El smishing es una técnica que consiste en el envío de un SMS por parte de un ciberdelincuente a un usuario simulando ser una entidad, con el objetivo de robarle información privada o aplicarle un cargo económico. Generalmente el mensaje incluye un enlace a una web falsa, que en muchas ocasiones mimetiza la apariencia de la legítima.
En este sentido, los ataques de smishing son similares a otros tipos de ataques de phishing, generalmente a través de correo electrónico, en los que los estafadores utilizan mensajes falsos y enlaces maliciosos para engañar a las personas y comprometer sus teléfonos móviles, cuentas bancarias o datos personales.
Más de la mitad (54%) de los consumidores fueron blanco de estafas por canales digitales Las principales estafas, como el phishing, el smishing y el vishing, buscan engañar al usuario para que exponga sus datos personales y credenciales (TransUnion 2024 State of Omnichannel Fraud).
Igualmente encontramos variantes de ataque como el quishing o el vishing. En el primero de los casos, el ciberdelincuente utiliza un QR para redirigir a la víctima hasta una URL falsa, donde requerirle datos sensibles o directamente perpetrar la estafa. En el segundo, es una llamada telefónica la que se usa para realizar el engaño con la misma finalidad.
La efectividad de estos ataques depende de muchos factores, en los que la oportunidad, la empresa suplantada y el público objetivo al que se dirige son fundamentales. La elaboración de los mensajes, en gran medida utilizando IA generativa, no es ya un punto débil de estas técnicas, habiéndose refinado notablemente la calidad de los textos y por tanto la credibilidad de los contenidos.
La suplantación de entidades financieras, así como de empresas de servicios y suministros, es la táctica más utilizada para este tipo de ataques. En este punto, cabe preguntarse si uno de los factores de éxito no está relacionado con el volumen de comunicaciones que recibimos a través de estos medios y que en un porcentaje no desdeñable son probablemente prescindibles.
En mayoría de los casos, el estafador intenta el engaño amparado en la maraña de mensajes, de correo electrónico (phishing), SMS (smishing), llamadas telefónicas (vishing) y el auge del uso del QR (quishing) que nos invade y contribuye a nuestra confusión.
Un análisis de lo que es imprescindible, tanto a nivel operativo (comunicaciones legítimas, advertencias, notificaciones), como a nivel de marketing digital, conduciría a las compañías a catalogar, filtrar y reducir el volumen de estos mensajes, legítimos, pero que contribuyen involuntariamente a la complejidad del ecosistema.
Del mismo modo, cabría plantearse la autenticación de mensajes legítimos, en base a la fuente, contenido y destinatario; ayudaría una identificación inequívoca de la entidad que los emite, acorde con los enlaces o archivos que incorpore, en la medida de lo posible, evitando enlaces o archivos irrelevantes para la comunicación.
No es una tarea fácil, ni las perspectivas de perfeccionamiento que vemos en la ciberdelincuencia auguran ninguna forma efectiva de atajar estos fenómenos al 100%, pero las medidas, aún siendo parciales, son imprescindibles.
En consecuencia, algunas de las medidas que las compañías legítimas pueden adoptar a este respecto pasa por:
- Modular el envío masivo y las campañas indiscriminadas en canales digitales.
- Implementar y extender las medidas de verificación de mensajes.
- Informar en canales seguros de los ataques, de manera temprana.
- Establecer una colaboración efectiva entre entidades.
Estas acciones se añaden a las que ya conocemos como usuarios y que encontramos en todas las recomendaciones que las mismas entidades nos hacen:
- No haga clic en enlaces desconocidos o sospechosos; ante la duda, no haga clic.
- No descargue archivos adjuntos no verificados; ante la duda, no descargue.
- No comparta en exceso en las redes sociales; y nunca información sensible.
- Ser consciente de la higiene de contraseñas; más laborioso pero imprescindible.
Aunque el 19% de los usuarios que han sufrido fraude, se sientan responsables del mismo, según “El informe sobre Fraude a Consumidores” de la AEECF, no podemos descargar toda la responsabilidad en el consumidor, en numerosos casos con razonables dificultades de uso en un mundo digital en constante evolución.
Es preciso poner en marcha por parte de las entidades medidas adicionales que dificulten estas técnicas de engaño y estafa. La rentabilidad es más que evidente, porque la pérdida de credibilidad y el deterioro reputacional, son efectos inmediatos de estas estrategias de ataque, como se demuestra a través del impacto económico derivado de los costes de fidelización y las tasas de captación de clientes.
#Phishing #Vishing #Smishing #Pharming #Quishing #estafa #fraude #riesgo #consumidor #CAC #LTV
