Sandra tiene 61 años y solo necesitaba hacer una transferencia. Escribió el nombre de su banco en Google y entró al primer resultado que vio en pantalla, marcado como «Patrocinado», sin sospechar nada raro. La página que se abrió era una réplica exacta de su banca electrónica de siempre.
Cargó su usuario y su contraseña, y cuando el sistema le pidió también la clave token por un supuesto motivo de seguridad, la compartió sin dudar. A los pocos minutos, su cuenta bancaria estaba vacía. La estafa le costó varios millones de pesos.
Lo que le pasó a Sandra no fue un descuido aislado. Fue el resultado de una maniobra de suplantación de identidad muy elaborada que golpea a miles de personas en Argentina. ¿Cómo operan estas bandas digitales? ¿Cómo revisar un enlace antes de escribir datos personales? ¿Qué peligro esconde cargar información en avisos patrocinados desconocidos?
El delito informático no dejó de crecer desde la pandemia del coronavirus. Horacio Azzolin, titular de la Unidad Fiscal Especializada en Ciberdelincuencia (Ufeci) del Ministerio Público Fiscal, confirmó que las denuncias aumentaron un 465 por ciento en poco tiempo. Los estafadores se aprovechan de una idea muy arraigada, la de pensar que a uno nunca le va a tocar.
¿Por qué los avisos falsos superan a la página oficial del banco?
Cuando buscas el nombre de tu banco en Internet, supones que el primer resultado va a ser el oficial. Pero los delincuentes recurren al «malvertising», o publicidad maliciosa, para posicionar sus sitios truchos por encima de los enlaces reales. Las plataformas publicitarias de los buscadores funcionan con subastas, y el anunciante que paga más se queda con el primer lugar.
Pagar esas publicidades no es un problema para las bandas criminales, porque financian sus campañas con tarjetas de crédito robadas o con dinero lavado. De esa forma, superan las ofertas que hacen los bancos reales para proteger su propia marca.
El engaño no termina en la plata. Los delincuentes configuran los anuncios para llegar a un público muy específico. Usan la hiper segmentación para que el aviso falso solo aparezca ante personas mayores de 60 años que viven lejos de las grandes ciudades.
Con esa táctica logran que los equipos de ciberseguridad de los bancos, que suelen trabajar en las capitales, no detecten la maniobra porque no encajan en el perfil al que apunta la estafa.
¿Cómo esconden los estafadores sus sitios de los controles de Google?
¿Cómo hacen para que empresas tecnológicas tan grandes dejen pasar estos anuncios? La respuesta está en el «cloaking», una técnica de ocultamiento avanzada. El servidor de los delincuentes le muestra un contenido inofensivo a quien revisa la seguridad del anuncio, mientras que a las víctimas reales les despliega el portal de robo.
Investigadores de la compañía Varonis descubrieron hace poco una plataforma llamada 1Campaign, creada para esquivar los controles de los buscadores.
Cuando un robot de seguridad o un empleado del buscador hace clic en el anuncio para revisarlo, la herramienta reconoce su dirección IP y lo redirige a una página legítima, como un blog de noticias o un conversor de moneda, y así consigue que el aviso quede aprobado.
Pero cuando un usuario común entra desde su casa, el sistema lo lleva directamente a la copia exacta de la banca electrónica para quedarse con sus datos.
¿Qué señales muestran que una URL bancaria es falsa?
La defensa más importante para cualquier usuario de Internet es revisar bien la dirección web antes de cargar cualquier dato. Los ciberdelincuentes usan el «typosquatting«, una técnica de falsificación de dominios, para registrar direcciones muy parecidas a las oficiales y aprovechar así nuestros errores de tipeo o descuidos.
Hay varias formas de armar estos engaños en las direcciones web:
- Omisión de caracteres. Los atacantes registran dominios a los que les falta una letra, apostando a que vas a escribir rápido. Un ejemplo sería bancoprovncia.com.ar en lugar del dominio real.
- Letras duplicadas. Buscan aprovechar el error de apretar una tecla dos veces sin darte cuenta.
- Letras transpuestas o invertidas. Juegan con el cambio de orden entre letras que están una al lado de la otra en el teclado.
- Sustitución por teclas cercanas. Cambian una letra por otra que está pegada en el teclado.
- Extensiones incorrectas. Registran el nombre correcto del banco pero con una terminación distinta, como .co o .info en lugar de .com.ar.
- Ataques homógrafos. Es la técnica más peligrosa. Usan alfabetos extranjeros, como el cirílico, con letras que a simple vista son iguales a las nuestras pero que para la computadora representan un sitio completamente distinto, alojado en otro servidor.
¿El candado verde garantiza que un sitio es seguro?
Durante años nos enseñaron que el candado cerrado junto a la dirección, sumado a un HTTPS al inicio, significa que estamos en un entorno seguro. Hoy esa creencia se volvió peligrosa. Ese protocolo únicamente garantiza que la comunicación entre tu computadora y el servidor esté cifrada, para que nadie en el medio pueda espiar los datos.
Sin embargo, ese protocolo no confirma quién es el verdadero dueño del servidor. Los ciberdelincuentes consiguen certificados de seguridad gratuitos en pocos minutos para sus páginas falsas, y logran que el navegador muestre el famoso candado verde igual que en un sitio auténtico.
¿Cómo consiguen la clave y el token en el mismo momento?
Antes, las páginas falsas solo guardaban el usuario y la contraseña en una base de datos para que el delincuente los usara después. Si tenías activo el segundo factor de autenticación, ya sea un código por SMS o un token de la aplicación, estabas protegido. Los atacantes avanzaron y ahora usan una modalidad llamada adversario en el medio, conocida en inglés como Adversary in the Middle o AITM.
Cuando cargas tus datos en el sitio falso, ese portal funciona como un intermediario invisible. El servidor del atacante se conecta al instante con la página real de tu banco y prueba tu usuario y tu contraseña en tiempo real. Cuando el banco verdadero detecta el ingreso y pide el código token para confirmar tu identidad, la página falsa que ves en pantalla te pide ese mismo código con la excusa de validar tu cuenta.
En el momento en que tipeás ese código, se lo estás entregando al estafador, que lo carga en el portal legítimo y toma el control total de tu sesión.
¿Qué pasa una vez que el estafador entra a tu cuenta?
Las consecuencias de cargar tus datos en un enlace patrocinado desconocido pueden ser devastadoras. Una vez que los estafadores superan todas las barreras de seguridad gracias a los códigos que vos mismo les diste sin saberlo, vacían los fondos con transferencias inmediatas a billeteras virtuales de terceros, donde la plata se pierde en un circuito casi imposible de rastrear.
El daño no termina ahí. La modalidad más dañina es la solicitud de préstamos preaprobados a nombre de la víctima. Los delincuentes piden sumas millonarias que se acreditan al instante y las transfieren enseguida, así que te dejan con la cuenta en cero y con una deuda enorme frente al banco.
Daniel Monastersky, director del Centro de Estudios en Ciberseguridad y Protección de Datos de la Universidad Austral, señaló que la estafa que más perjuicios generó últimamente es justamente la de los créditos preaprobados que gestionan terceros.
¿Qué resolvió la Justicia sobre las víctimas de estas estafas?
Frente al aumento de estos casos, la Justicia argentina empezó a tomar posturas firmes para proteger a los usuarios. Hace poco, la Sala C de la Cámara Nacional de Apelaciones en lo Comercial falló a favor de una jubilada a la que le habían vaciado los ahorros y le habían sacado un crédito fraudulento de casi dos millones de pesos.
Los delincuentes, con técnicas de ingeniería social y páginas truchas, se apoderaron de su cuenta y generaron esa deuda. Al principio el banco quiso cobrarle las cuotas a la víctima, pero la fiscal general Gabriela Boquin, titular del Programa para la Protección de Usuarios y Consumidores del Ministerio Público Fiscal de la Nación, se pronunció a favor de la jubilada.
Boquin sostuvo que, sin una medida judicial, la víctima quedaría en una situación de sobreendeudamiento que afectaría su calidad de vida y su historial crediticio. Los jueces respaldaron esa postura y establecieron que los bancos, como creadores y administradores del sistema, son responsables de garantizar la seguridad de las transacciones.
El consumidor, la parte más débil de la relación, no puede hacerse cargo de las consecuencias económicas de fallas en los sistemas digitales frente a estafadores profesionales.
¿Por qué un banco argentino denunció a Google?
El nivel de sofisticación de estas estafas es tan alto que hasta las propias entidades financieras se sienten víctimas de la situación. Un caso fue la decisión del Nuevo Banco del Chaco, que inició una demanda penal contra Google. Los responsables de seguridad del banco afirmaron que tienen las manos atadas frente a la multiplicación de sitios falsos promocionados en el buscador.
El banco argumentó ante la Justicia que la plataforma publicitaria contribuye a la maniobra delictiva, porque le permite a cualquier persona pagar para usar palabras relacionadas con la entidad sin chequear su verdadera identidad.
Esta situación deja al descubierto una falla en los controles de las empresas tecnológicas y demuestra que aparecer primero entre los resultados patrocinados no garantiza que un sitio sea auténtico.
¿Cómo detectar los mensajes que fabrican una falsa urgencia?
Los ciberdelincuentes no atacan solo a través de los buscadores. También combinan sus métodos con contactos por redes sociales y aplicaciones de mensajería.
Jorge Litvin, abogado especialista en cibercrimen, advirtió que los criminales estudian el tema y siguen de cerca las tendencias del momento para engañar a los usuarios. Mandan correos o mensajes a nombre de bancos o empresas de servicios y le exigen a la persona que entre a un enlace para validar datos con urgencia.
La presión psicológica es el arma central de la ingeniería social. Te asustan con el aviso de que van a bloquear tu cuenta, con que detectaron un inicio de sesión no autorizado o con que ganaste un premio que está por vencer. Todo apunta a anular tu sentido común para que hagas clic sin pensar.
¿Qué recomienda el Banco Central para cuidar tu cuenta?
Para frenar esta ola de ciberdelitos, el Banco Central de la República Argentina (BCRA) difundió una serie de recomendaciones que conviene sumar a la rutina digital.
La primera y más importante es dejar de usar buscadores para entrar al portal del banco. Lo recomendable es escribir vos mismo la dirección web en el navegador y guardarla entre los favoritos. Así eliminas cualquier chance de caer en un enlace patrocinado engañoso.
El BCRA también advirtió que ningún banco llama por teléfono, manda un WhatsApp o un correo electrónico para pedir que cambies tus claves o que brindes códigos de seguridad. Si recibís un llamado de alguien que dice ser del banco y te pide hacer operaciones en tu banca electrónica o en un cajero automático, hay que cortar la comunicación de inmediato.
Otra medida vital es activar el segundo factor de autenticación en todas las plataformas y usar contraseñas distintas para cada servicio. Si los estafadores logran vulnerar una de las cuentas, no van a tener acceso automático a todo el perfil financiero.
También conviene evitar conectarse a la cuenta bancaria desde redes wifi públicas, porque en esos entornos los atacantes pueden interceptar el tráfico de datos con facilidad.
¿Qué hacer en los primeros minutos tras caer en la trampa?
Si te das cuenta de que caíste en un engaño, el tiempo es el recurso más valioso. Comunícate de inmediato con las líneas exclusivas de fraude de tu banco para bloquear las tarjetas, suspender el acceso a la banca en línea y frenar cualquier transferencia que esté en curso.
Es fundamental dejar un reclamo formal en la entidad financiera y desconocer las operaciones que no hiciste. Después hay que presentar una denuncia ante la Unidad Fiscal Especializada en Ciberdelincuencia (Ufeci) o en la fiscalía más cercana al domicilio. Las vías de contacto con esas dependencias judiciales están disponibles en el sitio del Ministerio de Justicia.
Conviene guardar todas las capturas de pantalla, los correos electrónicos, los comprobantes de transferencias y las direcciones web falsas, porque esa información va a ser una prueba clave para la investigación policial.
El mundo digital avanza a un ritmo cada vez más veloz y las amenazas son más difíciles de detectar a simple vista. La mejor defensa sigue siendo la misma: estar informado, desconfiar de los mensajes urgentes y adoptar prácticas seguras que protejan los ahorros. La comodidad de un clic nunca puede estar por encima de la seguridad de la cuenta bancaria.
Nota de R.: Este artículo acerca de estafas bancarias basadas en búsquedas en Google fue publicada originalmente en iProfesional.
Si te gustó o sirvió algo que publiqué, te ofrezco dos alternativas para agradecer y permitir la continuidad de mi trabajo en Bahía César:
Te invito a suscribirte gratis al boletín semanal de Bahía César para recibirlo en tu correo electrónico. Ingresa tu e-mail aquí.
Buenísima nota. Los ciberdelincuentes siempre van un paso más adelante que nosotros. ¡Gracias, César!