l smishing (phishing por SMS) es una estafa por mensaje de texto que suplanta la identidad de una organización de confianza —un banco, una empresa de mensajería o un organismo gubernamental— para engañar al destinatario y lograr que haga clic en un enlace malicioso o proporcione sus credenciales. Se combate en dos frentes: los operadores lo filtran en la red con cortafuegos SMS, reputación de enlaces y protección de la identidad del remitente, mientras que las marcas se defienden con identificadores de remitente registrados y consistentes, y enlaces de marca.
El smishing es un ataque dentro de un panorama de fraude más amplio. Para obtener información sobre los ataques de facturación empresarial (bombeo de SMS) y las amenazas de enrutamiento gris y señalización del lado del operador que van de la mano, consulte Cómo defenderse del fraude SMS A2P. Esta guía se centra específicamente en el phishing por SMS.
Por qué los SMS son el canal favorito de los estafadores.
El phishing por correo electrónico cuenta con décadas de medidas de protección: filtros de spam, reescritura de enlaces, previsualizaciones aisladas y advertencias en banners. Los SMS prácticamente carecen de ellas. Un mensaje de texto llega a la misma bandeja de entrada que un código de acceso único legítimo del banco del destinatario, la gran mayoría lo abre en cuestión de minutos y genera confianza precisamente porque históricamente los SMS han transmitido mensajes transaccionales de alto valor. En un teléfono, no se puede inspeccionar una URL acortada, el destino real permanece oculto hasta que se pulsa el botón y la pantalla pequeña oculta las señales de alerta que un usuario de ordenador detectaría. Si a esto le añadimos la suplantación de identidad del remitente (donde un atacante configura un remitente alfanumérico para que parezca una marca legítima), el mensaje llega con una apariencia auténtica. Esta combinación de alta confianza, alta tasa de apertura y baja capacidad de inspección es la razón por la que el smishing tiene éxito donde el phishing por correo electrónico fracasa cada vez más.
Cómo funciona un ataque de smishing
Una campaña de smishing encadena una serie de técnicas muy conocidas. Comprender esta cadena es clave para saber dónde debe ubicarse cada medida de defensa.
- Identificadores de remitente falsificados o similares: un remitente alfanumérico configurado con el nombre exacto de un banco, o una variante casi idéntica con un carácter intercambiado, un espacio añadido o un homóglifo que se lee como la marca.
- Enlaces cortos maliciosos: un acortador de URL genérico o un dominio similar recién registrado que oculta el destino real y elude las listas de bloqueo estáticas.
- Urgencia e ingeniería social: una cuenta bloqueada, un paquete retenido, un peaje o una multa impagada; presiones diseñadas para que el destinatario actúe sin pensar.
- Recopilación de credenciales: el enlace abre una copia idéntica de la página de inicio de sesión o de introducción de datos de la tarjeta de la marca para capturar nombres de usuario, contraseñas, códigos OTP o detalles de la tarjeta.
- En algunas plataformas, el malware aloja un troyano bancario o un programa para robar SMS que intercepta las futuras contraseñas de un solo uso de la víctima.
- La suplantación de marca a gran escala —bancos, empresas de mensajería y reparto, servicios electrónicos gubernamentales y tributarios, y operadores de telecomunicaciones— son las categorías más suplantadas porque los destinatarios ya esperan recibir mensajes de ellas.
En el Consejo de Cooperación del Golfo (CCG), las oleadas más visibles de fraude consisten en la suplantación de identidad de bancos y servicios electrónicos gubernamentales (alertas falsas de "cuenta suspendida" o "verificación de identidad") y estafas de mensajería que cobran "tasas aduaneras" durante las temporadas altas de ventas. Dado que el registro del identificador del remitente es obligatorio en gran parte de la región MENA, un identificador falsificado o no registrado constituye una señal clara que el cortafuegos del operador puede aprovechar, y es precisamente ahí donde comienza la defensa de la red.
Smishing frente a phishing
El smishing es el phishing trasladado del correo electrónico a los SMS, y el cambio de canal es precisamente la clave: las propiedades que hacen de los SMS un excelente canal comercial también los convierten en un excelente canal de ataque.
| Atributo | Suplantación de identidad por correo electrónico | Smishing (phishing por SMS) |
|---|---|---|
| Confianza en el canal | Moderado: los usuarios desconfían del correo electrónico. | Alto: los SMS contienen códigos OTP y alertas bancarias. |
| Tasa de apertura/lectura | De bajo a moderado | Muy alta, normalmente en cuestión de minutos. |
| Inspección de enlaces | Pase el cursor para previsualizar; herramientas de escritorio | Oculto hasta que se toque; no se muestra al pasar el cursor en dispositivos móviles. |
| Defensas del proveedor | Filtros antispam avanzados, reescritura de enlaces, entornos aislados (sandboxes) | Escaso; depende del cortafuegos del operador. |
| Suplantación de identidad del remitente | Basado en dominios, mitigado por SPF/DKIM/DMARC. | Suplantación de identidad alfanumérica del remitente, controles nativos débiles |
| Defensa primaria | Pasarela de correo electrónico segura | Cortafuegos de SMS + registro de ID de remitente + reputación de enlaces |
Defensa del operador: cómo detener el smishing en la red.
La red es el lugar con mayor influencia para detener el smishing: un único control por parte del operador protege a todos los suscriptores a la vez, antes de que un mensaje malicioso llegue a un teléfono móvil. Una estrategia moderna contra el smishing combina varias técnicas, la mayoría de las cuales se ejecutan dentro del cortafuegos SMS.
- Filtrado de contenido: el cortafuegos inspecciona el cuerpo, la estructura y los metadatos del mensaje, comparándolos con las firmas de smishing, las reglas de palabras clave y patrones, y las huellas digitales de campañas conocidas; a continuación, pone en cuarentena o descarta las coincidencias.
- Reputación de URL y enlaces: los enlaces se extraen y se verifican en tiempo real con respecto a fuentes de reputación y listas negras, de modo que se bloquean los destinos maliciosos conocidos, los dominios similares recién registrados y los acortadores genéricos abusivos. La información sobre números y enlaces, como la reputación de los teléfonos, contribuye a la misma decisión.
- Protección y registros de identificadores de remitente: un registro de identificadores de remitente alfanuméricos legítimos y registrados permite a la red bloquear identificadores falsificados o no registrados que suplantan la identidad de una marca, lo cual, en los mercados donde el registro es obligatorio, constituye una señal decisiva.
- La señalización y la protección contra la suplantación de identidad (el filtrado de las capas SS7 y Diameter, con comprobaciones de enrutamiento de origen y de dirección de origen) impiden que los mensajes inyectados o suplantados a través de la interconexión entren en la red.
- La detección de anomalías de comportamiento (picos repentinos de volumen, una fuente que se distribuye a muchos suscriptores o ráfagas de enlaces idénticos) activa los modelos de anomalías que sacan a la luz campañas que las reglas estáticas pasarían por alto.
Estos controles van de la mano: el filtrado de contenido y enlaces detecta la carga útil, la aplicación de la identificación del remitente detecta la suplantación de identidad y la defensa de señalización detecta la inyección. Este modelo por capas —defensa en el borde de la red en lugar de en cada dispositivo— se describe con más detalle en nuestra descripción general de seguridad.
Defensa empresarial y de marca
Los operadores no pueden resolver el smishing por sí solos. Las marcas suplantadas cuentan con sus propias herramientas, y utilizarlas facilita el trabajo de la red a la vez que protege el activo más valioso de la marca: la confianza del cliente en sus mensajes. Las medidas defensivas, en orden de impacto, son las siguientes:
- Registre sus identificadores de remitente en cada mercado al que envíe mensajes y utilice identificadores alfanuméricos registrados y consistentes para que los clientes —y los cortafuegos de los operadores— puedan distinguir un mensaje auténtico de uno falsificado.
- Estandarice el uso de un pequeño conjunto de identificadores de remitente de marca en lugar de códigos numéricos largos rotativos; una identidad predecible genera más confianza en los clientes y facilita que los cortafuegos la incluyan en la lista blanca.
- Utilice dominios de enlaces propios y de marca en lugar de acortadores de URL genéricos, de modo que un enlace legítimo sea visiblemente suyo y un enlace acortado se convierta en una señal de advertencia a la que se pueda enseñar a los clientes a desconfiar.
- Mantén una estricta higiene de enlaces: HTTPS, un único dominio conocido, sin cadenas de consulta confusas específicas del usuario y nunca solicites contraseñas, números completos de tarjetas o códigos OTP por mensaje de texto.
- Informe a sus clientes de forma explícita y reiterada de que nunca les solicita credenciales ni códigos de acceso de un solo uso por SMS, y publique los identificadores de remitente y los dominios exactos que utiliza.
- Ofrezca a los clientes y al personal una forma rápida y conocida de denunciar casos sospechosos de smishing, y envíe esos informes a su operador y proveedor de mensajería para que las listas de bloqueo se actualicen rápidamente.
- Supervise los dominios similares y las identificaciones de remitente falsificadas que atacan su marca y tome medidas para eliminarlos: la detección de smishing es tanto una herramienta de protección de marca como un filtro de bandeja de entrada.
Ambas partes se refuerzan mutuamente. Una marca que registra y estandariza sus identificadores de remitente proporciona al cortafuegos del operador una lista blanca limpia contra la que aplicar medidas de seguridad; un operador que gestiona la reputación de los enlaces y la protección del identificador de remitente logra que la identidad registrada de la marca tenga un significado real en el dispositivo móvil. Ninguna de las dos partes es suficiente por sí sola: la defensa contra el smishing es una estrategia compartida, al igual que la defensa contra el fraude A2P en general.
BroadNet opera cortafuegos de SMS dentro de las redes de los operadores con filtrado de contenido, verificación de la identidad del remitente e información en tiempo real sobre enlaces y números. Consulte las funcionalidades de Cortafuegos de SMS y reputación telefónica. La misma infraestructura que protege a los suscriptores del smishing es la que garantiza la entrega del tráfico legítimo de marca.
Preguntas frecuentes
¿Qué es el smishing?
El smishing es una técnica de phishing que se realiza mediante SMS (el nombre combina las palabras "SMS" y "phishing"). Un atacante envía un mensaje de texto haciéndose pasar por una organización de confianza, normalmente un banco, una empresa de mensajería o un organismo gubernamental, con un mensaje urgente y un enlace malicioso. Al pulsarlo, se accede a una página falsa de inicio de sesión o pago que roba credenciales, códigos de acceso de un solo uso o datos de la tarjeta, o bien instala malware en el dispositivo.
¿En qué se diferencia el smishing del phishing?
El phishing suele referirse al correo electrónico; el smishing es su versión por SMS. La diferencia radica en las características del canal: los SMS tienen una tasa de apertura y confianza mucho mayor, los enlaces no se pueden previsualizar ni visualizar en un teléfono, y los proveedores carecen de los avanzados filtros de spam de los que disfruta el correo electrónico. La identidad del remitente también es más vulnerable: los identificadores alfanuméricos son más fáciles de falsificar que los dominios de correo electrónico protegidos por SPF, DKIM y DMARC, por lo que los controles del operador asumen una mayor responsabilidad.
¿Cómo detectan y bloquean los operadores el smishing?
Los operadores gestionan un cortafuegos de SMS que inspecciona el contenido y los enlaces de los mensajes, compara las firmas de smishing conocidas y verifica las URL con fuentes de reputación en tiempo real y listas de bloqueo. Aplica un registro de identificadores de remitente legítimos para bloquear los falsificados o no registrados, analiza la capa de señalización SS7 y Diameter en busca de mensajes inyectados y aplica detección de anomalías de comportamiento para detectar picos de volumen y patrones de propagación que revelan una campaña en curso.
Referencias
- GSMA — Fraude y seguridad (serie FS) y guía sobre fraude en mensajería: gsma.com
- CISA (Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU.) — guía sobre smishing y estafas por mensajes de texto: cisa.gov
- BroadNet: defensa contra el smishing del lado del operador: Cortafuegos SMS y reputación telefónica.
- BroadNet — defensa contra el fraude SMS A2P: el panorama general del fraude en torno al smishing.