La Oficina de Seguridad del Internauta (OSI) informa de una nueva campaña de smishing que suplanta a Correos. Por medio de SMS fraudulentos en nombre del organismo, se solicita que se actualicen los datos de entrega, en concreto el número de la calle, de un supuesto paquete para poder recibirlo.
El mensaje va acompañado de un enlace a una web que suplanta a la oficial de Correos. En ella se solicitan datos personales y bancarios, supuestamente para actualizar los datos y proceder al envío del paquete. En los SMS identificados se ha detectado que contienen faltas de ortografía y redacción. Además, la URL no pertenece al dominio oficial de ‘correos.es’.
Un SMS para robar datos
Si se pulsa en el enlace adjunto en el SMS, este redirigirá a la supuesta web de Correos, la cual mostrará un informe de seguimiento del supuesto paquete retenido. Si se hace clic en continuar, se mostrará un formulario para introducir datos como el nombre, primer apellido, segundo apellido, dirección, código postal, país, localidad, provincia y teléfono.
Una vez rellenado los datos y aceptado el formulario anterior, este pasará a la siguiente ventana que se muestra como si se estuviese visualizando desde un dispositivo móvil. En ella solicita, a través otro formulario, datos bancarios, para que se pueda realizar el reenvío, el cual tiene un coste de €0.80. Los datos que se solicitan son: el número de tarjeta, la fecha de caducidad (mes/año) y el CVV. Una vez enviada dicha información, la página se quedará bloqueada, pero el ciberdelincuente ya estará en posesión de los datos personales y bancarios de la víctima.
Posible solución
Si se ha recibido el SMS, pero no se ha hecho clic en el enlace ni se han proporcionado datos, lo primero que hay que hacer es eliminar el mensaje y bloquear el remitente. Si por el contrario se ha entrado en el enlace y se han rellenado los datos que solicita el formulario hay que seguir las siguientes pautas:
Informar a la entidad bancaria del incidente para tomar las medidas necesarias, y así evitar riesgos como, por ejemplo, desactivar la tarjeta facilitada. Se recomienda vigilar los movimientos de las cuentas en los próximos meses. Por último recopilar evidencias del fraude por si fuera necesario interponer una denuncia y ante las Fuerzas y Cuerpos de Seguridad del Estado.