Cinco formas que utilizan para robar datos de tarjetas de crédito

El cibercrimen mueve billones de dólares al año, los ciberdelincuentes  frecuentan sitios de la dark web donde compran y venden grandes cantidades de datos robados, así como  las herramientas necesarias para obtenerlos. Se estima que hay hasta 24 mil millones de nombres de  usuario y contraseñas obtenidos ilegalmente que circulan actualmente en dichos sitios y entre los más  buscados se encuentran los datos de tarjetas, que los estafadores compran para cometer fraude de  identidad. ESET, compañía lde detección proactiva de amenazas, analiza este fenómeno y comparte  las formas en que usualmente los cibercriminales roban los datos de las tarjetas de crédito a usuarios. 

En los países que se implementó el sistema de chip y PIN (también conocidos como EMV), es un desafío  convertir estos datos en tarjetas clonadas. Por eso son es más común ver ataques en línea dirigidos a  transacciones sin tarjeta (CNP). “Los estafadores podrían usar los datos para comprar artículos de lujo para  su posterior venta, o para comprar tarjetas de regalo a granel, que es otra forma popular de lavar fondos  obtenidos ilícitamente. La escala del mercado de tarjetas es difícil de estimar. Pero los administradores de  la tienda clandestina más grande del mundo se retiraron recientemente después de  ganar aproximadamente 358 millones de dólares.”, comenta Camilo Gutiérrez Amaya, Jefe del Laboratorio  de Investigación de ESET Latinoamérica.  

A continuación explican cuáles son las cinco formas más comunes en que los ciberdelincuentes  buscan obtener los datos de tarjetas de crédito de las personas y cómo detenerlos: 

1. Phishing: Una de las técnicas más utilizadas por los ciberdelincuentes para robar datos. En su forma  más simple, es un engaño en el que el cibercriminal se hace pasar por una entidad legítima (por ejemplo,  un banco, un proveedor de comercio electrónico o una empresa de tecnología) para engañar a un usuario  y convencerlo para que ingrese sus datos personales o descargue malware sin darse cuenta. Estos  mensajes de phishing suelen alentar a las personas a hacer clic en un enlace o abrir un archivo adjunto. A  veces, dirigen al usuario a una página falsa que parece legítima, donde se solicitará que ingrese  información personal y financiera. Pese a ser una forma de ataque muy conocida, alcanzó el máximo  histórico en el primer trimestre de 2022, algo que ya había sucedido en 2021.

Pie de imagen: Ejemplo de correo electrónico de phishing.  

El phishing ha ido evolucionado dando lugar a formas de ataque similares. En lugar de un correo  electrónico, las víctimas pueden también recibir un mensaje texto (SMS) malicioso, conocido  como smishing, donde un ciberdelincuente se puede hace pasar, por ejemplo, por una empresa de entrega  de paquetería, una agencia gubernamental u otra organización de confianza. Los estafadores pueden  incluso llamarlo telefónicamente, en una forma de ataque conocida como vishing, donde nuevamente  fingen ser una fuente confiable con el objetivo de convencer al individuo para que comparta los detalles  de su tarjeta. El smishing se duplicó en 2021, mientras que el vishing también aumentó. 

2. Malware: Se han desarrollado diferentes tipos de códigos maliciosos diseñados para robar información.  Algunos pueden registrar las pulsaciones del teclado de la víctima; por ejemplo, mientras escribe los  detalles de la tarjeta en un sitio de comercio electrónico o bancario. Los ciberdelincuentes colocan estos  programas maliciosos en los dispositivos mediante correos de phishing, mensajes de texto, o también a  través de anuncios maliciosos. En otros casos se compromete un sitio web que recibe muchas visitas y se  espera a que los usuarios ingresen al sitio para infectarlos. Ciertos códigos maliciosos se descargan  automáticamente, y se instalan en el equipo apenas el usuario visita el sitio comprometido. El malware  que roba información también suele estar oculto dentro de aplicaciones móviles maliciosas que parecen  legítimas. 

3. Web skimming: Los ciberdelincuentes también instalan malware en páginas de pago de sitios de  comercio electrónico legítimos. Estos códigos maliciosos son invisibles para el usuario, pero sustraen los  detalles de la tarjeta a medida que son ingresados. En estos casos recomiendan al usuario  comprar en sitios confiables y utilizar aplicaciones de pago de renombre, que probablemente sean más  seguras. Las detecciones de web skimmers aumentaron un 150% entre mayo y noviembre de 2021. 

4. Filtraciones de datos: A veces, los datos de las tarjetas se obtienen no de los usuarios, sino directamente de empresas con las que se hace algún tipo de transacción o negocio. Podría ser desde un proveedor de  atención médica, una tienda en línea o una empresa de viajes. Esta forma de obtener datos es más  rentable desde la perspectiva de los delincuentes, porque a través de un ataque se obtiene acceso a una  gran cantidad de datos. Por otro lado, con las campañas de phishing, si bien son ataques se lanzan de  forma automatizada, tienen que robar a los individuos uno por uno. 

5. Redes Wi-Fi públicas: Cuando se está fuera de casa puede resultar tentador navegar por la web  utilizando puntos de acceso Wi-Fi públicos: ya sea en aeropuertos, hoteles, cafeterías y otros espacios  compartidos. Incluso si se tiene que pagar para unirse a la red, es posible que no sea seguro si los  ciberdelincuentes han hecho lo mismo, ya que se puede usar el acceso a una red para espiar los datos de  terceros a medida que son ingresados. 

Ver más: Una nueva solución permite a los bancos optimizar sus operaciones en efectivo

Comparten los siguientes consejos para proteger los datos de las tarjeta de crédito: • Estar alerta: si recibe un correo electrónico inesperado o no solicitado, nunca responder, hacer clic en  enlaces ni abrir archivos adjuntos. Podría tratarse de un engaño que busca infectar con malware. O  podrían llevar a páginas de phishing que parecen legítimas donde se solicitará el ingreso de datos. • No divulgar ningún detalle por teléfono, incluso si la persona al otro lado suena convincente.  Preguntar de dónde están llamando y luego volver a llamar a esa organización para verificar. No utilizar los números de contacto que proporcionan. 

No usar Internet si se está conectado a una red Wi-Fi pública, especialmente si no se utiliza una VPN.  No realizar ninguna acción que implique ingresar los detalles de la tarjeta (por ejemplo, compras en  línea). 

No guardar los detalles de la tarjeta de crédito o débito en el navegador, aunque esto permita  ahorrar tiempo la próxima vez que se realice una compra. De esta manera se reducirán considerablemente las posibilidades de que obtengan los datos de una tarjeta si la empresa o  plataforma sufre una filtración o si un atacante logra secuestrar la cuenta. 

Instalar una solución antimalware de un proveedor confiable en cada uno de los dispositivos conectados a Internet. 

Activar la autenticación en dos pasos en todas las cuentas que tengan información sensible. La  autenticación en dos pasos reduce las posibilidades de que los atacantes puedan acceder a las cuentas  incluso si obtuvieron las credenciales de acceso. 

Solo descargar aplicaciones de tiendas oficiales, como la App Store o Google Play. • Si se está haciendo alguna compra en línea, solo hacerlo en sitios con HTTPS (debería mostrar un  candado en la barra de direcciones del navegador junto a la URL). Esto significa que hay menos  posibilidades de que los datos puedan ser interceptados. 

“Finalmente, una práctica siempre recomendable es monitorear los movimientos de nuestras cuentas  bancarias y de nuestras tarjetas. Si detecta alguna transacción sospechosa, informe de inmediato al equipo  de fraude de su banco/proveedor de tarjeta. Algunas aplicaciones ahora permiten “congelar” todos los  gastos en tarjetas específicas hasta determinar si ha habido una violación de seguridad. Hay muchas  formas en que los malos obtienen los datos de nuestra tarjeta, pero también podemos hacer muchas cosas  para mantenerlos lejos.”, concluye Camilo Gutiérrez Amaya, Jefe del Laboratorio de Investigación de Latinoamérica.