Se ha detectado una campaña masiva de phishing vía SMS que suplanta la identidad de T-Mobile. Los atacantes envían mensajes falsos advirtiendo que los puntos de lealtad están por expirar para presionar a los usuarios a visitar páginas fraudulentas. El objetivo es robar datos personales, credenciales de acceso, información de pago y códigos de verificación. Esta actividad ha sido rastreada desde principios de mayo de 2026.

Una campaña generalizada de phishing por mensajes de texto se está haciendo pasar por T-Mobile para presionar a los clientes a visitar páginas fraudulentas de canje de recompensas.

Los mensajes afirman que los puntos de fidelidad están a punto de caducar, convirtiendo un recordatorio de cuenta ordinario en una trampa para obtener detalles de inicio de sesión, datos personales, información de pago y códigos de verificación.

La actividad ha sido rastreada desde principios de mayo de 2026 y ha continuado a pesar de una caída posterior en el volumen.

Su alcance se debe a una variación rápida: los atacantes alteran pequeños detalles en cada texto, lo que permite enviar la misma decepción central a gran escala mientras evaden las defensas simples de coincidencia de mensajes. Los analistas de Malwarebytes identificaron más de 1,000 plantillas estrechamente relacionadas, incluyendo 199 mensajes muy similares.

Malwarebytes señaló en un informe que la campaña combina saldos de puntos falsos, plazos urgentes y enlaces rotativos para empujar a los destinatarios a actuar antes de que verifiquen la afirmación.

La estafa ilustra por qué los SMS siguen siendo útiles para los criminales. Un texto puede llegarte cuando estás distraído, y una aparente pérdida de recompensas se siente como algo personal.

Campañas similares de fraude de smishing en tiempo real han demostrado cómo un solo toque puede llevarte a páginas diseñadas para recolectar contraseñas, datos de tarjetas y códigos de un solo uso.

Utilizan textos falsos de caducidad de recompensas de T-Mobile

Un señuelo típico dice que el destinatario tiene 18,400 puntos de T-Mobile Rewards que desaparecerán el mismo día o al siguiente. Presenta el enlace como una forma de canjearlos y plantea la fecha límite como parte de una política justa de puntos.

El saldo y la fecha de vencimiento alegados son inventados, pero le dan al mensaje una apariencia personalizada. La redacción cambia de una versión a otra.

Los atacantes intercambian saludos, líneas de asunto, saldos y fechas, manteniendo intacta la afirmación central: perderás puntos valiosos a menos que sigas el enlace inmediatamente.

Los saludos genéricos como “Estimado cliente de T-Mobile” ofrecen una señal de advertencia importante porque carecen de detalles de cuenta verificables.

Los enlaces dirigen a través de dominios efímeros creados para parecerse a las direcciones de T-Mobile, utilizando comúnmente cadenas de letras aleatorias y el dominio .top. Esa infraestructura es deliberadamente desechable.

Malwarebytes observó al menos 81 dominios durante cuatro meses, un patrón que complica las listas negras y proporciona a los criminales direcciones nuevas cuando las antiguas son reportadas.

Este estilo de suplantación de marca no se limita a los programas de recompensas. Anteriormente, dominios de smishing de iMessage a gran escala utilizaron igualmente direcciones web similares y servicios familiares para hacer que los destinatarios bajaran la guardia.

La constante es la presión psicológica: un beneficio atractivo, una fecha límite inminente y una acción sencilla presentada como la solución.

La verificación limita el daño

No debes usar un enlace en un mensaje no solicitado, incluso si el texto parece pulido o menciona un saldo plausible. En su lugar, debes abrir de forma independiente la aplicación oficial del proveedor o introducir su dirección web conocida en un navegador, y luego comprobar si aparece allí algún aviso genuino de la cuenta.

Cualquier persona que llegue a una página sospechosa debe evitar introducir credenciales, detalles personales, información de tarjeta o un código recibido por texto.

Es esencial comprobar la dirección completa del navegador antes de iniciar sesión, ya que un logotipo convincente no hace que un sitio sea legítimo. La guía de seguridad contra el smishing de iMessage también recalca que responder a remitentes desconocidos puede señalar que un número de teléfono está activo.

Para las personas que ya han compartido información, la acción rápida es fundamental. Cambia la contraseña afectada inmediatamente, especialmente si la reutilizaste en otro lugar, revisa la actividad de la cuenta y contacta a la institución financiera correspondiente si proporcionaste detalles de pago o códigos de verificación.

Los contactos de recuperación de cuenta deben provenir de un sitio, declaración o aplicación oficial, no del texto original. Las organizaciones pueden ayudar advirtiendo a los clientes sobre los intentos actuales de suplantación y haciendo que las notificaciones genuinas sean fáciles de verificar en los canales oficiales.

Debes reportar los textos sospechosos a través de tu plataforma móvil y proveedor, mientras que los defensores rastrean los dominios rotativos enumerados a continuación. La campaña es un recordatorio de que la urgencia es una táctica, no una prueba de que un mensaje sea real.

Ningún equipo de soporte legítimo debería objetar que un cliente rechace un enlace incrustado y verifique una reclamación a través de una ruta confiable primero. Esa breve pausa evita errores costosos.

Fuentes:
https://cybersecuritynews.com/fake-t-mobile-rewards/