América Latina enfrenta desafíos significativos para contener las amenazas de ciberseguridad. Los fraudes mediante mensajes de texto, o SMS, tienen el potencial de ser devastadores debido a la omnipresencia de esta tecnología.
La tecnología SMS ha estado presente durante tanto tiempo que desconfiar de ella es un problema grave. Por ello, cuatro formas de fraude están causando daños en toda la región.
El hecho de que cualquier usuario pueda convertirse en vector de estas amenazas implica que las empresas deben asumir un rol activo para evitar su propagación a través de mensajes de texto o SMS.
Este tipo de estafa se ha extendido rápidamente, afectando a millones de personas y generando pérdidas económicas significativas, tanto para particulares como para empresas.
Es por ello que las empresas deben convertirse en actores activos para evitar que el fraude SMS supere los niveles alarmantes, ya que ha aumentado un 40% en los últimos dos años.
La empresa Infobip ha realizado un trabajo detallado sobre las modalidades de este tipo de ataque.
Fraude 1: SMiShing
El SMiShing es una forma de fraude donde los delincuentes contactan a víctimas potenciales mediante SMS para convencerlas de que transmitan información personal o datos bancarios al hacer clic en enlaces que instalan malware en sus dispositivos.
Dicho en otras palabras, el Smishing es el phishing del mensaje de texto.
El mecanismo es similar al phishing: se envía un enlace malicioso. La diferencia radica en la plataforma utilizada. Como en el caso del correo electrónico, el éxito del smishing depende de una compleja red de ingeniería social que permite recopilar información de las víctimas.
La información personal (desde el domicilio hasta los contactos frecuentes) es usada por los atacantes para crear mensajes SMS falsificados muy realistas y convincentes.
«Es particularmente importante que los usuarios presten siempre atención al remitente de cada mensaje. Los SMS verificados, por ejemplo, son una buena manera de asegurarse de que el remitente es genuino», explica Angélica Arevalo, Head of Sales Engineering de Infobip para LATAM.
Fraude 2: SMS Spoofing
El SMS Spoofing como forma de fraude consiste en cambiar la información del remitente de un mensaje para que el destinatario vea cualquier texto alfanumérico definido, en lugar de un número de teléfono móvil.
Esta práctica no es ilegal por sí misma. De hecho, existen muchas aplicaciones válidas para ello e incluso servicios gratuitos de SMS spoofing en Internet y por eso existen riesgos de seguridad con los SMS cortos.
«El SMS spoofing puede utilizarse con fines legítimos. El problema es que los delincuentes también lo utilizan a menudo para imitar mensajes de empresas como parte de sus ataques de smishing», detalla Arevalo.
La experta asegura que, con este recurso, los ciberdelincuentes pueden pretender ser de un banco, una empresa de entrega o una institución de confianza.
Sin darse cuenta de que el mensaje es falso, los destinatarios pueden bajar la guardia y hacer clic en los enlaces. Esto podría instalar malware en sus teléfonos o llevarlos a páginas web falsas, diseñadas para extraer información privada de ellos.
Otra táctica utilizada por los delincuentes es el uso del SMS spoofing para falsificar las confirmaciones de pago por la compra de artículos caros. En estos casos, el mensaje fraudulento afirma que se realizará un pago mediante transferencia bancaria pero, en lugar de hacerlo, falsifica un SMS de confirmación de pago y lo envía al vendedor.
Interchange de SIM
Al igual que el SMS Spoofing, el intercambio de SIM surge de una necesidad legítima. Al fin y al cabo, podría tratarse simplemente de un cambio de dispositivo móvil en el que el usuario traslada su SIM de su celular viejo al nuevo.
Poder intercambiar la SIM de un dispositivo a otro asegura la portabilidad de nuestros números y de nuestra data.
Sin embargo, este procedimiento se ha vuelto tan común que los delincuentes han comenzado a explotarlo para tomar el control de los números de teléfono celular de las personas.
Lo hacen contactando al operador y proporcionando datos personales a través de tácticas de ingeniería social y realizando un SIM Swap.
Una vez que la cuenta ha sido tomada, el delincuente tendrá acceso a todos los datos personales de la persona y su bandeja de entrada de mensajes para recibir las notificaciones 2FA necesarias que le permitirán cambiar las contraseñas de los bancos y tarjetas de crédito.
«Los servicios de detección de intercambio de la SIM utilizan una serie de algoritmos para notificar tanto los intentos como los procedimientos de intercambio exitosos», agregó la ejecutiva de Infobip.
También señaló que los operadores móviles que implementan estas soluciones pueden proteger a sus usuarios de este fraude, conocido como SIM Swap.
«Con ello los protegerán, también, de todo el estrés y peligros que implica el robo de la identidad», precisó Arevalo.
Fraude 4: Spam SMS
Existen varias razones válidas (e incluso útiles) para recibir mensajes SMS que no son solicitados directamente por el usuario. Por ejemplo, para notificarle sobre sospechas de fraude o como una forma de alertarlo sobre un evento climático extremo o una campaña de vacunación obligatoria.
El spam de SMS, sin embargo, no hace nada de eso. Por el contrario, viola las leyes de cumplimiento en casi todos los países del mundo y, lamentablemente, eso no impide que las empresas compren listas de números y los bombardeen con ofertas y promociones irrelevantes.
Vale la pena recordar que enviar una comunicación a un usuario que no ha autorizado expresamente este tipo de mensajes es una violación a la Ley General de Protección de Datos Personales (LGPD), a menos que se tenga una razón legal para hacerlo debido a su inminente urgencia. El gran problema es que este tipo de mensajes no deseados va en aumento ahora que las personas han podido detectar llamadas de voz de spam a las cuales hacen caso omiso al no contestar.
Para los usuarios finales, la acción más efectiva se realiza directamente desde el dispositivo, bloqueando las notificaciones de números desconocidos o filtrándolas a través de una bandeja de entrada especial. Sin embargo, al hacerlo, se corre el riesgo de perderse comunicaciones realmente relevantes.