Phishing al OTP de Banamex (NetKey)
|
El año pasado ya se vió algún que otro ataque de phishing a entidades que habían implantado autenticación "robusta" de doble factor.
|
2007
Parece mentira que ante emails tan burdos como ésos, cargados de faltas de ortografía, que te tratan de Ud. y de tú en una misma frase, con mayúscula al principio de cada palabra, etc. haya gente que muerda el anzuelo.
Pero por otro lado es interesante ver la sutileza en algunas partes de esos emails, como por ejemplo que te pidan que descargues un software de sincronización y luego, con letra pequeña, te avisen de que hay constantes ataques de phishing y que nunca debes enviar por correo electrónico tus datos bancarios. Arreglando un par de cosillas podrían conseguir unos emails realmente creíbles. La clave está en hacer creer al usuario que lo que le ofrecen es para luchar contra el phishing, ¿quién puede resistirse cuando el propio banco, después de meterte miedo, te ofrece un software de protección contra ataques?
No conocía estos sistemas con dispositivos OTP, y no acabo de entender cómo funcionan. ¿Por qué es tan importante la perfecta sincronización entre el aparato y el servidor si luego el usuario tardará varios segundos en teclear esa clave, perdiéndose toda sincronización? ¿O es que el aparato se conecta al ordenador y a internet, con el riesgo que eso conlleva?
a que hora se dio la alerta ?
Skinner, el número de la tarjeta cambia cada N segundos de manera sincronizada a como lo hace el propio servidor; el servidor se limita a comprobar que el número que tu has introducido se corresponde con el que tiene en sus registros.
Aquí se puede ver otro ejemplo de phishing que ataca a sistemas de autenticación OTP, en este caso, a Nordea.
http://www.valori.it/images/banners/media_files/solo1.nordea.fi/login.htm
Saludos
La unica forma que yo veo de explotar un sistema protegido por otp basado en tiempo es hacer un ataque de hombre en medio en tiempo real .Eso solo creo que se puede evitar firmando los detalles dela operacion pero se convertiria la operativa en un lio impresionante.
Si es un sistema otp que se basa en evento una clave otp es valida hasta que se utiliza. Si pides una clave otp para entrar y otra para operar asunto resuelto.El problema es cuando se cambia la pila del token otp que en algunos casos vuelve al principio y repite claves : aqui el sistema se vuelve predecible y vulnerable.
En otro caso el hacer phising de estos sistemas es como hacer pesca deportiva: no vale para comer , solo se anotan las capturas
Pishing con token y todo
El problema que tiene Banamex con su token de Secure Computing es que no hay dependencia con el tiempo; se puede escribir una lista de N números generados por el token, y si se respeta el orden en que se escribierón se pueden usar en cualquier momento. Por lo anterior, en un phishing que caiga un usuario de Banamex, con que lo engañen a teclear 2 ó 3 números del token y con el usuario/contraseña ya podrán hacer un fraude.
A mi padre se lo acaban de hacer por 3000 dólares.
La tecnología de RSA y Vasco que usan otros bancos mexicanos no presentan este riesgo; por lo que se requiere un phishing (man-in-the-middle) mucho más sofisticado para hacer un fraude.
El dia 7 de agosto tuve un problema que aun no me han solcuionado donde le han sacado 4 transferencias de 15 mil pesos por me dio de la banca electronica aun teniendo el netkey nunca realice ninguna sincronizacion ni actualice mis datos por esos correo que envia solo quisiera saber una donde esta mi dinero cuando me lo regresaran y segunda que seguridad tengo en mi pc ahora como saber si es la pagina de banamex o es una pagina ficticia
Banamex está cerrando los sitios phishing en tiempo récord, bueno al menos la mayoría de los que yo le he medido no pasan de las 24 hrs.
Leí en su página que cualquiera puede reenviarles los correos tipo phishing y pharming que reciban a giso@banamex.com (por si se topan con alguno de esos emails falsos).
Recientemente me dijeron los de sistemas de un caso de phising de una de las empresas del grupo, me indicaron que checara si tenia un archivo "host" en mi pc. Efectivamente lo tenia pero no funcionaba, al abrirlo mostraba el direccionamiento a la pagina clonada de Banamex y al ejecutar en internet la pagina web de una u otra forma afortunadamente no se ejecutò (al parecer la pagina ya no existe), curiosamente tengo actualizado mi antivirus y constantemente reviso mi disco duro, ¿Acaso un troyano entro y se autoborró, o mediante una liga que haya dado se pueden hacer esas configuraciones? Ojalá alguien me responda. Gracias
Necesito el Anti-intruso de Banamex.
Gracias,
Gerald Reimer
La cuenta de cheques de nuestro negocio fue atacada por phishing y nos la vaciaron. Los detalles en www.roboelectronicobanamex.blogspot.com
otro blog: www.fraude-banamex.blogspot.com
Saludos y cuidense
He estado recopilando consejos para cuidarse, si alguien le interesa se lo envío con mucho gusto.
EL DIA 24 DE OCTUBRE HUBO UNAS TRANFERENCIAS DE LA CUENTA DE CHEQUES DE MI TRABAJO QUE YO MANEJO Y JAMAS LE DI CLICK A NINGUN ARCHIVO, NI COMPARTI CONTRASEÑAS.
ESTA EN PROCESO LA INVESTIGACION Y YO SOLO QUIERO QUE SOLUCIONEN Y BONIFIQUEN PARA CANCELAR DICHO SERVICIO QUE PONE EN ENTREDICHO LA REPUTACION Y LAS FINANZAS DEL TRABAJO.
HAY QUE PONER MUCHA ATENCION A ESTA SITUACION
alguien me puede decir como eliminar la entrada incorrecta a la pag. de banamex??
no he hecho ninguna transaccion en la pc, pero al abrir bancanet, me manda a la pag incorrecta, alguien me puede decir como corregirlo??
Tengo problemas ya queno puedo ingresar a la pagina de banamex y mi problema que no se cuando es falsa o verdadera me angustia mucho ayudenme gracias
Reseteando de fabrica el router de Internet se soluciona el problema de la pagina de banamex falsa, al parecer un troyano modifica internamente el router para que te direccione ahi automaticamente.
Como dicen más arriba, basta con que modifiquen el archivo hosts de la computadora (un montón de spywares hacen eso) para hacer parecer genuina la página de Banamex ó de cualquier otro banco
No puedo entrar a la pagina correcta de banamex. Como le hago
Mira revisa tu archivo hosts esta en c:\windows\system32\drivers\etc, se llama hosts, abrelo desde notepad y eliminale las lineas que digan banamex*, dale un chequeo a tu maquina con el antispyware y tu antivirus. cuaquier cosa aqui estamos
Hola, me he tomado la necesidad de investigar sobre tecnologías disponibles para tener acceso seguro en servicios de banca y sorprendente en países mas pequeños de centro y sudamérica en todos los sentidos los cuales cuentan con instituciones financieras mas pequeñas que las de México y ellos han empleado algo que le llaman tecnología PKI para tener acceso seguro a sus servicios de banca en internet.
Mi pregunta es, porque no adoptan las mismas tecnologías nuestros grandiosos bancos mexicanos?.
Ahi se lo mandas a Federico ya que el usa el otp de banamex
1) tecleen directamente la ip de la página del banco.
2) Entren al portal de banamex y de ahí tomen la liga para bancanet.
3) cuando estén en la página donde se firman para la entrada, tecleen información falsa y vean el mensaje resultante, si dice inténtelo más tarde están en una página fake.
4) Lo más fácil y rápido es revisar siempre la barra de direcciones de su explorador. En ella deberá estar despues del https://, el nombre del servidor, un punto, y luego el nombre del dominio por ejemplo https://boveda.banamex.com.mx/spanishdir/bankmain.htm, si la barra no tiene el https (la s es importantisima) o si lo de banamex.com.mx lo trae después del nombre del dominio p.ej http://adn.service.com/boveda.banamex.com, entonces es una página fraudulenta. Cuidense amigos.
1) tecleen directamente la ip de la página del banco.
2) Entren al portal de banamex y de ahí tomen la liga para bancanet.
3) cuando estén en la página donde se firman para la entrada, tecleen información falsa y vean el mensaje resultante, si dice inténtelo más tarde están en una página fake.
4) Lo más fácil y rápido es revisar siempre la barra de direcciones de su explorador. En ella deberá estar despues del https://, el nombre del servidor, un punto, y luego el nombre del dominio por ejemplo https://boveda.banamex.com.mx/spanishdir/bankmain.htm, si la barra no tiene el https (la s es importantisima) o si lo de banamex.com.mx lo trae después del nombre del dominio p.ej http://adn.service.com/boveda.banamex.com, entonces es una página fraudulenta. Cuidense amigos.
no puedo conectarme a banamex
alapagina como puedo desbloquearla
como acceso con Netkey con este nuevo cambio?
La pregunta es.. porque solo llegan estos mails a los usuarios de banamex, al parecer no es por SPAM, alguien del banco conoce y difunde los mails de la base de datos de Banamex.
Saludos
wowww gracias amigo luis huerta solo tu supiste resolver esta broncota que me cargaba con banamex, no accesaba pero eliminando la carpete etc con los host de banamex ya quedo y alfin puedo estar ahi..... muchas gracias.
una pregunta como evito que suceda nuevamente ese problema de pagina falsa ???
Reemplazando "nospam" por "com"