8Adjuntan un archivo o un enlace a una 'app de verificación'
El primer dato que delata el fraude es la propia existencia de ese archivo o enlace: ningún organismo público pide instalar una "app de verificación" a través de un SMS, y menos la Tesorería General de la Seguridad Social. En la campaña de smishing detectada por el INCIBE, que promete una prestación de 305,85 euros (245 de subsidio más dos complementos), el engaño se monta por capas para parecer creíble: una "actualización pendiente", un formulario que replica la web oficial y, como paso final, una supuesta "verificación de cuenta y titularidad" en la que se solicitan el nombre del titular de la tarjeta, el número, la fecha de caducidad y el CVV. La referencia a una app o a un documento de verificación sirve precisamente para disfrazar de trámite oficial lo que no es más que una petición de datos bancarios. El cauce legítimo es otro: Importass, la aplicación oficial de la TGSS, o la Sede Electrónica, y nunca se llega a ellas desde un enlace recibido por mensaje.
El peligro no acaba en la filtración de datos: descargar el archivo adjunto o instalar esa "app de verificación" puede convertir el móvil en la llave de la cuenta bancaria. Este tipo de aplicaciones fraudulentas suelen exigir permisos excesivos, como leer los SMS o controlar los ajustes de accesibilidad, y con ellos son capaces de interceptar los códigos de un solo uso que el banco envía para confirmar operaciones; de esa forma, el estafador puede autorizar pagos o transferencias a su favor saltándose el doble factor de verificación, sin que la víctima llegue a enterarse hasta que revisa el saldo. Por eso las autoridades insisten en que la Seguridad Social nunca solicita códigos ni datos bancarios por mensaje y en que las aplicaciones oficiales solo se descargan desde las tiendas de aplicaciones, jamás desde un enlace del SMS ni desde un fichero con extensión .apk. Ante un mensaje así, lo correcto es no pulsar nada, borrarlo, bloquear al remitente y reportarlo en el buzón de incidentes del INCIBE.
