Esos mensajes no son lo que parecen: la advertencia de Google sobre el peligro de SMS Blaster y cómo proteger tu móvil Android

Cuando Google lanza una recomendación o consejo, mejor hacerle caso. Si recientemente la empresa de Menlo Park explicaba que estamos usando mal las funciones mágicas de Google Fotos, hace apenas un par de días publicaba una entrada en su blog de seguridad para mantener tus dispositivos Android seguros frente a un fraude por mensajes de texto.

Más concretamente, tiene que ver con la conexión del móvil a las redes de 2G o GSM. A partir de ese punto, se abrirían las puertas a la recepción de mensajes SMS con phising y spam. La clave está en que las antenas a las que nos hemos conectado no son las de nuestra empresa de telecomunicaciones de confianza (la infraestructura oficial), sino que habríamos establecido contacto y comunicación con unas antenas portátiles que las suplantan.

Qué son los SMS Blaster

Tal y como detalla la propia Google, este es el término usado por los operadores para referirse a las pequeñas estaciones de antenas portátiles que suplantan a la red oficial de las operadoras (caben hasta en mochilas). Cuando ya han establecido esta red falsa, se encargan de bombardear con SMS fraudulentos (smishing) a los dispositivos conectados.

Google alerta de que su puesta en marcha es de lo más sencillo:  basta con colocar el equipo en una zona con alta concentración de potenciales víctimas y emitir una señal 4G/5G para que los terminales degraden la conexión a 2G, a esa red 2G falsa que está controlada por un atacante. ¿Por qué 2G?

Porque es un protocolo que adolece de autenticación bidireccional, es decir, que la red sí que autentifica al cliente pero no al revés. A partir de aquí y valiéndose de que las conexiones son no cifradas, se inyectan estos SMS.

Buena parte del peligro de SMS Blaster es que, como cuenta Google, estos equipos se venden en internet y no hacen falta demasiados conocimientos técnicos para ponerlos en marcha, ya que su configuración es relativamente fácil y están casi listos para entrar en acción para suplantar a un operador a red. Asimismo, es posible configurar y personalizar la carga de SMS, los campos del mensaje y sus metadatos, incluyendo hasta el número del remitente. De este modo, es posible conseguir que el mensaje parezca un SMS auténtico del banco.

Un dato importante más: los dispositivos móviles son vulnerables a este tipo de fraude si admiten conexión 2G, independientemente del estado de 2G de su operador local.

Cómo puedes proteger tu móvil Android

Afortunadamente existen funciones de seguridad para reducir drásticamente este riesgo e incluso bloquearlo por completo.El veteranísimo GSM o 2G lleva más de 30 años a sus espaldas cumpliendo, si bien en este tiempo han ido apareciendo diferentes debilidades en esta tecnología. Una de ellas posibilita que los móviles se conecten a cualquier red, posibilitando ataques man in the middle en los cuales los atacantes colocan equipos para captar las comunicaciones y datos intercambiados en la red.

Por este motivo Google implementó la opción de deshabilitar el 2G en tu móvil en 2022 con Android 12, algo que puedes hacer desde 'Ajustes' > 'Redes e internet' > 'SIMs' (en Google Pixel, la ruta puede variar en función de marca o modelo). Así, tu móvil ignora las redes 2G salvo la excepción de realizar una llamada de emergencia al 112.

Para poder bombardear con SMS, esta red falsa indica al móvil que no emplee cifrado, pero desde Android 14 y para aquellos terminales que implementen radio HAL 2.0 o superior, Google ha implementado la opción de rechazar redes con null cipher o cifrados nulos.

Finalmente, entre las recomendaciones de Google está la de tener operativo la protección antispam para identificar y bloquear mensajes SMS no deseados, así como la función de SMS verificados para identificar mejor aquellos mensajes legítimos procedentes de empresas (con una marca de verificación azul).

Portada | Daniel Vega (Mundo Xiaomi)

En Xataka Android | La seguridad de tu móvil Android, en tus manos: dos consejos para proteger tu patrón de desbloqueo