La Oficina de Seguridad del Internauta (OSI) ha emitido esta semana una alerta relativa a una nueva estafa ejecutada a través de mensajes SMS (lo que conocemos como “smishing”) en el que el remitente se hace pasar por ‘La Moncloa’ para robar nuestras credenciales de acceso a la banca digital.

La estafa radica en el ofrecimiento, realizado en el mensaje SMS, de un supuesto reembolso de impuestos del período 2022-2023… un reembolso al que sólo podremos acceder una vez accedamos a un enlace que nos conducirá a una versión fraudulenta de la web del Gobierno de España.

Como de costumbre en estos casos (a pesar de la disponibilidad de los chatbots y de docenas de herramientas de corrección ortográfica), el presunto mensaje de “La Moncloa” ‘canta’ a kilómetros: “aun” y “devolucion” sin tilde, mezcla del “tú” y del “usted”, etc.:

Una vez hayamos accedido a la misma, nos aparecerá una ventana emergente con el siguiente texto, que apela a nuestro sentimiento de urgencia para evitar que nos pensemos mucho la realización de este ‘trámite’, amenazando con que perderemos en breve el derecho al ‘reembolso’:

“[…]Ya le hemos enviado un primer y segundo correo electrónicos de este post, pero hasta la fecha no hemos recibido respuesta. Le pedimos que complete el procedimiento de reembolso inmediatamente. Si no hemos recibido el procedimiento del paquete a continuación dentro de los 3 días, este reembolso caducará”.

Percibiremos que sólo podremos interactuar con la ventana emergente y se nos presentarán varias opciones de entidades bancarias para que seleccionemos en cuál deseamos recibir el supuesto reembolso. Una vez elegida nuestra entidad, nos animarán a introducir nuestras credenciales de acceso bancario.

Ni que decir tiene que, llegados a este punto, los estafadores usarán esta información para sacar dinero de nuestras cuentas, y nosotros nos quedaremos compuestos y sin reembolso. En resumen: nada de introducir credenciales bancarias en ninguna web que no sea la del propio banco.

A mí me ha llegado este SMS, ¿qué hago?

La OSI aconseja que cualquier persona que haya recibido este mensaje debe eliminarlo inmediatamente. Si, además de recibirlo, ha entrado en el enlace e introducido los datos que le solicitaban, debe:

• Contactar con su entidad bancaria, informar de lo ocurrido y permitir así que se tomen las medidas de seguridad pertinentes.
• Presentar denuncia ante las Fuerzas y Cuerpos de Seguridad del Estado.
• Revisar regularmente los movimientos y transacciones que se realicen desde las cuentas afectadas para controlar posibles cargos no autorizados.

Imagen | OSI

En Ciberpro | Las estafas SMS han triunfado en España gracias a cómo funciona Android. Ahora Google quiere arreglarlo