Las claves bancarias son datos muy valiosos. Obtenerlas significa para los ciber delincuentes conseguir la llave de una caja fuerte virtual que les dará acceso al dinero de sus víctimas. Para ello, emplean diversas técnicas que, en caso de encontrar a usuarios desprotegidos, desprevenidos o descuidados, suelen dar sus frutos.
"El primer paso es interiorizarse e informarse sobre las estrategias y técnicas que utilizan los estafadores para obtener las claves bancarias y cualquier otro tipo de información sensible. Y la principal aliada en esto de mantener las claves protegidas es una solución de seguridad, que cuide las operaciones en línea, pero sobre todo, las bancarias", explicó el Jefe del Laboratorio de Investigación de una de las compañías líderes en detección proactiva de amenazas ESET Latinoamérica, Camilo Gutiérrez Amaya.
1. Sitios falsos
Los estafadores emplean una URL que incluye el nombre del banco y que hasta tiene una apariencia similar a la oficial. El nombre del sitio suele ser casi idéntico al nombre que utiliza el banco en sus cuentas de Twitter e Instagram, con una mínima diferencia (puede ser a veces de una sola letra). De hecho, una búsqueda en Google puede llevar a estos sitios fraudulentos que logran aparecer entre los primeros resultados de búsqueda, la mayoría de las veces en forma de anuncios.
Ya en el sitio falso, la estética y el diseño son idénticos a los de la página oficial. Y para acceder al supuesto homebanking hay que completar los campos ingresando credenciales de inicio de sesión, que en realidad irán a parar a manos de ciberdelincuentes.
Una vez que la persona ingresa su nombre de usuario y contraseña, el sitio suele simular que verifica los datos entregados, cuando en ese tiempo en realidad los ciber delincuentes inician sesión con las claves robadas en el sitio legítimo del banco.
2. Malware
Los troyanos bancarios (programa para robar datos bancarios) se destacan por suplantar la identidad de los bancos mediante ventanas emergentes falsas y así robar información sensible de las víctimas.
Hay distintas manera en que los ciberdelincuentes pueden colocar ese tipo de malware (programa malicioso) en los equipos de sus víctimas. Por un lado, mediante correos de phishing o mensajes de texto. También a través de anuncios maliciosos, el compromiso de un sitio web que recibe muchas visitas (ciertos códigos maliciosos se descargan automáticamente y se instalan en el equipo apenas el usuario visita el sitio) y hasta puede estar oculto en aplicaciones móviles maliciosas que simulan ser legítimas.
3. Llamadas telefónicas
Dado que los estafadores son profesionales en su rubro y suelen contar historias de manera muy convincente, se valen de la ingeniería social para engañar y robar información sensible, como las claves de acceso del banco. Los atacantes pueden llegar a la víctima mediante llamadas telefónicas masivas, con el único objetivo de lograr una comunicación más personal que a través de un correo electrónico: así la manipulación es más fácil de llevar a cabo.
Como excusa de llamada pueden utilizar el informar sobre algún problema puntual con la cuenta bancaria o de un movimiento fraudulento asociado a la víctima. Para la supuesta resolución es que solicitarán información personal y las claves de acceso a la cuenta.
Los estafadores suelen monitorear los comentarios que hacen los usuarios con ciertas palabras clave o cuando etiquetan a un perfil verificado. Se valen de la urgencia que generalmente llevan estos mensajes (suelen ser reclamos o algún tipo de inconveniente a resolver) y a través de estos perfiles falsos (sin marca de verificación) envían mensajes directos haciéndose pasar por la cuenta oficial del banco.
Tal es así que utilizan el mismo logo y una variación del nombre oficial, y hasta ofrecen el contacto del servicio de atención al cliente. O bien piden un número de contacto. Finalmente, las víctimas son llamadas por falsos representantes de atención al cliente que buscarán extraer información, como claves de acceso, tokens u otros datos para poder acceder a sus cuentas y vaciarlas.
5. Scraping
El scraping o "rascado" funciona una vez que una persona empieza a seguir la cuenta oficial de un banco en redes sociales para realizar una consulta, los ciber atacantes la contactan por privado, de manera inmediata, haciéndose pasar por el banco en cuestión. Si la víctima responde el mensaje sin verificar si se trata de una cuenta real o falsa, el supuesto asesor pedirá un número de teléfono para continuar con la consulta por esa vía.
Allí utilizarán toda la información disponible en las redes sociales e internet en general para hacerle creer a la víctima de que realmente es un colaborador del banco y que está allí para darle soporte. Una vez que la víctima entra en confianza, el supuesto asesor pedirá la información bancaria que le servirá para vaciar la cuenta.
Robo de claves del homebanking: cómo evitar caer en engaños
Al igual que los engaños online, las soluciones de seguridad también evolucionaron y, por ejemplo, de ESET destacan la protección que ofrecen los bancos para pagos en línea, que asegura que cada una de las transacciones estén protegidas dentro de un entorno seguro y confiable para evitar el fraude online.
"Además, el modo de navegador seguro ofrece protección automática para las operaciones bancarias en línea y encripta automáticamente la comunicación entre el teclado y el navegador (en todos los navegadores compatibles) para proveer una capa de seguridad adicional frente a los distintos tipos de amenazas digitales", agregó Gutiérrez Amaya.
A continuación, algunas buenas prácticas que permiten reducir sensiblemente el riesgo de ser víctima de estafas:
- Verificar la dirección web visitada y confirmar que es la correcta.
- Comprobar que el sitio web tenga un certificado de seguridad válido, firmado por la compañía que dice ser.
- No brindar información personal o financiera si no se cuenta con la seguridad de que el sitio web es legítimo.
- No divulgar ningún detalle por teléfono, incluso si la persona del otro lado suena convincente.
- Consultar de dónde están llamando y luego volver a llamar a esa organización para verificar. Es clave no utilizar los números de contacto proporcionados por esa persona.
- No hacer clic en enlaces ni descargar archivos de correos electrónicos, mensajes de redes sociales, mensajería instantánea (WhatsApp, Telegram), o de texto sospechosos o de remitentes desconocidos.
- Siempre utilizar software de seguridad para proteger el equipo contra el malware y otras amenazas, y mantenerlo actualizado.
- Descargar aplicaciones siempre de tiendas oficiales, como la App Store o Google Play.
LN
Newsletter Clarín