Un ataque de smishing es un tipo de phishing por SMS en el que los atacantes envían mensajes de texto fraudulentos para engañar a las víctimas y hacer que hagan clic en enlaces maliciosos, compartan credenciales o descarguen malware. Los ataques de smishing pueden suplantar a casi cualquiera.

Los ataques de smishing pueden suplantar a casi cualquiera. Bancos, entregas de paquetes, oficinas gubernamentales... la lista sigue. En 2024, las estafas de smishing relacionadas con impuestos le costaron a las víctimas un promedio de $8,199 por persona, con mensajes como "ALERTA DEL IRS: Se te debe un reembolso de $969".

Uno de los señuelos de smishing más comunes son los falsos mensajes de rastreo de paquetes. "Entrega de paquete retrasada, confirma tu dirección aquí", o "Intento de entrega fallido. Reprograma aquí". El enlace descarga malware o es un recolector de credenciales.

Las confirmaciones bancarias o de pago aprovechan la amenaza de pérdida de dinero: "Se detectó actividad sospechosa en tu cuenta. Verifica aquí para evitar la suspensión". El factor miedo causa reacciones inmediatas de estrés, y las personas ingresan sus credenciales antes de pensarlo bien.

Los mensajes de restablecimiento de contraseña crean una falsa sensación de urgencia. El mensaje de texto dice que alguien está atacando activamente tu cuenta, y que necesitas "asegurarla" haciendo clic en su enlace y restableciéndola.

La suplantación de RR. HH., TI o gerencia apunta directamente a los empleados. Estos mensajes explotan la confianza y la autoridad en el entorno laboral:

• "Hola, soy David de TI. Tu contraseña de correo electrónico vence hoy. Restablécela aquí: [enlace]"

• "Soy Sarah del equipo directivo. Necesito tu ayuda con algo urgente. ¿Puedes encargarte de una tarea rápidamente?" 

Estos ataques de smishing en el entorno laboral son peligrosos porque roban credenciales que pueden derivar en brechas corporativas completas.

Entender cómo funciona el smishing ayuda a explicar por qué los ataques de sms smishing son tan efectivos: explotan la confianza móvil, las URL ocultas y la urgencia de formas que el correo electrónico no puede. El smishing usa tanto vulnerabilidades tecnológicas como psicología humana.

Para empezar, los actores de amenazas malintencionados aprovechan la suplantación de SMS para falsificar los identificadores de remitente. De repente, los mensajes de smishing parecen venir del número de tu banco, de tu número de rastreo de UPS o, en algunos casos, del número telefónico real de tu director ejecutivo. Dado que el SMS no se diseñó pensando en la validación del remitente, estos mensajes fraudulentos llegan directo a tu bandeja de notificaciones confiable, indistinguibles de cualquier otro mensaje.

Las pantallas móviles esconden otra vulnerabilidad. Los enlaces acortados (bit.ly, tinyurl) ocultan los destinos. Por ejemplo, no puedes pasar el cursor para ver una vista previa como en una computadora de escritorio. Combinado con el desplazamiento con una sola mano mientras haces varias cosas a la vez, el pensamiento crítico disminuye. El sesgo de urgencia ("Cuenta suspendida AHORA") y el sesgo de autoridad ("Este es tu banco") desencadenan decisiones precipitadas.

Los ataques sofisticados apuntan a la autenticación de dos factores basada en SMS. Los atacantes que tienen tu contraseña activan un inicio de sesión y luego se hacen pasar por "seguridad" para pedirte tu código MFA. Las aplicaciones de autenticación o las llaves de hardware resisten esta ingeniería social.

La diferencia clave entre smishing y phishing es el canal, pero ambos dependen de las mismas tácticas de ingeniería social para robar credenciales y causar daño. Los atacantes refinan constantemente sus tácticas, pero siempre dejan rastros.

El problema es que a la mayoría de las personas les cuesta distinguir los mensajes de texto legítimos de los falsos, y con la FTC reportando $330 millones en pérdidas por estafas de texto en 2022, las consecuencias son reales. Ten cuidado con lo siguiente:

• Enlaces sospechosos acortados con bit.ly, tinyurl u otros dominios inusuales. Las empresas reales usan sus nombres de dominio con su propia marca. 

• Las solicitudes de credenciales de inicio de sesión, información de pago o códigos MFA casi nunca provienen de empresas reales. No uses el enlace del mensaje de texto.

• El lenguaje urgente como "se requiere acción inmediata" o "la cuenta será suspendida" intenta anular tu pensamiento racional. 

• Los errores de gramática o las frases extrañas aparecen incluso en los ataques más sofisticados. A veces es sutil, como "Hemos detectado" escrito de forma incorrecta en inglés. 

• "Responde STOP para darte de baja" es una táctica de ingeniería social extremadamente astuta. Responder a un mensaje de smishing no te da de baja, sino que marca tu número como activo y accesible. 

Detener los ataques de smishing requiere un enfoque en capas que combine conciencia de los empleados, autenticación más fuerte y detección de amenazas a la identidad. Reconocer los ataques de smishing es el primer paso. Aquí tienes seis más:

1. Detente y verifica antes de hacer clic. Asegúrate de que nadie haga clic en un enlace de un mensaje SMS inesperado. En su lugar, abre la aplicación o el sitio web de la empresa correspondiente en un navegador. ¿Recibiste una “alerta bancaria”? ¡No hagas clic en el enlace! Abre primero tu aplicación bancaria.

2. Verifica por un canal diferente. Si tu gerente o un ejecutivo te pide transferir dinero por mensaje de texto, llámalo usando un número que ya tengas para confirmar que de verdad fue él.

3. Cambia a un factor más fuerte. Los códigos por SMS son mejores que nada, pero una aplicación de autenticación o una llave de seguridad física son mucho más seguras. La autenticación multifactor (MFA) basada en SMS puede ser manipulada mediante ingeniería social, mientras que las llaves físicas no.

4. Haz un informe a seguridad de inmediato. Los intentos de smishing deben reenviarse a tu equipo de TI o de seguridad sin demora. El informe de mensajes sospechosos les permite detectar campañas de ataque, desarrollar protecciones y advertir a otros antes de que más personas se vean comprometidas.

5. Invierte en capacitación continua. Huntress Managed Security Awareness Training mantiene la seguridad presente mediante security awareness training regular con simulaciones de smishing que reducen la cantidad de empleados que hacen clic en mensajes maliciosos.

6. Aplica detección de amenazas a la identidad. Huntress Managed Identity Threat Detection and Response (ITDR) detecta credenciales mal utilizadas e intentos de autenticación anormales después de que alguien cae en un mensaje de phishing. 

Tu teléfono volverá a vibrar. Recibirás otra notificación de entrega de paquete, otra alerta urgente de tu banco y otro "Haz clic aquí ahora". La diferencia está en lo que pasa después.

Los humanos cometen errores. En algún momento, alguien estará distraído revisando su teléfono, o el atacante será lo bastante convincente como para lograr que alguien haga clic. Incluso con estrategias de prevención perfectas, un ataque de phishing por SMS eventualmente tendrá éxito, y ahí es cuando más importa tu segunda línea de defensa.

Descubre cómo Huntress ayuda a detectar y detener ataques de smishing y phishing por SMS antes de que lleguen a tu gente. Reserva una demo de Huntress y mira cómo detener a los atacantes incluso después de que alguien haga clic.