Alerta de nuevas y masivas campañas de SMS que suplantan a entidades bancarias para robar nuestras contraseñas

La Oficina de Seguridad del Internauta (OSI) del Instituto Nacional de Ciberseguridad (Incibe) ha alertado de nuevas campañas de envío de SMS fraudulentos (smishing) que suplantan a numerosas entidades bancarias.

El objetivo es dirigir a la víctima a una página web falsa que simula ser la web oficial de una identidad bancaria con el objetivo de robar las credenciales de acceso al servicio bancario. Los pretextos utilizados en los mensajes intentan alarmar al usuario para que pulse sobre el enlace y siga los pasos que se le indican sin pararse a analizar la situación.

Los mensajes SMS detectados últimamente, contienen enlaces fraudulentos con dominios como .ly, .to, .at, .com, .eu, etc. Otro método es utilizar vocales en mayúsculas entre las palabras del enlace, no siendo tan fácil de detectar un enlace sospechoso, como “tubanco.notIfIcación”. Además de usar palabras como: “seguridad”, “activar”, “actualizar”, “tarjeta”, “reactivar”, “cuenta” o “bloqueo” para incitar a la víctima a acceder al enlace lo más rápido posible.

Algunos mensajes vienen identificados con el remitente de la entidad bancaria o desde un número desconocido. En ocasiones, los SMS se ven añadidos a hilos de mensajes legítimos de tu propia cuenta bancaria para evitar que se sospeche del fraude.

Por norma general, estos mensajes suelen informar al usuario de que se necesita actualizar o activar el uso de la cuenta ya que, debido a medidas de seguridad, han sido restringidos. Por ello, haciendo clic en el enlace y rellenando con tus credenciales podrás solucionarlo. Algunos de estos mensajes son más fáciles de reconocer debido a las faltas de ortografía y gramaticales o al cambio de lenguaje formal a coloquial, algo que una entidad de estas características no cometería en su redacción. A continuación, se muestran ejemplos de mensajes, con algunas evidencias gráficas de estos:

SANTADER

• Centro de ayuda Banco Santander. A partir del [dd/mm/aaaa] no podrá utilizar su tarjeta debido a cambios en la política de seguridad. Acceda al link para proceder con la activación [URL fraudulenta].
• SANTANDER Estimado cliente: A partir del [dd/mm/aaaa], no podrá utilizar su cuenta. Hasta que actualice el nuevo sistema de seguridad: [URL fraudulenta]
• SANTANDER A partir del día [dd/mm/aaaa] No podrá utilizar su cuenta, Tiene que activar esl nuevo sistema de seguridad web desde: [URL fraudulenta]

CAIXABANK

• CAIXABANK INFORMA Acción requerida en tu tarjeta, se han detectado movimientos inusuales, activa el nuevo sistema de seguridad antes del [dd/mm/aaaa] a través del siguiente enlace para evitar el bloqueo de tus cuentas y tarjetas [URL fraudulenta]
• Notification CaixaBank : A Partir del [dd/mm/aaaa], No puede utilizar su tarjeta. Tienes que activar el nuevo sistema de seguridad web: [URL fraudulenta]
• CAIXABANK: Estimado cliente: A partir del [dd/mm/aaaa], no podrá utilizar su cuenta. Hasta que actualice el nuevo sistema de seguridad [URL fraudulenta]
• CaixaBank: A partir del [dd/mm/aaaa] no podrá utilizar su tarjeta para fines de oficina, Active la seguridad web para evitar el bloqueo: [URL fraudulenta]

UNICAJA

• Nuevo dispositivo conectado a su banca online, si no reconoce dicha acción verifique inmediatamente: [URL fraudulenta]
• [UNICAJA BANCO]: por motivos de seguridad. Hemos bloqueado tu Tarjeta. Verifica tu cuenta para activar el acceso: [URL fraudulenta]
• Se ha iniciado sesión desde un nuevo DISPOSITIVO, si no has sido tu verifica inmediatamente [URL fraudulenta]

BANKINTER

• Bankinter Hemos detectado movimientos inusuales en su aplicación por prevención si no ha sido usted confírmelo en nuestro web [URL fraudulenta]

OPENBANK

• Openbank: AVISO: Se ha conectado un nuevo dispositivo. Si no reconoce este acceso verifique mediante [URL fraudulenta]

IBERCAJA

• Ibercaja Banco [ servicio al cliente]: A partir del [dd/mm/aaaa] No puedes utilizar su Tarjeta. Tienes que activar el nuevo sistema de seguridad: [URL fraudulenta]

BBVA

• [BBVA BANCO]: por motivos de seguridad. Hemos bloqueado tu Tarjeta. Verifica tu cuenta para activar el acceso: [URL fraudulenta]
• Su tarjeta ha sido limitada temporalmente por razones de seguridad, para reactivarla, actualice su información [URL fraudulenta]

ABANCA

• Hemos detectado movimientos inusuales en su aplicación, por prevención si no ha sido usted confírmelo en nuestra web: [URL fraudulenta]

KUTXABANK

• Hemos detectado movimientos inusuales en su aplicación, por prevención si no ha sido usted confírmelo en nuestra web: [URL fraudulenta]

No se descarta que se puedan estar utilizando otros mensajes de características similares. Tampoco se descarta que este mensaje pueda estar llegando a través de correos electrónicos fraudulentos (phising) a dispositivos móviles.

Solución

Si has recibido un SMS de estas características, accedido al enlace y facilitado tus datos de acceso (usuario y contraseña), así como cualquier otro dato de carácter personal o financiero, contacta lo antes posible con la entidad bancaria para informarles de lo sucedido y cancelar posibles transacciones que se hayan podido efectuar, bloquear el acceso a tu cuenta, tarjetas, así como para actualizar los datos de acceso al servicio de banca online.

Además, te recomendamos modificar la contraseña en aquellos servicios en los que se utilice la misma clave que la empleada para acceder a tu banca online. De manera adicional, comprueba que no tienes activado en tu dispositivo redirección de llamadas a algún número de teléfono sin que seas consciente de ello.

• En dispositivos Android sigue los siguientes pasos: Teléfono > Pulsar sobre los tres puntos situados en la parte superior derecha > Ajustes > Servicios adicionales > Desvío de llamadas.
• Para los dispositivos iOS, habrá que acceder a los Ajustes > Teléfono > Desvío de llamadas.

Evita ser víctima de fraudes de este tipo siguiendo estas recomendaciones:

1. No abras mensajes de usuarios desconocidos o que no hayas solicitado, elimínalos directamente. No contestes en ningún caso a estos SMS.
2. Ten precaución al seguir enlaces, aunque sean de contactos conocidos.
3. Revisa la URL de la página web. Si no hay certificado, o si no corresponde con el sitio al que accedemos, no facilites ningún tipo de información personal: nombre de usuario, contraseña, datos bancarios, etc.
4. En caso de duda, consulta directamente con la entidad implicada o con terceros de confianza, como son las Fuerzas y Cuerpos de Seguridad del Estado (FCSE) y la Oficina de Seguridad del Internauta (OSI) de INCIBE.

Además, ten en cuenta siempre los consejos que facilitan los bancos y entidades financieras en su sección de seguridad:

1. Cierra todas las aplicaciones o programas antes de acceder a su web.
2. Escribe directamente la URL de la entidad en el navegador, en lugar de llegar a ella a través de enlaces disponibles desde páginas de terceros, en correos electrónicos o SMS. Recuerda que un banco nunca notifica incidentes de tu cuenta a través de correo electrónico o SMS, incluyendo un enlace a su web en el mensaje.
3. Si prefieres hacer uso de la app del banco para los distintos trámites, asegúrate de que descargas la aplicación oficial.
4. Protege tus cuentas. Utilizar contraseñas robustas y sistemas de doble verificación, siempre que sea posible, ya que permitirá añadir una capa extra de protección.
5. No accedas al servicio de banca online desde dispositivos públicos, no confiables o que estén conectados a redes wifi públicas.