Tres canales
URL, texto de SMS y numeración E.164 en un único sistema.
URL
SMS
E.164
CENTINELA
Sistema de análisis de enlaces, SMS y numeración telefónica para la detección de fraude
Iván Pérez Corral · Oliver Joel Cerezo López
2.º CFGS Sistemas de Telecomunicaciones e Informáticos
Proyecto intermodular
Planteamiento
España · 2025
El fraude digital en cifras
≈ 1.200
estafas informáticas al día
> 350 M€
en pérdidas cada año
Canal de entrada del fraude
- Redes sociales34 %
- Correo electrónico28 %
- Llamadas de voz25 %
- SMS24 %
De 25 a 34 años, la probabilidad de fraude en redes sociales llega al 43 %, más del doble que en mayores de 55.
Datos: Atresmedia, Demócrata y Red Seguridad (2025)
Planteamiento
El problema técnico
Cómo se construyen hoy las campañas de phishing y smishing
Dominios de vida corta
Acortadores de URL
Suplantación del remitente
Textos generados con IA, sin errores
Consecuencia
Las listas de bloqueo reaccionan con retraso ante los dominios recién registrados.
El usuario no tiene forma de verificar un mensaje antes de interactuar con él.
Planteamiento · Estado del arte
Lo que ya existe
ServicioQué haceLimitación
VirusTotal
Agregación de motores antimalware y listas de reputación
Orientado a perfiles técnicos; no analiza texto ni numeración
Google Safe Browsing
Listas de phishing y malware en navegadores
Reactivo: solo URL ya catalogadas
Línea 017 de INCIBE
Asistencia humana en ciberseguridad
Sin análisis automático; horario limitado
Maldita.es y verificadores
Alertas sobre campañas de fraude en circulación
Consulta manual caso por caso
Filtrado de los operadores
Bloqueo parcial de SMS y voz fraudulentos
Cobertura parcial y opaca para el usuario
CENTINELA
Ninguno integra los tres canales ni justifica el resultado a un usuario no especializado. CENTINELA analiza URL, SMS y numeración y explica cada veredicto.
La solución
Diseño propuesto
Qué es CENTINELA
Una aplicación web progresiva que analiza enlaces, SMS y números de teléfono y explica en qué se basa cada veredicto.
- Usuario final no especializado
- Android · iOS · PC/Mac
Motor propio
Evalúa indicadores que las listas aún no contienen, como la antigüedad del dominio o la estructura del certificado.
Veredicto explicado
Cada resultado incluye los indicadores que lo motivan, con valor formativo.
La solución
Diseño propuesto
Cómo funciona
- 01
Entrada
Enlace, SMS o número. También por QR o desde «Compartir».
- 02
Petición cifrada
POST por HTTPS al servicio intermedio.
- 03
Consulta en paralelo
Caché, reputación y reportes de usuarios.
- 04
Motor de análisis
Reglas ponderadas que dan una puntuación de 0 a 100.
- 05
Veredicto
JSON con nivel, puntuación e indicadores.
El chat de asistencia puede explicar el resultado. Recibe el veredicto del motor y no emite uno propio.
El contenido de los mensajes no se guarda. Solo se registran métricas anónimas de latencia y errores.
Si un servicio externo cae, el sistema responde con los indicadores que sí tiene disponibles.
La solución
Cliente-servidor en tres capas
Arquitectura del sistema
Navegador
Android · iOS · PC
Cliente PWA
Service Worker · instalable
URL · SMS · E.164
Lector QR · Chat
Web Share Target
TLS 1.3
Infraestructura en la nube
Servicio intermedio
API REST · serverless
- Custodia de claves
- Limitación de tasa
- Seudonimización
- Resolución de redirecciones
REST · JSONPasarela única hacia los servicios externos
Motor de análisis
Reglas ponderadas · DNS · RDAP · TLS · numeración
Reputación de URL
Safe Browsing / Web Risk · URLhaus
Base de datos propia
Reportes validados · caché de reputación
Asistente de IA (apoyo)
API de Claude · recibe el veredicto del motor
Análisis de amenazas · 1 de 3
Ejemplo ilustrativo
Análisis de enlaces
Enlace recibido
https://bit.ly/…
Redirección resuelta en el servidor
https://c0rreos-envio.top/pago
Lo que señalaría el motor
- Dominio registrado hace pocos días
- Parecido léxico con «correos»
- Certificado TLS recién emitido
Indicadores de red
- Antigüedad del dominio
- Fecha de registro mediante RDAP
- Certificado TLS
- Emisor, tipo de validación y fecha de emisión
- Registros DNS
- A, MX y NS
- IDN y homógrafos
- Dominios en Punycode y caracteres confundibles (UTS #39)
- Similitud con marcas
- Distancia de Levenshtein frente a marcas suplantadas
- Reputación
- Listas externas: Safe Browsing / Web Risk y URLhaus
Análisis de amenazas · 2 de 3
Ejemplo ilustrativo
Análisis de SMS
SMS recibido
CorreosMensaje de texto · Hoy 10:42
Su paquete está retenido por tasas pendientes. Pague 1,99 € hoy o será devuelto: https://c0rreos-envio.top/pago
Lo que señalaría el motor
- Urgencia «hoy o será devuelto»
- Suplantación de paquetería «Correos»
- Solicitud de pago «Pague 1,99 €»
Indicadores de texto
- Urgencia
- Patrones que presionan para actuar ya
- Suplantación de entidades
- Bancos, organismos públicos y empresas de paquetería
- Petición de datos o pagos
- Credenciales, códigos de verificación o pagos
Privacidad del mensaje
El texto no se almacena. Antes de enviarlo a terceros, el servidor seudonimiza nombres, DNI e IBAN.
Análisis de amenazas · 3 de 3
Ejemplo ilustrativo
Análisis de la numeración
Número recibido
806 XXX XXX
Normalización a E.164 con libphonenumber
+34 806 XXX XXX
Clasificación según el plan de numeración
Tarificación adicional
Otro caso: una llamada perdida desde un prefijo internacional asociado a campañas wangiri.
Indicadores de numeración
- Formato y tipo de línea
- E.164 y clasificación con libphonenumber
- Tarificación adicional
- 803 · 806 · 807 · 905
- Wangiri
- Prefijos internacionales de campañas de llamada perdida
- Reportes de usuarios
- Un número solo se marca tras superar un umbral de reportes de clientes distintos
Límite conocido: sin acceso a la señalización del operador no se puede detectar la suplantación del identificador de llamada.
Análisis de amenazas
Umbrales iniciales · se calibran en pruebas
Sistema de puntuación
El motor aplica reglas ponderadas: cada indicador tiene un peso y el resultado es una puntuación de riesgo de 0 a 100.
0
30
70100
Seguro
0–29
Sin indicadores relevantes ni presencia en listas de reputación.
Sospechoso
30–69
Indicadores aislados. No interactuar sin verificar.
Fraudulento
70–100
Presencia en listas o combinación de indicadores críticos.
La respuesta incluyenivelpuntuaciónindicadores
Tecnología
Tecnologías e integraciones
Definido en el anteproyecto
TypeScript
Cliente y servidor
HTML y CSS
Interfaz de la PWA
DNS · RDAP · TLS
Consultas para los indicadores de red
libphonenumber
Normalización E.164 y tipo de línea
Funciones serverless
Servicio intermedio como API REST
API de Claude
Chat de asistencia, invocado solo desde el servidor
Pendiente · comparativa técnica (O2)
Alojamiento
Proveedor de las funciones serverless
Base de datos gestionada
Reportes de usuarios y caché de reputación
Fuente de reputación
Safe Browsing Lookup: solo uso no comercial. Alternativas: Web Risk, VirusTotal o URLhaus.
Tecnología
Boceto · funcionalidades propuestas
Interfaz y funcionalidades
9:41
CENTINELA
Pega un enlace…
QRChat
El veredicto y sus indicadores aparecen aquí
PWA multiplataforma
Android, iOS y escritorio desde cualquier navegador actual. Se instala sin pasar por tiendas de aplicaciones.
Lector de códigos QR
Lectura con la cámara del dispositivo mediante getUserMedia.
Destino de «Compartir»
Web Share Target en Chromium para Android. No disponible en Safari para iOS.
Chat de asistencia
API de Claude desde el servidor. Explica el veredicto del motor sin emitir uno propio y trata el contenido analizado como dato no confiable.
Objetivos
Por desarrollar
Objetivos del proyecto
- O1
Diseño
Requisitos, arquitectura, interfaz, flujo de datos y contrato de la API.
- O2
Selección de servicios
Alojamiento, base de datos y fuente de reputación, con comparativa de costes, cuotas y licencias.
- O3
Cliente PWA
Análisis de URL, SMS y numeración, lector QR, chat y destino de «Compartir».
- O4
Motor de análisis
Indicadores de red, texto y numeración y su modelo de puntuación.
- O5
Servicio intermedio
Integración externa y de IA, limitación de tasa, seudonimización, caché y degradación controlada.
- O6
Despliegue
En producción con TLS 1.3, HSTS y CSP. Instalable en Android, iOS y escritorio.
- O7
Validación
150 casos de prueba y su matriz de confusión.
- O8
Documentación
Presupuesto de explotación y manuales de instalación y de usuario.
Organización
Alcance y limitaciones
Dentro del alcance
- Diseño de arquitectura, interfaz y API
- Cliente PWA con análisis de URL, SMS y numeración, QR y chat
- Motor de análisis y modelo de puntuación
- Integración con fuentes externas e IA
- Despliegue con HTTPS
- Protocolo de pruebas, presupuesto y documentación
Limitaciones conocidas
Arranque en frío
La base de reportes parte vacía. Al principio, la numeración se apoya en el plan de numeración.
«Compartir» en iOS
Web Share Target no está disponible en Safari para iOS.
Identificador de llamada
Su suplantación no es detectable sin acceso a la señalización del operador.
Organización
Se ajustará al calendario oficial
Planificación
2026–2027
OctNovDicEneFebMarJun
1 Requisitos
2 Diseño
3 Selección de servicios
4 Desarrollo
5 Pruebas y validación
6 Documentación
7 Entrega del proyecto
8 Defensa
Desarrollo: análisis de URL y SMS operativo en diciembre; numeración, QR e IA en enero; sistema completo desplegado en febrero.
Marzo de 2027: sistema en producción y documentación definitiva. Junio: defensa.
Organización
2.º CFGS · 7 módulos
Relación con el ciclo formativo
- Redes telemáticas
- Cliente-servidor; HTTP/HTTPS, DNS, TLS y RDAP; dominios, certificados y redirecciones; HSTS, CSP, CORS, limitación de tasa y despliegue en Internet.
- Sistemas de radiocomunicaciones
- Pruebas sobre 4G y 5G frente a la red fija (latencia y estabilidad); el SMS como servicio de la red móvil y vector de ataque.
- Sistemas integrados y hogar digital
- Cliente, servicio intermedio, motor, persistencia e IA integrados en un único sistema, accesible desde la red doméstica.
- Digitalización aplicada a los sistemas productivos
- Nube, API, bases de datos e IA en un problema real, con protección de datos.
- Sostenibilidad aplicada al sistema productivo
- Serverless bajo demanda, caché para reducir consultas y sin hardware propio.
- Inglés profesional
- Documentación técnica, especificaciones y API en inglés.
- Itinerario Personal para la Empleabilidad II
- Análisis de viabilidad, presupuesto de explotación y costes de licencias comerciales.
Conclusión
Un único punto de verificación antes de abrir un enlace, responder un SMS o devolver una llamada.
Tres canales
URL, SMS y numeración en un mismo sistema
Veredictos explicados
Cada resultado muestra los indicadores que lo motivan
Privacidad por diseño
Sin guardar el contenido y con datos personales seudonimizados
Iván Pérez Corral · Oliver Joel Cerezo López
Gracias. ¿Preguntas?