El Instituto Nacional de Ciberseguridad (INCIBE) ha alertado sobre una nueva campaña de smishing que suplanta a entidades bancarias solicitando que les llames.
Recursos afectados
Cualquier cliente bancario que reciba este tipo de SMS y siga las instrucciones del supuesto operador podría resultar perjudicado.
Descripción
Se ha detectado una campaña de mensajes fraudulentos (smishing) que suplanta a entidades bancarias. Los SMS advierten al usuario de una supuesta transferencia de alto importe y le instan a llamar a un número de teléfono para verificar la operación.
Solución según INCIBE
- Si recibes un SMS de este tipo, no llames al número indicado.
- Reporta el mensaje al buzón de incidentes de INCIBE, bloquea al remitente y elimina el mensaje.
- Si ya llamaste:
- Informa del fraude a INCIBE o a la línea gratuita de ayuda en ciberseguridad.
- Contacta con tu banco a través de sus canales oficiales para reclamar posibles movimientos no autorizados y vigila regularmente tu cuenta.
- Conserva pruebas (capturas, registros de llamadas) y presenta denuncia ante las Fuerzas y Cuerpos de Seguridad del Estado. Pide copia de la denuncia para entregarla a tu banco.
- Realiza búsquedas periódicas de tus datos personales en internet (egosurfing) y utiliza técnicas como Google Dorks para comprobar si se han filtrado.
Detalle del fraude
El mensaje suele avisar de una transferencia sospechosa e incluye un código junto con un número de teléfono. Destacan incoherencias gramaticales y ausencia de tildes, claras señales de fraude.
Ejemplos de texto recibido:
- “Para la transferencia puntual de XXXX EUR y cuenta destino ES*XXXX utiliza el código XXXX. NUNCA lo compartas. Si no reconoces, llame…”
- “Utiliza el código XXXX para realizar la transferencia por importe de XXXX EUR. Si no la ha realizado usted, contacte con nosotros al XXXX”
- “Se ha realizado un cargo por importe de XXXX EUR, si no reconoce este cargo, llame de inmediato al: XXXX”
Estos mensajes pueden integrarse en el mismo hilo de SMS que los de tu banco real, lo que aumenta la confusión.
Al llamar, una locución automatizada simula ser del banco y deriva la llamada a una persona que se presenta como parte del área de seguridad. Aunque afirman no pedir datos personales, los estafadores guían al usuario para que actúe directamente desde la app o web oficial de su banco. Finalmente, inducen a transferir dinero a una supuesta “cuenta de seguridad”, lo que provoca la pérdida irreversible de los fondos.