Phishing y Clonado de Tarjetas

¿Está toda la banca preparada contra el Phishing?

Ya son varios los casos muy cercanos, a los que les han clonado la tarjeta mediante ingeniería social / phishing,  y les han realizado cargos en su cuenta. Como Perito Forense Informático, siempre investigas como ha actuado la víctima ante un ataque de phishing y que grado de responsabilidad puede tener, que casi siempre, no recae sobre esta, sino sobre los sistemas de seguridad del banco.

Este es un caso real, vamos es mi caso. Hace menos de un mes recibí mi nueva tarjeta de débito, porque la anterior me había vencido. No la activé hasta vencimiento de la anterior tarjeta. El caso es, que esta nueva tarjeta no tiene ni 30 días, y ya han intentado utilizarla en comercios on-line, los datos de mi tarjeta ya van dando vueltas por la red.

El uso durante estos 20 días, todos pensareis, que me he dedicado a comprar como loco on-line, o darla de alta en webs poco seguras, incluso tenerla en mi terminal móvil (NFC), o publicarla en alguna web rara, ¡PUES NO!, precisamente, como me dedico a perseguir este tipo de cosas, tengo mucho más cuidado que cualquier otra persona.

La diferencia entre tu banco y el mío, es que el mío tiene un sistema de detección ante intentos de fraude o ciberdelito, detectando cualquier movimiento sospechoso de mi tarjeta en la red.

El 20 de marzo, el banco me envió un SMS, informándome que habían intentado realizar una compra en una web de los EEUU, MADISON REED, web dedicada a productos de coloración y cuidado del cabello. Nada que ver conmigo. En el SMS se me informaba que la tarjeta estaba temporalmente bloqueada para realizar compras on-line, y temporalmente, solo funcional con PIN o CONTACTLESS.

Como recomendaciones, os doy estas, para prevenir este tipo de ciberdelitos

• Usad Tarjetas de Prepago o Virtuales que permitan recarga, con un saldo pequeño.
• Cuando realizo compras, no guardo los datos de la tarjeta, en la página en la que compro.
• Mis compras, se limitan a mi sector profesional, y solo uso páginas de mayoristas reconocidos o páginas seguras y certificadas.
• Solo pago con tarjeta, en negocios que conozco, (comercio de cercanía) y si no me fio, lo hago en metálico.
• Si pago con mi tarjeta, no la pierdo nunca de vista, y exijo siempre que me traigan el DATAFONO (TPV).
• Cuando saco dinero, palpo antes el cajero, recorriendo con mi mano todo el arco del mismo, desde la parte superior hasta el teclado, por si hubieran puesto una cámara que anote mi PIN, a veces intento arrancar el teclado o la boca donde se introduce la tarjeta, por si hubieran falseado el cajero.
• Directamente, NO ABRO NINGUN SMS de mi terminal móvil, y mucho menos enlaces de páginas que me lleguen por SMS.
• No LEO códigos QR, y OS AVISO, los CIBERDELINCUENTES, empiezan a poner FALSAS PEGATINAS en los CAJEROS, como si fueran del propio banco, y que te redirigen a páginas FRAUDULENTAS donde te roban tu información personal.

Es difícil, que los más jóvenes tomen precauciones, y usen la tecnología y los medios de pago de la forma más conservadora, más aún, cuando están todo el día conectados, y su medio de comunicación habitual, son las aplicaciones de mensajería.

Debemos estar alerta, porque este tipo de ciberdelitos, la gran mayoría quedan impunes, pues tu numeración se usa fuera de nuestro territorio nacional, donde nuestras FCSE no pueden actuar. Este 2023 se van a incrementar los delitos de phising,  vishing , ataques al sistema MFA de los bancos, como ya expuse en FORINVEST 2023, en base a los informes del INCIBE , del CCN y del Ministerio del Interior. Los bancos han de TOMAR MEDIDAS ACTIVAS en ciberseguridad.

Soy afortunado que mi banco cuente con un SISTEMA DE DETECCIÓN TEMPRANO DE FRAUDE O CIBERDELITO, sistema con el que cuenta BANCO SABADELL o TRIODOS entre otros.

No puedo decir lo mismo de bancos, que dejan de la mano de dios a sus clientes, y que dan por hecho, que sus clientes deben ser expertos en ciberseguridad. Como ejemplo pondré al gigante internacional, con un logo AZUL MARINO y letras blancas. Las comisarías cuentan con un volumen muy alto de denuncias por phishing o ROBO DE IDENTIDAD.

Enlaces de interés para el internauta