Nueva oleada de fraudes por SMS alerta a usuarios financieros en Colombia
Las autoridades de ciberseguridad y las entidades financieras han encendido las alarmas tras detectar una sofisticada campaña de ‘smishing’ —término que combina SMS y phishing— que busca despojar a los ciudadanos de sus datos bancarios y personales. En las últimas semanas, se ha registrado un incremento exponencial de mensajes de texto maliciosos que suplantan la identidad corporativa de Banco de Bogotá y Seguros Bolívar, dos de las instituciones con mayor base de usuarios en el país. La particularidad de esta ofensiva radica en el uso de códigos cortos (short codes) de cuatro y cinco dígitos, una táctica que otorga apariencia de legitimidad oficial al mensaje y evade los filtros antispam tradicionales de los operadores móviles.
El fraude opera bajo la ingeniería social clásica: generar urgencia y miedo. Los textos alertan sobre supuestos bloqueos de tarjetas de crédito, accesos no autorizados a la banca virtual, vencimiento de pólizas de seguro o actualizaciones obligatorias de datos biométricos. El objetivo final es redirigir a la víctima a un portal clonado, prácticamente idéntico al oficial, donde se capturan usuario, clave, número de tarjeta, CVV y claves dinámicas (OTP).
Suplantación de identidad: las marcas elegidas por los ciberdelincuentes
La elección de Banco de Bogotá y Seguros Bolívar no es casual. Ambas entidades manejan volúmenes masivos de transacciones diarias y poseen una penetración de mercado transversal, lo que aumenta la probabilidad estadística de que el receptor del SMS sea cliente real. Los reportes indican que los mensajes simulan la nomenclatura oficial (ej. «BancoBogota», «SegurosBolivar» o variaciones alfanuméricas como «BB-Alerta»), explotando la confianza que el usuario deposita en el remitente visible en su bandeja de entrada.
Expertos en ciberseguridad advierten que, a diferencia de campañas anteriores que usaban números de celular comunes (iniciando en 300, 310, 320), esta ola emplea códigos cortos tipo 85XXX, 31XXX o 90XXX, similares a los usados legítimamente por bancos para envío de claves dinámicas (OTP) o alertas de transacciones. Esta confusión deliberada del canal de comunicación oficial es el vector de ataque más peligroso detectado en 2024.
El modus operandi: códigos cortos y urgencia fabricada
El ciclo de ataque inicia con la recepción del SMS. Ejemplos detectados incluyen frases como: «Alerta Banco Bogotá: Su tarjeta fue bloqueada por seguridad. Valide datos aquí: [link acortado]» o «Seguros Bolívar: Su póliza vence hoy. Renueve para evitar cancelación: [enlace malicioso]». Los enlaces, acortados mediante servicios como bit.ly o cutt.ly para ocultar el dominio real, dirigen a servidores alojados usualmente en el exterior.
Una vez en la página falsa, se solicita el ingreso completo de credenciales. En una segunda fase, el delincuente —que monitorea el panel de control en tiempo real— utiliza los datos para ingresar a la banca real. Si la entidad requiere doble factor (2FA), la página falsa pide el código OTP que acaba de llegar al celular de la víctima (enviado por el banco real a un código corto legítimo), completando así el robo de la sesión. En cuestión de minutos, se realizan transferencias a cuentas ‘mula’, compras en comercios electrónicos o retiros en cajeros sin tarjeta.
Antecedentes y escalada del smishing en el país
Este no es un fenómeno aislado. Según datos del Centro Cibernético de la Policía Nacional y el CSIRT-COL (Equipo de Respuesta a Incidentes de Seguridad Informática de Colombia), el smishing creció más del 60% en 2023 frente a 2022, consolidándose como el vector de ataque inicial más reportado por ciudadanos, superando al phishing por correo electrónico. Campañas previas suplantaron a Nequi, Daviplata, DIAN, Registraduría y operadores logísticos (Servientrega, Interrapidísimo).
La migración hacia códigos cortos responde a una carrera armamentista: los operadores móviles (Claro, Movistar, Tigo, WOM) han implementado filtros basados en reputación de números largos y palabras clave. Al usar códigos corporativos —que requieren registro y aprobación previa ante la CRC (Comisión de Regulación de Comunicaciones)—, los atacantes logran una tasa de entrega cercana al 100%, burlando las defensas perimetrales.
Consecuencias directas para las víctimas y el sistema financiero
El impacto trasciende la pérdida monetaria individual —que promedia entre 2 y 15 millones de pesos por incidente según la Superintendencia Financiera—. Las víctimas enfrentan procesos de disputa de transacciones (chargebacks) que pueden tardar meses, afectación de su historial crediticio en centrales de riesgo (Datacrédito, Cifin) y, en casos graves, suplantación de identidad total para solicitud de créditos de alto valor.
Para el sistema, la erosión de la confianza en el canal SMS —históricamente el pilar de la autenticación de dos factores (2FA) vía OTP— obliga a una migración costosa hacia tokens digitales en app, notificaciones push y llaves de seguridad físicas (FIDO2), encareciendo la operación y complejizando la experiencia de usuario para segmentos no digitalizados.
Recomendaciones de las autoridades y entidades financieras
Frente a este panorama, la Policía Nacional, Cert-Col, Asobancaria y las propias entidades afectadas han emitido lineamientos taxativos:
- Nunca acceder a enlaces recibidos por SMS no solicitados. Los bancos no envían links para «validar», «desbloquear» o «actualizar» datos por este medio.
- Verificar el remitente real: Ingresar manualmente la URL oficial (www.bancodebogota.com, www.segurosbolivar.com) o usar la aplicación oficial descargada de tiendas oficiales (App Store, Play Store, AppGallery).
- Desconfiar de la urgencia: Ninguna acción legítima requiere resolución inmediata bajo amenaza de bloqueo o pérdida de dinero.
- No compartir códigos OTP / Claves dinámicas: Son de uso personal e intransferible; ningún asesor real los solicitará.
- Reportar el incidente: Reenviar el SMS sospechoso al 85585 (canal anti-spam de la CRC) y denunciar en la línea 165 de la Policía Nacional o en el portal adenunciar.policia.gov.co.
Panorama futuro: la evolución hacia el ‘vishing’ y el uso de IA
Los analistas prevén que, a medida que los filtros SMS mejoren, los grupos criminales —operando bajo modelos de Fraud-as-a-Service (FaaS)— combinarán el smishing inicial con llamadas de voz (vishing) usando inteligencia artificial para clonar voces de supuestos asesores de seguridad, validando la estafa en una segunda interacción humana. La defensa, por tanto, debe ser cultural: la verificación por canal alternativo (llamar al número de la parte trasera de la tarjeta) es el único antídoto 100% efectivo ante la suplantación tecnológica perfecta.
