Autoridades y organismos de ciberseguridad de EE. UU. informan de un aumento de casos en los que delincuentes inundan las bandejas de entrada con mensajes de registro y bienvenida para ocultar avisos simultáneos de bancos y servicios de pago. La táctica, conocida en el ámbito especializado como bombardeo de suscripciones o bombardeo de correos electrónicos, busca hacer desaparecer entre el ruido de mensajes las notificaciones de cargos no autorizados en tarjetas o de cambios en cuentas, y así ganar tiempo para realizar más transacciones.
La Cybersecurity and Infrastructure Security Agency describe en boletines recientes los bombardeos de correos electrónicos como un patrón de interrupción conocido, ante el que se ha advertido especialmente a las organizaciones de los sectores de la salud y las infraestructuras. El Center for Internet Security clasifica esta táctica en un informe destacado como una técnica extendida que puede «enterrar» comunicaciones legítimas de seguridad. Por su parte, M3AAWG explica medidas para contrarrestarla mediante formularios web, con el fin de dificultar los registros masivos automatizados. Las autoridades recomiendan a las personas afectadas denunciar los incidentes pertinentes ante el FBI Internet Crime Complaint Center y la Federal Trade Commission.
El método es técnicamente sencillo: los atacantes introducen automáticamente la dirección de la víctima en numerosos formularios de boletines y cuentas. En cuestión de minutos, estas inscripciones generan cientos o miles de mensajes, entre ellos confirmaciones, correos promocionales y avisos de contraseñas. En medio de esta avalancha, las notificaciones bancarias auténticas pueden pasar fácilmente inadvertidas. Los investigadores de seguridad observan que la táctica se usa tanto en fraudes financieros dirigidos como en ataques de distracción relacionados con la toma de control de cuentas.
Hechos, atribuciones y medidas de protección: organismos oficiales y grupos especializados llevan años documentando el bombardeo de suscripciones; las cifras concretas de daños varían y se basan principalmente en reportes de casos. Hay consenso en las recomendaciones: no hacer clic en enlaces de los mensajes masivos; consultar saldos y transacciones con tarjeta directamente en la aplicación del banco o mediante una dirección guardada por cuenta propia en el navegador; informar de inmediato al banco sobre cargos sospechosos y, si es necesario, bloquear las tarjetas. En el ámbito técnico, ayudan las verificaciones del lado del servidor y los límites de frecuencia en los formularios, los procedimientos obligatorios de confirmación en dos pasos, los CAPTCHA, las listas de bloqueo de dominios desechables y los filtros de bandeja de entrada que agrupen temporalmente los patrones típicos del «bombardeo de suscripciones».
Para las instituciones públicas y financieras, la prioridad es la prevención: los proveedores deben reforzar los procesos de registro contra las inscripciones masivas automatizadas, establecer canales de alerta redundantes y ofrecer notificaciones push claras. Los consumidores pueden beneficiarse de activar las alertas push, usar los canales de contacto alternativos del banco y denunciar de inmediato el incidente ante el FBI Internet Crime Complaint Center y la Federal Trade Commission. Esto permite detectar tendencias con mayor rapidez y coordinar las medidas de respuesta. Las previsiones sobre la frecuencia futura siguen siendo inciertas; no obstante, los indicios documentados por autoridades y sectores especializados apuntan a que sigue siendo un método atractivo para cometer fraude con tarjetas de crédito y tomar el control de cuentas.
Redactor: Phillipe Schmidt-Araguin (artículo elaborado con asistencia de IA).