Nueva oleada de smishing suplanta a bancos españoles: análisis técnico y mitigación
Introducción
En las últimas semanas, España ha sido testigo de una sofisticada campaña de smishing dirigida a clientes de entidades bancarias nacionales. Kaspersky ha alertado sobre una nueva ola de mensajes SMS fraudulentos, donde los atacantes se hacen pasar por bancos reconocidos para manipular a las víctimas y robar credenciales y fondos. Este tipo de ataque, que combina ingeniería social con técnicas avanzadas de phishing, representa una amenaza significativa tanto para usuarios individuales como para el sector financiero y los equipos de ciberseguridad responsables de proteger la infraestructura crítica.
Contexto del Incidente
El smishing, o phishing por SMS, no es una técnica nueva, pero ha experimentado un repunte considerable en España en 2024, coincidiendo con la digitalización acelerada del sector bancario y el incremento del uso de servicios móviles. Según datos de INCIBE y la Guardia Civil, los fraudes relacionados con suplantación de entidades bancarias crecieron un 35% en el primer semestre del año. En esta campaña concreta, los ciberdelincuentes aprovechan la confianza depositada en la comunicación bancaria tradicional, enviando mensajes que simulan alertas de seguridad, transacciones no reconocidas o bloqueos de cuenta.
Detalles Técnicos
Los mensajes fraudulentos, detectados masivamente a partir de finales de mayo de 2024, emplean técnicas de spoofing del remitente para que el SMS aparente proceder de la entidad legítima. Esta técnica dificulta la detección por parte del usuario, ya que los mensajes pueden integrarse en hilos de conversación previos con el banco.
El vector de ataque principal consiste en la inclusión de una URL acortada o similar al dominio oficial del banco. Al hacer clic, la víctima es redirigida a una web de phishing alojada en infraestructuras comprometidas o dominios recientemente registrados, donde se solicita la introducción de credenciales bancarias, OTPs y, en ocasiones, información personal adicional como el número de DNI o datos de tarjetas.
Se han identificado campañas que emplean kits de phishing automatizados y frameworks conocidos como Evilginx2, capaces de interceptar tokens de autenticación y saltarse mecanismos de doble factor (2FA). Además, se han observado indicadores de compromiso (IoC) como direcciones IP asociadas a VPS en Europa del Este y dominios generados por algoritmos (DGA).
En términos de MITRE ATT&CK, los TTPs relevantes incluyen:
– T1566.001: Spearphishing vía servicios
– T1192: Spearphishing vía enlaces
– T1110.003: Credential Stuffing
Impacto y Riesgos
El impacto de esta campaña es elevado. Según estimaciones de Kaspersky y otras fuentes del sector, al menos un 12% de los clientes bancarios españoles han recibido mensajes de este tipo en el último mes, con tasas de éxito del fraude cercanas al 0,8%, lo que se traduce en cientos de miles de euros en pérdidas.
El riesgo no se limita al robo de fondos: la exposición de credenciales y datos personales habilita ataques de escalada, movimientos laterales en cuentas corporativas y potenciales brechas de cumplimiento con normativas como el GDPR y la directiva NIS2, que exige notificación rápida y medidas de protección reforzadas para infraestructuras críticas.
Medidas de Mitigación y Recomendaciones
Para los equipos de seguridad y administradores de sistemas, es esencial adoptar un enfoque defensivo en profundidad:
– Implementar filtros anti-spoofing en SMS gateways y monitorizar patrones anómalos de mensajes.
– Actualizar y reforzar los sistemas de autenticación multifactor, privilegiando aplicaciones autenticadoras sobre SMS.
– Educar a los usuarios sobre la identificación de mensajes sospechosos y la verificación manual de enlaces.
– Desplegar soluciones EDR para detectar conexiones con dominios y direcciones IP asociadas a campañas conocidas.
– Colaborar con las entidades bancarias y fuerzas de seguridad para la rápida desactivación de sitios fraudulentos y el reporte de IoCs.
Opinión de Expertos
Según Fernando Muñoz, analista jefe de amenazas en S21sec: «El éxito de estas campañas radica en la sofisticación del engaño y la velocidad con la que los atacantes despliegan nuevas infraestructuras. Es crucial que los bancos avancen hacia canales de comunicación cifrados y mecanismos de verificación fuera de banda».
Por su parte, María González, CISO de una entidad financiera nacional, destaca: «La formación continua y la concienciación son tan importantes como las barreras tecnológicas. Las simulaciones de smishing internas han demostrado reducir el índice de clics en enlaces maliciosos en más de un 60%».
Implicaciones para Empresas y Usuarios
Las empresas del sector financiero deben reforzar sus programas de concienciación y revisar los procesos de comunicación con clientes. Es recomendable incorporar advertencias visibles en apps y webs, así como facilitar canales de reporte rápido de incidentes.
Para los usuarios, la principal recomendación es desconfiar de cualquier mensaje que solicite información personal o bancaria y nunca acceder a enlaces recibidos por SMS. Ante la duda, contactar directamente con la entidad a través de canales oficiales.
Conclusiones
La nueva oleada de smishing representa una amenaza crítica para la banca española, combinando técnicas de ingeniería social, suplantación de identidad y explotación de debilidades en los canales de comunicación. La respuesta debe ser coordinada, combinando tecnología, formación y colaboración sectorial, para mitigar los riesgos y proteger tanto a las entidades como a sus clientes.
(Fuente: www.cybersecuritynews.es)