Smishing y spoofing de ID del remitente: Guía de detección y prevención para proveedores de servicios de comunicación

Aprovechando la confianza que generan los mensajes de texto para engañar a los destinatarios y robar información sensible, el smishing se ha convertido en un riesgo crítico. Entre el cuarto trimestre de 2022 y el tercer trimestre de 2023, el 39% de los ataques móviles fueron fraudes por SMS ¹, y en 2023, el 75% de las organizaciones sufrió al menos un ataque exitoso ² (State of the Phish 2024)2. 

Para las empresas, el smishing erosiona la confianza de los clientes y debilita la fiabilidad de los SMS como canal de comunicación legítimo. Para los operadores de redes móviles (MNO), operadores móviles virtuales (MVNO) y proveedores de interconexión (IPX), esta amenaza afecta la credibilidad del servicio, reduciendo los ingresos de los mensajes A2P (Application-to-Person) a medida que las empresas migran a plataformas alternativas.

Combatir el smishing es fundamental para mejorar la experiencia del usuario y proteger tanto sus datos como la seguridad del ecosistema de telecomunicaciones. Esta guía analiza el impacto creciente de esta amenaza, su relación con la suplantación de identidad en los remitentes y estrategias para blindar las comunicaciones por SMS frente a fraudes cada vez más sofisticados.

¿Qué es el smishing?

El smishing, o phishing por SMS, es un tipo de ciberataque en el que los estafadores envían mensajes engañosos para que las personas compartan información confidencial, como credenciales de acceso, datos bancarios o códigos de verificación.

Estos estafadores operan a través de SMS y suelen hacerse pasar por entidades de confianza, como bancos, servicios de mensajería o instituciones gubernamentales. Para generar urgencia, los mensajes incluyen ofertas atractivas o alertas críticas, incitando a las víctimas a actuar rápidamente.

Además, muchos SMS fraudulentos contienen enlaces maliciosos que dirigen a páginas falsas diseñadas para robar información o instalar malware en el dispositivo, amplificando el riesgo.

El término "smishing" proviene de la combinación de "SMS" y "phishing", destacando el uso de mensajes de texto como medio para engañar a las víctimas.

Evita el smishing hoy mismo: Descubre cómo las soluciones avanzadas de IA y validación de AB Handshake pueden proteger tus canales de SMS y restaurar la integridad de la mensajería.

Smishing vs. Phishing: ¿en qué se diferencian?

Aunque el smishing es un tipo de phishing, ambos se diferencian principalmente el método que utilizan para atacar:

• Canal de comunicación: El phishing puede ocurrir a través de correos electrónicos, sitios web o redes sociales, mientras que el smishing se limita exclusivamente a mensajes de texto (SMS).
• Objetivos principales: El smishing apunta directamente a usuarios móviles, aprovechando la inmediatez y personalización de los SMS para obtener respuestas rápidas. En contraste, el phishing suele dirigirse a una audiencia mucho más amplia, incluyendo empresas y organizaciones, utilizando correos electrónicos o sitios web falsos. 
• Señales de alerta: Los correos de phishing suelen incluir dominios sospechosos o logotipos falsificados. Los mensajes de smishing usan remitentes falsos, tono de urgencia y enlaces peligrosos para engañar a la víctima.
• Facilidad de ejecución: El phishing requiere correos electrónicos bien diseñados y, en muchos casos, estos terminan en la bandeja de spam. El smishing es más fácil de ejecutar, ya que los mensajes fraudulentos pueden enviarse en masa con herramientas de suplantación de remitentes.
• Motivación: Ambos ataques buscan robar credenciales o cometer fraudes financieros. Sin embargo, el smishing se enfoca en ganancias rápidas, ya sea mediante el robo de datos personales o la manipulación para obtener pagos inmediatos.

El smishing es altamente efectivo debido a su inmediatez y a la percepción de autenticidad que generan los SMS. Al utilizar identificadores de remitente confiables, los estafadores pueden lanzar ataques rápidos y dañinos, ya que los usuarios responden más rápido a los SMS que a los correos electrónicos.

¿Qué es el spoofing de ID del remitente?

El spoofing de ID o suplantación de identidad del remitente consiste en alterar los detalles del emisor en los mensajes SMS para ocultar su verdadera procedencia. Este método es fundamental en el phishing por SMS, ya que hace que los mensajes fraudulentos parezcan creíbles al imitar a entidades reconocidas y al hacer que mensajes internacionales simulen ser del tráfico local.

Explora soluciones avanzadas para prevenir la suplantación de identidad del remitente con la solución de prevención de CLI spoofing de AB Handshake.

¿Cómo funciona el spoofing de ID del remitente?

La alteración de los detalles del remitente se logra explotando vulnerabilidades en los protocolos de telecomunicaciones o redirigiendo los mensajes a través de redes internacionales o de itinerancia para evadir los filtros nacionales. Existen dos tipos principales de SMS falsificados:

• Suplantación alfanumérica: Imitan nombres oficiales de remitentes (por ejemplo, "Banco Nación") para parecer auténticos. Aunque las empresas legítimas suelen utilizar este método para la mensajería A2P y la comunicación con clientes, los delincuentes lo explotan para hacerse pasar por marcas de renombre y así engañar a los usuarios.
• Suplantación de números largos (Long Code Spoofing): Imitan identificadores numéricos que se asemejan a números de teléfono locales o internacionales. Frecuentemente se usan en la suplantación de números vecinos, ya que estos números se asocian a la comunicación personal pero son más vulnerables a la suplantación debido a protocolos de autenticación más simples.

¿Por qué el smishing depende del spoofing de identidad del remitente?

Los delincuentes emplean diversas estrategias para eludir las sospechas y estafar a las víctimas de forma efectiva:

• Spoofing de números vecinos: Alteran el identificador del remitente para que se asemeje al número o código de área del destinatario, como usar +1 234-567-0000 para un receptor con +1 234-567-8900. Esta táctica incrementa la probabilidad de que el destinatario crea que se trata de una comunicación legítima.
• Tráfico internacional versus nacional: Los estafadores suelen enrutar los mensajes a través de redes internacionales para eludir las regulaciones nacionales más estrictas. Incluso en el tráfico nacional, las brechas en protocolos anticuados pueden permitir que mensajes falsificados tengan éxito.
• Tráfico en roaming: Los mensajes que se envían a través de múltiples redes durante el roaming presentan desafíos para la detección, ya que la supervisión fragmentada dificulta verificar la verdadera identidad del remitente.
• Suplantación: Cambiar el identificador del remitente por el de un banco, empresa u otra institución de confianza genera credibilidad en el mensaje, su contenido y en los enlaces fraudulentos que este pueda incluir.

Para obtener detalles más profundos sobre el CLI spoofing y su impacto en la comunicación por SMS, consulta esta guía integral sobre el tema. 

Estas tácticas destacan la importancia de adoptar medidas proactivas para combatir la suplantación, tales como la detección avanzada basada en inteligencia artificial y la colaboración entre operadores.

El Costo del Smishing: Estadísticas de Smishing 2022-2024

Las víctimas del smishing enfrentan pérdidas financieras directas, con un promedio global de 800 dólares por ataque ³, además de violaciones a la privacidad y un profundo desgaste emocional. Los grupos demográficos más vulnerables suelen ser los que más son atacados, ya que solo el 23% de los usuarios mayores de 55 años y el 34% de los millennials logran identificar intentos de smishing ⁴. Existen "kits" de smishing disponibles por tan solo 200 dólares mensuales, lo que permite a los delincuentes ampliar sus operaciones a nivel global ⁵.

Los objetivos más comunes suelen ser empresas vinculadas a instituciones financieras o empresas de logística y comercio electrónico. Según The Business Standard, en 2023 se registró un aumento del 393% en ataques fraudulentos relacionados con finanzas a través de SMS ⁶. Además, los bancos corren un riesgo particular debido a la suplantación de identidad y fraudes dirigidos a empleados, lo que genera pérdidas económicas, daño reputacional y mayor escrutinio regulatorio.

Además, los operadores de telecomunicaciones enfrentan importantes desafíos. A inicios de 2024, se observó que el 60% de los mercados internacionales de SMS A2P experimentaron una caída preocupante en sus volúmenes ⁷. Además, entre 19.8 y 35.7 mil millones de mensajes fraudulentos enviados en 2023 ⁸ representaron el 4.8% de todos los SMS A2P ⁹, lo que debilita la confianza dentro del ecosistema de mensajería.

El impacto del smishing varía según la región:

• Norteamérica: Con 400 millones de mensajes de smishing enviados diariamente en Estados Unidos ¹⁰, la conciencia pública sobre esta problemática sigue siendo bastante baja; solo el 35% de los estadounidenses comprenden el smishing ¹¹, lo que incrementa su vulnerabilidad ante estos ataques.
• Europa: Los intentos de malware móvil a través de SMS relacionados con el smishing han aumentado un 500% desde 2022 ¹², apuntando comúnmente a aplicaciones bancarias y a rastrear las acciones de los usuarios.
• Latinoamérica: Brasil perdió un 3.2% de su PIB a causa de fraudes telefónicos entre 2022 y 2023, registrándose 134 millones de ataques relacionados con smishing ¹³.
• Asia y el Pacífico: En el último trimestre de 2023, el 43% de los consumidores filipinos se vieron afectados por estafas móviles ¹⁴, mientras que en India se contabilizaron 350,000 intentos diarios de smishing vinculados a fraudes en mensajes bancarios ¹⁵.
• África: Los usuarios de Android, que representan el 75% del mercado de smartphones, son especialmente vulnerables, con un incremento del 24% en fraudes bancarios desde 2022 ¹⁶.

Cómo combatir el fraude con confianza: Descubre cómo AB SMS Security ayuda a los operadores MNO, MVNO y a las empresas a bloquear el tráfico fraudulento y proteger sus redes.

Ejemplos de Smishing

Los ataques de smishing afectan tanto a usuarios como a empresas de diversos sectores. Estos casos reales demuestran la creciente sofisticación y el impacto de las amenazas de smishing.

Cuentas bancarias y agentes financieros

El smishing frecuentemente se hace pasar por instituciones financieras, utilizando un tono de urgencia para engañar a los destinatarios. En 2023, clientes de Bank of America recibieron mensajes fraudulentos sobre cierta "actividad sospechosa", lo que derivó en pérdidas importantes, incluyendo el robo de 40,000 dólares a una víctima. De manera similar, un ataque de smishing contra HSBC en Australia engañó a 24 personas para que llamaran a una línea de soporte falsa, resultando en pérdidas de 1,000,000 de dólares.

Envíos, logística y comercio electrónico

El smishing también apunta sus armas a servicios de entrega, enviando mensajes falsos sobre problemas con envíos para obtener pagos o datos sensibles. En un caso destacado, UPS reveló una filtración de datos en 2023, lo que permitió a los atacantes hacerse pasar por la empresa en ataques de phishing por SMS, exigiendo pagos para liberar paquetes y utilizando información real de clientes para ganar credibilidad.

Agencias gubernamentales

Hacerse pasar por organismos gubernamentales es otra táctica empleada por los delincuentes. En 2024, impostores que se hacían pasar por el IRS dirigieron su ataque a concesionarios de automóviles, instándolos a hacer clic en enlaces o a proporcionar información personal. Este suceso se sumó a un ataque mayor contra CDK Global, que afectó a más de 15,000 concesionarios y derivó en un pago de ransomware de 25 millones de dólares.

Distribución de Malware

El smishing es un método común para distribuir malware. En 2024, usuarios brasileños fueron el objetivo de campañas de smishing con temática fiscal vinculadas al grupo de amenaza conocido como PINEAPPLE. Estos mensajes estaban infectados con el malware Astaroth, capaz de robar credenciales sensibles, incluyendo información bancaria y de criptomonedas.

Concursos y premios falsos

Los estafadores atraen a las víctimas con promesas de premios o recompensas, capitalizando la emoción para eludir el escepticismo. Tras un premio mayor de 1.3 mil millones de dólares en Powerball en 2024, los estafadores afirmaron que el ganador estaba donando dinero y engañaron a las víctimas para que proporcionaran información financiera para 'reclamar' su premio.

“Spear Phishing”, “whaling” y “catfishing”

El spear phishing y el whaling se basan en hacerse pasar por contactos de confianza para defraudar a personas de alto perfil, como ejecutivos, con fines económicos. De forma similar, el catfishing utiliza la manipulación emocional para obtener beneficios personales o económicos. Aunque estos ataques requieren mayor tiempo y esfuerzo, su precisión suele generar pagos significativos, alcanzando en ocasiones cifras millonarias.

Cómo regular la seguridad en los SMS 

El aumento del fraude por SMS ha impulsado esfuerzos regulatorios a nivel global para proteger a los consumidores y responsabilizar a los operadores de telecomunicaciones. Estas normativas buscan frenar tanto la suplantación de identidad como el smishing, sin impedir los usos legítimos de la suplantación.

¿El spoofing es legal?

El Spoofing, es decir, alterar los identificadores de remitente en mensajes SMS, no es una actividad ilegal por sí misma. De hecho, hasta tiene usos legítimos, como el envío de notificaciones de marca. Sin embargo, cuando se utiliza para hacerse pasar por entidades reconocibles, se convierte en una práctica ilegal, sujeta a sanciones en muchos países. Las regulaciones se centran en combatir la suplantación maliciosa, a la vez que respaldan prácticas éticas.

Ejemplos de regulaciones claves

• Marco de responsabilidad compartida de Singapur (SRF): Lanzado en 2023, este marco legal asigna la responsabilidad financiera de los ataques de smishing a los operadores de telecomunicaciones, exigiendo además la colaboración con instituciones financieras y la implementación de sistemas avanzados de detección de fraudes.
• Iniciativas de la Unión Europea: La UE está evaluando regulaciones similares al SRF de Singapur. Las propuestas buscan que los operadores sean parcialmente responsables del fraude por SMS, enfatizando la colaboración entre los sectores de telecomunicaciones y financieros para combatir las estafas de suplantación.
• Marco GLF e i3Forum: Presentado en 2024, esta iniciativa de la industria fomenta la monitorización del fraude, el bloqueo de números sospechosos y el intercambio de información para garantizar que los SMS sigan siendo un método de comunicación confiable.

Creciente presión sobre los operadores de telecomunicaciones

Desde 2022, las multas regulatorias por fallos relacionados con el fraude han aumentado un 144%, acompañadas de un incremento del 50% en los reportes de daños reputacionales vinculados al smishing ¹⁷. Marcos regulatorios como el SRF de Singapur subrayan la urgencia de adoptar medidas proactivas.

Los operadores que no actúen corren cada vez más el riesgo de enfrentar sanciones, pérdida de confianza y disminución de la lealtad de sus clientes debido a los mensajes fraudulentos. Por el contrario, aquellos que inviertan en medidas robustas contra el fraude podrán mejorar su reputación y fortalecer la confianza de sus clientes. Cumplir de manera proactiva con la normativa se ha convertido en una necesidad competitiva.

Soluciones y limitaciones actuales contra el spoofing y el smishing

Existen diversas herramientas y estrategias para combatir la suplantación y el smishing, cada una dirigida a aspectos específicos del problema; sin embargo, también enfrentan desafíos importantes:

1. Campañas de concientización: El objetivo es enseñar a los usuarios a reconocer mensajes sospechosos y evitar interactuar con enlaces maliciosos, funcionando como una primera línea de defensa contra el smishing. No obstante, su efectividad se ve limitada por las diferencias en la atención de los usuarios, dificultando su escalabilidad y dejando problemas sistémicos sin resolver.
2. Aplicaciones de detección temprana: Utilizan algoritmos para identificar patrones sospechosos en los mensajes SMS y de esta manera alertar a los usuarios en tiempo real, mejorando la protección. Sin embargo, a menudo tienen dificultades para detectar ataques más estratégicos y dirigidos, como el spear smishing, que pueden eludir los filtros al usar identificadores de remitentes legítimos.
3. Herramientas como el Registro de Protección de SenderID de MEF: Automatizan la verificación de identificadores de remitente legítimos y permiten a las organizaciones registrar sus remitentes para reducir la suplantación. La eficacia de estos registros verificados depende de la coordinación entre operadores, reguladores y empresas. La falta de esfuerzos unificados genera brechas que los delincuentes aprovechan.
4. Filtros antispam y firewalls para SMS: Analizan los patrones y el contenido del tráfico para bloquear mensajes fraudulentos antes de que lleguen a los usuarios, siendo efectivos contra ataques masivos como las campañas de spam. Sin embargo, muchos son reactivos, basándose en patrones históricos y reglas preestablecidas, lo que los hace menos eficaces frente a tácticas de fraude novedosas y en constante evolución. Además, los firewalls y filtros antispam pueden bloquear en exceso, lo que genera pérdida de ingresos e interrupciones innecesarias en el servicio.
5. Listas de bloqueo de URLs: Impiden el acceso a sitios de phishing conocidos al identificar y bloquear URLs maliciosas presentes en los mensajes. La naturaleza dinámica de las tácticas de fraude, con URLs de corta duración que se rotan con frecuencia, suele hacer que estas defensas reactivas resulten ineficaces.
6. Servicios de inteligencia numérica: Detectan números y rangos utilizados de forma ilegítima en ataques de suplantación. Dado que el 75% del tráfico falsificado imita números legítimos, estos servicios solo logran detectar una fracción de todo el tráfico suplantado.

Para superar estos desafíos, es necesario pasar de estrategias puramente reactivas a soluciones unificadas y proactivas que anticipen nuevas tácticas mediante la detección en tiempo real, el aprendizaje automático y una inteligencia proactiva. Este enfoque ayudará a cerrar las brechas que dejan los métodos actuales y a mejorar la eficacia en la lucha contra el smishing y la suplantación.

Cómo detener el smishing y el spoofing

Para combatir eficazmente el smishing y el spoofing, es necesario un enfoque integral que combine mejores prácticas comprobadas con soluciones tecnológicas avanzadas. Algunas estrategias clave incluyen:

I.A. entrenada con gran cantidad de datos

La inteligencia artificial (IA) juega un papel crucial en la lucha contra el smishing. Los sistemas de IA entrenados con amplios conjuntos de datos de telecomunicaciones pueden detectar patrones de tráfico irregulares, adaptarse a tácticas emergentes y predecir amenazas potenciales en tiempo real. Soluciones como AB SMS Security utilizan análisis de comportamiento para evaluar patrones de tráfico, correlaciones entre remitentes y el contenido de los mensajes, ofreciendo una detección del fraude sumamente precisa. Estas capacidades permiten bloquear los SMS maliciosos sin afectar la entrega de comunicaciones legítimas, preservando la confianza en el canal.

Validación de extremo a extremo

Programas como GSMA Call Check son una forma eficaz de garantizar la validez de las llamadas; sin embargo, este servicio solo se aplica al tráfico de voz. La validación de extremo a extremo en el tráfico de SMS es la forma más efectiva de detectar el spoofing de remitentes y prevenir la suplantación de identidad y otros fraudes en SMS. Soluciones como la tecnología de validación de AB Handshake utilizan consultas fuera de banda para verificar los detalles del remitente en los mensajes, asegurando que el ID no esté falsificado y que el mensaje sea legítimo.

Descubre cómo AB SMS Security puede ayudar a prevenir el spoofing, el smishing y otros fraudes.

Verificación de URLs

Un paso importante para prevenir el smishing es verificar las URLs que se incluyen en los mensajes SMS. Al analizar parámetros como la antigüedad del sitio web, su historial de alojamiento y metadatos asociados, los operadores pueden identificar enlaces potencialmente maliciosos. Este método proactivo va más allá de las listas de bloqueo estáticas, ofreciendo una defensa contra amenazas dinámicas, como los sitios de phishing recién creados. Garantizar una verificación en tiempo real de las URLs es esencial en cualquier estrategia anti-smishing.

Conoce cómo AB SMS Security analiza los patrones de tráfico, las correlaciones entre remitentes, el contenido y los enlaces para identificar y neutralizar posibles fraudes.

Aplicar filtros volumétricos, de spam y reglas GSMA

Los filtros volumétricos y GSMA rulesets ofrecen una base confiable para detectar numerosos intentos de smishing. Estos filtros identifican anomalías en el tráfico, como picos repentinos en el envío masivo de SMS, mientras que las prácticas sugeridas por la GSMA proporcionan una defensa básica contra el fraude. La integración de estas medidas fortalece las defensas y alínea a los operadores con los estándares de la industria para una prevención efectiva del fraude.

Enfoque nacional

Una estrategia nacional unificada es el método más efectivo para enfrentar el spoofing y el smishing a gran escala. La colaboración entre reguladores, operadores de telecomunicaciones y empresas es fundamental para desarrollar soluciones integrales que respondan a los desafíos regionales. Combinar medidas regulatorias con tecnologías avanzadas de prevención de fraudes permite detectar y mitigar de manera más efectiva las amenazas de spoofing y smishing.

Conoce más sobre el enfoque nacional para la prevención del smishing con la innovadora plataforma nacional anti-fraude de AB Handshake.

¿Por qué los proveedores de servicios de comunicación deben detener el smishing?

Para los Proveedores de Servicios de Comunicación (CSPs), combatir el smishing es crucial para proteger a los usuarios, evitar pérdidas financieras y preservar el valor del SMS como canal de comunicación. La mensajería de Aplicación a Persona (A2P), que representa una fuente importante de ingresos, se encuentra particularmente en riesgo, ya que el smishing y la suplantación de identidad impulsan a empresas y consumidores a buscar alternativas.

Con el control exclusivo de la infraestructura de red, los CSPs pueden detectar y bloquear de forma proactiva los mensajes fraudulentos en tiempo real. Estas medidas protegen la integridad de la mensajería, fortalecen las relaciones comerciales y aseguran que el SMS siga siendo una herramienta competitiva y confiable para la comunicación.

Es hora de actuar

Combatir el smishing requiere soluciones en tiempo real, adaptadas a las necesidades específicas de tu red y negocio. Las soluciones anti-fraude de SMS de AB Handshake combinan el uso de inteligencia artificial avanzada y validación end-to-end para proteger los canales de SMS contra el smishing y la falsificación de remitentes.

Contacta a AB Handshake hoy mismo para conversar sobre cómo podemos ayudarte a asegurar tu tráfico de SMS y restaurar la confianza en las comunicaciones realizadas por mensaje de texto.