Importancia:
Alta
Descripción:
Desde INCIBE se han detectado varias campañas de SMS (smishing) que suplantan a la Agencia Tributaria. El objetivo es que el receptor acceda a un enlace que le redirige a una página fraudulenta de aspecto similar a la legítima para sustraer los datos de su tarjeta bancaria.
En los SMS identificados varía el mensaje, pero siguen una estructura común. En todos ellos, se hace creer al usuario que tiene derecho a una devolución, incitándolo a seguir el enlace fraudulento e ingresar sus datos bancarios.
Recursos afectados:
Cualquier empleado, autónomo o empresa que haya recibido un mensaje suplantando a la Agencia Tributaria, solicitando datos bancarios.
Solución:
Si ya has accedido al enlace y has dado tus datos para recibir el reembolso, siguiendo sus indicaciones, procede de la siguiente forma:
- Contacta lo antes posible con tu entidad bancaria para informarles de lo sucedido y cancelar posibles transacciones que se hayan podido efectuar.
- Si has facilitado también datos personales, como el número de teléfono o el correo, permanece atento y revisa para comprobar que no seas objeto de otro tipo de fraude por esos medios o que no te suplanten.
- Por último, siempre puedes denunciar esta situación ante las Fuerzas y Cuerpos de Seguridad del Estado (FCSE).
Evita ser víctima de smishing siguiendo nuestras recomendaciones:
- No abras mensajes de usuarios desconocidos o que no hayas solicitado, elimínalos directamente. No contestes en ningún caso a estos SMS.
- Ten precaución al seguir enlaces, aunque sean de contactos conocidos. Debemos comprobar el enlace siempre, situándonos sobre el para ver si es el de la entidad legítima o usando herramientas para expandirlo si está acortado.
- Si el SMS tiene ficheros adjuntos, será mejor no descargarlos sin comprobar que conocemos al remitente y confirmar que nos lo ha enviado.
- Revisa la página web y sigue estas buenas prácticas y los consejos para navegar seguro (parte I y parte II). Comprueba la URL para ver si se trata de la entidad que esperas y si tienen certificado web. Si no es así, no facilites ningún tipo de información personal: nombre de usuario, contraseña, datos bancarios, etc.
- En caso de duda, consulta directamente con la entidad implicada a través de sus canales oficiales.
Detalles sobre los SMS:
En los SMS detectados, que suplantan a la Agencia Tributaria, con la excusa de recibir un reembolso, se insta al receptor del SMS a pulsar en un enlace que redirige a una página falsa, en la que se le solicitan datos bancarios para abonar la cantidad.
La página fraudulenta tiene un diseño muy parecido al de la legítima, por lo que no hace sospechar al receptor de encontrarse ante una web fraudulenta. La forma de comprobarlo es revisando la URL de la web, que no se trata del dominio legítimo, sino de uno que trata de simularlo. La cantidad indicada varía en función del mensaje recibido.
Si el usuario introduce sus datos bancarios, estos pasarán a manos de los ciberdelincuentes.
Desde LISOT, como empresa de ciberseguridad, os ayudamos a securizar e implementar estas buenas prácticas de seguridad en los equipos de vuestra empresa.
