'Spoofing', la nueva estafa telefónica para robar datos bancarios

Las campañas para alertar sobre los peligros del smishing --ataques mediante SMS-- han hecho que los delincuentes se las ingenien para desarrollar nuevas estafas más sofisticadas y difíciles de detectar. La Policía Nacional alerta de una nueva modalidad, bautizada como spoofing, que detecta las pulsaciones que el usuario hace sobre la pantalla de su terminal.

Hasta el momento lo habitual era que el falso empleado solicitara a la víctima que verbalizara sus claves de acceso a la banca online, pero en esta nueva modalidad le pide que, por motivos de seguridad, no los diga a viva voz, sino que los teclee en su teléfono. Con este engaño los estafadores captan las pulsaciones en el terminal y desde ese momento controlan las claves secretas.

Casi indetectable

Con esta nueva modalidad los estafadores suplantan los números de teléfono reales de compañías energéticas, entidades bancarias e instituciones públicas, lo que hace que la estafa sea prácticamente indetectable.

Aunque el spoofing ya existía, la Policía Nacional alerta de que los cibercriminales han perfeccionando la técnica, de forma que si la víctima comprueba el número desde el que la han llamado haciendo una consulta en internet, verán que se trata de una compañía a la que los delincuentes han suplantado. Además, se ganan la confianza de las víctimas hablando sobre cuestiones de seguridad de su cuenta. Después, les indican que marquen la clave de acceso a la banca privada, o un código de verificación, a través de un enlace remitido en ese mismo momento por SMS.

"Ninguna empresa utiliza este método"

La Policía Nacional recuerda que “nuestra entidad bancaria, compañía telefónica o empresa de suministros ya dispone de estos datos, por tanto, nunca nos los va a pedir”. Añaden que “ninguna empresa privada o institución pública” utiliza este método para obtener los datos de sus clientes.

En la misma línea, piden no facilitar nunca información de tarjetas, documentos de identidad, declaración de la renta, nóminas, nombres de usuario, claves y contraseñas sin que antes la entidad solicitante haya remitido la pertinente documentación.