Se ha detectado una nueva campaña de smishing con la que los ciberdelincuentes suplantan a Correos. Los estafadores pretenden robar los datos personales y bancarios de las víctimas.
En qué consiste la campaña de smishing
Los SMS fraudulentos suplantando a Correos solicitan al usuario que actualice los datos de entrega, concretamente el número de la calle, para poder recibir un paquete. En el mensaje aparece un enlace que redirige a una página web falsa de la compañía de mensajería.
En dicha página, se solicitan los datos personales y bancarios al usuario, para actualizar sus datos y poder enviar el paquete.
Cómo son los SMS fraudulentos
Los SMS fraudulentos de esta campaña son cortos y directos. Un ejemplo es: La entrega de su paquete ha sido suspendida debido a que falta un numero de calle en el paquete. por favor actualice [url fraudulenta].
Como se puede observar, los SMS maliciosos contienen faltas de ortografía y de redacción, lo que podría ayudar a las víctimas a darse cuenta de que se trata de una estafa. Además, la URL que viene en el mensaje no contiene el dominio oficial de “correos.es”.
Si la víctima pulsa sobre el enlace, será redirigida a una página falsa de Correos que le mostrará el seguimiento del supuesto paquete.
Página web falsa de Correos
Cuando el usuario ha sido redirigido a la página web falsa de Correos, tendrá una opción de “Continuar”. Si pulsa sobre ese botón, aparecerá un formulario para que introduzca sus datos personales (nombre, apellidos, dirección, código postal, país, localidad, provincia y teléfono).
Si el usuario continua el proceso y acepta el formulario, se le redirigirá a otra ventana en la que se le solicitarán, a través de otro formulario, sus datos bancarios para poder realizar el reenvío del supuesto paquete, cuyo coste es de 0,80€.
Se le solicitarán los siguientes datos: número de tarjeta, fecha de caducidad y CVV.
Si el usuario envía esa información, la página se bloqueará y el ciberdelincuente estará en posesión de todos sus datos.
Recomendaciones a los usuarios
Si recibes un SMS como el que hemos comentado, pero no accedes al enlace, simplemente márcalo como spam y elimínalo. Si accedes al enlace, pero no introduces tus datos, también márcalo como spam y elimínalo.
Si, por el contrario, has accedido al enlace y has rellenado tus datos, debes contactar con tu entidad bancaria e informar de lo sucedido. También deberás estar atento a los movimientos de tus cuentas en los próximos meses.
Por otro lado, debes denunciar ante las autoridades adjuntando pruebas (capturas del mensaje y la página web).
Además, es aconsejable practicar el egosurfing para comprobar que tus datos no hayan sido expuestos.
