Cuidado si recibes este mensaje de Bankinter, es falso

Muchas personas están reportando que han recibido un SMS de Bankinter, en el que se afirma que se ha hecho un cargo de 749 euros en la tarjeta del cliente. Gracias a la alerta del medio Maldita.es hemos podido confirmar que se trata de una estafa: es un nuevo caso de "smishing" ("phishing" mediante SMS).

Se trata de una forma muy concreta de "phishing" denominada "smishing", que consiste en hacerse pasar por una entidad bancaria para conseguir los datos bancarios y personales de la víctima.

La página no existe y la dirección está localizada en Países Bajos

La persona recibe un mensaje de la entidad bancaria en el que se le comunica que se ha retenido un cargo de 749 euros. En el SMS se le pide al usuario que, si no ha sido él, anule la operación pinchando en el enlace que aparece a continuación. Sin embargo, la página web del enlace no es la página web oficial de Bankinter, www.bankinter.com y, si la buscamos ahora, podemos ver que ya no existe.

Además, si se introduce la dirección en la web de análisis reputacional URL Void y se puede ver que el dominio se creó ayer, y que su ubicación está en Países Bajos, no en España. Por lo tanto, estamos frente a una estafa.

Bankinter ya ha advertido de este tipo de timos en su web

La propia entidad bancaria avisa en su página web de que hay que tener mucho cuidado con las webs que suplantan a Bankinter. También aseguran que jamás pedirán datos personales o bancarios a sus clientes a través de SMS, y tampoco el usuario, la contraseña o el número de teléfono.

¿Cómo envían este SMS fraudulento a nombre de Bankinter?

El Instituto Nacional de Ciberseguridad (INCIBE) explica que el SMS no se envía desde la cuenta del banco ni desde el número del mismo, sino que "los actores maliciosos dan de alta un 'alias' para el envío de SMS idéntico al alias que utiliza la entidad bancaria, con lo que consiguen que las aplicaciones de mensajería de los teléfonos agrupen el mensaje en la misma conversación legítima, pareciendo que es de la entidad original". Afirman que no es lo habitual pero que ya se ha detectado el mismo modus operandi en otras campañas.

Sobre la regulación de esta funcionalidad para evitar este tipo de suplantaciones, indican que "depende de las comprobaciones que realicen los proveedores de internet y de la normativa de cada país, por lo que no se puede descartar que los SMS se estén enviando desde algún país extranjero donde los ciberdelincuentes hayan conseguido dar de alta ese alias para su uso fraudulento".

La utilización de estos alias que hemos mencionado, según el instituto, es "una funcionalidad dentro de los servicios de SMS por la cual se puede sustituir el identificador numérico o número de teléfono del remitente por un identificador alfabétic o de hasta 11 caracteres".

Precauciones que podemos tener en cuenta

Para evitar caer en la trampa, desde el INCIBE se ofrecen las siguientes recomendaciones:

Si has accedido al enlace e introducido las credenciales de acceso a la cuenta bancaria, deberás modificar lo antes posible la contraseña de acceso a la banca online, así como contactar con la entidad para informar de la situación. Además, se recomienda modificar la contraseña de todos aquellos servicios en los que se utilice la misma.

Si has facilitado las credenciales de tu cuenta financiera, recopila todas las pruebas de las que dispongas (capturas de pantalla, el e-mail, mensajes, etc.) y contacta con las Fuerzas y Cuerpos de Seguridad del Estado (FCSE) para presentar una denuncia.

Como pautas generales, para evitar ser víctima de fraudes de este tipo se recomienda:

• No abrir correos de usuarios desconocidos o que no haya solicitado; hay que eliminarlos directamente.
• Prestar atención a la procedencia del correo. Ten en cuenta que si procede de una entidad bancaria legítima, nunca contendrá enlaces a su página de inicio de sesión o documentos adjuntos.
• No contestar en ningún caso a estos correos.
• Tener precaución al seguir enlaces o descargar ficheros adjuntos en correos electrónicos, SMS, mensajes en WhatsApp o redes sociales, aunque sean de contactos conocidos.
• Tener siempre actualizado el sistema operativo y el antivirus. En el caso del antivirus, comprobar que está activo.
• Asegurarte de que las cuentas de usuario de tus empleados utilizan contraseñas robustas y sin permisos de administrador.

Además, para prevenir y reforzar estos consejos, es importante que realices acciones de concienciación en ciberseguridad entre los empleados.

Qué ocurre si ya hemos sido víctimas de la estafa

Si has recibido un correo o mensaje de estas características, accedido al enlace y facilitado tus datos de acceso (NIF, identificador, contraseña o número de teléfono). Contacta lo antes posible con la entidad bancaria para informarles de lo sucedido.

Además, es aconsejable modificar la contraseña, tanto del banco como de aquellos servicios en los que se utilice la misma, y establecer claves distintas para cada servicio.

También es recomendable poner en aviso a la entidad a través de la cual se ha realizado la estafa. Es decir, si han usurpado la identidad de tu banco, es recomendable que te pongas en contacto con tu entidad bancaria para que conozcan el delito.