Se ha detectado el despliegue de campañas masivas de phishing diseñadas específicamente para afectar a los ciudadanos costarricenses. A través del envío de mensajes de texto, conocidos técnicamente como SMS, diversos ciberdelincuentes están ejecutando una estrategia de suplantación de identidad. Las entidades afectadas por este fraude incluyen al Consejo de Seguridad Vial (COSEVI), así como a dos de las instituciones financieras más importantes del país: el Banco Nacional y el Banco de Costa Rica. El objetivo final de estas operaciones es el robo de información bancaria confidencial.
La estructura detrás de estos ataques no es aislada, sino que responde a la coordinación de bandas organizadas que operan desde el extranjero. Según la información disponible, estas organizaciones criminales tienen sus centros de mando y ejecución en Europa, Estados Unidos y Colombia. Para lograr que sus mensajes lleguen a los dispositivos móviles de las víctimas en Costa Rica, los estafadores implementan una logística de adquisición de infraestructura telefónica, comprando cientos o incluso miles de líneas telefónicas que son activadas dentro del territorio nacional, facilitando así la ejecución de los ataques masivos.
El proceso de estafa comienza cuando el usuario recibe un mensaje de texto que parece provenir de una de las instituciones mencionadas. Este mensaje contiene un enlace fraudulento que, al ser accionado por la víctima, la redirige a un sitio web externo. La peligrosidad de este método radica en que la página de destino ha sido diseñada para ser idéntica a la página oficial de la entidad suplantada, lo que induce al usuario a confiar en la legitimidad del sitio.
Una vez que el ciudadano se encuentra en esta página falsa, el sistema de los ciberdelincuentes inicia una recolección secuencial de datos. En primera instancia, se le solicita al usuario que ingrese su número de cédula y su número de teléfono. Tras completar este primer paso, la plataforma fraudulenta procede a solicitar información mucho más sensible y confidencial, tales como el número de tarjeta bancaria o el número de cuenta cliente. Con estos datos en su poder, los atacantes pueden comprometer la seguridad financiera de la víctima.
En cuanto a la obtención de los números telefónicos, los delincuentes no actúan al azar, sino que utilizan bases de datos tanto públicas como privadas. El contenido fuente detalla que el flujo de datos personales proviene de diversas fuentes, destacando la recolección de información a través de formularios de rifas o promociones difundidas en redes sociales. Estas prácticas permiten a las bandas organizadas alimentar sus listas de contactos para dirigir los mensajes de phishing a miles de destinatarios diariamente.
A pesar del volumen masivo de mensajes enviados, la eficacia de estas campañas se mide en términos de conversión. Los estafadores logran engañar y robar la información solo de un bajo porcentaje de los miles de usuarios que reciben los SMS cada día. No obstante, debido a la escala de la operación y a la automatización del envío de mensajes, incluso un porcentaje pequeño de víctimas resulta suficiente para que la actividad criminal sea rentable para las organizaciones basadas en Colombia, Estados Unidos y Europa.
Este esquema de fraude pone de relieve la importancia de desconfiar de los enlaces recibidos vía SMS, especialmente cuando solicitan datos personales y bancarios, ya que el uso de sitios espejo y la adquisición de líneas locales son tácticas comunes para evadir la sospecha del usuario y facilitar la suplantación de entidades gubernamentales y financieras.
