Cómo pueden entrar en tu cuenta bancaria y cómo evitarlo

Cómo pueden entrar en tu cuenta bancaria y cómo evitarlo

Javier Jiménez

Pagar por Internet se ha convertido en algo realmente habitual. Podemos comprar cualquier cosa a golpe de clic. Sin embargo esto también tiene sus riesgos, como es lógico. A fin de cuentas vamos a exponer información personal, datos bancarios e información relacionada con el método de pago que usemos. En este artículo vamos a hablar de ello y nos vamos a centrar en qué métodos puede usar un atacante para entrar en la cuenta bancaria. Por supuesto daremos consejos sobre cómo protegernos.

Qué métodos usa un atacante para robar una cuenta bancaria

Conocer cómo actúa el hacker es importante para prevenir que esto ocurra. Son muchas las amenazas que de una u otra forma pueden permitir que un intruso entre en nuestra cuenta bancaria, realice pagos en nuestro nombre o simplemente bloquee las tarjetas. Vamos a ver cuáles son los métodos más habituales.

Ataques Phishing por correo o SMS

El primer método que pueden usar los atacantes para robar una cuenta bancaria es mediante ataques Phishing. Básicamente lo que hacen es lanzar un cebo, que suele ser a través de un e-mail o un mensaje al móvil, donde cuelan un link a una página falsa que simula ser la del banco legítima.

Pero claro, ese sitio web es falso. Cuando el usuario inicia sesión, la contraseña va directamente a un servidor controlado por el hacker. Esto les permite suplantar la identidad y acceder a la cuenta bancaria al disponer de la información necesaria para ello.

Normalmente los ataques Phishing suelen informar de algún supuesto problema o algo que debemos resolver con urgencia. Esto hace que la víctima tenga necesidad de iniciar sesión y no dude en hacerlo. Por ejemplo pueden decir incluso que se ha detectado un inicio de sesión sospechoso y que necesitan que acceda a la cuenta para verificar algo.

El Phishing es ahora más peligroso

Uso de aplicaciones falsas

Principalmente esto ocurre en teléfonos móviles. Lo que busca el atacante es que la víctima descargue un programa que supuestamente pertenece al banco, pero que en realidad se trata de una estafa. Normalmente estas aplicaciones están fuera de tiendas oficiales y sitios fiables. Por ejemplo a través de links de terceros, algún archivo que nos llega por correo, etc.

Como en el caso de los ataques Phishing clásicos, en este caso la contraseña también puede terminar en un servidor controlado por los cibercriminales. Esto ocurre al intentar iniciar sesión en ese programa que supuestamente es legítimo, pero en realidad se usa para robar la clave.

Hay que tener en cuenta que en muchos casos estos programas son muy similares a los oficiales y legítimos. Por ello la víctima no sospecha nada cuando intenta iniciar sesión y expone los datos personales.

Troyanos en los dispositivos

Otro método más que utilizan los piratas informáticos son los troyanos. Es una de las variedades de malware que pueden infectar nuestros ordenadores y móviles. Este software malicioso se instala en el sistema y empieza a recopilar información de todo tipo. Incluso puede dar acceso remoto a un atacante.

Una vez más, donde más suele afectar es en dispositivos móviles. Pueden ser archivos que descargamos en sitios maliciosos, aplicaciones falsas que llevan malware o incluso después de instalar algún complemento para el navegador u otra aplicación. En todos estos casos pueden adjuntar troyanos y que se encarguen de interceptar los datos que enviamos, como puede ser la contraseña.

Keyloggers

Los keyloggers son otra forma de malware que está especialmente diseñada para robar contraseñas. Su misión es registrar las pulsaciones de teclas que realiza la víctima. Aquí se incluye también cualquier contraseña que pongas, ya sea en el ordenador o en el móvil. Puede llegar a la hora de instalar un programa y que contenga malware, algún archivo que descargues de Internet y sea un engaño, etc. Los ciberdelincuentes pueden encontrar diferentes métodos para colar un keylogger en Windows, Android o cualquier sistema operativo.

De esta forma pueden averiguar cuál es el nombre de usuario y la contraseña de la cuenta bancaria. Obtendrían así acceso total a la cuenta y poder robar dinero, realizar pagos en nuestro nombre o cualquier acción como si fueran el usuario legítimo. Es otro de los clásicos dentro de las amenazas que pueden robar la cuenta bancaria.

En este tipo de sistema, podemos diferenciar dos tipos, los cuales dependen de donde están integrados. Estos pueden ser.

  • Basados en Hardware: en este caso se trata de un dispositivo, el cual puede ser muy similar a un pendrive, por ejemplo, que se conecta entre el teclado y el equipo, de forma que almacena todo lo que escribimos en un archivo de texto. De estos, también podemos diferenciar dos subtipos. Los Adaptadores, que se conectan al teclado, y una de sus principales ventajas es que son rápidos de instalar, pero su gran inconveniente es que se pueden detectar de forma sencilla. Y los Dispositivos, los cuales se pueden instalar internamente en el equipo, y son mucho más complejos de detectar, a no ser que se abra el teclado o el equipo.
  • Basados en Software: aquí estamos ante un programa el cual se instala en el ordenador como un virus, con la finalidad de rastrear y almacenar las actividades que realicemos en el mismo. Estos suelen instalarse sin que el usuario sepa de su existencia, y es capaz hasta de realizar capturas de pantalla a la vez que registra las pulsaciones del teclado. Su principal método de distribución es a través de correos electrónicos de Phishing, los cuales incluyen este software como un archivo adjunto.

En el caso de los Keyloggers basados en Software, también nos podemos encontrar una gran variedad de tipos. Como por ejemplo:

  • Basados en núcleo. Los cuales son capaces de acceder al núcleo del equipo e instalarse en el hardware.
  • Enganchados. Se activan solo cuando se efectúa una pulsación en alguna tecla.
  • Hipervisor. Se anidan tras el sistema operativo sin crear ninguna modificación.
  • Basados en Kernel. Un programa malicioso de anida directamente en el sistema operativo
  • Basado en «Form grabbing». Se encarga de registrar formularios en línea y copia datos de los inicios de sesión. Y puede acceder al historial del navegador.
  • De man-in-the-browser. Este tipo se instala en el navegador.
  • Basado en acceso remoto. Como su nombre indica, son de uso remoto, y permiten el acceso a software malicioso.

Ataques Man in the Middle

Cuando nos referimos a estos ataques, podemos decir que son de los más elaborados, ya que el ciberdelincuente se coloca en el medio de la comunicación de forma que intercepta la comunicación para conseguir los datos que quiere. Este modo puede parecer similar al phishing, pero no lo es. Un ataque Man in the Middle, el destino de la comunicación puede ser totalmente legítimo, pues realmente te estás comunicando con la entidad financiera, pero toda esa información pasa por un punto intermedio, el cual no se encuentra cifrado donde se captura toda la información. También se encuentran con algunas dificultades, pues para que esto funcione correctamente, este hacker debe ser el único punto de comunicación entre los dispositivos, por lo cual debe estar presente en las mismas redes que los hosts, los cuales están apuntados en el mismo ataque para cambiar el enrutamiento para cada uno.

Alterar esta tabla, es bastante simple una vez se establece el ataque, incluso es mucho más simple si se trata de la misma red, pudiendo llegar incluso a secuestrar routers. Para esto, se utilizan muchas técnicas con las que se modifica la caché del servidor DNS que nos proporciona la información del banco, y la desvía a un servidor que no tiene nada que ver con este. Esto quiere decir, que incluso accediendo a la propia página del banco desde cualquier búsqueda, todo nuestro tráfico pasará por otro servidor intermedio.

En cuanto a la defensa de este tipo de ataque, es utilizando redes seguras y cifradas. No es recomendable usar redes Wi-Fi públicas o abiertas. En todo caso, si no nos queda otra opción, siempre podemos disponer de una VPN que se encargue de cifrar el contenido. Otra buena práctica, es asegurarnos que el navegador muestra el https al inicio de las URL de los bancos.

Simple adivinación de credenciales

Una opción más es simplemente adivinar cuál es la contraseña de la cuenta bancaria. Esto ocurre cuando un usuario pone una clave débil, predecible, que por ejemplo contenga su nombre o número de teléfono. Esto es un error y puede dejar expuestas las cuentas, ya que la protección sería muy básica.

Incluso muchos usuarios utilizan claves sencillas y que son muy utilizadas. Por ejemplo hablamos de 1234, 123456 y similares. Aunque cada vez son más los servicios que exigen una clave más compleja, no en todos los casos ocurre esto y es un problema importante. Los piratas informáticos van a probar constantemente las combinaciones de contraseñas más habituales y ver si tienen suerte y con alguna de ellas pueden acceder.

Ataques en los cajeros

Los ataques informáticos pueden extenderse por todo lo que a un ordenador se refiera, por lo cual, los cajeros no están exentos de este tipo de problemas. Más allá de problemas físicos como puede ser el robo de la tarjeta, o que observen nuestros datos directamente, los cajeros pueden ser atacados a nivel informáticos de diferentes formas. Como puede ser a través de un teclado falso que registre nuestros datos a medida que se introducen.

Otra de las más conocidas es a través de la propia cámara del cajero. Los ladrones o atacantes pueden tratar de montar sistemas similares a cámaras estenopeicas para que nuestro PIN pueda ser grabado a medida que lo ingresamos. Esto suele emitirse a un receptor que normalmente no se encuentra muy lejos, dando toda la información necesaria a los atacantes, los cuales es probable que más tarde, traten de robar la tarjeta a la víctima.

Las trampas de tarjetas también pueden ser otro de los métodos, si bien es más un ataque físico que informático, cabe destacar. El atacante puede introducir dentro de la ranura de las tarjetas un tirante llamado «bucle libanés«, el cual deja la tarjeta atascada dentro del cajero. Mientras el usuario acude a la oficina para reportar el problema, el atacante se acerca al cajero, y tira del tirante para sacar la tarjeta, y así quedarse con ella. Esto pueden hacerlo en conjunto con el robo del pin como hemos visto anteriormente.

Los Card Skimmer se han popularizado mucho gracias al cine, pero también existen en el mundo real. Estos dispositivos se colocan en las ranuras de los cajeros automáticos, y leen los detalles de las bandas magnéticas de las tarjetas, y transmiten la información a receptores que también suelen estar cerca. Esto permite al atacante realizar un clon de la tarjeta, sin necesidad de proceder a un robo.

Pasos para evitar el robo de cuentas bancarias

Entonces, ¿qué podemos hacer para evitar que roben nuestra cuenta bancaria? Por suerte podemos tener en cuenta ciertos pasos, ciertos consejos que podemos poner en práctica fácilmente y mejorar así la seguridad. Vamos a mostrar cuáles son y todos los usuarios deberían asegurarse de que estas recomendaciones forman parte de su día a día.

Utilizar contraseñas fuertes

Lo primero es crear una clave de acceso que sea fuerte. Una buena contraseña es la principal barrera de seguridad que va a impedir que los intrusos puedan acceder fácilmente. Esa clave debe cumplir unos requisitos, ya que de poco sirve que sea, como mencionamos anteriormente, la típica 1234 y similares.

La contraseña debe ser única. Debe contener letras (tanto mayúsculas como minúsculas), números y otros símbolos especiales. Es importante que sea totalmente aleatoria y no usar cosas como nuestro nombre o cualquier palabra o dígito que nos relacione y haga que sea fácil de averiguar.

Por ejemplo una buena clave podría ser 3D)H-$rl82d/j. Como vemos, tiene una longitud adecuada, utiliza letras, dígitos y también símbolos especiales. Eso hace que sea muy difícil para un intruso saber cuál es.

Evitar errores en las contraseñas

Activar la autenticación en dos pasos

Pero la contraseña por sí misma no es una barrera infalible. Más allá de que podrían averiguarla, también hay que contar con que puede haber filtraciones o que utilicen un keylogger para registrar todo lo que ponemos en el teclado y puedan así ver cuál es. Por ejemplo, puede ocurrir que haya algún problema con los servidores del banco y nuestros datos y contraseñas queden expuestos.

Para evitar esto no hay mejor consejo que activar la autenticación en dos pasos o 2FA. Es cierto que no está disponible en todos los servicios, pero cada vez es más común. Básicamente es una barrera extra de seguridad. Un segundo paso que hay que dar una vez intentamos iniciar sesión.

Suele ser un código que recibimos por SMS o a través de un e-mail. También lo podemos usar mediante aplicación de 2FA. El objetivo es evitar que cualquiera, aun teniendo la clave de acceso, pueda entrar en la cuenta bancaria. Siempre necesitaría ese segundo paso para poder acceder. Podemos decir que hoy en día es un imprescindible para la protección de las cuentas bancarias.

Tener el equipo protegido con un buen antivirus

Para evitar la entrada de troyanos, keyloggers y otras variedades de malware, un punto muy a tener en cuenta es el de proteger el sistema. ¿Cómo podemos hacer esto? Un antivirus es la base de todo. También podemos contar con cortafuegos para filtrar las conexiones y bloquear las que son peligrosas o incluso complementos para el navegador.

Pero no solo hay que centrarse en este tipo de programas, sino también en la importancia de tener el equipo actualizado. Esto nos ayudará a solucionar ciertas vulnerabilidades que puedan aparecer y que pondrían en peligro los sistemas. Es esencial contar con todos los parches y actualizaciones.

Un buen ejemplo es Microsoft Defender. Es el que viene integrado con los sistemas operativos Windows y funciona bastante bien. No obstante, hay muchas opciones disponibles tanto gratuitas como de pago. Por ejemplo Avast o Bitdefender son algunas buenas alternativas. Eso sí, siempre que vayas a instalar un antivirus debes asegurarte de que funciona correctamente, está actualizado y lo has bajado de un sitio de garantías.

Instalar solo aplicaciones oficiales

Por supuesto es imprescindible instalar programas que sean oficiales y siempre desde fuentes fiables. Debemos evitar bajar aplicaciones bancarias desde sitios de terceros o enlaces que nos encontremos por Internet sin verificar realmente quién puede estar detrás de ello. Tiendas de aplicaciones como Google Play, por ejemplo, son la solución.

Hay que aplicar esto no solo en la aplicación bancaria en concreto, sino también en cualquiera donde vayamos a realizar algún pago, por ejemplo. En esos casos también conviene proteger al máximo nuestros datos y no tener ningún tipo de problema que exponga información sensible en la red.

Esto evitará que instalemos una aplicación falsa o que haya sido modificada solo para robar datos y contraseñas. A veces podemos encontrarnos con software que ofrece ciertas mejoras o complementos, pero esto podría ser un problema si nos centramos en la seguridad. Un ejemplo claro son los complementos para el navegador. Podemos encontrar muchos en la red, pero no todos ellos van a ser fiables.

Configura alertas en distintos medios

Una de las precauciones que debemos tomar siempre, es la de tener alertas configuradas en varios medios como pueden ser el correo electrónico o vía SMS, incluso ambos de ser posible, para monitorear los movimientos que se realizan en nuestra cuenta bancaria. En épocas anteriores las personas no sabían que les habían sustraído dinero de sus cuentas hasta que pedían un extracto bancario a fin de mes.

Hoy en día, tenemos la capacidad de estar informados en todo momento de lo que sucede en nuestras cuentas y cuando sucede, por lo que gracias a este tipo de alertas podemos tener la ventaja de detectar cuando algún movimiento extraño está siendo realizado y podremos tomar acciones rápidamente.

Cuidado con las redes Wi-Fi públicas

Una de las ventajas que existen hoy en día en cuanto a redes, es que podemos estar interconectados prácticamente desde cualquier lugar y en cualquier momento. Incluso si vamos a un restaurante o a nuestra cafetería favorita, tenemos disponible en la mayoría de ocasiones una red Wi-Fi de cortesía para clientes que nos permite sin ningún costo adicional el uso de Internet.

Así como nos brinda la gran ventaja de mantenernos conectados, también nos trae inconvenientes como pueden ser a nivel de seguridad. Esto se debe a que, así como esta red está disponible para que nosotros podamos disfrutarla, también está disponible para el resto de público en general. Esto incluye, por supuesto, a los hackers, que siempre han utilizado este tipo de redes para hacerse con los datos de las personas que puedan, si estas se lo permiten.

Todo depende de las actividades que estemos llevando a cabo mientras estemos conectados a estas redes, lo más recomendable es que mientras estamos conectados a una red Wi-Fi pública no realicemos ningún tipo de operación bancaria ni que comprometa la integridad de nuestros datos, o bien podríamos también utilizar un software VPN para protegernos un poco más de este tipo de amenazas.

Sentido común

Quizás sea lo más importante de todo. Es fundamental no cometer errores. Esto nos librará de ataques como el Phishing, que precisamente buscan que la víctima se equivoque, inicie sesión en alguna página falsa o haga clic en un archivo que en realidad es malware. Podemos decir que la mayoría de ataques van a necesitar que hagamos algo, que cometamos algún error.

Si navegamos e iniciamos sesión siempre por sitios oficiales, seguros y fiables, si no cometemos errores básicos como hacer clic en enlaces que nos llegan por correos que no conocemos o usamos solo programas oficiales, tendremos mucho ganado de cara a evitar que roben nuestra cuenta bancaria.

En definitiva, el robo de cuentas bancarias es uno de los problemas de seguridad informática que podemos sufrir si cometemos errores o somos víctimas de ataques cibernéticos. Hemos visto cuáles son los principales y de qué manera podemos estar protegidos y evitar que esto llegue a suceder.

¡Sé el primero en comentar!