La llegada de mensajes por parte de tu banco es algo relativamente normal. Al final, las entidades bancarias se valen de tu número de teléfono para mandarte códigos que debes usar en tus operaciones y potenciar la seguridad del sistema. Lo malo es cuando, desde ese mismo número, comienzan a llegar mensajes sospechosos.
Esta es una técnica de ciberdelincuencia llamada smishing, un fraude que se basa en el envío de mensajes de texto falsos que aparentan provenir de entidades fiables, como puede ser tu banco, con el objetivo de engañar a los usuarios para que compartan información personal o bancaria. Por lo general estos mensajes son muy alarmantes y te dirigen a un link que, desde luego, te recomendamos no pinchar.
¿Por qué esta estafa aparece en el mismo hilo que los mensaje legítimos?
Ponte en situación. Cuando haces una operación online con tu banco, el mismo te manda un código de confirmación desde un número XXX. Lo que pasa, es que en ese mismo hilo de la app de SMS que uses, aparecen otros mensajes como los citados, que te animan a pulsar en links fraudulentos, cuyo remitente es ese mismo número XXX.
Esto es posible gracias al uso de una vulnerabilidad en el sistema de SMS que permite a los ciberdelincuentes interactuar con el usuario con el nombre o número del remitente. Con esta técnica, los mensajes fraudulentos se «infiltran» en el mismo hilo de comunicación que el banco, haciendo que parezcan legítimos, cuando en realidad no es así (aunque la víctima, que es quien recibe el ataque, lo ignore por completo).
Resumiendo, para que se entienda perfectamente, esto tiene que ver con ciertas vulnerabilidades en el sistema de mensajes SMS y las técnicas, cada vez más avanzadas, de suplantación utilizadas por los delincuentes.
Cómo funciona el fraude
Los ciberdelincuentes envían un mensaje de texto que imita el formato y estilo de los mensajes oficiales del banco, utilizando incluso el mismo número de remitente que el banco usa habitualmente para enviar notificaciones. Una vez que el usuario recibe el mensaje, suele incluir algún tipo de advertencia sobre una supuesta «actividad sospechosa» en la cuenta o una «verificación urgente de seguridad». Se solicita entonces al usuario que proporcione datos sensibles, como el DNI, número de cuenta o teléfono, para «verificar» su identidad.
Pero vamos más allá. Los ciberdelincuentes pueden seguir con una llamada en la que suplantan el número oficial de contacto del banco (por ejemplo, el número de BBVA), pidiendo al cliente que confirme o realice transferencias, argumentando que se necesita «proteger» la cuenta bloqueándola temporalmente y transfiriendo el dinero a una cuenta «segura».
El final, ya sabes cuál es.
Los bancos avisan
Caixabank, Banco Santander, BBVA y otros bancos han avisado a sus clientes de que nunca van a pedir transferencias por SMS o llamada y que si te llega un mensaje o llamada solicitando que realices una transferencia para «proteger» tu cuenta, desconfía de inmediato.
Los mensajes SMS que BBVA envía no contienen enlaces. Si recibes alguno que incluya un link, aunque aparezca en el mismo hilo de mensajes de BBVA, es falso. El número de teléfono oficial de Línea BBVA (900 102 801) está habilitado para que los clientes se pongan en contacto con el banco a través de él, pero BBVA no realiza llamadas desde este número. Por tanto, si recibes una y en tu pantalla aparece «Línea BBVA» o el número oficial, se trata de una llamada fraudulenta.
Así que ya sabes, ante la más mínima duda, lo mejor que puedes hacer es borrar el mensaje o colgar la llamada y contactar directamente con el banco a través de los canales oficiales.
