Smishing, técnica para robar datos en teléfonos inteligentes

Los SMS de remitentes desconocidos pueden causar mucho daño, especialmente en teléfonos inteligentes utilizados con fines comerciales. Los atacantes a menudo usan un método llamado smishing para hacer esto. A continuación se desglosa cómo funciona el phishing por SMS y algunos métodos que se pueden implementar en las empresas para minimizar los riesgos.

Smishing: Cómo funciona el phishing por SMS

A través del smishing, los hackers obtienen acceso a dispositivos móviles como teléfonos inteligentes y, por lo tanto, pueden ver datos personales o información de la empresa. A través de la notificación por SMS, invitan a sus víctimas a realizar ciertas acciones, como hacer clic en los enlaces, iniciar, descargar y/o abra archivos adjuntos. Esto puede crear una puerta de enlace inicial a través de la cual los ciberdelincuentes pueden obtener acceso a información confidencial.

Abrir un enlace lleva a la víctima a un sitio web manipulado que solicita datos o se refiere a una descarga.

La información solicitada con frecuencia es la siguiente:

• Datos personales, como nombres y direcciones, se pueden utilizar para el robo de información
• Credenciales en línea, como nombres de usuario y contraseñas, mediante las cuales los atacantes obtienen acceso a los datos en aplicaciones adicionales
• Datos financieros que se pueden revender o permitir el fraude en línea

Algunos ataques de smishing están demostrando ser particularmente sofisticados: el uso de bots permite a los ciberdelincuentes personalizar los mensajes SMS al captar la ubicación del destinatario, por ejemplo. El pretexto también es común: los atacantes primero llaman a la víctima y le piden información personal para que el SMS sea más confiable. Si se dan motivos comprensibles para tal llamada y se llega a la víctima en un momento estresante, por ejemplo, entre dos reuniones, es fácil que se divulguen datos confidenciales.

Para educar a los empleados sobre los riesgos y las sutilezas de prácticas como el smishing, los responsables de la toma de decisiones deben confiar constantemente en la capacitación y los talleres individuales. Algunos proveedores de servicios ofrecen capacitación específica en concienciación sobre seguridad para este propósito, en la que toda la fuerza laboral está capacitada para lidiar con los riesgos cibernéticos correctamente.

Ejemplos de ataques de smishing comprobados

Los SMS de phishing en dispositivos de servicio ya han causado un gran revuelo en el pasado. En el otoño de 2021, según la Oficina Federal Alemana de Seguridad de la Información (BSI), los atacantes de smishing prefirieron recurrir a dos tácticas: el SMS contenía información sobre un mensaje de voz a mano, o una infección con un programa de malware. Además, los atacantes aumentaron la presión al decir que se habían filtrado fotos o documentos asegurados en el teléfono inteligente. El enlace adjunto atrajo al usuario a descargar el supuesto correo de voz o un nuevo programa de protección contra virus.

Ver: Machine Learning y ciberseguridad

Impacto para las empresas

Estos últimos ataques de smishing en particular son desagradables para los destinatarios: la idea de que podrían ser responsables de una fuga de datos aumenta la probabilidad de caer en un SMS de este tipo. Para las empresas, esto puede tener graves consecuencias: si el malware entra en las redes internas de la empresa a través del smishing, generalmente toma algún tiempo antes de que el departamento de TI se dé cuenta de ello. Tiempo suficiente para que los ciberdelincuentes roben, vendan y publiquen datos. Esto no solo conduce a pérdidas financieras, sino que las empresas también deben contar con una grave pérdida de confianza por parte de sus clientes.

Cómo reconocer y protegerse de un ataque de smishing

Si el malware ha penetrado en la red de la empresa a través de SMS falsificados, los efectos son difíciles de evaluar. Las fugas de datos resultantes deben cerrarse inmediatamente para evitar daños mayores. Por lo tanto, las empresas deben tomar las siguientes precauciones:

Detectar manchas

A menudo, los SMS de phishing contienen signos que indican la fuente no confiable. Estos pueden ser:

• La referencia a la entrega de un paquete o un supuesto premio, aunque los usuarios no han pedido nada y no han participado en ningún sorteo, especialmente no con el teléfono inteligente de servicio.
• Los errores ortográficos y gramaticales indican que el remitente del mensaje no trabaja para una empresa profesional y creíble.
• Referencias a avisos bancarios. Sin embargo, un banco buscaría contacto personal, por lo que el departamento de finanzas debe ser contactado en tal caso.
• El remitente también puede ser una indicación para reconocer el smishing. En su mayoría, los SMS de phishing se envían desde números desconocidos, por lo que se aplica una precaución especial aquí si se le envía un enlace. Sin embargo, también puede suceder que un teléfono celular haya sido infectado por alguien que conoces y ahora esté enviando SMS peligrosos automáticamente.

Precauciones de seguridad importantes para las empresas

Con las medidas adecuadas, las empresas pueden reducir los riesgos de smishing:

1. Usa VPN: La VPN es una forma legítima de disfrazar la dirección IP. Las personas no autorizadas no pueden verlo y no tienen acceso a datos como la ubicación o la actividad web. Los SMS de phishing se pueden detectar más fácilmente gracias a VPN si se refieren a una ubicación porque la VPN simula una ubicación falsa.

• Autenticación multifactor: Con la autenticación multifactor, la autorización de acceso se verifica mediante varias características independientes, como un PIN especial, una tarjeta de acceso o una huella digital. Por lo tanto, el robo de contraseñas y nombres de usuario a menudo ya no es suficiente para dar a los ciberdelincuentes el éxito deseado.
• Concepto de seguridad integral: Si las empresas desarrollan un concepto uniforme y completo para hacer frente a las amenazas de la red, por ejemplo, mediante el uso de un escáner de vulnerabilidades o la realización regular de pruebas de lápiz, se proporcionan protección adicional. En el caso de un ataque, se detecta y se evita en una etapa temprana.

Idealmente, las empresas confían en un socio fuerte para aumentar sus precauciones de seguridad de TI. Un proveedor de servicios adecuado ofrece soporte mucho más allá de la capacitación en conciencia de seguridad, con un enfoque de 360 grados para prevenir proactivamente las amenazas de los ciberdelincuentes.

¿Se hizo clic en el enlace de smishing? Nuestras recomendaciones para la acción

Además de las precauciones de seguridad, es aconsejable proporcionar a su propio personal recomendaciones concretas para la acción en caso de una emergencia. Estas medidas pueden ser tomadas directamente por los empleados para prevenir peores:

• Habilitar el modo de vuelo dejará de enviar y recibir más SMS y evitará que el malware se comunique con otros dispositivos.
• Un bloqueo de proveedor de terceros puede ser iniciado por el proveedor de red móvil. Esto bloquea el método de pago a través de la factura del teléfono móvil.
• La realización de análisis de vulnerabilidades permite a las empresas identificar las brechas de seguridad lo más rápido posible y, por lo tanto, también evitar el robo de datos o la intrusión de malware.

Contrarrestar eficazmente el smishing

Los efectos del smishing pueden causar grandes problemas a las empresas. Al contar con personal atento y bien capacitado y tomar precauciones como un concepto integral de seguridad de TI, las empresas pueden contrarrestar eficazmente este tipo de ataque cibernético. En particular, la capacitación en seguridad de TI y el monitoreo continuo de vulnerabilidades contribuyen a una protección efectiva contra el smishing.

^{Con información de Swiss Cyber Institute}