Recientemente se ha detectado una campaña que suplanta a la Seguridad Social por medio de envío de SMS fraudulentos (smishing), que instan al usuario a pulsar sobre el enlace que acompaña el mensaje, utilizando como excusa tener que solicitar una tarjeta sanitaria nueva, ya que la anterior ha sido suspendida. Además, se debe pagar el envío por medio de una empresa de mensajería y paquetería.

Recursos afectados

Las personas que hayan recibido el SMS descrito anteriormente.

Solución

Si has recibido el SMS, pero no has pulsado en el enlace, debes eliminarlo de la bandeja de entrada.

En caso de haber recibido dicho SMS, haber pulsado en el enlace adjunto y facilitado tus datos personales y/o bancarios:

  • Contacta con tu entidad bancaria para explicar lo ocurrido y que procedan a cancelar el importe y bloquear la tarjeta utilizada en el pago. Además, puedes comprobar si tu cuenta tiene asociado algún tipo de seguro antifraude.
  • Durante los próximos meses, es recomendable tener un control mayor al habitual de los movimientos de la cuenta asociada a la tarjeta.
  • Realiza capturas de pantalla del SMS y la web fraudulentos para poder adjuntarlas a una denuncia en caso de que sea necesario presentarla ante a las Fuerzas y Cuerpos de Seguridad del Estado (FCSE). Presenta igualmente una copia de esta denuncia en tu entidad bancaria para que tengan constancia de ello.
  • Al haber proporcionado datos personales y sensibles, es recomendable que los meses próximos realices búsquedas sobre ti mismo para confirmar que tus datos no estén siendo difundidos por la Red. Por ello, realiza egosurfing.

Otras recomendaciones para evitar este tipo de fraudes son:

  • En caso de recibir un SMS de estas características, consulta con la entidad que lo emite o con terceros de confianza para poder confirmar su veracidad.
  • No proporciones datos bancarios en webs no fiables, contrasta la autenticidad de estas.
  • Utiliza métodos de pago seguro que te proporcionen la posibilidad de devolverte el importe abonado.
  • Evita acceder a enlaces que desconoces y comprueba que coinciden con los de la entidad oficial, revisa la URL y verifica que contiene los certificados digitales correspondientes.

Detalles

La Seguridad Social está siendo suplantada por medio de SMS, avisando de que tu tarjeta sanitaria ha sido suspendida y se necesita solicitar una nueva para que el propietario de esta siga beneficiándose de la cobertura habitual, pudiendo solicitarla a través de un enlace adjunto al mensaje de texto. Para el envío de una tarjeta sanitaria nueva, pide que se abone una cantidad de dinero para el transporte de esta por medio de Correos o DHL.

A continuación, se mostrará el proceso de dicho fraude.

El usuario recibe un SMS procedente supuestamente de la Seguridad Social, comunicando que su tarjeta ha sido suspendida.

Texto enviado a través de SMS, en donde avisa que se requiere actualizar la tarjeta sanitária a través del enalce adjunto.

SEGURIDAD SOCIAL: Su tarjeta sanitària requiere una actualización. Por favor actualícelo a través del sitio seguro para mantener sus servicios: [URL maliciosa]

Una vez el usuario entre en la URL adjunta en el SMS, se puede observar una web simulando ser del Ministerio de Empleo y Seguridad Social, en la cual encuentras un formulario solicitando apellido, nombre, fecha de nacimiento y correo electrónico. Tras rellenar estos datos, al hacer clic en confirmar, se pasa a un nuevo formulario.

Muestra una página web en la cual se solicita en un formulario el nombre, apellido, fecha de nacimiento, población y correo electrónico

Se redirige a una pantalla en donde aparece otro formulario, el cual muestra una línea de progreso y solicita los siguientes datos: dirección y código postal, pueblo y número de teléfono

A continuación, se mostrará una ventana de información postal, en la que se solicita, dirección, código postal, pueblo y número de teléfono.

Al pulsar en confirmar, se mostrarán las opciones del envío.

Se muestran las diferentes opciones de envío del paquete, por medio de correos y DHL

En este apartado, ofrecerán dos métodos de transporte para recibir la tarjeta sanitaria nueva, los cuales son dos empresas de mensajería y paquetería con un cargo diferente inferior a 4 euros.

Al hacer clic en proceder al pago, aparecerá un formulario para rellenar los datos de la tarjeta, en el cual solicitan titular y número de la tarjeta, además de la fecha de caducidad y el código de seguridad CVV que aparece al reverso de esta.

Se muestra un formulario que solicita los datos de la tarjeta bancaria, entre estos titular y número de la tarjeta, CVV y fecha de caducidad

Al confirmar el pago, queda en carga la web autenticando el proceso, avisando de que te redirigirán a otra página cuando termine este.

Se muestra una pantalla de carga, mientras supuestamente autentica los datos

A continuación, aparecerá un formulario que dice enlazar por Apple Pay, el cual te pide un código que se ha enviado por mensaje de texto a tu dispositivo móvil.

Se muestra una ventana en la cual aparece una caja para introducir el código recibido por SMS

Tras esto, aparecerá una ventana, en la cual te confirman que el pago ha sido validado, te dan los datos del importe y la identificación del envío, y explican cuándo recibirás la tarjeta, pero los ciberdelincuentes ya se habrán hecho con tus datos.

Se muestra una pantalla final, indicando que el proceso ha sido completado correctamente y avisando que llegará la tarjeta al domicilio.

¿Te gustaría estar a la última con la información de nuestros avisos? Anímate y suscríbete a nuestros boletines o al perfil de Twitter @osiseguridad y Facebook. Serás el primero en enterarte de los últimos avisos de seguridad dirigidos a ciudadanos. También ponemos a tu disposición una Línea gratuita de Ayuda en Ciberseguridad de INCIBE: 017 y nuestros canales de mensajería instantánea WhatsApp (900116117) y Telegram (@INCIBE017).