Phishing, pescando su información: explicamos qué es smishing y vishing

¿Sabía que el 85% de los ataques de phishing ocurren a través de mensajes SMS, juegos, aplicaciones sociales y de productividad y por teléfono? Siga leyendo para saber cómo se puede proteger de los ataques de smishing y vishing y qué hacer si ha caído víctima de alguno.

Smishing

El smishing es una estafa de phishing que utiliza mensajes SMS cuya apariencia y sonido son como si vinieran de una fuente confiable. Los smishes suelen contener URL o enlaces maliciosos que, al hacer clic sobre ellos, se utilizan para robarle cualquier información personal que haya ingresado.

Los ataques de smishing van en aumento ya que los SMS no requieren otra autenticación que un número de teléfono. Esto significa que depende de los destinatarios de los ataques de smishing determinar si el mensaje es fraudulento o legítimo. Además, algunas organizaciones envían mensajes SMS desde números de teléfono falsificados, prestados o compartidos, lo que hace que detectar un smish sea aún más difícil.

A diferencia de los correos electrónicos de phishing, las URL incrustadas en los mensajes SMS pueden ser difíciles de verificar sin abrir accidentalmente el enlace. La mayoría de las URL en los ataques de smishing también se acortan utilizando acortadores de URL comunes, lo que agrega una capa adicional de dificultad para determinar si un texto es una amenaza o es legítimo.

Vishing

Vishing es una combinación de "voz" y "phishing". Detectar un ataque de vishing puede ser complejo ya que los ciberdelincuentes pueden usar un identificador de llamadas modificado que hace que su número parezca un número familiar o de confianza. La tecnología VoIP (Voz sobre Protocolo de Internet) también es común en los ataques de vishing con plataformas como Skype o Zoom.

Muchos usuarios de VoIP no necesitan proporcionar datos válidos de identificación de llamadas, lo que facilita el fraude. Sin embargo, las fuerzas del orden y los sistemas judiciales son conscientes de los ataques de vishing y están tratando activamente de informar al público de esta amenaza potencial y de rastrear a los ciberdelincuentes. A principios de este año, tanto el FBI como CISA emitieron una alerta advirtiendo a la gente de los peligros de los ataques de vishing. También señalaron que los ciberdelincuentes están revisando las redes sociales de los empleados y otra información de acceso público para hacer ataques de vishing más convincentes.

Lo que los ciberdelincuentes quieren que hagas

Al igual que otros ataques de phishing, los ciberdelincuentes que elaboran smishes y vishes esperan que reaccione rápidamente sin considerar completamente la situación y que les regale su información personal. Estos ataques se generan para jugar con sus emociones y hacer que reaccione por miedo, sorpresa o ira, entre otras emociones. Lo mejor que puede hacer para protegerse es detenerse y pensar antes de reaccionar.

Ataques populares de smishing y vishing

Smishing – Estafa de oportunidad laboral: Muchas estafas de phishing se aprovechan de las personas que buscan empleo. Entre los ejemplos populares de estafas que se han reportado al Centro Canadiense contra el Fraude incluyen:

- Forro de vinilo para automóviles

- Cheque falso

- Agente financiero

- Comprador misterioso

Todas estas estafas implican depositar un cheque falso en su cuenta bancaria personal y luego depositar fondos en una cuenta bancaria fraudulenta. Con la estafa del forro de vinilo para automóviles, el atacante le envía un mensaje diciendo que puede ganar dinero si forra su vehículo con el logotipo de una "empresa". Si responde al smish, recibirá más instrucciones y el cheque falsificado por correo. Las estafas de compradores misteriosos y cheques falsificados funcionan de manera similar, aunque con la estafa de compradores misteriosos se le puede pedir que compre tarjetas de prepago o tarjetas de regalo además de depositar el cheque falsificado. Con la estafa del agente financiero, usted recibe dinero de cuentas comprometidas u otras víctimas de fraude en su cuenta personal. Luego se le indica que deposite el dinero, a menudo a través de Bitcoin, a un representante de la compañía. Esta estafa es especialmente peligrosa ya que puede ser arrestado por lavado de dinero.

Vishing – Estafa del contribuyente o de la Agencia Tributaria de Canadá: Para esta estafa de vishing, el ciberdelincuente afirma que trabaja para la Agencia Tributaria de Canadá o Service Canada y que uno o más de los siguientes incidentes se han producido en su cuenta:

- Un número de seguridad social comprometido

- Un caso pendiente en su contra

- Adeudo de impuestos atrasados

- Saldos sin pagar

- Delito financiero

La persona que llama generalmente se aprovechará de su temor de que algo terrible haya sucedido debido a un número de seguridad social comprometido, o que haya cometido un delito financiero sin saberlo. Los atacantes usan este miedo para exigirle que les revele información confidencial o de lo contrario corre el riesgo de ser arrestado, deportado o multado. Por lo general, el pago se solicita a través de tarjetas de prepago o tarjetas de regalo, Bitcoin o negocios de servicios monetarios.

El CAFC tiene una lista detallada de estafas de phishing reportadas que se pueden encontrar aquí.

Cómo protegerse de los ataques de smishing y vishing

Hay muchas maneras de protegerse de los ataques de smishing y vishing. Estas son las tres formas principales en que puede evitar ser víctima de smishes y vishes:

- Use el sentido común: deténgase y piense antes de responder a mensajes de voz, mensajes de texto o correos electrónicos. Recuerde que los ciberdelincuentes quieren que actúe rápido sin pensar, ¡de hecho cuentan con ello!

- No conteste: Si recibe una llamada de un número que está bloqueado, desconocido o sospechoso, ¡no la responda! Al no responder o colgar una llamada, está protegiendo su información privada y frustrando a los ciberdelincuentes que quieren robarla.

- Informe: En los Estados Unidos, la Comisión Federal de Comercio facilita la denuncia de estafas telefónicas. En Canadá, si ha sido víctima de una estafa, fraude o delito cibernético, comuníquese con la policía local. También se le anima a denunciar un caso de estafa, fraude o delito cibernético mediante la presentación de un informe ante el Centro Canadiense de Lucha contra el Fraude.

En Canadá, la mayoría de los delitos cibernéticos y fraudes no se denuncian a la policía. En 2020, la RCMP comenzó las pruebas piloto de un nuevo sistema de notificación de delitos cibernéticos y fraudes que se espera que esté completamente operativo en 2023-2024. Este nuevo sistema permitirá a los investigadores establecer vínculos entre informes similares, identificar y priorizar las amenazas e incidentes denunciados, así como coordinar las investigaciones a nivel nacional e internacional.