Smishing (Suplantación de identidad por SMS): Definición, ejemplos y formas de evitarlo

La definición de smishing es clara si se tiene en cuenta la combinación de dos palabras que la mayoría de la gente ya conoce: SMS y phishing. Por desgracia, la nefasta práctica del smishing está consiguiendo engañar a innumerables usuarios para que compartan datos confidenciales con los ciberatacantes a través de SMS.

En pocas palabras, un ataque de smishing se centra en su smartphone o tableta del mismo modo que el phishing se dirige a su correo electrónico. Pero, ¿cómo se producen estos ataques, en qué se diferencian de los ataques de phishing convencionales y cómo puede evitar caer en la trampa del smishing?

Aquí cubrimos todos los hechos cruciales que necesita saber sobre el phishing por SMS y cómo puede detectar un SMS malicioso antes de entregar información confidencial.

¿Qué es el Smishing? 

El smishing funciona generalmente de dos maneras.

• Envío de un SMS al destinatario y solicitud de información sensible.
• Envío de un mensaje SMS a un destinatario que contiene un enlace malicioso.

Hoy en día, la mensajería SMS es una de las formas de comunicación más populares del mundo. El gran número de mensajes enviados hace que los ciberatacantes lo hayan identificado como objetivo de ataques maliciosos contra empresas y particulares. Esto significa que el smishing es una vía muy lucrativa que los ciberatacantes pueden explorar.

Mucha gente ya conoce el phishing por correo electrónico, pero con los miles de millones de teléfonos inteligentes y tabletas que se utilizan, pocos son conscientes de la misma amenaza que supone el smishing. Esto suele deberse a que el phishing por SMS es relativamente nuevo y, como hemos llegado a confiar en este medio, solemos restar importancia a cualquier sospecha que podamos tener sobre el daño que puede crear un mensaje de texto.

A esto se añade el hecho de que se supone que los mensajes de smishing imitan el registro informal que utilizamos dentro del medio, con el objetivo de hacerle sentir lo suficientemente cómodo como para hacer clic en un enlace o compartir información.

¿En qué se diferencia el smishing de los ataques de phishing? 

La principal diferencia entre una estafa de smishing y un ataque de phishing es que se llevan a cabo a través de plataformas diferentes. Las estafas de phishing se envían siempre a través del correo electrónico, que suele ser más sofisticado, ya que puede incluir más información engañosa e incluso enlaces maliciosos en imágenes o texto.

Sin embargo, los ataques de "smishing" no son menos peligrosos, ya que se aprovechan de nuestra confianza y familiaridad con la plataforma y su formato de respuesta instantánea para engañarnos y hacernos compartir información sensible sin pensarlo demasiado.

Cómo funciona un ataque de smishing 

Haciéndose pasar por una fuente de confianza, tal vez un contacto, un sitio web que utiliza habitualmente o incluso una autoridad controlada por el Estado, puede verse obligado a compartir información sensible voluntariamente al responder a un SMS malicioso que reciba. A menudo, habrá un límite de tiempo que le inste a responder inmediatamente, y es posible que reciba mensajes de texto posteriores diciéndole que se le acaba el tiempo para resolver el problema.

Este tipo de presión a menudo lleva a los usuarios a cumplir con exigencias menores, incluso cuando sólo un fragmento de información compartida puede ser suficiente para que los ciberatacantes consigan entrar en dispositivos, redes y datos más críticos. El ciberatacante también puede intentar fomentar una mayor confianza para que usted comparta más información a medida que pase el tiempo.

Otra posibilidad es que le engañen para que descargue malware en su dispositivo que recopila datos sin que usted se dé cuenta. Por último, también podría ser engañado para que haga clic en un enlace que puede pedirle información confidencial, que luego es recibida por los ciberdelincuentes.

Al final, todas estas solicitudes aparecerán en su bandeja de entrada de SMS como lo harían con cualquier otro mensaje, por lo que resulta difícil prepararse para un ataque de smishing a menos que ya sea consciente de la amenaza.

¿Qué gana un Smisherman con un ataque de Smishing?

Como todos los actores maliciosos del sector de la ciberseguridad, los smishers buscan vulnerabilidades que explotar y obtener datos personales, ya sea mediante simples pero fraudulentas solicitudes de información o utilizando malware instalado en su dispositivo.

Estos datos pueden utilizarse para robar su identidad, obtener contraseñas, compilar perfiles de los hábitos de los usuarios y rastrear su comportamiento. Sin embargo, lo esencial es que los ciberatacantes suelen tener como objetivo robar dinero, ya sea pirateando cuentas bancarias o de tarjetas de crédito o pidiendo un rescate por datos críticos.