Los ataques de phishing basados en SMS se están volviendo cada vez más comunes, lo que dice mucho de su efectividad y de lo difícil que es pararlos.

Estos ataques se basan en la suplantación de identidad, haciéndose pasar por personas, organizaciones y empresas con el objetivo de ganar la confianza de la víctima; en ese sentido, no son muy diferentes de los correos de spam que recibimos a diario, pero el mensaje SMS ha demostrado ser más efectivo al ser más personal.

El objetivo del atacante es obtener nuestra información, principalmente la relacionada con nuestra cuenta bancaria; para ello, puede usar diferentes "cebos", como posibles premios o incluso pedidos que estamos esperando.

Cómo funciona el SMS falso de MediaMarkt

Ya hemos visto varios ejemplos de este tipo de ataque, más recientemente basado en el servicio de Correos. Ahora le toca el turno a MediaMarkt, cuyo nombre está siendo usado en una variedad de mensajes enviados a usuarios de toda España.

Lo interesante de esta campaña de phishing es que no todos los mensajes son iguales y repetidos; los atacantes han creado varios tipos de mensajes falsos diferentes, con distintos "cebos".

Uno de los mensajes más recibidos, por ejemplo, se basa en un supuesto sorteo realizado por MediaMarkt. El mensaje nos felicita por haber ganado, aunque no se especifica el qué; se usan detalles como un número o código para inferir que es un mensaje único que sólo hemos recibido nosotros.

Otra táctica consiste en mostrar los nombres de los "ganadores"; estos nombres pueden ser lo suficientemente comunes como para que puedan coincidir con el de la víctima. También se puede incluir el nombre completo de los otros "ganadores" para inferir que son personas reales. Eso le puede llevar a pensar que se trata de un sorteo real, en el que no sabía que estaba participando.

La tercera táctica se parece más a la usada con los mensajes falsos de Correos. En concreto, se indica que MediaMarkt estaría buscando al propietario de un paquete para la entrega; para darnos el paquete, es necesario introducir nuestros datos.

Todos estos mensajes tienen en común un enlace al final, que puede estar enmascarado como un enlace a una página de MediaMarkt. Pero si intentamos acceder, el navegador nos llevará a una página completamente diferente. Si aún no nos hemos dado cuenta, esta es la mayor pista de que no estamos ante una campaña real de MediaMarkt.

No solo visitar esta página puede ser peligroso de por sí; si seguimos los pasos que nos indican, podemos compartir información privada con los atacantes. Eso incluye información de nuestra cuenta bancaria, que pueden usar para retirar el dinero bajo cualquier pretexto (como un depósito para poder recibir el "regalo").

Un tipo de ataque cada vez más popular

MediaMarkt ya ha respondido a estos casos, recordando que nunca solicita claves ni información bancaria, ni a través de SMS ni de correo electrónico. Esa es una práctica muy común, y si encuentras a una compañía que te pide ese tipo de información por esos medios, no es de fiar.

Lo preocupante puede ser que este tipo de fraudes se estén popularizando; y que sea por el éxito que tienen. La mayoría de los internautas ya están acostumbrados al spam y a no prestar atención a los correos que prometen demasiado.

Pero nuestro teléfono es algo más personal, y recibir un SMS indica que, como mínimo, el remitente tiene nuestro número. Eso puede despertar una falsa confianza en el atacante, cuando en realidad conseguir un número de teléfono es cada vez más fácil gracias a servicios de compra-venta de datos.