Aunque los SMS hace ya tiempo que dejaron de ser una herramienta de comunicación habitual entre las personas, siguen teniendo bastante presencia en las comunicaciones entre empresas / entidades y usuarios. Desde Correos para confirmar un envío hasta la Agencia Tributaria confirmando una devolución. Mucho cuidado con los SMS recibidos, pueden ser falsos.  Por tu seguridad y por norma general, no hagas clic en un enlace de un SMS recibido.

Los expertos en seguridad llevan ya años desaconsejando el uso de los mensajes SMS como segunda fase de una autenticación multifactor (2FA o MFA), ese mensaje que recibes cuando intentas acceder a tu cuenta de Google con tu usuario y contraseña, y te pide que introduzcas el código que te va a llevar al móvil.

Un tweet publicado por Chris Lacy, en el que muestra una captura de pantalla de un SMS recibido en su teléfono, y que ha dado mucho de qué hablar.

I just received a two factor authentication SMS from Google that included an ad. Google's own Messages SMS app flagged it as spam.

What a shameful money grab. pic.twitter.com/NeStIndR6q

— Chris Lacy (@chrismlacy) June 29, 2021

En la imagen, como puedes ver, se muestra precisamente lo que comentaba antes, un código enviado por Google mediante SMS para que Lacy pudiera acceder a una cuenta antigua de Gmail. La primera parte del mensaje es lo que uno esperaría recibir, pero a continuación podemos ver un mensaje publicitario, concretamente sobre un servicio de VPN, que de alguna manera se ha incluido en el SMS con el código de autenticación.

En un primer momento, Lacy ha pensado que esa publicidad era obra de Google, pero ha tardado poco tiempo en recibir varias respuestas de trabajadores de la compañía que lo han negado, y le han preguntado por su operador, pues las sospechas recaen sobre el mismo. Y es que sí, efectivamente, los operadores podrían, si lo desean, introducir elementos en los SMS, al igual que leerlos. Recordemos que los mensajes cortos vienen de tiempos más ingenuos, en los que seguridad y privacidad eran aspectos que apenas se tenían en cuenta.

Ahora bien, que el sistema no ofrezca los estándares de seguridad que serían exigibles hoy en día, no significa que sea adecuado abusar de ello, y menos aún que sea un operador quien, presuntamente, esté sacando partido de ese problema. Y digo presuntamente porque, eso sí, creo importante aclarar que no hay certeza sobre que realmente haya sido el operador quien lo ha hecho.

Y es que este incidente es un recordatorio más de la inseguridad de los SMS, pues nos recuerda que pueden ser interceptados y manipulados durante su tránsito. Al menos en principio, este caso parece que, dentro de lo malo, no es lo peor, pero si otras partes tienen acceso a los mensajes en los que nos llega una clave de seguridad, un código de seguimiento, etcétera, quizá realmente sí que es el momento despedirse definitivamente de los mensajes SMS también para estos fines.

El peligro de los SMS

• “Nuevo mensaje de voz”. El malware FluBot se actualiza con una táctica diferente para conseguir nuevas víctimas

En esta sencilla web se muestra el número de teléfono de quien ha recibido el mensaje, obtenido de la lista de contactos de alguna de las víctimas de este malware y añadido a la base de datos de los delincuentes. Además, se muestra la longitud del supuesto mensaje de voz e incluso se ha añadido el logotipo de una conocida empresa de telecomunicaciones para tratar de hacer este engaño más creíble.

Fuente:

https://www.muycomputer.com/2021/06/29/sms-publicidad-inyectada-operador/

https://blogs.protegerse.com/2021/06/22/nuevo-mensaje-de-voz-el-malware-flubot-se-actualiza-con-una-tactica-diferente-para-conseguir-nuevas-victimas/