Vishing y Smishing, las mutaciones del Phishing

Es muy común que cuando un tipo de ataque utilizado por los delincuentes comienza a ser conocido por los internautas, muten hacia otras formas, si bien la estructura básica continúa siendo la misma.

Tal es el caso de lo que ocurrió con el vishing y el smishing, dos formas de ataque que conservan la misma base, que es la utilizada por el phishing, pero en donde algunos de los elementos varían.

La finalidad de todos estos tipos de ataque es el mismo: engañar al usuario para obtener información personal como números de cuentas, passwords, y demás, y por eso también en estas formas de fraude aparecen relacionadas entidades bancarias y organizaciones financieras.

Pero, ¿en qué se diferencia cada uno? El Vishing, nombre que proviene de VoIP y Phishing, es la técnica mediante la cual le llega un mail a la víctima simulando provenir de una entidad bancaria o financiera (utiliza incluso los logos de las organizaciones). Pero en el correo, en vez de contener un link que lleva a una página falsa (como se hace a través del phishing) hay un texto en el que se incluye un número de teléfono –supuestamente del banco- al que el usuario debe llamar y además se hace referencia a que hay algún problema en la cuenta bancaria, a que se necesitan confirmar los datos, o algo similar.

Cuando la víctima llama, convencido de que ese mail proviene del banco, le piden los datos personales de su cuenta, los que tiene que marcar con el teclado o simplemente responder en forma verbal. Por supuesto que ese número de teléfono no es el de la entidad sino del estafador que utiliza la telefonía basada en VoIP, donde puede conseguir programas gratuitos de Centrales telefónicas y simular que el número es local sin importar en dónde esté realmente.

Con respecto a la otra nueva tendencia, el Smishing, va dirigida a los usuarios de celulares. En este caso el delincuente envía un msn al teléfono móvil haciéndose pasar por una entidad bancaria, en donde se incluye o bien un número de teléfono al que el usuario debe llamar para dar sus datos, o bien el link de una web falsa que generalmente incluye algún spyware o programa de este tipo.

¿Cómo evitarlo? Simple. Jamás una entidad bancaria envía mails y menos mensajes por celular pidiendo que se llame a un lugar o se ingrese a un link para cargar datos como claves personales del usuario. Cuestiones referidas a que hay problemas en la cuenta o que fue congelada, que hay que confirmar los datos, que se le da la bienvenida a un servicio que no fue pedido, son algunos de los temas planteados en estos mails o mensajes fraudulentos.

Frente a alguna duda, lo más conveniente es ir a alguna de las oficinas del banco para preguntar si hay algún problema en la cuenta, o llamar a un teléfono confiable de la entidad.
Analia Lanzillotta