Nos habéis preguntado a través de nuestro servicio de WhatsApp (+34 644 229 319) por un SMS supuestamente enviado por el Banco Santander que dice que “un dispositivo no autorizado” está conectado a tu “banca online” y añade un enlace para verificarlo “inmediatamente”. Pero es un bulo: se trata de un caso de smishing (phishing a través de SMS) que pretende conseguir tus datos bancarios.
La URL a la que redirige el enlace no es la oficial del Banco Santander
El SMS adjunta un link para supuestamente verificar que el dispositivo que ha entrado en tu cuenta de banca online no sea extraño. Sin embargo, si pinchamos sobre este enlace, vemos que la URL a la que redirige (“https://inicio.santanrder.icu/”) no es la oficial de esta entidad bancaria, que empieza por “www.bancosantander.es”.
Esta es una de las razones que debe hacernos sospechar de que se trata de un SMS fraudulento. Desde Maldita.es hemos intentado acceder al link, pero la página ya no está disponible.
El Banco Santander ya ha indicado de que es un caso de phishing
Banco Santander ya ha comprobado que este SMS es un nuevo caso de phishing, tal y como asegura en su cuenta oficial de Twitter en respuesta a la consulta de un usuario que ha recibido este SMS.
La entidad bancaria ha alertado en varias ocasiones en Twitter de los ataques de phishing que suplantan su imagen para obtener datos bancarios de los usuarios. También ha publicado varias recomendaciones en su blog para evitar caer en estos fraudes.
¿Por qué llega este SMS fraudulento a nombre del Banco Santander?
Como hemos comprobado, este mensaje de texto llega agrupado junto con otros mensajes reales del Banco Santander, haciendo creer que se trata de una comunicación oficial de la empresa.
Sin embargo, según explica el Instituto Nacional de Ciberseguridad (INCIBE) a Maldita.es, “los actores maliciosos dan de alta un 'alias' para el envío de SMS idéntico al alias que utiliza la compañía, con lo que consiguen que las aplicaciones de mensajería de los teléfonos agrupen el mensaje en la misma conversación legítima". De esta forma, parece que el SMS fraudulento lo ha enviado el propio Banco Santander.
La utilización de estos alias que hemos mencionado, según el Instituto, es “una funcionalidad dentro de los servicios de SMS por la cual se puede sustituir el identificador numérico o número de teléfono del remitente por un identificador alfabético de hasta 11 caracteres”.
Afirman que no es lo habitual, pero que ya se ha detectado el mismo modus operandi en otras campañas. En Maldita.es hemos comprobado que ha ocurrido, al menos, con casos de smishing que afectan al BBVA y a Seur.
Consejos para evitar ser víctima de phishing
No podemos hacer que dejen de llegarte estos casos, pero sí tenemos una serie de recomendaciones que puedes seguir cuando te vuelva a llegar una supuesta alerta o sorteo que use el nombre de tu empresa de confianza.
- Fíjate bien en el remitente. En los casos de phishing el remitente suele ser diferente al oficial. No obstante, si el SMS te llega en el mismo hilo de mensajes que envía la empresa de forma oficial, tampoco tiene por qué ser real, como ocurre en este caso y ya ha ocurrido en otras ocasiones.
- Analiza enlace al que te redirige el SMS. Presta atención a la dirección web a la que te redirige el mensaje y si la URL es oficial.
- Cuidado si al intentar pinchar en los elementos de la web no te dirige a ningún sitio, te pide verificar tus datos o instalar una aplicación móvil.
- Observa si el SMS contiene faltas de ortografía o frases sin sentido.
- Contrasta con las fuentes antes de dar tus datos. Estos mensajes transmiten urgencia para que no te dé tiempo a reaccionar. Si te llega un mensaje sospechoso como este recuerda que puedes contactar con la Oficina de Seguridad del Internauta (OSI) del Instituto Nacional de Ciberseguridad (INCIBE) o también puedes utilizar su línea de ayuda en ciberseguridad. También puedes denunciarlo a la Policía Nacional o ante la Guardia Civil e informarnos a nosotros a través de nuestro servicio de WhatsApp (+34 644 229 319).
Si te ha llegado uno de estos SMS o crees que has sido víctima de un timo similar, puedes enviarnos un email a [email protected].