El negocio del cibercrimen y las estafas ya mueve miles de millones de dólares en todo el mundo. Se estima que hay hasta 24 mil millones de nombres de usuario y contraseñas obtenidos ilegalmente que circulan actualmente en sitios de la deep y dark web y entre los más buscados se encuentran los datos de tarjetas, que los estafadores compran para cometer fraude de identidad.
En los países que se implementó el sistema de chip y PIN (también conocidos como EMV), es un desafío convertir estos datos en tarjetas clonadas. Por eso son es más común ver ataques en línea dirigidos a transacciones sin tarjeta (CNP). “Los estafadores podrían usar los datos para comprar artículos de lujo para su posterior venta, o para comprar tarjetas de regalo a granel, que es otra forma popular de lavar fondos obtenidos ilícitamente. La escala del mercado de tarjetas es difícil de estimar. Pero los administradores de la tienda clandestina más grande del mundo se retiraron recientemente después de ganar aproximadamente US$ 358 millones.”, comenta Camilo Gutiérrez Amaya, Jefe del Laboratorio de Investigación de ESET para América latina.
Cuáles son las estafas más comunes con tarjetas de crédito
PHISING:
Una de las técnicas más utilizadas por los ciberdelincuentes para robar datos. Esta técnica es muy simple pero efectiva: el atacante se hace pasar por alguna entidad o persona (por ejemplo, un banco, un proveedor de comercio electrónico o una empresa de tecnología) para engañar a un usuario y convencerlo para que ingrese sus datos personales o descargue malware sin darse cuenta. Estos mensajes de phishing suelen alentar a las personas a hacer clic en un enlace o abrir un archivo adjunto. A veces, dirigen al usuario a una página falsa que parece legítima, donde se solicitará que ingrese información personal y financiera. Pese a ser una forma de ataque muy conocida, alcanzó el máximo histórico en el primer trimestre de 2022.
En los ataques de phishing, los estafadores pueden hacerse pasar por los proveedores de tarjeta y solicitar datos que luego son usados para clonar la tarjeta.
MALWARE:
Se han desarrollado diferentes tipos de códigos maliciosos diseñados para robar información. Algunos pueden registrar las pulsaciones del teclado de la víctima; por ejemplo, mientras escribe los detalles de la tarjeta en un sitio de comercio electrónico o bancario. Los ciberdelincuentes colocan estos programas maliciosos en los dispositivos mediante correos de phishing, mensajes de texto, o también a través de anuncios maliciosos. En otros casos se compromete un sitio web que recibe muchas visitas y se espera a que los usuarios ingresen al sitio para infectarlos. Ciertos códigos maliciosos se descargan automáticamente, y se instalan en el equipo apenas el usuario visita el sitio comprometido. El malware que roba información también suele estar oculto dentro de aplicaciones móviles maliciosas que parecen legítimas.
Una forma de esto es el web skimming. Los estafadores instalan malware en páginas de pago de sitios de comercio electrónico legítimos, como podría ser Mercado Pago. Estos códigos maliciosos son invisibles para el usuario, pero sustraen los detalles de la tarjeta a medida que son ingresados.
FILTRACIONES PÚBLICAS
Cuando se generan filtraciones de datos masivas se comprometen las credenciales y otras formas de autenticación de los usuarios. Cuando esto sucede, muchos de estos datos (como contraseñas de correo electrónico) pueden servir para acceder a operaciones con tarjetas de crédito. Hay servicios como Have I been Pwned que permite a cualquiera comprobar si sus datos están en alguna filtración.
Cómo cuidar los datos de las tarjetas
Hay varias medidas de seguridad que los usuarios pueden tomar par proteger sus datos bancarios y de tarjetas.
Por ejemplo, es importante no guardar los detalles de la tarjeta de crédito o débito en el navegador, aunque esto permita ahorrar tiempo la próxima vez que se realice una compra. De esta manera se reducirán considerablemente las posibilidades de que obtengan los datos de una tarjeta si la empresa o plataforma sufre una filtración o si un atacante logra secuestrar la cuenta.
Otra medida recomendable es activar la autenticación en dos pasos en todas las cuentas que tengan información sensible. La autenticación en dos pasos reduce las posibilidades de que los atacantes puedan acceder a las cuentas incluso si obtuvieron las credenciales de acceso.
Source link