El teléfono vibra. Llega un nuevo mensaje: una notificación urgente de su banco advirtiéndole de una actividad sospechosa. El enlace proporcionado parece legítimo y, con un solo toque, te encuentras en una página de inicio de sesión idéntica a la que has utilizado innumerables veces antes. Pero hay algo que no encaja. El mensaje no procedía de su banco. El sitio no era real. Y en cuestión de segundos, sus credenciales están en manos de un atacante.
Es lo que se conoce como mishing, una técnica de ciberataque que explota la confianza en las comunicaciones móviles enviando mensajes de texto fraudulentos diseñados para robar credenciales, instalar malware o manipular a las víctimas para que realicen transacciones financieras.
A diferencia del phishingel mishing está especialmente diseñado para usuarios móviles, lo que lo hace más peligroso y difícil de detectar. Los dispositivos móviles se han convertido en la principal herramienta para las transacciones financieras, la autenticación y las comunicaciones diarias, por lo que los ciberdelincuentes han encontrado nuevas formas de manipular a los usuarios para que revelen información confidencial.
El mishing, una mezcla de "móvil" y "phishing, es un método de ciberataque que utiliza mensajes SMS, llamadas de voz y aplicaciones de mensajería para engañar a las víctimas con el fin de que faciliten datos confidenciales o descarguen malware.
A diferencia de phishing por correo electrónicoel mishing elude los filtros de spam y las protecciones del correo electrónico corporativo, llegando a las víctimas directamente a través de sus teléfonos móviles. Estas estafas a menudo se hacen pasar por bancos, servicios de mensajería o agencias gubernamentales, creando una falsa sensación de urgencia para manipular a los usuarios para que tomen medidas inmediatas.
El mishing se aprovecha de la confianza en las comunicaciones móviles enviando mensajes de texto fraudulentos diseñados para robar credenciales, instalar malware o manipular a las víctimas para que realicen transacciones financieras.
Entender cómo funcionan estas estafas es esencial para prevenirlas.
Los ataques de suplantación de identidad aprovechan la psicología humana, la urgencia y el engaño para inducir a las víctimas a hacer clic en enlaces maliciosos o facilitar información confidencial. El proceso de ataque suele seguir los siguientes pasos:
Dado que estas estafas imitan interacciones reales, muchas víctimas no se dan cuenta de que se han visto comprometidas hasta que se produce el robo financiero o de datos.
Los ataques de suplantación de identidad se distribuyen mediante diversas tácticas engañosas, lo que dificulta su detección. Las fuentes más comunes son:
Como estas estafas se parecen mucho a las comunicaciones legítimas, suelen pasar desapercibidas hasta que es demasiado tarde.
El mishing no se limita únicamente al phishing por SMS. Los ciberdelincuentes han adaptado sus tácticas para explotar diversas vulnerabilidades basadas en los móviles, utilizando una combinación de técnicas de mensajería engañosa, códigos QR fraudulentos, suplantación de voz y ataques basados en la red. Estas estrategias en evolución hacen que los intentos de phishing sean más difíciles de detectar y aún más peligrosos tanto para los usuarios como para las organizaciones.
Estas son las tácticas que utilizan los atacantes para manipular a las víctimas y comprometer datos privados a través de diferentes canales:
Le llega un mensaje de texto de lo que parece ser su banco, proveedor de telefonía móvil o servicio de mensajería, instándole a hacer clic en un enlace o a verificar sus datos. El enlace parece legítimo, pero conduce a un sitio de phishing diseñado para robar sus credenciales.
Los atacantes utilizan códigos QR incrustados en falsos anuncios, parquímetros o menús de restaurantes para redirigir a las víctimas a sitios maliciosos. Como los códigos QR no muestran las URL antes de escanearlos, los usuarios no tienen forma de verificar su autenticidad antes de acceder al enlace.
Una llamada telefónica fraudulenta de un "representante de atención al cliente" le advierte sobre transacciones sospechosas en su cuenta. El atacante le pide contraseñas, códigos MFA o detalles bancarios, manipulándole para que revele datos sensibles.
Los ciberdelincuentes instalan puntos de acceso Wi-Fi públicos falsos en aeropuertos, cafeterías u hoteles, engañando a los usuarios para que se conecten y expongan sus credenciales de inicio de sesión. Una vez conectados, los atacantes interceptan datos confidenciales e inyectan malware en los dispositivos.
Los atacantes convencen a los operadores de telefonía móvil para que transfieran el número de teléfono de la víctima a una tarjeta SIM diferente, lo que les permite interceptar los códigos MFA basados en SMS y hacerse con el control de cuentas bancarias o de correo electrónico.
Con estas tácticas cada vez más comunes y sofisticadas, es fundamental comprender por qué los dispositivos móviles están en peligro.
El uso generalizado de dispositivos móviles para trabajar, realizar operaciones bancarias y autenticarse ha hecho que los ataques de mishing sean muy eficaces y cada vez más comunes. Los ciberdelincuentes atacan a los usuarios móviles porque las medidas de seguridad tradicionales no detectan las estafas de phishing basadas en SMS, códigos QR y voz.
Con los ataques phishing móvil que eluden los controles de seguridad corporativos tradicionales, las organizaciones se enfrentan a riesgos cada vez mayores.
Con el auge de las políticas de "traiga su propio dispositivo" (BYOD) y el trabajo a distancia, las empresas se enfrentan a nuevos retos a la hora de proteger sus redes. Los empleados suelen utilizar dispositivos personales para trabajar, lo que aumenta el riesgo de ataques phishing a través de SMS, códigos QR y llamadas.
Las recientes campañas de mishing han ampliado su enfoque más allá del robo de credenciales, incorporando ahora la distribución de malware , el secuestro de contraseñas de un solo uso (OTP) y los ataques de intercambio de SIM para eludir las medidas de autenticación tradicionales. Los ciberdelincuentes también aprovechan las aplicaciones de mensajería móvil, las llamadas falsas de atención al cliente y los anuncios maliciosos para engañar a los usuarios y hacerles revelar sus credenciales de acceso a la empresa.
Las medidas de seguridad tradicionales no pueden detener phishing móvil. Vectra AI proporciona supervisión en tiempo real y respuesta automatizada. Véalo en acción
Las defensas phishing tradicionales están diseñadas para ataques basados en el correo electrónico, lo que dificulta la detección del mishing. Entre las principales razones por las que falla la seguridad corporativa existente se incluyen:
Falta de filtrado de seguridad de SMS y voz
Tácticas de ataque específicas para móviles
Explotación de las políticas BYOD (traiga su propio dispositivo)
Robo de credenciales y técnicas de evasión de MFA
Técnicas avanzadas de evasión
Un solo ataque phishing puede dar lugar a:
Para defenderse del phishing móvil, las empresas deben adoptar nuevas estrategias de seguridad.
La prevención del mishing requiere un enfoque de seguridad multicapa, que combine tecnología, formación de los empleados y supervisión en tiempo real.
A diferencia del phishing por correo electrónico, el mishing se dirige a los usuarios móviles a través de SMS, llamadas de voz y códigos QR, eludiendo los controles de seguridad corporativos.
Los ciberdelincuentes se aprovechan de la confianza de los usuarios de móviles en las notificaciones de seguridad por SMS, lo que aumenta el éxito de las estafas de phishing .
El smishing manipula a los usuarios con mensajes de texto urgentes y engañosos. Verifique siempre los mensajes con el remitente antes de hacer clic en los enlaces.