¿Cómo funcionan las ciberestafas personalizadas: Sim Swapping y Smishing?
Estamos ante dos modelos nuevos de lo que podríamos llamar phishing avanzado o personalizado. Los ciberdelincuentes utilizan cada vez técnicas y métodos más complejos para acceder a nuestras cuentas bancarias o sustraernos el dinero.
Recientemente se han multiplicado de forma alarmante los casos de duplicados de tarjetas SIM y el posterior robo de nuestra cuenta bancaria.
El Sim Swapping es una técnica donde el estafador obtener un duplicado de su SIM, para poder así acceder a sus cuentas bancarias a través del envío de un mensaje SMS (código OTP) utilizado como doble factor de autenticación.
Para poder llevar a cabo las clonaciones de las tarjetas telefónicas es necesario obtener la identidad y datos personales, que el 80% de las ocasiones se consigue a través de ingeniería social o mediante ‘phishing’. Es decir a través de SMS o correos electrónicos en los que se hacen pasar por nuestro banco.
Una vez tienen los datos personales, se ponen en contacto solicitan un duplicado de su tarjeta SIM a su compañía telefónica, para tener acceso a los códigos de verificación por SMS que se envíen a ese número de teléfono (doble factor de autenticación).
Las teleoperadoras no verifican a los usuarios más allá que con los datos que el estafador ya posee con la técnica del phishing como su nombre, dirección, cuenta bancaria, email, etc.
Con los datos bancarios y la SIM duplicada para poder validar todas las operaciones, las cuentas bancarias quedan vaciadas en pocos minutos con trasferencias, compras online y retiradas en efectivo sin tarjeta bancaria en los cajeros.
¿Cómo saber si somos víctimas de la estafa del SIM Swapping?
En primer lugar no debemos nunca acceder a los link que nos manden por email o SMS desde nuestra supuesta entidad bancaria. En caso del Sim Swapping hay un hecho que nos debe alertar aun más, detectar si el móvil deja de tener cobertura.
En un reciente un usuario de Twitter contaba como se quedó sin cobertura repentinamente. Y tras intentar recuperarla apagando y encendiendo de nuevo el móvil, llamó a su operadora desde otro móvil, y resultó que alguien le había duplicado la SIM.
Ayer me quedé sin línea móvil de repente.
Llamé a @vodafone_es y no me solucionaron nada: «Hay una incidencia en la red», «Su línea funciona perfectamente», insistí en el problema y nada.
Al salir del cine, seguía sin línea. Al llegar a casa me habían vaciado la cuenta corriente.— Otto Más 🐉 (@Otto_Mas) September 5, 2019
Smishing: SMS + Phishing
El smishing es el uso de métodos de engaño a través de SMS o mensajes de texto del móvil para conseguir información personal del usuario y hacer un uso fraudulento de ella. La diferencia con el phishing es el medio por el que se hace la estafa; en el phishing es principalmente a través de correo electrónico y en el smishing se hace con SMS.
Cuatro objetivos principales de los ciberdelincuentes y lo que persiguen con ello:
- Conseguir información confidencial, como claves o datos bancarios.
- Vender productos inexistentes con el gancho de gangas o sorteos en los que hemos sido premiados.
- Infectar el móvil con malware espía que se instala en nuestro teléfono móvil.
- Gastos por suscribirse a un servicio SMS premium que supone un gasto adicional.
Para conseguir esto, los ciberdelincuentes envían un SMS con un mensaje en el que se hacen pasar por un banco, un organismo oficial del estado como Hacienda o la Seguridad social o simplemente nos mandan una ganga irresistible o que hemos sido ganadores de un sorteo.
Al hacer clic en el link que acompaña al SMS, somos redirigidos a una página web fraudulenta que, es una copia perfecta de nuestro portal bancario donde conseguir nuestros datos, que puede contiener algún software malicioso para instalar o somos suscribitos a servicios de SMS premium con un coste desorbitado.
Un ejemplo reciente es el caso de la fusión de los bancos Unicaja y Liberbank se van a fusionar y como esta ha sido utilizada por los estafadores para lanzar nuevos ataques de smishing y phishing a los clientes.
Contacte con nuestros Peritos Informáticos
Somos expertos en casos de phishing y suplantación de identidad. En Globátika Lab contamos con peritos informáticos cualificados en toda España. Para cualquier consulta, no dude en llamarnos al teléfono gratuito 900 649 252, o ponerse contacto a través del formulario de contacto de nuestra página Web, estaremos encantados de atenderle.
