El cibercrimen mueve billones de dólares al año, los ciberdelincuentes frecuentan sitios de la dark web donde compran y venden grandes cantidades de datos robados, así como las herramientas necesarias para obtenerlos.

Robo datos tarjeta de crédito

Se estima que hay hasta 24 mil millones de nombres de usuario y contraseñas obtenidos ilegalmente que circulan actualmente en dichos sitios y entre los más buscados se encuentran los datos de tarjetas, que los estafadores compran para cometer fraude de identidad.

En los países que se implementó el sistema de chip y PIN (también conocidos como EMV), es un desafío convertir estos datos en tarjetas clonadas. Por eso son es más común ver ataques en línea dirigidos a transacciones sin tarjeta (CNP).

Camilo Gutiérrez Amaya, Jefe del Laboratorio de Investigación de ESET Latinoamérica comenta:

Los estafadores podrían usar los datos para comprar artículos de lujo para su posterior venta, o para comprar tarjetas de regalo a granel, que es otra forma popular de lavar fondos obtenidos ilícitamente. La escala del mercado de tarjetas es difícil de estimar. Pero los administradores de la tienda clandestina más grande del mundo se retiraron recientemente después de ganar aproximadamente 358 millones de dólares.

A continuación desde ESET explican cuáles son las cinco formas más comunes en que los ciberdelincuentes buscan obtener los datos de tarjetas de crédito de las personas y cómo detenerlos.

1. Phishing

Una de las técnicas más utilizadas por los ciberdelincuentes para robar datos. En su forma más simple, es un engaño en el que el cibercriminal se hace pasar por una entidad legítima (por ejemplo, un banco, un proveedor de comercio electrónico o una empresa de tecnología) para engañar a un usuario y convencerlo para que ingrese sus datos personales o descargue malware sin darse cuenta.

Estos mensajes de phishing suelen alentar a las personas a hacer clic en un enlace o abrir un archivo adjunto. A veces, dirigen al usuario a una página falsa que parece legítima, donde se solicitará que ingrese información personal y financiera.

Pese a ser una forma de ataque muy conocida, alcanzó el máximo histórico en el primer trimestre de 2022, algo que ya había sucedido en 2021.

El phishing ha ido evolucionado dando lugar a formas de ataque similares. En lugar de un correo electrónico, las víctimas pueden también recibir un mensaje texto (SMS) malicioso, conocido como smishing, donde un ciberdelincuente se puede hace pasar, por ejemplo, por una empresa de entrega de paquetería, una agencia gubernamental u otra organización de confianza.

Los estafadores pueden incluso llamarlo telefónicamente, en una forma de ataque conocida como vishing, donde nuevamente fingen ser una fuente confiable con el objetivo de convencer al individuo para que comparta los detalles de su tarjeta.

2. Malware

Se han desarrollado diferentes tipos de códigos maliciosos diseñados para robar información conocidos como malware.

Algunos pueden registrar las pulsaciones del teclado de la víctima; por ejemplo, mientras escribe los detalles de la tarjeta en un sitio de comercio electrónico o bancario.

Los ciberdelincuentes colocan estos programas maliciosos en los dispositivos mediante correos de phishing, mensajes de texto, o también a través de anuncios maliciosos.

En otros casos se compromete un sitio web que recibe muchas visitas y se espera a que los usuarios ingresen al sitio para infectarlos.

Ciertos códigos maliciosos se descargan automáticamente y se instalan en el equipo apenas el usuario visita el sitio comprometido.

El malware que roba información también suele estar oculto dentro de aplicaciones móviles maliciosas que parecen legítimas.

3. Web skimming

Los ciberdelincuentes también instalan malware en páginas de pago de sitios de comercio electrónico legítimos.

Estos códigos maliciosos son invisibles para el usuario, pero sustraen los detalles de la tarjeta a medida que son ingresados.

En estos casos, según ESET, recomiendan al usuario comprar en sitios confiables y utilizar aplicaciones de pago de renombre, que probablemente sean más seguras.

Las detecciones de web skimmers aumentaron un 150% entre mayo y noviembre de 2021.

4. Filtraciones de datos

A veces, los datos de las tarjetas se obtienen no de los usuarios, sino directamente de empresas con las que se hace algún tipo de transacción o negocio.

Podría ser desde un proveedor de atención médica, una tienda en línea o una empresa de viajes.

Esta forma de obtener datos es más rentable desde la perspectiva de los delincuentes, porque a través de un ataque se obtiene acceso a una gran cantidad de datos.

Por otro lado, con las campañas de phishing, si bien son ataques se lanzan de forma automatizada, tienen que robar a los individuos uno por uno.

5. Redes Wi-Fi públicas

Cuando se está fuera de casa puede resultar tentador navegar por la web utilizando puntos de acceso Wi-Fi públicos: ya sea en aeropuertos, hoteles, cafeterías y otros espacios compartidos.

Incluso si se tiene que pagar para unirse a la red, es posible que no sea seguro si los ciberdelincuentes han hecho lo mismo, ya que se puede usar el acceso a una red para espiar los datos de terceros a medida que son ingresados.

Consejos para proteger tus datos

Desde ESET comparten los siguientes consejos para proteger los datos de las tarjeta de crédito:

1. Estar alerta

Si recibe un correo electrónico inesperado o no solicitado, nunca responder, hacer clic en enlaces ni abrir archivos adjuntos.

Podría tratarse de un engaño que busca infectar con malware. O podrían llevar a páginas de phishing que parecen legítimas donde se solicitará el ingreso de datos.

2. No divulgar detalles por teléfono

Incluso si la persona al otro lado suena convincente. Preguntar de dónde están llamando y luego volver a llamar a esa organización para verificar. No utilizar los números de contacto que proporcionan.

3. No usar Internet en redes Wi-Fi públicas

Especialmente si no se utiliza una VPN. No realizar ninguna acción que implique ingresar los detalles de la tarjeta (por ejemplo, compras en línea).

4. No guardar datos de las tarjetas en el navegador

Aunque esto permita ahorrar tiempo la próxima vez que se realice una compra. De esta manera se reducirán considerablemente las posibilidades de que obtengan los datos de una tarjeta si la empresa o plataforma sufre una filtración o si un atacante logra secuestrar la cuenta.

5. Instalar una solución antimalware

Utilizar una aplicación de un proveedor confiable en cada uno de los dispositivos conectados a Internet.

6. Activar la autenticación en dos pasos

En todas las cuentas que tengan información sensible. La autenticación en dos pasos reduce las posibilidades de que los atacantes puedan acceder a las cuentas incluso si obtuvieron las credenciales de acceso.

7. Solo descargar aplicaciones de tiendas oficiales

App Store o Google Play por ejemplo.

8. Compra en línea solo en sitios con HTTPS

El navegador debería mostrar un candado en la barra de direcciones del navegador junto a la URL). Esto significa que hay menos posibilidades de que los datos puedan ser interceptados.

Camilo Gutiérrez Amaya, Jefe del Laboratorio de Investigación de ESET Latinoamérica concluye:

Finalmente, una práctica siempre recomendable es monitorear los movimientos de nuestras cuentas bancarias y de nuestras tarjetas. Si detecta alguna transacción sospechosa, informe de inmediato al equipo de fraude de su banco/proveedor de tarjeta. Algunas aplicaciones ahora permiten “congelar” todos los gastos en tarjetas específicas hasta determinar si ha habido una violación de seguridad. Hay muchas formas en que los malos obtienen los datos de nuestra tarjeta, pero también podemos hacer muchas cosas para mantenerlos lejos.

Para conocer más sobre seguridad informática ingrese al portal de noticias de ESET www.welivesecurity.com.

Recomendamos