BBVA y el Banco Santander terminaron 2021 formando parte de la lista de entidades nacionales que estaban siendo suplantadas en campañas de envío de SMS fraudulentos (smishing), tal y como advirtió el Instituto Nacional de Ciberseguridad (INCIBE). Y ambos bancos han comenzado 2022 siendo el gancho de nuevas estafas por SMS que tienen como objetivo robar los datos bancarios de sus clientes.
En el caso de BBVA, el mensaje que están recibiendo los clientes indica lo siguiente: "BBVA: lamentamos informarle que su cuenta ha sido desactivada por seguridad, para activarla complete la siguiente verificación: http:/gg.gg/BBVA-Banca".
Según ha podido comprobar Genbeta, al pinchar en el enlace, los clientes son redirigidos a una página web que aparentemente es la del BBVA, ya que su interfaz "está lograda". No obstante, no ocurre lo mismo con la URL, que dista mucho de las oficiales siendo esto una clara señal de que nos encontramos ante una estafa.
En esta web es donde se pide a los clientes que introduzcan su nombre de usuario y su contraseña para iniciar sesión y, si caen en la trampa, estos quedarán en manos de los estafadores.
BBVA ha alertado en Twitter sobre este ataque de smishing que suplanta su identidad, publicando este mensaje como respuesta a una usuaria que dudaba si el SMS de esta campaña era o no real.
"Los ciberdelincuentes están suplantando la identidad de empresas y envían SMS fraudulentos. Desde BBVA no te enviaremos SMS con enlaces, ni te pediremos claves o datos personales. Te recomendamos que elimines el mensaje. Un saludo", ha escrito BBVA.
Los ciberdelincuentes están suplantando la identidad de empresas y envían SMS fraudulentos. Desde BBVA no te enviaremos SMS con enlaces, ni te pediremos claves o datos personales. Te recomendamos que elimines el mensaje. Un saludo.
— BBVA (@bbva) January 3, 2022
La campaña que afecta al Banco Santander sigue el mismo patrón
El SMS que están recibiendo los clientes del Banco Santander es muy similar y dicta lo siguiente, según recoge Genbeta: "Banco Santander: Su cuenta ha sido suspendida temporalmente por motivos de seguridad, siga al enlace para verificar su identidad: https://santander.seguridad-web-esp.xyz/4RwjPsoa2Ww9AGSUEitDTyk0ZZ/".
El citado medio también ha accedido al enlace proporcionado en el mensaje y, al igual que antes con BBVA, se accede a una web muy conseguida que simula ser la oficial del banco. (Esta es la página a la que se accede desde un teléfono Android).
"Otro aspecto que lo hace un ataque bien preparado es que mientras el año pasado llegaban mensajes similares, pero con remitente de teléfono particular, ahora el remitente es el propio BBVA o del propio Banco Santander", destaca Genbeta .
"De todos modos, a diferencia de otros ataques de phishing que son muy obvios, aquí no sería difícil pensar que es un mensaje real y caer en la trampa", apunta.
Además, cabe señalar que BBVA y el Banco Santander no son las únicas entidades bancarias que actualmente están siendo suplantadas para cometer estafas. Como informamos este mismo martes, Ibercaja y Liberbank también están siendo el cebo de campañas fraudulentas, aunque en este caso ambas se están difundiendo a través de correos electrónicos (phishing).
Para evitar estas estafas es importante recordar la advertencia de BBVA, aplicable a todos los bancos, y que siempre hay que desconfiar de este tipo de mensajes. Y, si se tienen dudas, lo mejor es ponerse en contacto con el propio banco para verificar si realmente es el remitente.