Ing. Grave problema de seguridad

ING bloquea la cuenta de un cliente a diario porque su usuario es el DNI​

El sistema de acceso de ING permite dejar a un cliente fuera de su propia cuenta sin robarle nada, sin acertar una sola contraseña y sin que, sobre el papel, haya ocurrido nada grave. No falla la clave. Falla el identificador: para entrar hay que teclear el DNI y la fecha de nacimiento, dos datos que figuran en cualquier currículum colgado en la red. Con eso basta para intentarlo.

Un cliente de la entidad lleva semanas sin poder operar con normalidad. Cada jornada, alguien prueba su identificador, no acierta los tres caracteres de la clave y deja el acceso bloqueado. Recuperarlo cuesta una llamada y alrededor de una hora de gestión telefónica. Al día siguiente, el ciclo empieza otra vez.

El nombre de usuario de ING es el DNI y la fecha de nacimiento​

ING no identifica al cliente con un alias inventado, sino con su DNI y su fecha de nacimiento. Sobre esos dos campos se pide una clave de seis dígitos de la que el sistema solicita tres caracteres aleatorios. Quien conozca los dos primeros datos —triviales para un empleador, un comercial o cualquiera que lea un currículum publicado— puede intentar el acceso tantas veces como quiera.

Nunca acertará esos tres dígitos, y en eso consiste la paradoja. El mecanismo protege el saldo, pero no protege la puerta. El identificador no es secreto y el sistema de bloqueo, que existe para frenar a un atacante, se convierte en la herramienta con la que un tercero cierra la puerta desde fuera. Sin coste, sin rastro útil y sin necesidad de saber nada de informática.

¿Por qué se bloquea la cuenta si nadie acierta la contraseña?​

Porque el sistema cuenta los fallos por usuario, no por origen. Al tercer intento erróneo, la entidad bloquea la cuenta como medida de seguridad y deja de distinguir entre un titular que se equivoca y un tercero que dispara a ciegas. Cada intento ajeno obliga a una reactivación manual.

El afectado lo describe sin rodeos: cualquiera que le haya pagado con tarjeta o recibido una transferencia conoce ya su identificador. El resultado es una denegación de servicio doméstica, gratuita y repetible, contra la que la entidad no ofrece alternativa. La propuesta que más circula es simple: exigir un factor previo —un valor de la tarjeta de coordenadas, por ejemplo— y no contabilizar como fallo de acceso mientras ese factor no sea correcto. Así el bloqueo solo se activaría cuando el intento llegara de verdad a la clave.

Diez números en un papel: así responde ING a la petición de IP​

El afectado pidió formalmente las direcciones IP desde las que se intentaba el acceso. La respuesta llegó, tras una semana de discusiones, en forma de una hoja con diez números apuntados, remitida a una oficina. Poco más de lo que el propio interesado podría haber anotado en un folio.

Semanas después, la entidad comunicó que no volvería a enviar esa relación. En paralelo, el cliente empezó a recibir mensajes con códigos de desbloqueo que no había solicitado. La comparación entre lo que se pide y lo que se entrega es, en palabras del propio damnificado, «patética».

¿Se puede denunciar el bloqueo de la cuenta sin robo?​

La respuesta de los cuerpos policiales consultados es la misma: sin acceso efectivo y sin dinero sustraído, el asunto queda como estafa en grado de tentativa y la denuncia no se tramita. El afectado lo resume diciendo que el papel solo le sirve a él.

Hay quien sostiene que la vía correcta es dejar constancia igualmente, porque sirve para reforzar una reclamación posterior contra la entidad. Y hay quien plantea ir directamente al juzgado de guardia cuando la comisaría se niega a instruir el atestado. La discusión de fondo es otra: si romper la cerradura de una casa sin entrar es punible, bloquear el acceso a una cuenta ajena debería tener un encaje parecido.

El certificado electrónico no cierra la vía tradicional​

Una de las salidas propuestas es entrar con certificado electrónico y pedir que se desactiven las claves antiguas. La comprobación posterior fue descorazonadora: aunque se autorice la entrada con DNI electrónico, el método tradicional permanece activo. La puerta vieja sigue ahí, y con ella el bloqueo.

El propio director de una oficina, según el relato del cliente, le habría dicho que no cabía otra solución que dejar de ser cliente. Un consejo poco comercial y, a la vista de los hechos, probablemente sincero.

Varias entidades comparten el mismo punto débil​

El problema no es exclusivo de ING. El repaso comparado que hace un forero de media docena de entidades deja un patrón incómodo: COINC pide correo y contraseña sin tarjeta de coordenadas; i-banesto y Openbank, DNI con clave de ocho dígitos; Popular-e, usuario y seis dígitos; SelfBank, usuario y contraseña alfanumérica de ocho caracteres; Activobank, DNI sin letra y cuatro dígitos. Según este usuario, todas permiten dejar a un tercero fuera de su cuenta equivocándose tres veces.

Frente a eso, el modelo suizo que describe un cliente de UBS resulta casi marciano: identificador, contraseña, un reto numérico que genera la web —lo que allí llaman challenge—, una calculadora facilitada por el banco, la tarjeta metida dentro y su PIN propio. En ING Luxemburgo se añade un dispositivo Digipass, según otro participante. El detalle importa: el sistema ya existe, es cómodo de usar y apenas cuesta medio minuto más de acceso.

El desglose completo de entidades, métodos y longitud de claves, comparado punto por punto, deja una foto que ninguna entidad parece dispuesta a publicar.

Qué puede cambiar y qué no​

Ninguna entidad va a renunciar a medir intentos fallidos, y tiene sentido que no lo haga. La discusión es en qué momento empieza a contar el fallo. Mientras el identificador siga siendo el DNI y la fecha de nacimiento, cualquier cliente con un currículum público será un objetivo fácil y gratuito. Si alguna entidad mueve ficha, lo hará antes por presión reputacional que por sentencia judicial.