Smishing
El smishing es phishing entregado por mensaje de texto. El canal importa más que la técnica: los mensajes llegan a un dispositivo personal, fuera de la pasarela de correo corporativa, los identificadores de remitente son fáciles de falsificar, y la interfaz apenas le da al destinatario con qué comprobar un enlace antes de tocarlo.
Aquí no está ninguna de las capas de inspección que protegen el correo. No hay pasarela que reescriba el enlace, ni caja de arena para adjuntos, ni banda que marque al remitente como externo, y normalmente tampoco un botón para reportar. En un teléfono la barra de direcciones es corta y se recorta, lo que hace un dominio parecido mucho más eficaz de lo que sería en un escritorio.
Hay dos pretextos que hacen casi todo el daño en un contexto corporativo. Un aviso de entrega o de pago que llega en un momento verosímil y pide una confirmación pequeña, y un mensaje que dice venir de un compañero o de un directivo y que mueve la conversación a una aplicación de mensajería, donde la suplantación continúa sin ninguno de los controles que se aplican a los canales de la empresa.
Para la organización, lo incómodo es la jurisdicción: el dispositivo suele ser personal, el número lo publicó el empleado, y la empresa no tiene ninguna telemetría de ese canal. Eso hace que el reporte sea la única señal disponible, y por eso la métrica que merece la pena seguir en un ejercicio no es cuánta gente tocó el enlace, sino cuánta se lo dijo a alguien, y con qué rapidez. La misma medida vale para todos los canales de phishing, incluido el quishing, y es lo que está diseñado para producir el trabajo de concienciación que cubre la mensajería además del correo.