¿Qué es el «smishing»? Cómo funciona el phishing por SMS y cómo evitarlo

El «smishing» es el phishing por mensaje de texto. En lugar de un correo electrónico, el atacante envía un SMS o un mensaje a través de una aplicación de chat, con la esperanza de que pulses un enlace, facilites tus datos de acceso o autorices un pago. El nombre es una contracción de «SMS» y «phishing», y, salvo por el canal utilizado, la estafa es exactamente la misma: alguien se hace pasar por una persona en la que confías y cuenta con que actúes antes de pensar.

El canal es lo que lo hace peligroso. Te llega un mensaje de texto al dispositivo que consultas decenas de veces al día, normalmente mientras estás haciendo otra cosa. A continuación, analizamos por qué el teléfono es un terreno tan propicio, cómo reconocer un intento de smishing, qué hacer si ya has pulsado el enlace y cómo las organizaciones preparan a su personal para ello.

¿Por qué un mensaje de texto es un cebo tan eficaz?

El correo electrónico cuenta con treinta años de medidas de seguridad a su alrededor. Filtros antispam, escáneres de enlaces, avisos que indican que un mensaje procede de fuera de la organización: para cuando un correo de phishing llega a la bandeja de entrada, ya ha superado varios controles de seguridad. Un mensaje de texto no supera prácticamente ninguno de ellos y acaba en el mismo hilo de conversación que los mensajes de tu dentista y del repartidor.

También hay un aspecto psicológico. Las pantallas son pequeñas, por lo que el remitente aparece como un número y el enlace está acortado hasta quedar irreconocible. La gente lee los mensajes de pie, en una cola o entre dos reuniones, y responde rápidamente porque para eso sirven los mensajes de texto. Los atacantes se aprovechan de esa misma rapidez con una variante de las llamadas de voz conocida como «vishing», y cada vez más combinan ambas técnicas: un mensaje de texto que anuncia una llamada o una llamada en la que te piden que compruebes tus mensajes.

Por último, el móvil es donde se almacenan los códigos importantes. Un código de un solo uso para iniciar sesión, una confirmación bancaria, una notificación de aprobación: si un atacante consigue que leas en voz alta uno de esos códigos o que lo introduzcas en una página falsa, el segundo factor que se suponía que debía protegerte se convierte en la puerta de entrada.

Cómo reconocer un mensaje de smishing

La mayoría de los mensajes de smishing siguen unos pocos patrones. Una vez que los has visto, es difícil no dárseles cuenta, y precisamente por eso enseñar a la gente a reconocer esos patrones funciona mejor que enseñarles estafas concretas.

• Una urgencia inesperada. No se puede entregar un paquete, se va a cerrar una cuenta, hoy vence el plazo para pagar una multa. El mensaje te empuja a actuar antes de que puedas comprobar nada.
• Un enlace que no coincide con el remitente. Las organizaciones reales utilizan su propio dominio. Los enlaces acortados, los dominios similares con una palabra añadida o las direcciones que terminan en un código de país desconocido son motivos para desconfiar.
• Una solicitud de algo que ninguna empresa pide por mensaje de texto. Datos de acceso, el número completo de una tarjeta o el código de un solo uso que acabas de recibir. Un banco nunca te pedirá que facilites esa información, y tampoco lo hará tu departamento de TI.
• Un pequeño pago para desbloquear algo más importante. Unos pocos euros de gastos de aduana por un paquete, una pequeña tasa por cambiar la fecha de entrega. La cantidad es pequeña a propósito, porque parece lo bastante inofensiva como para quitárselo de encima de una vez.
• Un número en lugar de un nombre, o un nombre que no coincide del todo. Mensajes procedentes de un número de móvil aleatorio que afirma pertenecer a una empresa, o el nombre de una marca conocida con una ortografía o un espaciado extraños.
• Un código QR en el mensaje o en la página enlazada. Esto se solapa con el «quishing», en el que el destino malicioso se oculta dentro del código para que ningún filtro pueda detectarlo.
• Un nuevo compañero de trabajo o un jefe con prisa. El caso más habitual es un mensaje que dice proceder de un director, enviado desde un número nuevo, en el que se piden tarjetas regalo, una transferencia rápida o un favor que debe mantenerse en secreto.

Una regla útil para los equipos: la propia solicitud es la señal, no el remitente. Cualquier mensaje en el que se soliciten credenciales, códigos o pagos debe verificarse a través de un canal que tú mismo elijas, incluso aunque el remitente parezca de fiar. En nuestra guía sobre los tipos de ataques de phishing se recogen más variantes de este patrón.

Qué hacer si ya has hecho clic

Pulsar un enlace no es el fin del mundo, y tratarlo como tal es precisamente lo que hace que la gente se quede callada. Lo que importa es lo que ocurra en los próximos minutos.

1. No introduzcas nada más. Si una página te pide que inicies sesión, un código o los datos de una tarjeta, ciérrala. Un enlace por sí solo es mucho menos peligroso que un formulario que hayas rellenado.
2. Cambia la contraseña si has introducido alguna. Hazlo desde un dispositivo en el que confíes y cámbiala también en cualquier otro sitio donde la hayas utilizado de nuevo. Esa reutilización suele ser el verdadero problema.
3. Comprueba tu autenticación de dos factores. Si has autorizado una solicitud de inicio de sesión o has facilitado un código de un solo uso, es posible que alguien esté accediendo a tu cuenta en este mismo momento. Cierra todas las sesiones y comprueba si hay dispositivos nuevos o reglas de reenvío.
4. Denúncialo internamente, de inmediato. Tu equipo de TI o de seguridad puede bloquear el dominio, avisar a los compañeros que hayan recibido el mismo mensaje y comprobar si se ha producido algún movimiento. Denunciarlo rápidamente es lo más valioso que puede hacer un empleado.
5. Guarda el mensaje. Una captura de pantalla en la que se vea el remitente y el enlace ayuda muchísimo a hacerse una idea del alcance de la campaña. Bórralo solo después de haberlo reenviado.

Fíjate en lo que falta en esa lista: la culpa. Las organizaciones en las que un clic erróneo da lugar a una conversación incómoda son aquellas en las que la siguiente persona guarda silencio, y es precisamente ese silencio el que convierte un simple clic en un incidente.

Cómo reducen las organizaciones el riesgo

Las medidas técnicas ayudan, pero su alcance es menor que en el caso del correo electrónico. Los operadores de telefonía móvil filtran algunas de las campañas más peligrosas, y la autenticación multifactorial (MFA) que utiliza una llave de hardware o una solicitud de la aplicación vinculada al sitio web reduce en gran medida el valor de un código robado. Más allá de eso, la mayor parte de la defensa recae en las personas.

El enfoque práctico consiste en convertir el reconocimiento y la notificación en un hábito, más que en una política. En este caso, los ejercicios breves y recurrentes funcionan mejor que una única sesión anual, ya que las estafas cambian cada pocos meses. Llevar a cabo una simulación de phishing te muestra cuál es tu situación real, en lugar de la que crees que es, y ofrece a las personas un espacio seguro en el que pueden equivocarse. Acuerda una vía clara para notificar los incidentes, haz que se pueda hacer con un solo clic y da las gracias a quienes la utilicen, incluso a quienes resulten haber reenviado algo inofensivo.

Cómo ayuda Guardey a tu equipo a detectar el smishing

La formación en concienciación sobre seguridad de Guardey plantea a tus compañeros retos semanales de unos tres minutos, con contenidos que se basan en las amenazas reales que circulan actualmente. El smishing, los avisos de entrega falsos y los códigos solicitados a través del chat son precisamente el tipo de situaciones que aparecen en esos retos, y la gamificación, con tablas de clasificación y rachas de logros, hace que los usuarios sigan participando tras la primera semana.

Dado que los empleados reciben formación a través de la aplicación móvil para iOS y Android, practican en el mismo dispositivo en el que reciben estos mensajes, lo que hace que la lección sea más concreta. Las simulaciones de phishing integradas permiten comprobar si el reconocimiento se traduce en un comportamiento adecuado, y los informes listos para auditoría convierten todo ello en pruebas válidas para marcos normativos como NIS2 e ISO 27001. La configuración se realiza en cuestión de minutos, y más de 500 organizaciones trabajan de esta manera, incluido el Parlamento Europeo.

Preguntas frecuentes sobre el «smishing»

¿Cuál es la diferencia entre el phishing, el smishing y el vishing?

El objetivo es el mismo; lo único que cambia es el canal. El phishing se lleva a cabo por correo electrónico, el smishing mediante mensajes de texto o de chat, y el vishing a través de llamadas telefónicas. Los atacantes suelen combinarlos en una misma campaña, ya que un mensaje que se confirma mediante una llamada telefónica resulta más creíble que cualquiera de ellos por separado.

¿Te pueden hackear con solo abrir un mensaje de texto?

Abrir un mensaje casi nunca es suficiente por sí solo. El riesgo comienza cuando pulsas el enlace y, a continuación, introduces algún dato en la página a la que te lleva, o cuando instalas una aplicación que te propone. Por eso se recomienda detenerse en el enlace, en lugar de entrar en pánico por haber leído el mensaje.

¿Deberían los empleados denunciar un mensaje de smishing recibido en su teléfono personal?

Sí, si tiene alguna relación con el trabajo: cualquier mensaje que afirme proceder de un compañero, un proveedor o el departamento de informática debe incluirse en la cola de notificaciones, independientemente del dispositivo en el que se haya recibido. Deja claro que el objetivo de la notificación es el mensaje en sí, no inspeccionar el teléfono privado de nadie; de lo contrario, la gente se lo pensará dos veces antes de hacerlo.

¿Protege el MFA contra el smishing?

Ayuda, pero no todos los métodos son iguales. Un código enviado por SMS puede ser objeto de phishing con la misma facilidad que una contraseña, ya que el atacante solo tiene que pedirlo. Los métodos vinculados al sitio web legítimo, como una llave de hardware o una solicitud a través de una aplicación, son considerablemente más difíciles de manipular de esta forma.

El «smishing» funciona porque pilla a la gente desprevenida, lo que significa que la defensa no consiste en un filtro más inteligente, sino en un momento de vacilación en el momento adecuado. Los equipos que practican esa pausa y que facilitan la notificación de incidentes sin que se culpe a nadie consiguen que el teléfono, en lugar de ser el canal más vulnerable, se convierta en uno en el que los mensajes sospechosos se detectan en cuestión de minutos.