Short Message Service (SMS) Phishing Attacks and Defenses: A Comprehensive Review

Cada día, miles de millones de personas llevan en su bolsillo un dispositivo que sirve como una línea directa a sus cuentas bancarias, a sus fotos personales y a sus conversaciones más privadas. Debido a que dependemos de estos dispositivos para tanto, los criminales han encontrado una forma de volver esa confianza en nuestra contra. Envían mensajes de texto que parecen provenir de una empresa de confianza, un servicio de mensajería o incluso de un amigo. Estos mensajes suelen crear una sensación de pánico o urgencia, diciéndole al destinatario que su cuenta ha sido bloqueada, que un paquete está esperando o que se ha ganado un premio. El objetivo es engañar a la persona para que haga clic en un enlace o escriba una contraseña. Este tipo específico de engaño, conocido como phishing por SMS o "smishing", se ha convertido en un problema global masoso. Solo en los Estados Unidos, estas estafas basadas en mensajes de texto le costaron a los usuarios casi 640 millones de dólares en un solo año reciente, una cifra que ha aumentado más de seis veces en solo cinco años. La situación está empeorando porque los criminales no solo están enviando los mismos mensajes de siempre; están utilizando nuevas herramientas para hacer que sus mentiras suenen más convincentes y sean más difíciles de detectar.

Un equipo de investigadores de la Universidad Tecnológica de Tennessee y la Universidad de Colorado Colorado Springs decidió dar un paso atrás para comprender el alcance total de esta creciente amenaza. En lugar de limitarse a construir una nueva herramienta para bloquear un tipo de mensaje malicioso, realizaron una revisión exhaustiva de todo lo que se sabe sobre el smishing. Recopilaron y analizaron cientos de estudios científicos, documentos legales y conjuntos de datos públicos para crear un mapa completo del problema. Su trabajo abarca cuatro áreas principales: cómo reacciona la gente ante estos mensajes, cómo se estructuran los ataques, qué defensas existen actualmente y qué datos tienen los investigadores disponibles para estudiar el tema. Al reunir todas estas piezas, esperan mostrar dónde están fallando los esfuerzos actuales y señalar el camino hacia una mejor protección para todos.

Los investigadores primero analizaron a las personas que reciben estos mensajes. Descubrieron que la susceptibilidad a estas estafas no se trata solo de ser descuidado o carecer de educación. Si bien algunas personas son más propensas a caer en un truco que otras, el riesgo está influenciado por una mezcla compleja de hábitos, emociones y contexto. Por ejemplo, alguien que utiliza frecuentemente las redes sociales o las aplicaciones bancarias podría encontrar un mensaje relacionado con esos servicios más creíble, simplemente porque le resulta familiar. El estudio también destacó que los atacantes son expertos en el uso de la psicología humana. Diseñan mensajes que activan el miedo, la codicia o un sentido de urgencia, empujando a las personas a actuar rápidamente sin pensar. Los investigadores señalaron que, si bien algunas defensas se centran en detalles técnicos, el elemento humano sigue siendo el eslabón más débil. Incluso las personas que conocen las estafas pueden ser engañadas si el mensaje está bien diseñado para explotar sus miedos o deseos específicos.

En cuanto a los ataques en sí, los investigadores encontraron que el panorama se ha vuelto increíblemente diverso. En el pasado, los mensajes de smishing solían ser rudimentarios, llenos de mala gramática y enlaces obvios. Hoy en día, los ataques son mucho más sofisticados. Pueden provenir de números que parecen exactamente los de organizaciones legítimas, o pueden enviarse en oleadas masivas a personas al azar. Los investigadores identificaron que estos ataques suelen seguir temas específicos, como falsos reembolsos de impuestos, notificaciones de entrega o alertas de seguridad de cuentas. También observaron que los criminales están comenzando a utilizar la inteligencia artificial para escribir estos mensajes, haciendo que suenen perfectamente naturales y personalizados para la víctima. Esta evolución significa que los métodos antiguos para bloquear mensajes, que dependían de listas simples de palabras prohibidas o enlaces conocidos, ya no son suficientes. Los atacantes cambian constantemente sus tácticas para burlar estos filtros.

Para contraatacar, los investigadores examinaron el estado actual de la defensa. Encontraron que la mayoría de las soluciones modernas dependen del aprendizaje automático (machine learning), un tipo de programa informático que aprende a reconocer patrones a partir de grandes cantidades de datos. Estos programas se están volviendo muy buenos para detectar textos sospechosos, y algunos modelos recientes logran tasas de precisión superiores al 99 por ciento. Sin embargo, los investigadores señalaron un problema significativo: muchos de estos sistemas potentes son "cajas negras". Pueden decirle que un mensaje es una estafa, pero no pueden explicar fácilmente por qué. Esta falta de transparencia hace difícil que los usuarios confíen en las advertencias o que los reguladores entiendan cómo se toman las decisiones. Además, aunque existen muchas aplicaciones móviles diseñadas para bloquear estos mensajes, su efectividad varía ampliamente. Algunas son excelentes para capturar estafas, mientras que otras fallan en muchas de ellas o bloquean demasiados mensajes inofensivos. El estudio también analizó las leyes y regulaciones, encontrando que, si bien algunos países tienen reglas estrictas contra estas prácticas, la aplicación de la ley suele ser difícil e inconsistente en diferentes regiones.

Una parte importante del trabajo de los investigadores consistió en analizar los conjuntos de datos que los científicos utilizan para entrenar estos sistemas de detección. Descubrieron que muchos de estos conjuntos de datos están desactualizados o son limitados. Por ejemplo, algunos conjuntos de datos contienen mensajes de hace una década que no reflejan cómo operan los estafadores hoy en día. Otros están fuertemente sesgados hacia el inglés, lo que deja un vacío en la comprensión de cómo funcionan estos ataques en otros idiomas. Los investigadores también encontraron que muchos conjuntos de datos contienen enlaces a sitios web que ya no existen, lo que dificulta el estudio de los destinos reales de estas estafas. Para abordar esto, crearon una nueva colección de datos unificada llamada "Smishing Data Hub", que organiza y limpia la información existente para ayudar a los futuros investigadores a construir mejores defensas.

La revisión concluye que, si bien la tecnología está avanzando, la batalla contra el smishing requiere un enfoque más amplio. Los investigadores sugieren que los esfuerzos futuros deben ir más allá de la simple construcción de mejores filtros. Abogan por una comprensión más profunda de los trucos psicológicos utilizados por los estafadores, para que los usuarios puedan aprender a reconocer la manipulación emocional detrás de las palabras. También piden conjuntos de datos más diversos que incluyan mensajes en muchos idiomas y formatos diferentes, no solo texto. Finalmente, enfatizan la necesidad de una mejor colaboración entre las empresas tecnológicas, las fuerzas del orden y los responsables de la formulación de políticas para crear una respuesta más coordinada. El estudio no pretende haber resuelto el problema, sino que proporciona una hoja de ruta clara sobre cómo la comunidad científica puede avanzar para proteger a los usuarios en un mundo digital cada vez más engañoso.