Dentro de todos los tipos de ataques que pueden surgir en la red, algo que despierta mucho el interés de los ciberdelincuentes es el comercio electrónico. Muchas variedades de amenazas que de una u otra forma pueden comprometer la privacidad y seguridad. En este artículo explicamos cómo pueden evitar la protección 3D Secure al realizar una compra por Internet. Un problema que pone en riesgo las tarjetas de los usuarios.
Métodos para evitar la protección 3D Secure
Hay que indicar que la protección 3D Secure es un protocolo diseñado para agregar una capa de seguridad a las transacciones con tarjetas bancarias en Internet. Ha sido adoptado por tarjetas como Visa o MasterCard. Permite a los usuarios autenticarse con el emisor de la tarjeta al realizar transacciones y de esta forma evitar que se puedan realizar transacciones no autorizadas que puedan comprometer la seguridad. Os recomendamos leer nuestro tutorial para saber si una web es fiable para comprar.
La manera en la que protege a los usuarios es al solicitar un código para poder realizar esa transacción. Así consigue que un intruso no pueda utilizar los datos para comprar en el nombre de otra persona. El banco normalmente envía un SMS con ese código que debemos introducir.
Ahora bien, los piratas informáticos han encontrado métodos para evitar la protección 3D Secure. Un grupo de investigadores de seguridad de Gemini Advisory han mostrado cómo podrían lograrlo. Han encontrado técnicas expuestas en la Dark Web principalmente utilizando la ingeniería social.
Ingeniería social, el arma principal
¿Cómo lo logran? Lo primero que necesitan es tener información como el nombre y apellidos, número de teléfono, dirección de e-mail o dirección física. Se hacen pasar por un empleado del banco y llaman a la víctima. Indican que es para confirmar la identidad y van diciendo todos esos datos e información que ya tienen. Así se ganan la confianza de la víctima.
Una vez se han ganado la confianza de esa persona, le indican que tienen que verificar todo a través de un código que van a recibir. Ese código corresponde a la protección 3D Secure. Van a recibir un SMS como si estuvieran realizando una compra ellos.
Phishing, inyección de código y malware
Pero hay otros métodos adicionales. Estos mismos investigadores de seguridad también informan de que es posible que utilicen técnicas como el Phishing o la inyección de código. Incluso pueden colar malware con la misión de interceptar ese código de seguridad y reenviarlo al atacante.
Por tanto, son diferentes los métodos que pueden utilizar los piratas informáticos para robar códigos de 3D Secure y realizar compras indebidas con tarjetas bancarias. Es importante que mantengamos siempre la seguridad y evitemos errores que puedan comprometernos en la red.
Sin duda algo que no puede faltar es el sentido común. Debemos evitar cometer errores como descargar archivos maliciosos de la red o abrir enlaces que pueden ser un fraude. También, por supuesto, nunca dar información a través de un e-mail, llamada o mensaje que recibamos.
Pero más allá de eso, contar con herramientas de seguridad también puede protegernos de métodos como la entrada de malware para interceptar códigos de seguridad. Son muchos los antivirus que podemos usar en nuestro día a día.
Prevención y mejores prácticas
Al margen de las medidas de seguridad aplicadas por el protocolo en sí, la prevención es posiblemente la mejor medida de seguridad para contrarrestar los métodos de bypass de 3D Secure, que hemos visto en este post. Hay que tener en cuenta que según los datos del Instituto Nacional de Ciberseguridad, el 70% de los fraudes en pagos online se evitan mediante prácticas básicas de verificación y hábitos digitales conscientes.
El primer paso, por tanto, pasa por activar la autenticación biométrica en todas las plataformas bancarias y de compra. La versión 3D Secure 2.0, que ya han implantado varias emisoras por Visa Secure y Mastercard Identity Check, permiten reemplazar el clásico SMS por métodos más seguros como el reconocimiento facial, huella dactilar o PIN en app. La mayoría de apps bancarias de nuestro país ya ofrecen esta opción, y deberíamos plantearnos su uso si no lo hemos hecho ya.
También es importante chequear siempre la fuente de cualquier comunicación relacionada con transacciones. Es ahí donde la “ingeniería social” quiere pillarnos y tenemos que andar con pies de plomo. Nunca tendremos que proporcionar códigos 3D Secure, contraseñas o datos de tarjeta por teléfono, email o SMS no solicitados. Si recibimos una llamada supuestamente de nuestro banco confirmando una compra, el primer paso debería ser colgar y llamar nosotros mismos al número oficial impreso en tu tarjeta o en el sitio web del banco.
Otro buen consejo es usar la opción de tarjetas virtuales, que generan bancos como Revolut o N26, que crean números desechables con límites de gasto diarios. Lo bueno es que si un atacante obtiene una virtual, el daño es mínimo y caduca automáticamente, es decir, no podrá hacer compras indiscriminadamente. Otra buena práctica es mantener siempre el sistema operativo actualizado y todas las aplicaciones implicadas en transacciones bancarias o de compras, para que estén blindadas con los últimos parches de seguridad.