Alerta por una nueva estafa por SMS: se hacen pasar por programas de puntos y roban los datos de la tarjeta

Una nueva campaña de estafas por mensajes de texto (SMS) comenzó a circular en Argentina esta semana con un mecanismo en el que los ciberdelincuentes se hacen pasar por programas de puntos o beneficios, anuncian que el saldo acumulado está por vencer y ofrecen canjearlo por productos. La particularidad que complica identificar el engaño es que los mensajes pueden aparecer identificados con el mismo remitente que habitualmente utiliza la telefónica para enviar SMS legítimos e incluso quedar dentro de la misma conversación en el teléfono.

El recorrido termina cuando la víctima intenta concretar el supuesto canje y el sitio le pide los datos de una tarjeta para pagar el envío. El SMS puede parecer una comunicación auténtica por la forma en que aparece identificado en el celular, aunque eso no significa que haya sido enviado por la compañía.

Clarín pudo comprobar casos recibidos en líneas de las tres principales empresas de telefonía: Claro, Personal y Movistar. El mensaje apareció, en los tres casos, dentro de la conversación donde el teléfono almacenaba SMS anteriores de la empresa, advertía sobre supuestos puntos a punto de vencer e incluía un enlace a un dominio que no pertenece a la compañía.

Al ingresar, el sitio simulaba un sistema de canje y ofrecía distintos productos, con una estética muy similar a la de la telefónica. El recorrido terminaba solicitando los datos de una tarjeta para abonar el envío del supuesto regalo. La campaña generó alertas dentro de las empresas de telecomunicaciones y motivó comunicaciones preventivas a clientes.

El mecanismo es un caso de phishing, una técnica de fraude que imita la identidad de una empresa, servicio o institución para llevar al usuario a un sitio falso y conseguir que entregue información sensible, como contraseñas, datos personales o información bancaria. Cuando el engaño llega por mensaje de texto también suele denominarse SMiShing, por la combinación de SMS y phishing.

Según averiguó este medio, hay una gran preocupación entre las empresas de telecomunicaciones por este problema: “Está muy caliente el tema, están sacando comunicaciones oficiales e internamente están trabajando para evitar que se siga propagando”, dijo una fuente allegada a la industria.

Otros especialistas del mundo de las telecomunicaciones confirmaron que se trata de un man in the middle: un tipo de ataque donde un ciberdelincuente intercepta los medios oficiales de comunicación, en este caso el remitente del SMS, para enviar un mensaje fraudulento.

Y hay consenso en que la técnica es implementada por un atacante que usa un “SMS blaster”, un dispositivo que funciona como una falsa estación base de telefonía móvil, se hace pasar por una antena legítima y puede inducir a celulares cercanos a conectarse para luego enviarles mensajes con un remitente manipulado.

Acá, cómo es el engaño, cuál puede ser la explicación técnica y cómo prevenir caer en la trampa.

Personal confirmó a este medio que “algunos usuarios reportaron haber recibido mensajes de texto fraudulentos enviados por terceros ajenos” a la compañía. Y fueron enfáticos con la aclaración: “Personal no cuenta con un programa de canjes de puntos”.

“Es importante aclarar que estos mensajes pueden generar confusión y ser interpretados como comunicaciones oficiales de Personal, dado que, tanto en dispositivos Android como en iOS los mensajes de texto (SMS) pueden aparecer agrupados en la misma categoría o bandeja donde se reciben otros mensajes legítimos de la compañía. No obstante, estos SMS no constituyen una comunicación oficial de Personal ni fueron enviados por la compañía”, aseguraron.

La empresa además informó además que realizó “las denuncias penales correspondientes” y que lleva adelante acciones para investigar el origen de los mensajes.

Claro también confirmó que detecto una campaña de abuso de sus sistemas, ante la consulta de este medio: “Detectamos una aparente maniobra de fraude, externa a nuestra compañía, que utiliza mensajes SMS que simulan estar asociados a nuestra marca con el objetivo de engañar a los usuarios y obtener información personal o financiera”.

“Las investigaciones realizadas por nuestros equipos especializados confirmaron que estos mensajes no se originan en las plataformas de mensajería de Claro y que emplean mecanismos que les permiten evadir controles tradicionales de la industria”, explicó la compañía. En efecto, abusar de los SMS es una práctica muy común de los cibercriminales.

Claro agregó que activó sus protocolos de prevención y respuesta, reforzó medidas técnicas de mitigación y trabaja con las autoridades competentes. “Continuamos monitoreando activamente este tipo de maniobras con el fin de proteger a nuestros usuarios y contribuir a la prevención del fraude digital”, señalaron.

Movistar, por su parte, confirmó a este medio que está advirtiendo a sus clientes. “Movistar está comunicando a toda su base de clientes un mensaje de concientización y alarma respecto a cómo prevenir estafas a través de medios digitales”, explicó la empresa.

Una de las hipótesis técnicas que se investiga para explicar este tipo de mensajes involucra dispositivos conocidos como “SMS Blasters” o falsas estaciones base. El sitio especializado Segu-Info advirtió este lunes sobre una campaña dirigida a clientes de Personal, Claro y Movistar y planteó el uso de estos equipos como posible explicación. Clarín contactó a su director, el especialista en seguridad informática Cristian Borghello, para analizar el mecanismo.

“Una de las hipótesis técnicas es el uso de False Base Stations (FBS) o ‘SMS Blasters’: equipos que se hacen pasar por una antena de telefonía real y pueden inducir a celulares cercanos a conectarse a una red falsa, en algunos casos forzando una degradación hacia 2G para aprovechar debilidades históricas del protocolo GSM”, explicó.

En términos simples, el equipo fraudulento intenta hacerse pasar por una antena de telefonía ante celulares que se encuentran cerca. Bajo este escenario, puede aprovechar características de las antiguas redes 2G para enviar el SMS directamente al teléfono y manipular la información que éste muestra como origen del mensaje.

“El ataque puede entenderse como una variante de Man in the middle [hombre en el medio] a nivel de la red celular. La estación base falsa suplanta a una antena legítima, induce al teléfono a conectarse mediante 2G y puede inyectar un SMS manipulando incluso el número de origen”, explicó Borghello. Ahí es donde el atacante envía un mensaje que se ve como legítimo, pero lleva a un sitio controlado por él para poder robar datos de tarjetas.

Eso permitiría producir justamente uno de los efectos observados en esta campaña. “De esta manera, un mensaje fraudulento puede aparecer como enviado desde un número corto legítimo, por ejemplo, 152 o 611, e incluso integrarse visualmente en el mismo hilo donde el usuario conserva mensajes auténticos de la empresa, aunque ese SMS nunca haya sido transmitido por la infraestructura del operador”, señaló. Eso es lo que hace a la mayor parte del engaño.

Esto es un rasgo distintivo de esta campaña, porque el usuario puede ver un identificador conocido en la pantalla y creer que es legítimo: apenas arriba puede tener un mensaje que lo lleva a una URL legítima del proveedor de telefonía. Para peor, ni Android ni iPhone tienen en este escenario de una forma de verificar que el SMS realmente salió de la empresa que figura como remitente.

“Un aspecto especialmente peligroso es que, en este escenario, el dato que indica quién envía el SMS no está autenticado de forma que el teléfono pueda comprobar que realmente pertenece al operador”, explicó Borghello.

Estos equipos pueden además ser portátiles. “En otros países, se ha documentado su utilización desde vehículos, mochilas o equipos móviles que recorren zonas con alta concentración de personas, permitiendo a delincuentes distribuir mensajes fraudulentos directamente a los teléfonos que se encuentran dentro de su radio de alcance”, señaló el especialista. Borghello remarcó, sin embargo, que estos equipos son caros.

Clarín pudo corroborar, independientemente de la hipótesis del especialista, que las empresas de telefonía investigan a un individuo que está usando esta tecnología para realizar estos ataques.

La principal precaución frente a esta campaña es evitar tomar el remitente que aparece en pantalla como prueba suficiente de que el mensaje es auténtico.

Si un SMS informa sobre puntos, premios, promociones o beneficios, conviene comprobarlo por separado desde la aplicación oficial de la empresa o escribiendo su dirección directamente en el navegador.

Personal dio estas recomendaciones, ante la consulta sobre cómo evitar estas estafas:

• Desconfiar de beneficios inesperados o mensajes que generen urgencia. Un aviso de puntos a punto de vencer o un regalo que debe canjearse inmediatamente son recursos habituales para apurar al usuario y evitar que compruebe la información.

• No ingresar desde el enlace incluido en el SMS. Para verificar una promoción, conviene abrir por separado la aplicación oficial de la compañía o escribir su dirección en el navegador.

• No entregar datos de tarjetas para recibir un supuesto premio. Tampoco deben compartirse contraseñas, claves, tokens, códigos de verificación u otra información bancaria a partir de un enlace recibido por mensaje.

• Revisar si el programa de beneficios realmente existe. Personal aclaró expresamente que no cuenta con un programa de canje de puntos. Claro tampoco tiene un programa. Y Movistar tiene uno pero no funciona con puntos, sino con líneas prepagas que pueden canjear gigas o minutos (ver acá).

• Reportar el mensaje sospechoso a la empresa. Las operadoras pueden utilizar esos reportes para investigar campañas activas, bloquear dominios o tomar otras medidas de mitigación.

Hay además una medida más técnica para reducir la exposición a una eventual falsa estación base. Borghello recomienda, “en los dispositivos que lo permitan, desactivar temporalmente la conectividad 2G”. La disponibilidad de esa configuración depende del modelo de teléfono y del sistema operativo, y puede afectar la conectividad en lugares donde todavía se utiliza esa tecnología.

El problema, a nivel general, es que “hay varias razones por las cuales 2G no puede darse de baja en el corto plazo”, explica un investigador de seguridad independiente. Además, advierte que bloquear esa tecnología no garantiza por sí solo que un teléfono quede protegido frente a falsas estaciones base, ya que existen técnicas para intentar degradar o manipular conexiones de generaciones posteriores y llevar al dispositivo hacia una red controlada por el atacante.

Para el especialista, el problema de fondo es más amplio, porque todavía existen servicios que utilizan el SMS como mecanismo de comunicación, verificación o recuperación de cuentas.

“La solución es eliminar el SMS de todos los sistemas”, sostuvo. Es un cambio difícil de implementar, pero desde hace años especialistas en ciberseguridad advierten sobre las limitaciones del SMS como mecanismo de autenticación. Su uso puede facilitar estafas, robos de cuentas y ataques más sofisticados, incluidos aquellos en los que un atacante toma control de un número telefónico para acceder a otros servicios.

Mientras tanto, la regla de desconfiar de cualquier premio o mensaje que juegue con cierta urgencia, sigue siendo una regla de oro para manejarse en el ecosistema online.

Hasta un mensaje que llegue de un remitente legítimo puede traer consigo un engaño.