En este tema que expongo hoy aquí, vamos a ver el peligro que supone (uno más) el realizar transacciones a través de Internet sin tomar las precauciones necesarias que están al alcance de cualquiera pero que se suelen obviar por esa idea equivocada que se suele tener de "eso a mí no me pasa...".-Para ello me valdré de algunos extractos de las buenas recomendaciones de Alerta-Antivirus en su estupenda web, porque pienso que cuanto más se difundan los consejos, mucho mejor para todos en el ideal de conseguir una Red "sana" y limpia de los muchos aprovechados que por ella circulan.
EXTRACTO 1: ( Qué dice el Código Penal Español )
La legislación española establece a través del artículo 258 la definición de fraude informático en el que se indica Se consideran reos de estafa los que, con ánimo de lucro, y valiéndose de alguna manipulación informática o artificio semejante consigan la transferencia no consentida de cualquier activo patrimonial en perjuicio de tercero.
Por ello desde el CATA queremos informaros de los tipos de fraude mas conocidos que se cometen sobre operaciones financieras y de pago por Internet, y en especial aquellas que solicitan la introducción de datos personales relativos bien a la identificación y acceso a entidades financieras, como a datos de pago mediante tarjetas de crédito, con objeto de conocer y prevenir este tipo de amenazas.
EXTRACTO 2: Técnicas utilizadas
Existen múltiples técnicas para perpetrar fraudes económicos a través de Internet, pero sin duda, una de las técnicas que está obteniendo importantes índices de crecimiento en la red, es la suplantación de páginas y/o sitios de Internet, mas conocida como "phishing" , que permite al estafador, mediante el engaño, conocer los datos privados y personales que usted utiliza para la realización de operaciones económicas.
Aunque no es el único método. De hecho cualquier malware que instale un “Keylogger” (captador de pulsaciones del teclado) también puede ser usado para recoger información suficiente para poder operar sobre la cuenta del usuario afectado.
“Phishing” e Ingeniería Social.
Uno de los principios básicos del “phishing” es la utilización de mensajes de correo electrónico especialmente escritos con una fuerte carga de "Ingeniería Social". (Técnicas que se aprovechan de las debilidades de las personas). En tales mensajes, los estafadores intentarán el engaño, haciendo pensar al receptor que el mensaje realmente procede de la entidad u organización en la que confía, aprovechándose por un lado, de dicha confianza y por otro en su desconocimiento tanto técnico como de las vulnerabilidades de los programas para la navegación a través de Internet.
Los mensajes enviados utilizarán todo tipo de ingeniosos argumentos relacionados con la seguridad de la entidad, para justificar la necesidad de introducir sus datos de acceso. Un ejemplo de los más comunes pueden ser los siguientes:
- Problemas de carácter técnico.
- Recientes detecciones de fraude y urge un incremento del nivel de seguridad.
- Nuevas recomendaciones de seguridad para prevención del fraude.
- Cambios en la política de seguridad de la entidad.
También podrán intentarlo mediante mensajes relacionados con:
- Promoción de nuevos productos de la entidad.
- Premios o regalos de todo tipo
Además, intentarán forzar al usuario a tomar una decisión casi de forma inmediata con amenazas de que si no realiza los cambios solicitados, en pocas horas o días su acceso quedará deshabilitado.
EXTRACTO 3: Mecanismos usados para el fraude
Por el momento los dos mecanismos más habituales para la obtención de los datos personales de acceso, son el correo electrónico y la infección con virus de tipo gusano o troyano con funciones para la captura de las claves.
Correo electrónico.
Sin duda el correo electrónico es actualmente la técnica más utilizada en este tipo de fraude, tal vez porque resulte el más efectivo a corto plazo para el atacante.
Junto a la Ingeniería Social, el Spam es el otro gran aliado para el “phishing” debido a lo sencillo y barato que resulta para llegar hasta millones de usuarios con mensajes similares al siguiente:
"....
Estimado cliente; El departamento de seguridad del banco ha detectado en las últimas fechas diversos tipos de técnicas fraudulentas en Internet por medio de las cuales es posible que las claves de acceso de algunos de nuestros clientes hayan sido capturadas para, haciendo un uso ilegal de las mismas,...."
".....
Estimado cliente; El departamento de seguridad del banco ha detectado en las últimas fechas diversos tipos de técnicas fraudulentas en Internet por medio de las cuales es posible que las claves de acceso de algunos de nuestros clientes hayan sido capturadas para, haciendo un uso ilegal de las mismas...."
".....
El único lugar donde podrá realizar el cambio de claves se encuentra tras el siguiente enlace: https://xxxxx.xx.xxxxx.. donde quedará disponible hasta el próximo día XX-XX-XXXX momento a partir del cual, se procederá a la cancelación de los accesos de todos aquellos usuarios que no hayan realizado el cambio de sus claves."
"......Muy agradecidos por su colaboración........Don EEEEEEE (Departamento de Seguridad-CAJA DE INTERNET)
En estos mensajes, la dirección del remitente estará falsificada siendo muy parecida o incluso podrá coincidir con alguna cuenta legítima de la entidad en cuestión. No importa. El objetivo es, que alguno de los millones de receptores de ese correo sea cliente de esa entidad y pulse sobre el enlace propuesto para realizar el cambio o confirmación de sus claves, o introduzca cualquier otro dato personal.
Obviamente, la página enlazada también será falsa y estará controlada por los estafadores quienes habrán cuidado hasta el más mínimo detalle, en replicar con toda fidelidad la imagen, logotipos, colores y formatos de las páginas legítimas de la entidad. En la página, se pedirán todos los datos necesarios para poder realizar operaciones en las cuentas de la entidad: Nombre de usuario, Clave de acceso, Clave Personal, Firma, etc.
Una vez que sean confirmados los cambios, los estafadores tendrán a su disposición toda la información necesaria para acceder a las cuentas de aquellos usuarios que hayan caído en el engaño.
EXTRACTO 4: Otro sistema de engaño
Virus y captadores de pulsaciones del teclado ( Keyloggers)
Otra técnica para conseguir capturar las claves de acceso, será por medio de la instalación de un virus de tipo gusano o troyano que permanecerá latente en la memoria del ordenador infectado activando sus rutinas de captura cuando se cumplan ciertas condiciones.
Unos virus comparan todas las direcciones (URL) que se muestran en la barra del navegación, para activar sus rutinas de captura cuando una de ellas coincida en parte o en la totalidad con alguna de las elegidas por los atacantes (ej: “bancointernet.com”, “interbank.com”, subastas...com, etc.). A partir de ese momento, el virus capturará todo lo que teclee en su ordenador, para transmitirlo a continuación al estafador
En todos los casos la información capturada acabará siendo enviada por distintos métodos a direcciones controladas por los estafadores.
EXTRACTO 5: Como protegerse
Al igual que ocurre con el Spam y los virus, la prudencia, cierta desconfianza inicial y la actualización tanto de su PC como del software antivirus, son las medidas que mejor pueden protegerle contra cualquier tipo de fraude en Internet.
Detección/Reconocimiento de mensajes falsos.
Resulta de vital importancia reconocer a tiempo este tipo de mensajes. Por norma, las entidades financieras, de crédito, etc. nunca se dirigen al cliente solicitando sus datos de acceso o de pago por ningún medio.
Sin duda, la mejor de las protecciones, será la colaboración de clientes y usuarios de estos servicios para poder interceptar a tiempo los lugares desde donde se emiten estos mensajes o donde se reciben los datos capturados. Si en algún momento usted detecta alguno, o sospecha de la falsa identidad del remitente:
-- No responda nunca a este tipo de mensajes salvo que tenga las máximas garantías de que provienen de la fuente correcta.
-- Póngase lo antes posible en contacto con los servicios de atención al cliente de la entidad referida.
-- Realice un seguimiento diario de los movimientos de su cuenta durante los días posteriores.
Tenga en cuenta que por el simple hecho de recibir ese tipo de correos, sus datos personales no se encuentran en peligro.
EXTRACTO 6: Recomendaciones genéricas para su seguridad y autoprotección cuando navegue por Internet
En general, siga las siguientes recomendaciones para mantener su seguridad durante la navegación en Internet.
Relativas a sus claves, códigos de acceso y operación
- Sus claves y códigos son personales e intransferibles, por lo que no debe revelarlas a nadie.
- Cambie perióricamente sus claves de acceso y en especial cuando tenga la sospecha o duda sobre la confidencialidad de las mismas.
- No utilice las claves proporcionadas por defecto, cambiándolas por otras tan pronto como le sea posible.
- Procure, siempre que le sea posible, no utilizar las mismas claves y códigos en todas sus entidades financieras.
Relativas a la protección y cuidados de su PC
- La protección de su PC es clave, por lo que es necesario que disponga de un Sistema Operativo correctamente actualizado con los últimos parches y actualizaciones de seguridad proporcionados por el fabricante.
- Instale y mantenga permanentemente actualizado un software antivirus en su equipo.
- Instale y mantenga actualizado un software de protección personal “firewall” y revise con cierta periodicidad los registros “logs” de actividad que genera en busca de anormalidades o eventos no comunes.
- Desactive las funciones de almacenamiento de claves en la “cache” del sistema.
- Evite la instalación de software de dudosa legitimidad. Relativas a su operativa bancaria
- Procure no acceder a su entidad financiera a través de enlaces ubicados en email ni en webs de terceros, siempre que le sea posible introduzca manualmente la dirección o utilice las opción de favoritos.
- Compruebe que la conexión a su entidad de realiza a través de una conexión segura (HTTPS) y mediante un certificado de seguridad válido que autentique y garantice que realmente se esta conectado con su entidad.
- Si las entidades financieras, tras la conexión, le proporcionan información sobre la última conexión o el último cambio de contraseña, compruébelo siempre que le sea posible.
- Manténgase regularmente informado del estado de sus cuentas y de las últimas operaciones realizadas por el medio que habitualmente utilice su entidad
- Finalice todas sus conexiones con la entidad mediante la función “desconexión”, nunca cerrando directamente el navegador.
- En general lea y siga las recomendaciones de seguridad que su entidad le proporciona y recomienda.
- Evite conectarse desde lugares públicos que no le ofrezcan suficientes garantías de seguridad en el equipo.
En caso de que se pongan en contacto con usted telefónicamente, procure asegurarse de que el interlocutor pertenece de forma legítima a la entidad referida:
- Inicialmente intente ser usted mismo quien realice la llamada al número habitual del servicio de atencion al cliente de la entidad.
- Pida que se identifique de forma clara y correcta.
- Como empleado de la entidad, solicite que le amplíe mayores detalles sobre sus propios datos:
- D.N.I, domicilio, número de cuenta
- Saldo disponible en la actualidad
- Datos de la última operación o apunte en su cuenta.
- En general, cualquier información que no pueda estar disponible fácilmente salvo para empleados de la entidad.
EXTRACTO 7: Recomendaciones básicas para poder detectar un sitio web fraudulento
Asegúrese de que su PC no tiene virus. Un virus podría modificar el aspecto de su navegador, además de capturar la información introducida en formularios.
Nunca siga enlaces de corrreos electrónicos ni de ningún otro origen para acceder a sitios web sensibles . Es mejor teclear la URL (dirección del sitio web) manualmente o usar un "Favorito" o "Marcador" creado por uno mismo. Conviene verificarlo siempre (La mayoría de los navegadores muestran el destino en la barra de estado al mantener el ratón sobre el nombre del "Favorito").
Verifique la conexión cifrada y el certificado del sitio
(En general, casi todos los sitios Internet relacionados con bancos, entidades financieras o de crédito, le dirigirán hacia un servidor seguro durante el proceso de introducción de sus datos de identificación personal).
La dirección debe comenzar con https: en lugar de solo http: (note la "s" al final).
(Un sitio con una URL “https:” es un sitio seguro, aunque: https por sí solo no garantiza en ningún caso que el sitio al que se ha conectado pertenece realmente a quien dice pertenecer. )
-
