un fraude superior al millón de euros. El call center intervenido llegaba a enviar más de 100.000 SMS falsos a la hora suplantando a distintas entidades. Esto sirve para ilustrar la escala industrial que ha alcanzado el smishing (el envío masivo de SMS fraudulentos) y su variante posterior, el vishing (la llamada telefónica de un supuesto agente que remata el engaño). La Ciber Comandancia de la Guardia Civil, INCIBE y los servicios de atención al cliente de las principales entidades bancarias coinciden en identificar como principal riesgo actual las falsas devoluciones de Hacienda, Amazon, bancos y organismos públicos.
El modus operandi típico
La víctima recibe un SMS que aparenta proceder de su banco, de Agencia Tributaria, de Amazon o de Correos. El mensaje advierte de una transferencia no reconocida, de una devolución de la renta pendiente, de un paquete retenido en aduanas o de una operación sospechosa que exige verificación urgente. Incluye un número de teléfono para resolver la incidencia o un enlace que lleva a una web falsa que imita a la oficial del organismo suplantado. La combinación de urgencia, remitente aparentemente conocido y la inmediatez provoca respuestas impulsivas sin verificación previa.
Cuando la víctima llama, al otro lado responde un supuesto agente del departamento de seguridad de la entidad con terminología financiera correcta, tono profesional y en muchos casos conociendo los datos personales concretos de la víctima. El paso final varía según el objetivo, pero pueden llegar a solicitar códigos de verificación bancaria bajo la falsa premisa de anular una transferencia, solicitar la instalación de una app de soporte técnico que permite control remoto del móvil, o dirigir a la víctima a una web falsa donde introducir las credenciales de acceso.
Las variantes más frecuentes
La falsa devolución de la Renta encabeza el ranking en los meses de la campaña fiscal. El SMS llega bajo el nombre "AEAT" con el mensaje "la Agencia Tributaria ha emitido una comunicación dirigida a usted" y enlace a una web que imita la sede electrónica de Hacienda para solicitar información bancaria con la excusa de tramitar el ingreso. La AEAT nunca envía SMS con datos bancarios ni enlaces directos para cobrar devoluciones.
La falsa devolución de Amazon usa la percha del comercio electrónico masivo con un cargo no reconocido o un reembolso pendiente por un pedido inexistente. El fraude de la falsa transferencia bancaria es el que ha llevado al desmantelamiento de la Operación Ibermellow. Otras variantes recientes suplantan a Correos por un supuesto paquete retenido, a la Seguridad Social por una "actualización pendiente" en Importass y a la propia Comandancia de la Guardia Civil por una supuesta deuda.
Cómo identifican a las víctimas
La Guardia Civil ha documentado tres vías de captación. La primera es el envío masivo indiscriminado a números de teléfono comprados o generados por algoritmos. El mensaje llega sin personalización y los delincuentes esperan que un porcentaje mínimo caiga. La escala industrial compensa el bajo porcentaje de éxito por mensaje.
La segunda vía procede de filtraciones masivas de datos. Brechas como Collection #1 expusieron 773 millones de cuentas de correo con contraseñas asociadas, y bases similares circulan en foros del cibercrimen con teléfonos, nombres, DNI y en algunos casos datos bancarios. Los delincuentes cruzan esos datos y construyen listas personalizadas de víctimas potenciales, con lo que en la llamada posterior pueden citar el nombre completo, la dirección o el propio banco que utiliza la víctima.
La tercera vía consiste en la integración de los SMS fraudulentos en el mismo hilo de mensajes oficiales del banco de la víctima. La técnica aprovecha vulnerabilidades del sistema de mensajería y hace que el aviso falso aparezca en el móvil justo debajo de los avisos legítimos, con el mismo remitente identificado. Es el mecanismo que persigue frenar la nueva normativa del Registro de Alias de la CNMC, en vigor desde ayer.
Ante cualquier SMS de estas características, la única verificación fiable pasa por llamar al número que aparece en el reverso de la tarjeta bancaria, en la app oficial del banco o en la sede electrónica del organismo supuestamente emisor. Nunca se debe llamar al número del SMS. En ningún caso.
