Se ha detectado una campaña de SMS que suplanta a la empresa pública de paquetería Correos, cuyo objetivo es dirigir a la víctima a una página web falsa (phishing), para poder robar, tanto datos personales, como información bancaria. 

El mensaje SMS fraudulento que suplanta a Correos se puede recibir, tanto de forma impersonal, como citando el nombre del propietario del smartphone, cuyos textos pueden ser los siguientes:
«Estimado cliente, su paquete no se ha podido entregar el 11/10 porque no se han pagado las tasas de aduana (€ 1). Siga las instrucciones».
«Estimado (nombre del propietario del smartphone), su paquete no se pudo entregar el 14/10/2019 ya que no se pagaron los aranceles aduaneros. Siga las instrucciones».

Una vez se accede al enlace incluido en el SMS, se abrirá una pestaña del navegador con una página que simula ser de Correos, en la cual figura un captcha cuya finalidad otorga al usuario una sensación de fiabilidad y legitimidad. Además, para hacer el engaño más creíble, se incluye el texto «Pago de tasas aduaneras»:

Posteriormente, al hacer clic en continuar, se abrirá un formulario que solicita información personal del usuario:

Tras introducir los datos, se pasa a otro formulario donde solicitan los datos de la tarjeta de crédito:

Una vez completado este proceso, los ciberdelincuentes ya serán poseedores de los datos que les hayas facilitado. 

Ten siempre presente que existen elementos que pueden identificar la falsedad de la web que suplanta a la legítima, como por ejemplo, que el enlace esté cortado, y que al pulsar en el mismo, este no apunte a la web legítima  (www.correos.es). 

Si algún empleado ha sido receptor de algún SMS de estas características, ha accedido a dicho enlace e introducido sus datos personales y tarjeta de crédito, deberá contactar inmediatamente con la entidad bancaria asociada a dicha tarjeta.

Como pautas generales, para evitar ser víctima de fraudes de este tipo, se recomienda:

• No abrir SMS, ni correos de usuarios desconocidos o que no haya solicitado: hay que eliminarlos directamente.
• En caso de que procediesen de una entidad bancaria legítima, nunca contendrá enlaces a su página de inicio de sesión, ni documentos adjuntos.
• No contestar en ningún caso a estos SMS, ni correos.
• Tener precaución al seguir enlaces o descargar ficheros adjuntos en correos electrónicos, SMS, mensajes en WhatsApp o redes sociales, aunque sean de contactos conocidos.
• Tener siempre actualizado el sistema operativo y el antivirus. En el caso del antivirus comprobar que está activo.
• Asegúrate que las cuentas de usuario de tus empleados utilizan contraseñas robustas y sin permisos de administrador.

Además, para prevenir y reforzar estos consejos, es importante realizar acciones de concienciación en ciberseguridad entre los empleados.

• Decálogo antiphishing
• Busca otro al que engañar, yo no voy a picar
• ¿Tu empresa ha sido víctima de un incidente? Repórtalo
• Suplantaron a mi proveedor y a mi empresa estafaron
• El ciberdelincuente le «pescó» por su falta de formación

Fuente: www.incibe.es