Vishing y SMiShing: seguridad en los mensajes de texto

Recibes un mensaje de texto o una llamada automática en tu teléfono celular que está diseñada para alertarte sobre un problema con una de tus cuentas. Te dan un número de teléfono al que llamar o un sitio web al que ingresar y te piden que proporciones información personal identificable (como un número de cuenta bancaria, PIN o número de tarjeta de crédito) para solucionar el problema.

Pero tenga cuidado: podría tratarse de una estafa de "smishing" o "vishing"... y los delincuentes del otro lado del teléfono o del sitio web podrían estar intentando recopilar su información personal para poder quedarse con su dinero. Si bien la mayoría de las estafas cibernéticas se dirigen a su computadora, las estafas de smishing y vishing se dirigen a su hogar y teléfonos móviles.

Smishing 

Al igual que el phishing, el smishing utiliza mensajes de texto de teléfonos móviles para atraer a los consumidores. A menudo, el texto contiene una URL o un número de teléfono. El número de teléfono suele tener un sistema de respuesta de voz automatizado. Y, al igual que el phishing, el mensaje de smishing suele solicitar su atención inmediata.  

En ocasiones, si una víctima accede a un sitio web falso con un teléfono inteligente, también puede terminar descargando software malicioso que podría dar a los delincuentes acceso a cualquier cosa que haya en el teléfono. Con el crecimiento de la banca móvil y la capacidad de realizar transacciones financieras en línea, los ataques de smishing y vishing pueden volverse aún más atractivos y lucrativos para los ciberdelincuentes.

Vishing 

Los delincuentes instalan un sistema de marcado automático para enviar mensajes de texto o llamar a personas de una región o código de área en particular (o, a veces, utilizan números de teléfono de clientes robados de bancos o cooperativas de crédito). Las víctimas reciben mensajes como: "Hay un problema con su cuenta" o "Su tarjeta de cajero automático debe ser reactivada" y son dirigidas a un número de teléfono o sitio web que solicita información personal. Armados con esa información, los delincuentes pueden robar de las cuentas bancarias de las víctimas, cargar compras en sus tarjetas de crédito, crear tarjetas de cajero automático falsas, etc.

La estafa típica de vishing utiliza el protocolo de voz sobre Internet (VoIP), que permite a las personas hablar a través de sus líneas de computadora y puede permitir marcar varios números al mismo tiempo. Los estafadores pueden trabajar a partir de una lista de números de teléfono regionales o incluso de una guía telefónica, pero lo que hacen principalmente es llamar a todos los que pueden y dejar un mensaje automático diciendo que la tarjeta de crédito o la cuenta bancaria de la persona se han visto comprometidas, agotadas o cerradas. Cuando este proceso se realiza por correo electrónico se llama phishing, en lugar de vishing.

Las personas que han dejado un mensaje reciben instrucciones para llamar a un número para obtener más información sobre esta supuesta vulnerabilidad. Los estafadores suelen utilizar números gratuitos para este fin e incluso pueden tener, para las personas con identificador de llamadas, el nombre legítimo de la empresa que supuestamente está llamando. Cuando las personas llaman al número, se les indica que marquen su número de tarjeta de crédito o número de cuenta bancaria, e incluso, a veces, información como números de identificación personal (PIN) o su número de seguro social. Una vez que se obtiene esta información, las personas que llaman pueden hablar con una persona que se hace pasar por un "representante" o es posible que nunca lleguen a hablar con un representante y se les ponga en espera. Mientras tanto, el daño ya está hecho y los estafadores pueden utilizar la información para robar dinero o números de tarjetas de crédito.

Que puedes hacer para protegerte? 

Básicamente, es bastante fácil evitar una estafa de vishing o una realizada por correo electrónico, y ahora comúnmente a través de mensajes de texto en teléfonos celulares. En lugar de llamar al número que aparece, busque el número de teléfono de su cuenta bancaria o el número de teléfono de su tarjeta de crédito y llame a ese número. Si le están haciendo un vishing, un banco o una compañía de tarjetas de crédito pueden informarle de inmediato al hacerle saber que no ha habido actividad ilegal en su cuenta ni ningún compromiso de seguridad de su cuenta. Sin embargo, estas estafas pueden parecer muy reales porque a menudo contienen advertencias sobre no divulgar su información personal, lo que puede hacer que un objetivo potencial sienta que la empresa que llama, envía mensajes de texto o correo electrónico está protegiendo sus intereses.

• Tenga en cuenta. Los consumidores deben saber que estas estafas existen.
• No te dejes engañar por mensajes de tu red que te piden detalles.  Tu compañía telefónica te enviará mensajes de texto (si estás en el extranjero, por ejemplo) para avisarte de las tarifas de roaming de datos, pero nunca te pedirán que confirmes o verifiques tus datos. Si ves un mensaje de texto de “seguridad” que te pide una contraseña o cualquier otro dato, no hagas clic en el enlace ni llames a ninguno de los números que aparecen en él. Ponte en contacto con tu compañía telefónica a través de su sitio web o a través de su número de teléfono (el real, no el que aparece en el SMS).
• Si ves un número de teléfono “comercial” en un mensaje de texto, no hay garantía de que sea real.  Muchos ataques de phishing por SMS incluyen números "gratuitos" que parecen números comerciales legítimos, pero no lo son. Los cibercriminales pueden configurar estos números de forma fácil y económica y, si llamas por teléfono, normalmente te pedirán que "confirmes" los datos, que luego se los entregarán a los estafadores.
• No respondas con “STOP” si te están enviando spam; contacta a tu red.  Si recibes spam de forma repetida y el SMS contiene una instrucción para responder con la palabra “STOP” para interrumpir el envío de correos electrónicos, no lo hagas. Esto simplemente les indicará a los spammers que estás ahí y ellos intensificarán sus ataques. Tu red podrá bloquear los SMS de números específicos.
• Desconfíe mucho de las “ofertas especiales”, especialmente de aquellas en las que tiene que “actuar rápido”.  Los estafadores suelen enviar ataques SMS en forma de “ofertas especiales” de grandes empresas, como una tarjeta de regalo de $1,000, de la que solo hay una cantidad limitada disponible y debes hacer clic en un enlace para canjearla.
• Configure su teléfono para bloquear aplicaciones de fuentes desconocidas.  Muchos ataques de phishing por SMS tienen como objetivo engañarte para que instales aplicaciones maliciosas, especialmente en Android. Como precaución, bloquea la instalación de fuentes desconocidas (está en el menú de Ajustes de Android). Si tienes que desbloquear esta opción (por ejemplo, para instalar una aplicación del trabajo), vuelve a configurarla como "bloqueada" cuando hayas terminado. Si cometes un error, esto te proporcionará otra línea de defensa. 
• No se deje engañar por mensajes de texto de su institución financiera que le piden “detalles de confirmación”.  Es posible que tu institución financiera te envíe un mensaje de texto (por ejemplo, para confirmar una transacción en la computadora), pero los mensajes de texto de tu institución financiera nunca te pedirán que confirmes detalles ni contraseñas. Las instituciones financieras tampoco actualizarán sus aplicaciones de esta manera. Si sospechas, no hagas clic en los enlaces ni llames a ningún número que aparezca en el mensaje de texto. En lugar de eso, llama a tu institución financiera a su número "normal" y verifica si el mensaje de texto es de ellos.
• No se deje engañar por advertencias que digan “Su teléfono está infectado”. Las estafas de phishing por SMS utilizan una “alerta de seguridad” falsa para asustar a los usuarios y hacer que instalen aplicaciones antivirus falsas. 
• Sospeche de todas las llamadas de personas desconocidas. La gente debería desconfiar tanto de las llamadas telefónicas como de los correos electrónicos que solicitan información personal. Algunos expertos sugieren dejar que todas las llamadas de personas desconocidas pasen al buzón de voz.
• No confíes en el identificador de llamadas. El hecho de que su identificador de llamadas muestre un número de teléfono o el nombre de una empresa legítima que usted pueda reconocer no garantiza que la llamada realmente provenga de ese número o empresa.
• Hacer preguntas. Si alguien intenta venderle algo o le pide su información personal o financiera, pídale que identifique para quién trabaja y luego verifique si es legítimo.
• Llámalos de nuevo. Nuevamente, si alguien le vende algo o le pide información, dígale que lo llamará nuevamente y luego verifique que la empresa sea legítima o, si es un banco o una compañía de tarjetas de crédito, llámelo nuevamente usando un número que figura en su factura o tarjeta. Nunca proporcione información de tarjeta de crédito u otra información privada a nadie que lo llame.

Cómo denunciar estafas por mensajes de texto Aquí