Smishing: qué es y cómo se puede prevenir

Durante el cuarto trimestre de 2021, en Colombia se enviaron a través de las redes de telefonía móvil más de 421.100 millones de mensajes de texto (SMS). La cifra, revelada por el Ministerio de Tecnologías de la Información y las Comunicaciones (MinTIC), da cuenta de la importancia que este tipo de mensajería ha adquirido como canal de comunicación en el país.

Gracias a la masificación de la telefonía móvil, los SMS se han convertido en una herramienta muy usada dentro del sector financiero, en operaciones de comercio electrónico y para la autenticación de servicios digitales. Con este tipo de mensajes es posible recibir códigos de validación de transacciones o acceder a servicios digitales como correo electrónico o redes sociales.

Sin embargo, el éxito de este tipo de mensajería ha llevado a que se convierta en una herramienta con la que los ciberdelincuentes, basándose en técnicas de ingeniería social, acceden a información crítica de personas y organizaciones mediante el denominado smishing.

El Instituto de Ciberseguridad de España (Incibe) define este tipo de ataque como una técnica que consiste en el envío de un SMS por parte de un ciberdelincuente a un usuario simulando ser una entidad legítima ?red social, banco, institución pública, etc.? con el objetivo de robar información privada o realizar un cargo económico. Generalmente, el mensaje invita a llamar a un número de tarificación especial o acceder a un enlace de una web falsa bajo un pretexto.

En Colombia, como destaca el informe ‘Tendencias del cibercrimen 2021-2022’, el smishing seguirá al alza en 2022 “puesto que los servicios bancarios se seguirán popularizando a través de medios de movilidad tales como aplicaciones, billeteras virtuales desarrolladas para tabletas y teléfonos celulares”.

Contrarrestar amenazas con prevención y educación

En entornos corporativos, el smishing es usado para acceder a información confidencial, nombres de usuario o contraseñas de las organizaciones. Dado el masivo número de ataques que se registran con esta modalidad delictiva, las compañías deben contar con estrategias de seguridad digital que les permitan hacer frente a este tipo de amenazas.

Sensibilización sobre el tema. Una de las recomendaciones para hacer frente a este tipo de ataques es realizar acciones de concienciación en ciberseguridad entre los empleados, los cuales se convierten en la primera línea de defensa contra los cibercriminales en cualquier organización. Este tipo de capacitaciones deben hacer énfasis en la importancia de no abrir enlaces que estén integrados a mensajes de texto que provengan de usuarios desconocidos o que no se hayan solicitado. En este caso, la recomendación es eliminar los mensajes.

Evite la respuesta. Expertos recomiendan no contestar este tipo de mensajes, incluso si parecen ser de fuentes confiables o si tienen como remitente a un contacto conocido, un proveedor o un empleado de la compañía.

Aprenda a detectarlo. Como recomienda la Oficina de Seguridad del Internauta de España, es importante leer detenidamente el mensaje en busca de errores ortográficos y gramaticales o fallos en la traducción. Además, los enlaces que hagan parte del mensaje también pueden delatar que se trata de una estafa, por lo que es aconsejable revisarlos con cuidado.

Sistemas actualizados. Los sistemas operativos y aplicaciones de los dispositivos que cuentan con acceso a información corporativa deben estar actualizados para prevenir que este tipo de ataques tenga consecuencias que puedan afectar a la compañía. También es recomendable que los equipos móviles que tienen acceso a información crítica cuenten con un programa de seguridad adicional que pueda proteger los datos sensibles en caso de un ataque.