Entre marzo y comienzos de abril, cibercriminales lanzaron una campaña de ingeniería social por SMS que suplantaba a una de las principales telefónicas de México. Bajo la promesa de canjear puntos acumulados por celulares o smartwatches, el fraude buscaba llevar a la víctima a un sitio falso y sustraer sus datos personales y bancarios. Este caso permite entender el mecanismo completo de la estafa y por qué sigue funcionando incluso cuando cambia de URL o de canal.
Cómo funcionaba la estafa
La campaña avanzaba por varias etapas diseñadas para generar confianza, mantener la atención de la víctima y obtener información sensible de forma gradual.
Primer contacto: un SMS con un enlace falso
Todo comenzaba con un mensaje SMS que incluía un enlace a un sitio fraudulento. La URL imitaba a la legítima con un cambio mínimo en una letra, un detalle fácil de pasar por alto en una revisión rápida.
Un portal que parecía legítimo
Al hacer clic, la víctima llegaba a un portal que copiaba la apariencia de la empresa. La excusa inicial era un supuesto canje de puntos por productos, por lo que se pedía confirmar el número de celular.
El objetivo real era robar datos financieros a partir de esa promesa de recompensas. La página ofrecía celulares o smartwatches y el sitio terminó siendo deshabilitado tras ser identificado como fraudulento.
Además, aparecía un “recordatorio de vencimiento de puntos” junto con un saldo supuesto. Esa combinación de urgencia y beneficio buscaba empujar al usuario a seguir sin detenerse a verificar inconsistencias con el SMS original.
Un catálogo falso para reforzar el engaño
Después, al pulsar “Siguiente paso”, se mostraba un catálogo de celulares y smartwatches. La cantidad de puntos supuestamente disponibles permitía elegir casi cualquier producto, lo que reforzaba la idea de que el canje era real.
Formularios para recolectar datos personales
Una vez elegido el producto, el sitio abría un formulario para solicitar datos personales como nombre, dirección y correo electrónico.
Luego aparecía un segundo formulario que pedía información bancaria bajo la excusa de validar el envío y cobrar una pequeña gestión.
Simulación del pago
Para parecer más creíble, el sitio mostraba un banner que “validaba” los datos de la tarjeta de crédito.
Pasados unos segundos, se pedía al usuario un “Código de Verificación” que supuestamente llegaría por teléfono o correo electrónico, junto con un temporizador para aumentar la presión.
Cuando se ingresaba el código, aparecía un pop-up indicando que la información estaba siendo procesada. Todo estaba diseñado para simular un flujo de pago legítimo.
El último empuje
Como era de esperarse, el pago era rechazado y el usuario era redirigido a un segundo formulario para ingresar nuevos datos bancarios. La excusa era que la tarjeta no soportaba la transacción y que debía intentarse con otra.
Si la víctima no detectaba las señales de alerta a tiempo, podía terminar entregando incluso los datos de una segunda tarjeta de crédito. Así, los atacantes aumentaban la cantidad de información robada.
Si la persona llegaba hasta ese punto, el robo ya se había concretado y sus datos personales y bancarios probablemente quedaban en manos de los atacantes, con posibilidad de uso directo o reventa dentro del ecosistema de la ciberdelincuencia.
