Tal vez los has recibido, o alguien a quien conoces. Investigadores rastrearon su origen, hasta descubrir toda una red internacional dedicada a enseñar cómo diseminar lo que se conoce como 'smishing'.
En los últimos meses, una avalancha de estafas telefónica han afectando a personas en todo el país, simulando la entrega de paquetes y buscando robar datos bancarios a través de mensajes de texto (SMS). Los hallazgos ya fueron remitidos al Equipo de Respuesta ante Incidentes de Seguridad Informática (CSIRT) del Ministerio del Interior.
Tras una exhaustiva investigación llevada a cabo por los ingenieros en ciberseguridad Rodrigo Apablaza y Carlos Baeza, constata Ciper, se logró desenmarañar detalles sorprendentes sobre esta red delictiva que opera a nivel internacional.
La trama comienza con mensajes como “No podemos organizar la entrega del paquete porque la direccion que proporciono no coincide con su codigo postal, actualice” (sic). Luego, provee un enlace a una página que suele simular ser la de Correos de Chile o Chilexpress, en la cual se solicita a la víctima que entregue sus datos.
Ante el aumento explosivo de este tipo de mensajes -posiblemente tú mismo o alguien que conoces ha recibido uno o más-, Apablaza y Baeza decidieron investigar a fondo esta práctica conocida como smishing, que combina el phishing con mensajes SMS. Su investigación fue detallada en el blog de Twoko, el laboratorio de informática fundado por ambos.
En éste relatan como, durante dos meses, rastrearon números telefónicos y URL vinculadas a la estafa, revelando una red dedicada a perfeccionar estas artimañas delictivas con Telegram como nodo.
Los resultados de la investigación señalan que la estafa por SMS está impulsada por un grupo de cibercriminales internacionales, que forman toda una comunidad delictiva dedicada a perfeccionar y comercializar estas prácticas fraudulentas.
Incluso, detalla Ciper, lograron identificar a un usuario de Telegram llamado @chenlun, que vende kits con instrucciones detalladas para ejecutar estafas por mensajería telefónica, que sería una de las figuras clave de lo que se conoce como ‘Triad Smishing’.
How to get away with smishing
@chenlun, identificado como chino, ofrece kits que contienen información detallada para la creación de sitios web falsos que suplantan a instituciones reales. Estas páginas son el destino de los SMS maliciosos, donde los usuarios son redirigidos para registrar sus datos bancarios, siendo engañados para creer que se encuentran en un sitio seguro.
Ante la propagación de esta estafa, los expertos aconsejan a las personas estar atentas a “que los mensajes estén bien escritos, sin faltas de ortografía o redacción, desconfiar de remitentes desconocidos, de promociones, cupones o concursos, nunca facilitar información personal o hacer clic en los enlaces y por ningún motivo descargar archivos adjuntos”.
Asimismo, recalcan que los usuarios están vulnerables ante este tipo de estafas por SMS, al carecer de mecanismos de protección equivalentes a los sistemas antispam en el correo electrónico.
Además, se señala que las estafas son enviadas por empresas proveedoras de internet o servicios de envío de mensajes masivos, aprovechando vacíos normativos y tecnológicos. De hecho, los investigadores identificaron siete compañías proveedoras de servicios legítimos de mensajería masiva vinculadas a la difusión de estos delitos.
Los ingenieros entregaron un detallado informe al Equipo de Respuesta ante Incidentes de Seguridad Informática (CSIRT) del Ministerio del Interior en octubre de 2023.
