El último ataque masivo que está afectando a decenas de miles de móviles Android no tiene como objetivo robarte el dinero. Tampoco que veas anuncios publicitarios abusivos o que tu dispositivo se utilice para minar alguna criptomoneda. Un grupo de hackers ha sido descubierto secuestrando SMS para poder utilizarlos como factor de doble autenticación.
Y, si esto no te suena de nada, es normal, pues se trata de una técnica bastante retorcida y única para hacer dinero fácil a costa de tu número de teléfono. Ha sido Zimperium la empresa de seguridad encargada de alertar sobre este ataque, el cual, ha afectado desde 2022 a más de 100.000 móviles en 113 países del globo.
El ingenioso método, aunque preocupante, es fácil de evitar, pues tiene cabida a través de aplicaciones descargadas desde fuentes externas a la Google Play Store. De hecho, se ha detectado que opera principalmente a través de bots de Telegram que ofrecen apps de pago totalmente gratis.
Así secuestran tus SMS sin que te des cuenta
Como hemos dicho, todo comienza en Telegram. El objetivo son todos esos usuarios que buscan aplicaciones de pago sin tener que pasar por caja. Los canales que las ofrecen se cuentan por miles, entre los que se encuentran, según Zimperium, más de 2.600 bots relacionados con el ataque protagonista de estas líneas.
Tras ofrecer la descarga gratuita, el usuario instala el APK en su dispositivo y este infecta el sistema para secuestrar los SMS. ¿Para qué? No tiene como objetivo leer tus mensajes personales o conocer ese código que te envía Netflix para acceder a tu cuenta. La cosa va más allá, pues el malware se da permisos a sí mismo para leer, modificar y enviar SMS.
¿Qué hacen cuando han secuestrado tus SMS? Según la fuente citada, estos se envían a una web llamada ‘fastsms.su’, la cual, se encarga de vender servicios de verificación y autenticación de doble factor a usuarios de todo el mundo. Es decir, que alguien con unos pocos euros en el bolsillo puede utilizar tu número de teléfono para verificar o darse de alta en un servicio.
A ti no te costará nada a nivel económico, pero sí en lo legal. Estos SMS se pueden utilizar para muchas cosas, desde registrarse en una página para obtener un descuento por usuario nuevo, a utilizarlo para darse de alta en un servicio y cometer algún tipo de acto ilegal. Y, adivina, ¿a qué nombre está registrado el número que ha cometido ese delito? Ahí es donde está el problema.
¿Cómo ganan dinero los implicados? Pues bien, en Internet hay una gran cantidad de servicios que han dejado la verificación vía email de lado. Crearse una cuenta de correo eléctrico es muy sencillo y motiva la proliferación masiva de perfiles, por lo que muchos comercios y webs dieron el salto a la autenticación SMS. Los números de teléfono no se pueden crear tan fácilmente y siempre van ligados a un nombre.
Por lo tanto, existen páginas que venden SMS para autenticarte en servicios de forma anónima. Ahí es donde entra en juego el secuestro de tus mensajes: ponen a la venta tu número para que otros usuarios compren el acceso y puedan crear perfiles o realizar ciertas acciones —normalmente ilegales— a tu costa. Todo sin que te enteres de nada.
Y, aunque es un ataque que se está popularizando en países como Estados Unidos, Brasil o la India, también ha llegado a España dejando sus primeras víctimas. Por lo tanto, si no quieres meterte en líos y tener que dar explicaciones, lo mejor es que descargues las apps desde la propia tienda de Google. Telegram puede parecer atractivo pero, como se dice en España, nadie da duros a pesetas.