Tecnología
¿Cómo pueden robar las claves de acceso a tu banco?
Ciudad de México, México – Las credenciales bancarias representan uno de los activos más valiosos para las personas: obtenerlas significa para los cibercriminales tener en sus manos la llave que abre una caja fuerte virtual, y disponer del dinero de sus víctimas. Para ello, emplean diversas técnicas que, en caso de encontrar a usuarios desprotegidos, desprevenidos o descuidados, suelen dar sus frutos. ESET, compañía líder en detección proactiva de amenazas, repasa cuáles son las 5 técnicas principales y de qué manera es posible protegerse del robo de una información tan sensible como crítica.
ESET comparte las cinco principales estrategias que utiliza el cibercrimen para robar las claves bancarias, y de qué manera es posible protegerse de estos ataques:
- Sitios falsos: los estafadores emplean una URL que incluye el nombre del banco y que hasta tiene
una apariencia similar al oficial. El nombre del sitio suele ser casi idéntico al nombre que utiliza el
banco en sus cuentas de Twitter e Instagram, con una mínima diferencia (puede ser a veces de una sola letra). De hecho, una búsqueda en Google puede llevar a estos sitios fraudulentos que logran aparecer entre los primeros resultados de búsqueda, muchas veces en forma de anuncios.
Ya en el sitio falso, la estética y el diseño son idénticos a los de la página oficial. Y para acceder al supuesto homebanking es que incluye los campos en los que las víctimas deben ingresar credenciales de inicio de sesión, que en realidad serán para ciberdelincuentes. Una vez que la persona ingresa su nombre de usuario y contraseña, el sitio suele simular que verifica los datos entregados, cuando en ese tiempo en realidad los cibercriminales inician sesión con las credenciales robadas en el sitio legítimo del banco.
Recientemente se identificaron dos sitios falsos que se hacían pasar por la web oficial del Banco Itaú (reconocida entidad con presencia en varios países de América Latina), con el objetivo de robar las credenciales bancarias de clientes en Argentina y también en Brasil. En casos como este es necesario aclarar que el banco también es víctima, ya que se utiliza su nombre para engañar a sus clientes. De hecho, en la página oficial la entidad comparte diversos consejos para evitar que las personas caigan en distintos tipos de fraudes en su nombre.
Sitios comprometidos previamente: Otra vía utilizada por los cibercriminales es comprometer sitios previamente para desde allí obtener las credenciales bancarias de usuarios y usuarias. Los cibercriminales pueden explotar una vulnerabilidad en scripts o plugins agregados que no se encuentren actualizados, o bien aquellas fallas de seguridad que no han sido descubiertas. Así, pueden agregar una redirección desde el sitio víctima hacia el sitio del atacante, desde el cual podrán obtener las credenciales. Por otra parte, los atacantes muchas veces crean una página apócrifa dentro del sitio web oficial, que se hace pasar por entidad. Una vez que las víctimas se encuentran dentro de estas páginas falsas es muy probable que se solicite ingresar los datos bancarios.
- Malware: el malware ha evolucionado a pasos agigantados, de hecho se comercializan diferentes
tipos de códigos maliciosos. Los troyanos bancarios, con gran presencia en toda la región, han
causado daños por una cifra que asciende a los 110 millones de euros. Mekotio,
Casbaneiro, Amavaldo o Grandoreiro son solo algunas de las familias capaces de realizar distintas acciones maliciosas, pero que se destacan puntualmente por suplantar la identidad de bancos mediante ventanas emergentes falsas y así robar información sensible de las víctimas.
Hay distintas manera en que los cibercriminales pueden colocar ese tipo de malware en los equipos de sus víctimas. Por un lado, mediante correos de phishing o mensajes de texto. También a través de anuncios maliciosos, el compromiso de un sitio web que recibe muchas visitas (ciertos códigos maliciosos se descargan automáticamente y se instalan en el equipo apenas el usuario visita el sitio) y hasta puede estar oculto en aplicaciones móviles maliciosas que simulan ser legítimas.
- Llamadas telefónicas: dado que los estafadores son profesionales en su rubro y suelen contar
historias de manera muy convincente, se valen de la ingeniería social para engañar y robar
información sensible, como las claves de acceso del banco. Los atacantes pueden llegar a la víctima mediante llamadas telefónicas masivas, con el único objetivo de lograr una comunicación más personal que a través de un correo electrónico: así la manipulación es más fácil de llevar a cabo. Como excusa de llamada pueden utilizar el informar sobre algún problema puntual con la cuenta bancaria o de un movimiento fraudulento asociado a la víctima. Para la supuesta resolución es que solicitarán información personal y las claves de acceso a la cuenta.
Otra excusa utilizadas para este tipo de engaño fue el pago de un bono por parte del Ministerio de Desarrollo Social en la Argentina (que pedía los accesos del banco para entregarlo), pero también hay engaños que incluyen hacerse pasar por el servicio de atención al cliente de un banco o entidad reconocida. De hecho, son varias las entidades bancarias las que en su sitio web advierten de esta amenaza y brindan información muy útil de prevención para sus usuarios y usuarias.
- Perfiles falsos en redes: otra táctica común y muy eficiente es el armar perfiles falsos en las redes
sociales (léase Facebook, Instagram o Twitter), y desde allí llevar a cabo el engaño que termine en la obtención de credenciales de acceso bancario de víctimas desprevenidas o desinformadas.
Hay múltiples ejemplos en Twitter e Instagram que evidencian como los estafadores monitorean los comentarios que hacen los usuarios con ciertas palabras clave o cuando etiquetan a un perfil verificado. Se valen de la urgencia que generalmente llevan estos mensajes (suelen ser reclamos o algún tipo de inconveniente a resolver) y a través de estos perfiles falsos (sin marca de verificación) envían mensajes directos haciéndose pasar por la cuenta oficial del banco. Tal es así que utilizan el mismo logo y una variación del nombre oficial, y hasta ofrecen el contacto del servicio de atención al cliente o bien piden un número de contacto. Finalmente, las víctimas son contactadas por falsos representantes de atención
al/la cliente que buscarán extraer información, como claves de acceso, tokens u otros datos para poder acceder a sus cuentas y vaciarlas.
- Scraping: el scraping o “rascado” funciona una vez que una persona empieza a seguir la cuenta
oficial de un banco en redes sociales para realizar una consulta, los ciberatacantes la contactan por privado, de manera inmediata, haciéndose pasar por el banco en cuestión. Si la víctima responde el mensaje sin verificar que se trata de una cuenta real o falsa, el supuesto asesor pedirá un número de teléfono para continuar con la consulta por esa vía. Allí utilizarán toda la información disponible en las redes sociales e internet en general para hacerle creer a la víctima de que realmente es un colaborador del banco y que está allí para darle soporte. Una vez que la víctima entra en confianza, el supuesto asesor pedirá la información bancaria, que le servirán para vaciar la cuenta.
Desde ESET comparten buenas prácticas que permiten reducir sensiblemente el riesgo de ser víctima de estafas:
- Verificar la dirección web visitada y confirmar que es la correcta.
- Comprobar que el sitio web tenga un certificado de seguridad válido, firmado por la compañía que
dice ser. - No brindar información personal o financiera, si no se cuenta con la seguridad de que el sitio web es legítimo.
- No divulgar ningún detalle por teléfono, incluso si la persona del otro lado suena convincente.
Consultar de dónde están llamando y luego volver a llamar a esa organización para verificar. Es clave no utilizar los números de contacto proporcionados por esa persona. - No hacer clic en enlaces ni descargar archivos de correos electrónicos, mensajes de redes sociales, mensajería instantánea (WhatsApp, Telegram), o de texto sospechosos o de remitentes
desconocidos. - Siempre utilizar software de seguridad para proteger el equipo contra el malware y otras amenazas, y mantenerlo actualizado.
- Descargar aplicaciones de tiendas oficiales, como la App Store o Google Play.
“El primer paso como siempre en estos casos es interiorizarse y mantenerse informado de las estrategias y técnicas que utilizan los cibercriminales para obtener las credenciales bancarias y cualquier otro tipo de información sensible. Y la principal aliada en esto de mantener las claves protegidas es una solución de seguridad, que cuide las operaciones en línea, pero sobre todo, las bancarias. Las soluciones de seguridad también evolucionaron y, por ejemplo, de ESET se destaca la “Protección de banca y pagos en línea”, que asegura que cada una de las transacciones estén protegidas dentro de un entorno seguro y confiable, brindando protección contra el fraude online. Además, el modo de navegador seguro ofrece
protección automática para las operaciones bancarias en línea y encripta automáticamente la
comunicación entre el teclado y el navegador (en todos los navegadores compatibles) para proveer una capa de seguridad adicional frente a keyloggers, malware y otros tipos de amenazas digitales.”, comenta Camilo Gutiérrez Amaya, Jefe del Laboratorio de Investigación de ESET Latinoamérica.
Negocios
Oscar Mora, Fundador y CEO de ENTI: Pionero en Soluciones Tecnológicas de Clase Mundial para la Optimización de Procesos de Negocio
ENTI, una destacada empresa mexicana especializada en la optimización de procesos de negocio, ha logrado posicionarse como un referente de innovación tecnológica en diversas industrias, gracias a la visión y liderazgo de su fundador y CEO, Oscar Mora. Con más de 10 años de experiencia en el sector de la Tecnología de la Información (IT), ENTI ofrece soluciones personalizadas de clase mundial que han permitido a sus clientes transformar sus procesos de negocio, con un enfoque adaptado a las necesidades y objetivos específicos de cada industria.
Desde su fundación, Oscar Mora ha liderado la empresa con una clara misión: apoyar a las empresas a innovar, optimizar sus recursos y sacar el máximo provecho de sus objetivos empresariales. Bajo su dirección, ENTI ha crecido y se ha consolidado como un actor clave en sectores fundamentales como la infraestructura digital, la industria aeronáutica, el retail y el sector financiero, destacándose en el diseño de data centers y servidores a medida, entre otras soluciones tecnológicas avanzadas.
Oscar Mora: De Fundador a Líder Visionario
Como fundador de ENTI, Oscar Mora ha sido el arquitecto detrás de la exitosa trayectoria de la empresa. Con una profunda comprensión del mercado y una pasión por la innovación, ha guiado a ENTI para ofrecer soluciones tecnológicas de vanguardia que compiten con las principales marcas internacionales. Su habilidad para anticipar las necesidades de los clientes y entregar soluciones altamente eficientes y personalizadas ha sido clave para que ENTI se distinga en un entorno altamente competitivo.
La Fuerza Aérea Mexicana ha reconocido a Oscar Mora como uno de los mejores proveedores de servicios tecnológicos, lo que refuerza su reputación como líder confiable y seguro en sectores críticos. Bajo su liderazgo, ENTI no solo ha logrado posicionarse como un referente en México, sino que también ha comenzado a incursionar en mercados internacionales, expandiendo su presencia con una propuesta diferenciada.
Un Legado de Innovación y Compromiso
Oscar Mora ha sido pionero en la formación de alianzas estratégicas con otras marcas tecnológicas relevantes, lo que ha permitido a ENTI mantenerse a la vanguardia en tecnología e innovación. Su enfoque estratégico y su constante búsqueda de la mejora continua le han permitido posicionarse como un verdadero agente de cambio en la industria, comprometido con liderar el futuro de las soluciones tecnológicas.
Además, Oscar ha enfocado sus esfuerzos en garantizar que los productos y soluciones de ENTI sean accesibles y eficaces, independientemente de la complejidad del desafío tecnológico, lo que ha permitido a la empresa generar una amplia base de clientes satisfechos y leales.Visión Global para el Futuro
Con una visión clara del futuro, Oscar Mora ha impulsado a ENTI hacia nuevas fronteras, no solo en términos de expansión geográfica, sino también en el desarrollo de soluciones que transforman la forma en que las empresas operan en un entorno digital. Con más de 50 ingenieros especializados en infraestructura y 50 desarrolladores de aplicaciones, ENTI continúa siendo un referente en el desarrollo de soluciones innovadoras, anticipándose a las necesidades del mercado.
Los estafadores suelen estar más activos en temporadas en las que circula una gran cantidad de dinero en efectivo y electrónico como Año Nuevo, Día de Reyes, San Valentín, Día de la Madre, por mencionar algunas. Sin embargo, también existen fechas menos comerciales pero que son empleadas por los delincuentes cibernéticos para robar datos e identidad, como es la entrega de ayudas para adultos mayores, una oportunidad que los estafadores aprovechan para hacer de las suyas. ESET, compañía líder en detección proactiva de amenazas, analiza cómo funcionan este tipo tácticas y explica las alarmas a las que se le deben prestar atención.
«Los ciberdelincuentes suelen atacar a los beneficiaros de programas para adultos mayores aprovechándose de fechas especiales como la entrega y renovación de tarjetas, se hacen pasar por entidades oficiales para obtener sus datos personales y financieros y sustraerles recursos; por ello, es crucial que las familias estén informadas de canales oficiales y tomen precauciones», comenta David González, investigador de seguridad del laboratorio de ESET Latinoamérica.
Siempre, sin importar la fecha, hay que tener cuidado con los mensajes, llamadas e incluso visitas de personas que se hacen pasar por trabajadores de instituciones y organismos para aprovecharse de la confianza de los beneficiarios, quienes suelen ser más vulnerables por su edad y lejanía a las tecnologías.
Las estafas más frecuentes incluyen:
- Llamadas telefónicas falsas: se han detectado llamadas de individuos que fingen ser representantes de instituciones oficiales para solicitar datos personales y bancarios. Es importante recordar que ninguna autoridad pedirá información sensible a través de llamadas telefónicas, por lo que no deben ser respondidas ni tomadas en cuenta.
- Mensajes fraudulentos por WhatsApp o SMS: los atacantes envían mensajes de texto que simulan ser oficiales notificando sobre actualizaciones o requisitos para «activar» o «mejorar» el saldo de la tarjeta o para entregas de tarjetas fuera de las fechas designadas. Estos mensajes suelen contener enlaces que dirigen a sitios web falsos, donde se solicita ingresar información confidencial.
- Cobro por gestoría para recibir los beneficios: se han reportado casos donde personas ofrecen gestoría para recibir o activar las tarjetas de programas sociales, exigiendo pagos por un servicio que no es verdadero.
- Sitios web falsos para trámites o activaciones: los estafadores crean páginas web que imitan las oficiales y solicitan a los beneficiarios ingresar información personal y financiera. Estas páginas pueden parecer legítimas, pero su único objetivo es robar los datos de los usuarios.
«Estar informados sobre estas tácticas es muy útil para identificar las nuevas estrategias que llevan a cabo los cibercriminales a la hora de encontrar nuevas víctimas. Prestar atención a las diversas alarmas y mantenerse informado en los canales oficiales puede ayudar a los ciudadanos a identificar una posible estafa.», concluye David González, investigador de seguridad del laboratorio de ESET Latinoamérica.
Para evitar estafas, ESET se recomienda lo siguiente:
- No compartas información confidencial: no divulgues tus datos personales, número de tarjeta, clave de acceso o contraseñas con nadie, especialmente si la solicitud proviene de una fuente no verificada. Si te llega un mensaje texto por WhatsApp o SMS desconfía porque seguramente te invite a dar clic en algún enlace para robarte la información y suplantar tu identidad. Presta atención a los errores gramaticales que aparecen a menudo en los mensajes.
- Verifica la autenticidad de las comunicaciones: antes de proporcionar cualquier información, asegúrate de que la comunicación provenga de un canal oficial y legítimo revisando el dominio. Ningún programa social entrega tarjetas o los apoyos correspondientes fuera de las fechas establecidas en sus comunicados oficiales. Consulta siempre en sitios web oficiales o contacta directamente con las autoridades.
- Desconfía de solicitudes de dinero o pagos: no realices pagos a personas que ofrezcan trámites o servicios no solicitados. Los programas sociales nunca requieren pagos adicionales para recibir los beneficios establecidos.
- Mantén tus dispositivos protegidos: utiliza herramientas de seguridad como antivirus y autenticación de dos factores para proteger tus datos en línea.
Para conocer más sobre seguridad informática visite el portal de noticias de ESET: https://www.welivesecurity.com/es/
Por otro lado, ESET invita a conocer Conexión Segura, su podcast para saber qué está ocurriendo en el mundo de la seguridad informática. Para escucharlo ingrese a: https://open.spotify.com/show/0Q32tisjNy7eCYwUNHphcw
Celia Marín Sasaki, rostro de nuestra edición especial de marzo dedicada al mes de la mujer.
Ruta de la Moda: Un Recorrido Exclusivo por el Corazón del Diseño Mexicano
