Banca y 'ciberdelito', ¿estamos seguros?
Uno de los pilares tradicionales en que se basa el negocio bancario es la confianza y, por tanto, la seguridad. Hace años, antes de la expansión de internet y de las comunicaciones sin cable a todos los ámbitos de la sociedad, cuando hablábamos de seguridad nos referíamos a la necesidad de salvaguardarnos de delitos y robos físicos. Hoy, el concepto de seguridad se ha ampliado. Hablamos de la seguridad lógica, que nos protege del ciberdelito a través de la red y salvaguarda nuestros datos y el acceso a nuestra información como clientes.
Las entidades financieras llevan aplicando desde hace tiempo la seguridad lógica para proteger a sus clientes, sobre todo a aquellos usuarios de la banca por internet, más susceptibles de sufrir un ciberdelito. Por lo general, las entidades han blindado sus sistemas y acceder a ellos para robar datos de sus clientes es prácticamente imposible.
Este blindaje de los bancos ha obligado a los delincuentes a sofisticar sus métodos y a buscar nuevos flancos de ataque. Los nuevos delitos consisten en engañar al cliente y buscar su punto débil. Entre las nuevas formas de amenaza en internet encontramos fraudes como el phising, el pharming, los troyanos o el spyware.
Ante esta sofisticación del fraude, los bancos están ampliando el ámbito de la seguridad lógica hasta extenderla al usuario final, dotándose de nuevas soluciones de seguridad y realizando campañas de información y advertencia al cliente.
La mayoría de los ataques actuales, como es el caso del phising, buscan aprovecharse de la confianza del usuario. El fraude consiste en enviarle un correo electrónico falso, supuestamente de su entidad financiera, y convencerle para que proporcione sus datos de conexión (usuario y contraseña) mediante argumentos engañosos y enlaces a sitios web falsos pero prácticamente iguales a los auténticos sitios web de los bancos. En 2005 esta modalidad de fraude representó una media de uno de cada 304 correos, según el IBM Global Security Index.
Existe otro tipo de ataques, poco extendidos pero más complejos, que consisten en que los ciberdelincuentes instalan programas espía, o malware, en los ordenadores de los usuarios para robarles mediante técnicas diversas su información confidencial (a veces también desde sitios web falsos, con la apariencia del sitio web real del banco), lo que les permitirá posteriormente cometer el fraude.
Hay diferentes medidas que se pueden utilizar para tratar de evitar este tipo de ataques. Estas soluciones van desde el uso del protocolo seguro Secure Socket Layer (con este protocolo de seguridad la URL siempre empieza por https) a los certificados digitales de usuario, o la utilización de mecanismos de doble autentificación mediante el uso de tokens: pequeños dispositivos hardware que generan una palabra clave para una operación concreta y que sólo tienen validez para esa única operación, durante un periodo muy corto de tiempo. En el caso de que unos piratas informáticos contaran con las claves del usuario para hacer la transferencia, al no tener esta palabra clave nunca podrían realizar la operación. En sus versiones más complejas los tokens requieren el uso conjunto de una tarjeta inteligente, a su vez protegida con otra palabra clave, añadiendo un grado de seguridad adicional.
Se estima que este tipo de ataques irá en aumento, así como su sofisticación. La batalla por defender al usuario no sólo ha de ser emprendida por las entidades bancarias, sino que los organismos reguladores, los propios usuarios y las empresas de tecnología también tienen una importante labor de salvaguarda por delante.
Los bancos han de seguir concienciando e informando al usuario de las posibilidades de ser engañado, así como invirtiendo en aquellas soluciones tecnológicas más innovadoras.
Los organismos reguladores deben promover un marco legal que proteja al máximo a los usuarios. Actualmente, según un estudio realizado por IBM, el 44% de las empresas españolas encuestadas tienen la percepción de que la legislación actual no es adecuada para combatir la ciberdelincuencia organizada, y un 59% de las empresas españolas encuestadas cree que los legisladores españoles no están haciendo lo suficiente para combatir este tipo de delitos.
Los usuarios debemos mejorar nuestros conocimientos del medio electrónico para eliminar potenciales ataques y las empresas de tecnologías de la información debemos seguir trabajando para poner a disposición del mercado aquellas soluciones tecnológicas que impidan estos ataques.
En definitiva, es necesario un mayor esfuerzo de coordinación en estos cuatro planos para que los usuarios dejen de temer por su ciberseguridad.