Phishing con tarjetas de coordenadas
luchando contra la falta de formación
|
Se encuentra activo un phishing a los clientes de eBankinter en la dirección http://www.ebankiinter.com
En principio uno más, pero he creido conveniente mencionarlo al hilo del comentario que surgió en una entrada anterior, en la que hablábamos sobre barras antiphishing, donde se hablaba de los teclados virtuales y las tarjetas de claves. Ya comenté que, sin ser soluciones definitivas, ambas vienen a reforzar en parte las medidas de seguridad contra el phishing y troyanos especializados en el robo de credenciales. Quedo pendiente de haceros una demo sobre como un troyano roba las credenciales de un teclado virtual, hay varias técnicas. En el caso del phishing a eBankinter podemos ver una técnica para burlar las tarjetas de claves que es cualquier cosa menos sofisticada, después de introducir el usuario y contraseña te presentan un formulario donde debes introducir... ¡todos los números de la tarjeta! Pudiera parecer una prueba de concepto, el problema es que no es la primera vez. Ya vimos un caso similar con La Caixa, donde además del formulario para introducir todas las claves de la tarjeta se facilitaba un número de fax por si el usuario encontraba más cómodo enviar directamente una copia de su tarjeta de coordenadas. Y si la historia se repite es que, aunque nos parezca increible, en mayor o menor medida han obtenido algún éxito con esta estrategia o al menos preveen tenerlo. Llegados a este punto las entidades bancarias deberían plantearse que los usuarios de banca electrónica pasaran una pequeña evaluación "antifraude", aunque sea tipo test breve, antes de facilitarles la cuenta de acceso. Sin ser un examen, que lo tuvieran que leer, rellenar, y poder ver las respuestas incorrectas, seguro que algo de culturilla antiphishing se les quedaría. Si, ya se que desde el departamento de negocio de la entidad se van a negar, cualquier cosa menos poner "trabas" al cliente. Pero mientras no haya formación por parte del cliente, o una inversión importante en sistemas de autenticación alternativos (no voy a hablar de los servicios antifraude y antiphishing porque soy parte interesada), el phishing a este nivel seguirá siendo rentable para los atacantes. ¿Alguna otra idea? ¿Qué propondríais para formar a los usuarios?  
|