Los hackers han encontrado una nueva forma de burlar las protecciones de Apple y colarse en tu iPhone a través de iMessage. ¿Cómo lo hacen? Aprovechan un truco para desactivar la protección antiphishing integrada que, por defecto, bloquea los enlaces sospechosos en mensajes de remitentes desconocidos. El objetivo de los ciberdelincuentes es sencillo pero peligroso: engañarte para que vuelvas a habilitar esos enlaces desactivados y caer en sus trampas de phishing.
Recibir un mensaje que parece urgente, como “Tu cuenta de Apple ha sido bloqueada” o “Confirma tu identidad para evitar el cierre de tu cuenta”, puede poner nervioso a cualquiera. Ese toque de urgencia es justo lo que los estafadores necesitan para que bajes la guardia.
Y tiene sentido que lo intenten. Al fin y al cabo, nuestros teléfonos son el centro de casi todo lo que hacemos: pagamos facturas, compramos online, trabajamos y nos comunicamos desde ellos. Los atacantes lo saben y cada vez lanzan más campañas de smishing (phishing por SMS) contra números móviles, aprovechando ese vínculo constante con nuestros dispositivos. Pero lo que hace este truco aún más preocupante es que apunta directamente a la protección automática de iMessage, la que evita que enlaces maliciosos lleguen a ti en primer lugar.
Apple explica que si un usuario responde a ese mensaje o guarda al remitente en su lista de contactos, los enlaces bloqueados se activarán automáticamente. Es decir, ¡les estarías abriendo la puerta sin darte cuenta!
¿Cómo engañan a los usuarios para que respondan?
En los últimos meses, los estafadores han estado probando una nueva táctica en sus ataques de smishing: enviar mensajes que parecen urgentes o importantes para que los usuarios respondan, sin saber que, al hacerlo, los enlaces bloqueados por iMessage se vuelven a activar automáticamente.
Por ejemplo, algunos mensajes vienen disfrazados como un aviso de "paquete no entregado" del USPS o una alerta de un "peaje sin pagar". Pero como los remitentes son desconocidos, iMessage desactiva los enlaces de forma automática para protegerte. El problema es que, si te alarmas y contestas, estás desactivando esa protección sin darte cuenta. ¡Justo lo que los estafadores quieren!
Ataques de phishing por SMS con enlaces desactivados
Aunque este tipo de mensajes de phishing por SMS no es nuevo, últimamente los atacantes están apostando por un truco que cada vez se ve más: te piden que respondas al mensaje con una simple "Y" (de "Yes") para habilitar un enlace bloqueado.
Los mensajes suelen decir algo como: "Responde con 'Y', luego vuelve a abrir el mensaje o copia el enlace en tu navegador Safari para acceder".
Puede parecer inocente, pero esa respuesta es justo lo que los estafadores necesitan para burlar la protección antiphishing de iMessage. Al hacerlo, los enlaces deshabilitados se activan automáticamente, permitiendo que esos enlaces sospechosos vuelvan a funcionar. Y aunque no hagas clic de inmediato, responder al mensaje les da una señal clara de que eres un objetivo activo. Ahora saben que eres alguien que responde, y eso te convierte en un blanco aún más jugoso para futuros ataques.
Podría interesarte leer: Ciberdelincuentes Suplantan al Gobierno de CDMX mediante Smishing
¿Por qué caen las personas en este truco?
Esta táctica es efectiva porque juega con hábitos que muchos de nosotros ya tenemos. Nos hemos acostumbrado a responder con "STOP" para cancelar suscripciones, o con "SÍ" o "NO" para confirmar citas o entregas. Así que, cuando un mensaje te pide algo similar, no parece sospechoso. Es un comportamiento automático.
Por desgracia, esa familiaridad es justo lo que los atacantes explotan. Un ejemplo reciente lo vimos con mensajes falsos sobre problemas de envío de paquetes o peajes sin pagar. Los enlaces estaban desactivados por iMessage porque provenían de remitentes desconocidos, pero los mensajes pedían a los usuarios que respondieran para activar los enlaces manualmente. Y esto no es algo nuevo. Investigaciones recientes muestran que esta táctica se ha estado usando durante el último año, con un notable aumento desde el verano.
Aunque muchos de nosotros podemos detectar estos mensajes como intentos de phishing, no todo el mundo lo tiene tan claro. Un buen ejemplo es un familiar mayor o alguien que no esté muy familiarizado con los riesgos digitales. De hecho, hay casos donde personas mayores han mostrado estos mensajes, preguntando si son legítimos porque no saben cómo identificarlos.
El problema es que, en muchos casos, estas personas son el blanco perfecto para los atacantes. Al responder al mensaje, terminan siguiendo el enlace, ingresando información personal, datos bancarios o detalles de sus tarjetas de crédito, sin darse cuenta de que están siendo víctimas de una estafa.
Conoce más sobre: ¿Qué pasa si no inviertes en concientización en ciberseguridad?
¿Qué hacer si recibes un mensaje sospechoso?
Si recibes un mensaje de texto de un remitente desconocido con un enlace deshabilitado o que te pide que respondas para activarlo, NO lo hagas. Por más tentador que sea contestar o tratar de verificar, no caigas en la trampa.
En su lugar, sigue este consejo sencillo pero eficaz: Contacta directamente con la empresa o entidad que supuestamente te envió el mensaje. Llámales o visita su sitio web oficial para comprobar si realmente necesitan algo de ti. Es mejor perder un minuto verificando que arriesgar tu información personal.
Recuerda: si un enlace está deshabilitado en iMessage, es por algo. Esa función está ahí para protegerte. No desactives esa protección dándoles a los estafadores lo que buscan: una respuesta.
