Capítulo 20: SMS falso: El mensaje que abre la puerta

Llevamos nuestras vidas dentro de un pequeño trozo de vidrio y metal cuyo peso no supera los doscientos gramos. Nuestro smartphone es la caja fuerte, el álbum de fotos, la agenda de reuniones y la billetera. Y como toda caja fuerte, tiene un punto débil. No se encuentra en la codificación de Apple ni en los servidores de Google; se encuentra en la palma de nuestra mano. Dentro del mundo de la seguridad de la información, el SMS (o Smishing, una combinación de SMS y Phishing) se considera uno de los caballos de Troya más efectivos jamás creados. Es simple, es barato y explota el instinto humano más básico: la respuesta inmediata al sonido de la notificación que anuncia un nuevo mensaje.

Mientras que el correo electrónico es percibido por la mayoría como un espacio ruidoso, lleno de publicidad y correo basura que requiere un filtrado riguroso, el SMS todavía disfruta de un aura de urgencia y fiabilidad. Cuando recibimos un mensaje de texto, tendemos a asumir que está dirigido a nosotros personalmente. Puede ser un código de verificación del banco, una actualización de la empresa de mensajería o un mensaje del jardín de infancia de los niños. Esa confianza es exactamente la puerta que los estafadores buscan abrir. En este capítulo analizaremos cómo un mensaje de texto corto, a veces de menos de diez palabras, logra eludir todos los mecanismos de defensa de la persona común y conducir a la posibilidad de un daño económico y emocional.

La anatomía de la estafa: la historia de Erez

El siguiente escenario es un ejemplo educativo basado en patrones de fraude comunes. Los personajes y eventos tienen fines ilustrativos solamente.

Erez, un contable de 45 años de Raanana, es considerado una persona precavida. Nunca ha dado los datos de su tarjeta de crédito por teléfono, cambia sus contraseñas cada seis meses y es quien instala el antivirus para toda la familia. Pero un martes a las siete de la tarde, mientras intentaba simultáneamente preparar la cena para tres niños hambrientos y responder correos del trabajo, su teléfono vibró sobre la encimera.

El remitente aparecía en la parte superior de la pantalla como "Bank_Security". No un número de teléfono, sino un nombre oficial. El mensaje era corto y conciso: "Se ha detectado un acceso sospechoso a su cuenta desde un dispositivo desconocido en la región de Georgia. Si no ha sido usted, debe acceder al siguiente enlace inmediatamente para asegurar la cuenta y evitar su bloqueo." Debajo del texto aparecía un enlace acortado: https://bit.ly/bank-protect-il.

"Maldición", murmuró Erez. Su pulso se aceleró de inmediato. Su cerebro lógico, el que analiza los balances de las empresas, fue desplazado en favor de su cerebro de supervivencia. No pensó en que el banco nunca envía enlaces acortados. No se detuvo a preguntar por qué un mensaje de su banco llegaba de un remitente cuyo nombre estaba en inglés. Solo vio las palabras "acceso sospechoso" y "bloqueo".

Erez hizo clic en el enlace. El navegador del teléfono se abrió y mostró una página que se veía exactamente –pero exactamente– como el sitio de inicio de sesión de su banco. Los mismos colores, el mismo logo, las mismas palabras tranquilizadoras sobre "navegación segura". Introdujo su nombre de usuario y contraseña. Inmediatamente después, apareció un mensaje en la pantalla: "Para fines de verificación final, se le enviará ahora un código por SMS. Por favor, ingréselo aquí".

Segundos después, llegó otro mensaje. "Su código para realizar la operación es 882931. No entregue este código a nadie". Erez, convencido de que estaba en un proceso de seguridad, introdujo el código en el sitio. La pantalla se cargó durante unos segundos y luego mostró un mensaje tranquilizador: "Su cuenta ha sido asegurada con éxito. Gracias por elegir nuestros servicios".

Erez respiró aliviado y volvió a cortar la ensalada. Solo media hora después, cuando entró en la aplicación del banco (esta vez a través de la aplicación oficial, y no mediante el enlace), descubrió la amarga verdad. Su cuenta no había sido asegurada. Mientras introducía el código, los estafadores lo utilizaron para configurar un "nuevo beneficiario" para transferencias de dinero. Una cantidad significativa de dinero desapareció de la cuenta. Los fondos pasaron a otra cuenta y desde allí fueron retirados en cuestión de minutos.

En ese momento, la cocina de Erez parecía dar vueltas. La sensación de auto-traición era peor que la pérdida del dinero. "¿Cómo pude ser tan estúpido?", se preguntó una y otra vez. La respuesta es que Erez simplemente actuó bajo presión y fue víctima de una ingeniería social precisa.

La psicología detrás del "clic": ¿Por qué funciona?

Para entender por qué el SMS falso es una herramienta tan letal, debemos comprender la tecnología y la psicología que se combinan en él. A diferencia de los ciberataques complejos que vulneran servidores, aquí el "hackeo" se realiza en la conciencia del usuario.

1. Suplantación de identidad del remitente (Sender ID Spoofing)

Una de las razones por las que se puede caer en la trampa es el hecho de que el remitente aparece con un nombre oficial. La tecnología SMS permite a los remitentes configurar un "identificador alfanumérico". Es una herramienta legítima utilizada por empresas, sin embargo, los estafadores utilizan estos servicios para hacerse pasar por bancos, entidades oficiales o empresas gubernamentales. Cuando el mensaje se inserta en un hilo de mensajes anterior y real, el nivel de credibilidad aumenta.

2. Ingeniería de urgencia y miedo

Los mensajes de phishing están diseñados para impulsar una acción rápida mediante palabras que desencadenan un impulso inmediato, como "la cuenta ha sido bloqueada" o "deuda urgente". Cuando se ejerce presión, la parte del cerebro responsable del pensamiento crítico puede debilitarse y el impulso de actuar inmediatamente prevalece.

3. La pantalla pequeña como aliada del estafador

En la pantalla del teléfono, es mucho más difícil notar las falsificaciones. Los enlaces son pequeños, la barra de direcciones del navegador a veces está oculta o acortada, y la interfaz minimalista del smartphone a veces sirve a los objetivos de los estafadores.

Entre la debilidad humana y la responsabilidad institucional: aspectos legales

Cuando un cliente se dirige al banco para solicitar la revisión de la devolución de su dinero, puede encontrarse con el argumento de que entregar el código constituye una negligencia grave que exime al banco de responsabilidad. Sin embargo, el análisis legal de estos casos es más complejo.

El punto de partida legal en Israel es la Ley de Servicios de Pago, de 2019. Esta ley tiene como objetivo regular la responsabilidad en casos de uso de medios de pago. El artículo 26 de la ley establece la responsabilidad del cliente y de la empresa de servicios de pago en caso de una "operación no autorizada".

¿Es una "operación no autorizada" o "fraude"?

Este es un tema legal central. Se puede analizar si, en casos de SMS falso, el nivel de sofisticación del fraude asciende a la supresión de la voluntad libre del cliente, y así afectar la definición de la operación como un "uso indebido".

En el análisis legal de tales casos, se examinan varias preguntas clave:

• Prueba de la persona razonable: ¿Fue el SMS lo suficientemente convincente como para engañar a una persona promedio? Si el mensaje llegó a través de un canal de comunicación que parece oficial, se puede evaluar el grado de responsabilidad de la entidad financiera en la protección de sus canales.
• Sistemas de detección de fraude: ¿Detectó el sistema actividad inusual? Se puede examinar si una operación que difiere sustancialmente de los patrones de actividad habituales del cliente debería haber encendido una "luz roja" en los sistemas del banco.
• Deber de diligencia: El banco tiene un deber fiduciario hacia sus clientes. En una realidad tecnológica cambiante, se puede evaluar si las entidades financieras deben asumir parte de los riesgos asociados con el uso de medios digitales.

La cuestión de la negligencia grave

La ley establece que la responsabilidad del cliente puede cambiar si actuó en circunstancias de "negligencia grave". Es importante señalar que la negligencia ordinaria no es necesariamente suficiente para eximir a la entidad financiera de responsabilidad. El análisis legal examina si el comportamiento fue extremo o si se trata de un error humano en circunstancias engañosas.

Examen de las opciones para la recuperación de fondos

En un escenario donde un cliente descubre que ha sido víctima de un fraude, la recuperación de los fondos no está garantizada y no es un proceso automático. Requiere un examen cuidadoso de las circunstancias del caso. Las entidades financieras pueden presentar dificultades, sin embargo, existen herramientas legales y regulatorias que pueden ser evaluadas para su implementación.

En el caso de un SMS falso, la brecha temporal es un factor significativo. Si el cliente descubrió el fraude y lo notificó rápidamente, se puede evaluar si la entidad financiera actuó con habilidad razonable para detener el dinero antes de que fuera transferido más allá.

Además, se deben examinar los procedimientos de autenticación dual. Se puede argumentar que un mensaje de código lacónico que no especifica la naturaleza de la operación o su monto, podría inducir a un cliente a pensar que está realizando una operación de seguridad rutinaria.

Señales de advertencia: ¿Cómo identificar el SMS trampa?

La prevención es la herramienta más efectiva. A continuación, varias señales que provocan la necesidad de una revisión profunda:

• Creación de urgencia: Los mensajes que establecen un ultimátum para una acción urgente son a menudo señal de fraude.
• Enlaces sospechosos: Los cambios leves en la dirección del sitio web o el uso de acortadores de enlaces no son comunes en los mensajes oficiales.
• Redacción pobre: Un lenguaje pobre, errores ortográficos o traducción automática pueden indicar un mensaje falso.
• Solicitud de detalles sensibles: Las entidades financieras oficiales generalmente no solicitan la introducción de contraseñas completas o códigos secretos a través de un enlace en un SMS.
• Mensaje inesperado: Recibir un mensaje sobre un servicio que no se ha utilizado debería despertar sospechas.

Pasos iniciales en caso de sospecha de fraude

En caso de sospecha de que se han entregado detalles en un sitio falso, la velocidad es crítica:

1. Contacto inmediato con la entidad financiera: Dirigirse a los centros de emergencia que operan las 24 horas del día para solicitar el bloqueo del medio de pago.
2. Documentación: Guardar capturas de pantalla del mensaje y del sitio web sospechoso.
3. Cambio de contraseñas: Realizar el cambio de contraseñas para servicios esenciales desde otro dispositivo.
4. Reporte a las autoridades: Presentar una denuncia ante la policía como parte del proceso de aclaración.
5. Revisión de operaciones en la cuenta: Examinar la lista de beneficiarios y las transferencias realizadas.

Análisis legal y profesional

Durante los años de trabajo profesional de un abogado que acompaña estos casos, se examina cada caso por sus propios méritos. La pregunta central es si la entidad financiera cumplió con su deber de reducir los daños del fraude.

Puntos posibles para examen legal:

• Alertas generales: ¿Publicó la entidad financiera advertencias específicas sobre oleadas de fraude conocidas?
• Monitoreo de actividad: ¿Detectó y advirtió el sistema sobre operaciones inusuales en montos elevados?
• Identificación de circunstancias inusuales: ¿Se realizó la operación en condiciones que despiertan sospechas, como una ubicación geográfica extranjera?
• Redacción de los mensajes de verificación: Se puede evaluar si existe una base legal para el argumento de engaño al cliente si el mensaje del código no fue lo suficientemente claro.

Es importante recordar que la lucha legal requiere recursos y una documentación rigurosa. En ciertas circunstancias, se pueden evaluar las probabilidades de la demanda para la recuperación de fondos, y esto depende de las circunstancias específicas del caso y del examen de las pruebas. La ley tiene como objetivo proporcionar protección en circunstancias en las que el cliente ha sido perjudicado, y una asesoría legal profesional puede ayudar a ejercer los derechos.

En el próximo capítulo, continuaremos examinando los patrones de fraude mediante correo electrónico falso y las formas de enfrentar las trampas en la red.