Phising: Evitar el robo de contraseñas en banca electrónica

[caminero]

Äunque este hilo que abro no sea una inversión propiamente dicha, sin duda puede asemejarse, ya que si un buen día nos encontramos con que la cuenta que tenemos en la banca online está a 0 €, puede darnos un buen susto. Hoy he visto en TV el caso de un chico al que han sustraido 13000€ de la cuenta online (se habían apoderado de sus claves ya que el chico accedió a una imitación fraudulente de la web de su banco).

Os pongo algunas recomendaciones sobre seguridad a la hora de acceder a vuestras cuentas online. Podeis colaborar y añadir cuantas recomendaciones estimeis oportunas:

1. Nunca pincheis sobre un enlace que supuestamente se dirija a la página web de acceso a la banca electrónica. Se recomienda teclearla.

2. En la pantalla de acceso donde se piden las claves (usuario y contraseña), aseguraros de que dicha página web está cifrada. es decir, se tiene que ver un "candado" en la parte inferior derecha. Si no aparece dicho candado, puede ser que la web donde estéis no sea la verdadera web del banco, y sea una web fraudulenta.

3. Hay ciertos programas espía llamados "keyloggers" que pueden adueñarse de todo lo que se escribe mediante el teclado. Para evitar esto algunas páginas de bancos online poseen un "telcado en pantalla" mediante el cual pinchamos la clave, coordenadas...etc. Se recomienda usar este "teclado en pantalla" siempre que se ofrezca dicha posibilidad.
En caso de que no existe dicho teclado en web, Windos XP ofrece un teclado en pantalla. Para verlo, hay que pinchar en INICIO-PRGRAMAS-ACCESIBILIDAD-->TECLADO EN PANTALLA. Según he leído los programas espía tipo keyloggers no pueden adueñarse de las claves introducidas así, ya que solo se utiliza el ratón.

4. El banco jamás nos pedirá nuestras claves a través de un correo electrónico (ellos siempre las saben!!). En caso de que "aparentemente" sí nos las pida, jamás las debeis dar, y siempre llamar al banco para preguntarle si ese email es de ellos.

5. Utilizar un buen antivirus (los hay gratuitos). La mayoría detectan toda esta sarama que puede instalarse en el ordenador y que puede espiarnos mientras navegamos. Además de tenerlo instalado, comprobar que está actualizado.

 

[mutenroy]

.....................

 

[gregoriN]

gracias por la info! toda precaución es poca para nuestros ahorrillos...

 

[El_Presi]

Qué yo sepa, cualquier banco online decente te pide las claves de confirmación con teclado númerico en pantalla e incluso poniendo los dígitos de forma aleatoria, es muy difícil que actualmente puedan hacer pishing. Muchas entrevistas que salen en la tele y radio son para dar miedo a la gente y que pase de los bancos onlines, por supuesto que son gente a sueldo de los bancos tradicionales.

 

[El_Presi]

Lo que hay que tener cuidado es en donde escondes los códigos por si te entran a robar en casa.

 

[El_Presi]

Hoy me he mosqueado muchisimo.

Tengo un depósito en activobank y envié un mensaje a través de la ventana de ayuda de la web porque, aunque mi deposito lo contraté antes de que rebajaran el limite maximo a 25mil euros, tenía dudas de que me hubieran pillado la cantidad completa que deposité.

Al grano, me llama hoy un tío con numero oculto hablandome de dicha consulta y me pide mi DNI, se lo digo, y espero que me de una respuesta a la pregunta mirando mis datos en su sistema.

A cuadros me he quedado cuando me dice:

-ahora dime tu contraseña. :
-yo: como?
-si, que me digas tu contraseña para entrar en tu area privada y ver donde te sale el mensaje de la cantidad máxima de tu depósito.
-yo: perdona pero no te voy a dar mi clave de acceso.
-si no pasa nada, es solo para ver que efectivamente todo el dinero se está remunerando al 7%, además que no pasa nada porque las operaciones solo se pueden hacer con tu tarjeta de coordenadas.
-yo: lo siento, pero no te voy a dar mis claves.
-bueno pues nada es lo mas que te puedo ayudar.
-yo: pues muchas gracias. adios.


::

He pecado de desconfiado o esto huele a rata podrida??

Rata podrida, seguro que tienen compinches dentro del departamento de incidencias para avisarles de los usuarios con problemas. Llama a tú banco y coméntale el caso.

 

[caminero]

Hoy me he mosqueado muchisimo.

Tengo un depósito en activobank y envié un mensaje a través de la ventana de ayuda de la web porque, aunque mi deposito lo contraté antes de que rebajaran el limite maximo a 25mil euros, tenía dudas de que me hubieran pillado la cantidad completa que deposité.

Al grano, me llama hoy un tío con numero oculto hablandome de dicha consulta y me pide mi DNI, se lo digo, y espero que me de una respuesta a la pregunta mirando mis datos en su sistema.

A cuadros me he quedado cuando me dice:

-ahora dime tu contraseña. :
-yo: como?
-si, que me digas tu contraseña para entrar en tu area privada y ver donde te sale el mensaje de la cantidad máxima de tu depósito.
-yo: perdona pero no te voy a dar mi clave de acceso.
-si no pasa nada, es solo para ver que efectivamente todo el dinero se está remunerando al 7%, además que no pasa nada porque las operaciones solo se pueden hacer con tu tarjeta de coordenadas.
-yo: lo siento, pero no te voy a dar mis claves.
-bueno pues nada es lo mas que te puedo ayudar.
-yo: pues muchas gracias. adios.


::

He pecado de desconfiado o esto huele a rata podrida??

A mí me pasó una cosa parecida. Deberías llamar a ActivoBank y preguntarles si es normal que te pidan esos datos cuando te llaman. Creo que en general nunca suelen pedir las claves, salvo el PIN telefónico para poder operar a través del teléfono. El banco suele recomendar:
"NO FACILITAR NUNCA SUS CLAVES A NADIE, PUES NI SIQUIERA NOSOTROS LE SOLICITAREMOS DICHAS CLAVES NI POR CORREO ELECTRÓNICO, NI POR TELÉFONO, NI EN PERSONA"
También es verdad que siempre que se van a hacer operaciones de cierta importancia te piden alguna coordenada.

 

[caminero]

Otra recomendación de seguridad

6.- La página web donde se introducen nombre y contraseña debe ser una página segura, lo cual se ve en la dirección url del sitio, que comienza por: https:// (Atención a la "s"). Esto quiere decir que dicha web utiliza un servidor seguro. Además, pinchando sobre el candado se puede ver el organismo que asegura la autenticidad de la web (Verisign, Thawte...).

7. Nunca acceder a banca online en ordenadores públicos, tales como cibercafe.... Algunas veces está activada la opción del navegador "recordar contraseña". No es la primera vez que usando un ordenador de estos, he visto como la persona que lo había usado antes, había dejado escrito su dirección de email y contraseña, con lo que fácilmente podía acceder a su cuenta de correo. Además en este tipo de ordenadores, casi nunca hay antivirus instalado y es fácil que tengan algún bichito, troyano o keylogger instalado, con lo que, fácilmente pueden adueñarse de nuestra cuenta de email.

 

[jens]

Hoy me he mosqueado muchisimo.

Tengo un depósito en activobank y envié un mensaje a través de la ventana de ayuda de la web porque, aunque mi deposito lo contraté antes de que rebajaran el limite maximo a 25mil euros, tenía dudas de que me hubieran pillado la cantidad completa que deposité.

Al grano, me llama hoy un tío con numero oculto hablandome de dicha consulta y me pide mi DNI, se lo digo, y espero que me de una respuesta a la pregunta mirando mis datos en su sistema.

A cuadros me he quedado cuando me dice:

-ahora dime tu contraseña. :
-yo: como?
-si, que me digas tu contraseña para entrar en tu area privada y ver donde te sale el mensaje de la cantidad máxima de tu depósito.
-yo: perdona pero no te voy a dar mi clave de acceso.
-si no pasa nada, es solo para ver que efectivamente todo el dinero se está remunerando al 7%, además que no pasa nada porque las operaciones solo se pueden hacer con tu tarjeta de coordenadas.
-yo: lo siento, pero no te voy a dar mis claves.
-bueno pues nada es lo mas que te puedo ayudar.
-yo: pues muchas gracias. adios.


::

He pecado de desconfiado o esto huele a rata podrida??

Llama a tu banco y explica el caso. Si la llamada era legítima, muy mal por ellos porque un cliente no tiene por qué darle su contraseña a nadie, por muy trabajador del banco que sea. Nunca. Pon una queja.

Y si no lo era, entonces uno de sus trabajadores, o alguien compichado con él, intentó robarte. Que lo investiguen y lo echen a la fruta calle. Y pon una queja también.

 

[Draco]

Estos consejos están muy bien, pero la seguridad aún con todo deja bastante que desear. El teclado javascript tampoco es la panacea, recuerdo haber leído acerca de troyanos que eran capaces de reconocerlos (aunque habría que hacer una versión por cada banco, supongo).

Yo pregunté a Uno-e y a OpenBank si tenían intención de ofrecer algún tipo de medida de seguridad adicional aunque fuese pagando, como un certificado en una smartcard + contraseña, o contraseñas de un solo uso para operar, pero me dieron respuestas negativas genéricas (lo estamos estudiando").

Me siento relativamente confiado porque la seguridad informática es parte de mi trabajo, y evito usar la banca online en dispositivos desconocidos, o desde ordenadores con Windows.

 

[mckote]

Yo creo que has hecho bien.
Es muy raro que pidan las claves (salvo el PIN telefonico) para realizar una consulta. Para lo unico que las necesitan son para realizar operaciones y este no era tu caso. Y aun siendo para realizar alguna opeacion solo suelen pedir 2 o 3 digitos aleatorios de lo que es la clave completa.
Llama a tu banco e informa del suceso o en su caso denuncia.
Salu2

 

[bastian]

Siento deciros que los teclados virtuales no os protegen de los troyanos:
http://www.hispasec.com/unaaldia/2894

Un saludo.

 

[jens]

Una solución bien sencilla e ingeniosa para evitar los keyloggers, por si una día no hay más remedio que usar un ordenador público para acceder a según qué sitios:
http://www.microsiervos.com/archivo/seguridad/proteger-contrasenas-keyloggers.html

Si sois muy maniáticos con la seguridad, podéis incluso dedicar unos cuantos megas de disco duro e instalar una partición con alguna distribución ligera de Linux, aunque sea nada más que para usarla para acceder a las cuentas bancarias.

 

[MAZINGUERPETA]

CINCO NORMAS PARA EVITAR EL PHISHING
El Centro de Alerta Antivirus de Red.es, que se encarga de fomentar la seguridad en internet, ha publicado un documento con 5 normas sencillas para evitar caer en la trampa del phishing, maniobra de ingeniería social por la que un usuario de correo electrónico es invitado a revelar sus claves bancarias o números secretos de acceso a cuentas financieras.

El phishing no es un bichito, sino un método que utiliza un mensaje de correo digital en la que se propone engañosamente la introducción de claves en una página web que simula la de una entidad bancaria.

Los mensajes enviados utilizarán todo tipo de ingeniosos argumentos relacionados con la seguridad de la entidad, para justificar la necesidad de introducir sus datos de acceso. Algunos ejemplos de los más comunes pueden ser los siguientes:

- Problemas de carácter técnico.
- Recientes detecciones de fraude.
- Nuevas recomendaciones de seguridad.
- Cambios en la política de seguridad de la entidad.

Ante esta campaña, Red.es recomienda 5 normas de fácil aplicación para evitar caer en estos señuelos:

1.- No atienda a correos electrónico escritos en idiomas que no hable: su entidad financiera no se dirigirá a Ud en ese idioma si antes no lo han pactado previamente

2.- No atienda a correos enviados por entidades de las que no es cliente en los que le pidan datos íntimos o que afecten a su seguridad

3.- No atienda a sorteos u ofertas económicas de forma inmediata e impulsiva

4.- No atienda a correos que le avisen del cese de actividades financieras recibidos por primera vez y de forma sorpresiva

5.- No atienda a correos de los que sospeche sin confirmarlos telefónica o personalmente con la entidad firmante

La Entidad Pública Empresarial Red.es, adscrita al Ministerio de Industria, Turismo y Comercio, tiene también entre sus funciones la de actuar como registro español de dominios de Internet bajo ".es", fomentar la Sociedad de la Información en nuestro país. Además del Observatorio de las Telecomunicación y de la Sociedad de la Información, gestiona el Centro de Alerta Antivirus, y los programas Internet en el Aula y Telecentros, RedIRIS y Patrimonio.es.

http://www.seguridadpymes.es/info-phishing.php