Los ladrones ya no quieren copiar tu tarjeta en el cajero, ahora lo hacen por Internet

Virus

El robo de tarjetas bancarias es una de las principales amenazas con las que tienen que lidiar los bancos. Al año, en todo el mundo, esto genera billones de euros en dinero robado que acaba en manos de delincuentes, y que por suerte los bancos devuelven al usuario afectado por la estafa. Una manera típica de copiar tarjetas es en los cajeros, pero ahora se están robando cada vez más tarjetas por Internet cuando se usan para realizar pagos.

El E-skimming no para de crecer en todo el mundo

Ha sido el FBI el que ha alertado de un aumento del E-skimming. El skimming clásico de tarjetas se hace en los cajeros, pero el e-skimming se hace a través de Internet mediante la inyección de código malicioso y scripts en las pasarelas de pago de las tiendas online, los cuales registran los datos que los usuarios introducen en la web. Una vez un hacker tiene los datos, o los vende en la Dark Web, o los utiliza él mismo para realizar compras fraudulentas. La primera técnica suele ser la más común, ya que es otra persona la que va a cometer el delito de realizar el robo de dinero, y el hacker no deja huella en el proceso.

e-skimming

Entre las recomendaciones que el FBI recomienda seguir a empresas y negocios se encuentran:

  • Actualizar y parchear sus sistemas a la última versión de software, además de tener antivirus y firewall
  • Cambiar las credenciales por defecto y tener contraseñas únicas y seguras
  • Tener autenticación en dos o más pasos
  • Educar a los trabajadores en la importancia de la ciberseguridad, y evitar que hagan click en enlaces de phishing
  • Segmentar los sistemas de red para evitar que los criminales puedan acceder a la red completa al hackear una parte.

También se pueden activar elementos como el Content Security Policy que sólo permite ejecutar elementos JavaScript de un listado de dominios fiables que tenga en la base de datos. Ese es uno de los principales vectores de entrada, donde también los enlaces de phishing que reciben los trabajadores suelen hacer que los hackers se hagan muy fácilmente con las contraseñas. Otro elemento que se puede activar es el Subresource Integrity, que evita que se cargue código JavaScript modificado y cuenta con verificación mediante hashes. Los usuarios son los que menos opciones tienen a sus disposición más allá del sentido común.

Billones de dólares anuales se pierden por el crimen en la red

El grupo Magecart es uno de los más prolíficos de los últimos años en esta actividad de robo online de tarjetas. Sus operaciones llevan teniendo gran éxito desde 2015, aunque llevan operando desde 2010, cuando lo hacían a menor escala. Tanto es así, que por cada ataque que realizan que llega a los medios, se han detectado miles que no se publican, y que afectan a plataformas de pago de terceros.

En total, se estima que han robado datos bancarios de millones de usuarios, con más de 2 millones de detecciones en los últimos años donde se han infiltrado en más de 1.000 plataformas de pago, incluyendo tiendas como Newegg. De hecho, tienen un script que automáticamente roba los datos de 57 pasarelas de pago y que puede implementarse en casi cualquier sistema de pago de una web.

No hay cifras aproximadas de cuánto dinero han podido llegar a robar, pero a nivel mundial se estima que el crimen cibernético es responsable de más de 5 billones de dólares anuales; más de tres veces el PIB de España.

Escrito por Alberto García

Fuente > Bleeping Computer

Continúa leyendo
  • Álvaro Lázaro Laín

    Al final vamos a tener que volver al dinero en efectivo como no consigan regular y asegurarnos que podemos comprar seguro en Internet.

  • Angel Amaro

    La única solución instalar una VPN y abrirla cuando vayas a hacer compras por Internet.

    • Enrique Gabriel Ojeda

      ¿Y eso qué ayuda? El problema estaría en el ordenador en el caso de e-skiming

      • Angel Amaro

        No es que sea experto en VPN, de hecho apenas he comenzado a utilizar seed4me y cuando está activada todo lo que haces en Internet está oculto, no saben ni tu localización, ni tu IP , ni en que web estás entrando ni lo que estás haciendo en ella, es como navegar por la Deep Web., pero si el e-skiming es capaz de saltarse todo eso es que quien lo haya hecho es un fenómeno, pero lo dudo, no se si estoy equivocado..

        • PequeLittle John

          Que tendrá que ver una cosa con la otra. Si el software malicioso está «instalado» en los scripts de las pasarelas de pago de las tiendas online, por mucho que uses una VPN lo vas a ejecutar igualmente. Otra cosa sería que el propio servidor de VPN evitaría que los datos que te roben llegasen a su destino bloqueandolo.

          Pero lo dicho, la VPN en un principio no te va a ayudar en nada

          • Angel Amaro

            Es verdad, pero entonces los responsables son las entidades bancarias por permitir que ese software se haya colado en su sistema, y por supuesto esas entidades se harían cargo de lo que te pudiesen haber robado, tal como dice el artículo, y es que todas las tarjetas tienen un seguro, pero de todas formas cuando hago un pago ya se por Paypal, por tarjeta , transferencia, etc se me envía un mensaje al móvil con un código de verificación ya sea para continuar por la pasafrela de pago o por CaixaBankSign como es mi caso donde por el móvil se me vuelve a pedir la contraseña de acceso, aún así por lo visto nada es seguro al 100%; lo único que falta es implementar otro tipo de seguridad como huella dactilar o firma ocular, no veo otra..