El fraude del código 21 roba información bancaria y hace solicitudes de préstamos en nombre de las víctimas

Los ciberdelincuentes han encontrado una forma sencilla de cometer delitos cibernéticos con el conocido como fraude del código 21 o de cancelación de préstamo, que roba la información bancaria de las víctimas y suplanta su identidad para solicitar un crédito en su nombre.

Se trata de una estafa que se inicia con un ataque de smishing, en el que los ciberdelincuentes se hacen pasar por el banco para hacer creer a los usuarios que quien se está poniendo en contacto con ellos es un operador de su entidad mediante un mensaje SMS.

En este mensaje de texto, los delincuentes tratan de confundir al usuario utilizando el pretexto de una posible brecha de seguridad en su cuenta de cliente, tal y como explica Banco Santander en su web, donde señala que en este contacto los actores maliciosos solicitan datos como la clave de firma completa o la firma electrónica.

Al solicitar las claves de acceso privadas, los estafadores también invitarán a las víctimas a introducir en su teléfono el código 21 entre asteriscos (*21*), seguido de un número de teléfono, con la excusa de que al añadir ese comando se pueden tener comunicaciones más seguras con el banco.

De esta manera, consiguen que las llamadas que el banco haría al cliente sean desviadas a los ciberdelincuentes, permitiéndoles confirmar las operaciones con el voice bot de la entidad. Así, una vez hayan conseguido los datos y las claves de la víctima, los ciberdelincuentes podrán solicitar un préstamo a su nombre.

Esto significa que cuando el usuario entre en su app de banca electrónica o en la web del banco verá que tiene un préstamo a su nombre, solicitado sin su conocimiento ni consentimiento. Entonces, se pondrán en contacto con el usuario nuevamente para informarle que, debido a un error, se le ha concedido un préstamo.

Para hacer más real la llamada, los ciberdelincuentes le darán detalles de la cuantía total del crédito las comisiones de apertura, los intereses y el número de cuotas a pagar; una serie de datos a los que la víctima les ha dado acceso con el primer ataque de smishing o ‘phishing’ por SMS.

Finalmente, y como presunta solución al problema, los atacantes le darán instrucciones para realizar una transferencia del dinero depositado y cancelar así el préstamo concedido por error cuando, en realidad, con ese movimiento lograrán que el usuario les transfiera el dinero a una cuenta controlada por los estafadores.

Para evitar caer en estos fraudes, es aconsejable modificar con frecuencia las contraseñas y claves digitales cada cierto tiempo y tener cuidado con los remitentes de los SMS recibidos. Teniendo en cuenta que los bancos nunca solicitan la información completa de los usuarios a través de llamadas o mensajes, es recomendable contactar con la entidad mediante las vías oficiales para evitar sustos.