Pensá en esta escena, que se repite todos los días. Sandra tiene 61 años y solo quiere hacer una transferencia común, así que abre Google en su computadora y tipea el nombre de su banco. El primer resultado que aparece en la pantalla lleva la etiqueta “Patrocinado”, pero ella no desconfía y hace clic. La página que se carga es una copia exacta de su “home banking” de siempre. Carga su usuario y su contraseña, y el sistema le pide además la clave token por un supuesto motivo de seguridad. Ella la ingresa sin dudar y, en pocos minutos, su cuenta queda en cero. La estafa le costó algunos millones de pesos.
Lo de Sandra no fue un simple descuido. Fue el resultado de una maniobra de suplantación de identidad muy sofisticada que afecta a miles de argentinos. ¿Cómo funcionan estas mafias digitales? ¿Cómo chequear cada enlace antes de escribir tus datos personales? ¿Cuál es el riesgo enorme de cargar información en avisos patrocinados que no conocés?
El ciberdelito no paró de crecer desde la pandemia del coronavirus. Horacio Azzolin, titular de la Unidad Fiscal Especializada en Ciberdelincuencia (Ufeci) del Ministerio Público Fiscal, confirmó que las denuncias subieron un 465 por ciento en poco tiempo. El problema de fondo es que los estafadores se aprovechan de una idea muy instalada entre nosotros, esa creencia de que a uno nunca le va a tocar.
¿Cómo hacen los avisos falsos para ganarle a los resultados oficiales de bancos?
Cuando escribís el nombre de tu banco en Internet, das por hecho que el primer resultado va a ser el oficial. Pero los delincuentes usan una técnica llamada “malvertising“, o publicidad maliciosa, para poner sus sitios falsos por encima de los enlaces reales. Las plataformas de publicidad de los buscadores trabajan con un sistema de subastas, donde el anunciante que ofrece más plata se queda con el primer lugar.
Para las bandas criminales, pagar por esas publicidades no representa ningún problema porque financian sus campañas con tarjetas de crédito robadas o con fondos que vienen del lavado de dinero. Así superan las ofertas que ponen los bancos reales para proteger su propia marca.
Pero el engaño no se limita a la plata. Los ciberdelincuentes configuran estas publicidades para llegar a un público específico. Recurren a la hiper segmentación para que el anuncio falso solo se les muestre a personas mayores de 60 años en localidades alejadas de los grandes centros urbanos. Con esta táctica logran que los equipos de ciberseguridad de los bancos no detecten los anuncios falsos, porque esos especialistas suelen trabajar en las grandes capitales y no encajan en el perfil al que apunta la estafa.
¿Qué tecnología usan delincuentes para esquivar controles de seguridad?
¿Cómo hacen para que empresas tecnológicas tan grandes dejen pasar estos anuncios? La respuesta está en una técnica de ocultamiento avanzada que se llama “cloaking“. Este método hace que el servidor de los delincuentes le muestre un contenido inofensivo a quien revisa la seguridad, mientras que a las víctimas reales les despliega el portal de robo.
Investigadores de la compañía Varonis descubrieron hace poco una plataforma llamada 1Campaign, desarrollada para esquivar los controles de los buscadores. Cuando un robot de seguridad o un empleado del buscador hace clic en el anuncio para revisarlo, esta herramienta reconoce su dirección IP y lo manda a una página legal, como un blog de noticias o un conversor de moneda. Así consigue que el anuncio quede aprobado. Pero cuando un usuario común hace clic desde su casa, el sistema lo lleva de forma inmediata a la copia exacta del home banking para quedarse con sus datos.
¿Qué señales delatan a una URL falsa de un banco?
La defensa más importante que tenemos los usuarios de Internet es revisar bien la dirección web o URL antes de cargar cualquier dato. Los ciberdelincuentes usan técnicas de falsificación de dominios, conocidas como “typosquatting“, para registrar direcciones que se parecen muchísimo a las oficiales y así aprovechan nuestros errores de tipeo o nuestros descuidos.
Existen varias formas de engaño en las direcciones web que debés conocer para estar alerta.
- Omisión de caracteres. Los atacantes registran dominios a los que les falta una letra, porque suponen que vas a escribir rápido. Un ejemplo sería bancoprovncia.com.ar en lugar del dominio oficial.
- Letras duplicadas. Buscan agarrarte si apretás una tecla dos veces por error o si no prestás atención al leer.
- Letras transpuestas o invertidas. Juegan con el cambio de orden entre letras que están una al lado de la otra.
- Sustitución por teclas cercanas. Reemplazan una letra por otra que está pegada en el teclado.
- Uso de extensiones incorrectas. Registran el nombre correcto del banco, pero con una terminación distinta, como .co o .info en lugar de .com.ar.
- Ataques homógrafos. Es la técnica más peligrosa de todas. Usan alfabetos extranjeros, como el cirílico, con letras que a simple vista son iguales a las nuestras, pero que para la computadora representan un sitio web completamente distinto, alojado en otro servidor.
Para profundizar en cómo detectar estas trampas visuales, te recomendamos el siguiente video que explica la estructura de los enlaces.
También podés aprender a identificar la suplantación de caracteres en el siguiente video:
¿Por qué el candado cerrado ya no significa que un sitio sea seguro?
Durante años nos enseñaron que un candado cerrado junto a la dirección, sumado a un HTTPS al inicio, significaba que estábamos en un entorno seguro. Hoy esa creencia se volvió peligrosa. Ese protocolo de seguridad solo garantiza que la comunicación entre tu computadora y el servidor esté cifrada, para que nadie en el medio pueda espiar los datos.
Sin embargo, ese protocolo no confirma quién es el verdadero dueño del servidor. Hoy los ciberdelincuentes consiguen certificados de seguridad gratuitos en pocos minutos para sus páginas falsas, y así logran que el navegador les muestre el famoso candado verde. Para terminar con este mito y entender por qué no alcanza con fijarte en ese símbolo, te sugerimos ver el siguiente video:
¿Cómo te roban la cuenta en tiempo real?
Antes, las páginas falsas solo guardaban tu usuario y tu contraseña en una base de datos para que el delincuente los usara después. Si tenías activo el segundo factor de autenticación, ya sea un código por SMS o un token de la aplicación, estabas protegido. Por desgracia, los atacantes avanzaron y ahora usan una modalidad que se llama “adversario en el medio“, conocida en inglés como Adversary-in-the-Middle o AITM.
Cuando cargás tus datos en el sitio falso, ese portal actúa como un intermediario invisible. El servidor del atacante se conecta al instante con la página real de tu banco y prueba tu usuario y tu contraseña en tiempo real. Cuando el banco verdadero nota el ingreso y pide el código token para confirmar tu identidad, la página falsa que ves en tu pantalla te pide ese mismo código con la excusa de validar tu cuenta.
Apenas tipeás ese código, se lo estás entregando al estafador, que lo carga en el portal legítimo y toma el control total de tu sesión. Sobre el riesgo de entregar estos tokens de validación, podés ver el siguiente video:
¿Qué hacen los estafadores cuando toman el control de tu home banking?
Las consecuencias de cargar tus datos en un enlace patrocinado desconocido son devastadoras. Una vez que los estafadores logran superar todas las barreras de seguridad gracias a los códigos que vos mismo les diste sin saberlo, vacían los fondos con transferencias inmediatas a billeteras virtuales de terceros, donde la plata se pierde en un laberinto casi imposible de rastrear.
Pero el daño no se queda ahí. La modalidad más dañina de todas es la solicitud de préstamos preaprobados a tu nombre. Los delincuentes piden sumas millonarias que se acreditan al instante y las transfieren enseguida, y así te dejan con la cuenta en cero y con una deuda enorme frente a la entidad financiera. Daniel Monastersky, especialista en delitos informáticos de la Universidad del CEMA, señaló que la estafa que más perjuicios generó en el último tiempo es justamente la de los créditos bancarios preaprobados que gestionan terceros.
¿Qué dice la Justicia sobre las víctimas de la suplantación de identidad?
Frente al aumento desmedido de estos casos, la Justicia argentina empezó a tomar posturas firmes para proteger a los usuarios. Hace poco, la Sala C de la Cámara Nacional de Apelaciones en lo Comercial dictó un fallo a favor de una jubilada a la que le habían vaciado los ahorros y le habían sacado un crédito fraudulento de casi dos millones de pesos.
Los delincuentes, con técnicas de ingeniería social y páginas falsas, se apoderaron de su cuenta y generaron esa deuda. Al principio el banco quiso cobrarle las cuotas a la víctima, pero la fiscal general Gabriela Boquin, titular del Programa para la Protección de Usuarios y Consumidores del Ministerio Público Fiscal de la Nación, se pronunció a favor de la jubilada.
Boquin sostuvo que, sin una medida judicial, la víctima quedaría en una situación de sobreendeudamiento que afectaría su calidad de vida y su historial crediticio. Los jueces respaldaron esta postura y establecieron que los bancos, como creadores y administradores del sistema, son responsables de garantizar la seguridad de las transacciones. El consumidor, que es la parte más débil de la relación, no puede hacerse cargo de las consecuencias económicas de fallas en los sistemas digitales frente a estafadores profesionales.
¿Qué medidas tomaron los bancos contra las plataformas de búsqueda?
El nivel de sofisticación de estas estafas es tan alto que hasta las propias entidades financieras se sienten víctimas de la situación. Un caso fue la decisión del Nuevo Banco del Chaco, que decidió hacer una demanda penal contra la compañía Google. Los responsables de seguridad del banco afirmaron que están con las manos atadas frente a la multiplicación de sitios falsos promocionados en el buscador.
El banco argumentó ante la Justicia que la plataforma publicitaria hace un aporte a la maniobra delictiva, porque le permite a cualquier persona pagar para usar palabras relacionadas con la entidad sin chequear su verdadera identidad. Esta situación deja al descubierto una falla en los controles de las empresas tecnológicas y demuestra que aparecer primero entre los resultados patrocinados no garantiza que un sitio sea auténtico.
¿Cómo reconocer los cuentos del tío modernos y las falsas urgencias?
Los ciberdelincuentes atacan a través de los buscadores y también combinan sus métodos con contactos por redes sociales y aplicaciones de mensajería. Jorge Litvin, abogado especialista en cibercrimen, advirtió que los criminales estudian el tema y siguen de cerca las tendencias del momento para engañar a los usuarios. Mandan correos o mensajes a nombre de bancos o empresas de servicios y le exigen al usuario que entre a un enlace para validar datos urgentes.
La presión psicológica es el arma secreta de la ingeniería social. Te asustan con el aviso de que van a bloquear tu cuenta, con que detectaron un inicio de sesión no autorizado o con que ganaste un premio que está por vencer. Todo esto apunta a anular tu sentido común para que hagas clic sin pensar.
Podés conocer más sobre cómo desactivar ese impulso de actuar bajo la falsa urgencia en el siguiente video:
¿Qué recomienda el Banco Central para prevenir estos fraudes?
Para frenar esta ola de ciberdelitos, el Banco Central de la República Argentina (BCRA) difundió una serie de lineamientos que deberíamos sumar a nuestra rutina digital.
La primera y más importante regla es dejar de usar buscadores para entrar al portal de tu banco. La recomendación oficial es escribir vos mismo la dirección web en el navegador y guardarla entre tus favoritos. De esta manera, eliminás cualquier chance de caer en un enlace patrocinado engañoso.
Además, el BCRA advirtió que ningún banco te va a llamar por teléfono, mandarte un WhatsApp o un correo electrónico para pedirte que cambies tus claves o para solicitarte códigos de seguridad. Si recibís un llamado de alguien que dice ser del banco y te pide hacer operaciones en tu home banking o en un cajero automático, tenés que cortar la comunicación de inmediato.
Otra medida de protección vital es activar el segundo factor de autenticación en todas tus plataformas y usar contraseñas distintas para cada servicio. Si los estafadores logran vulnerar una de tus cuentas, no van a tener acceso automático a todo tu perfil financiero. Además, evitá conectarte a tu cuenta bancaria a través de redes wifi públicas, porque en esos entornos los atacantes pueden interceptar el tráfico de datos con facilidad.
¿Qué hacer si ya cargaste tus datos en un sitio falso?
Si te das cuenta de que caíste en un engaño, el tiempo es tu recurso más valioso. Comunicáte de inmediato con las líneas exclusivas de fraude de tu banco para bloquear tus tarjetas, suspender el acceso a tu banca en línea y frenar cualquier transferencia que esté en curso.
Es fundamental que dejes un reclamo formal en la entidad financiera y que desconozcas las operaciones que no hiciste. Después, tenés que presentar una denuncia ante la Unidad Fiscal Especializada en Ciberdelincuencia (Ufeci) o en la fiscalía más cercana a tu domicilio. Puedes consultar las vías de contacto con esas organizaciones judiciales en este enlace.
Guardá todas las capturas de pantalla, los correos electrónicos, los comprobantes de transferencias y las direcciones web falsas, porque toda esa información va a ser una prueba clave para la investigación policial.
El mundo digital avanza a un ritmo vertiginoso y las amenazas cada vez son más difíciles de ver a simple vista. Tu mejor defensa es estar informado, desconfiar siempre de los mensajes urgentes y adoptar prácticas seguras que protejan tus dispositivos. La comodidad de un clic no puede estar por encima de la seguridad de tus ahorros. Mantené la guardia alta, educá a tu entorno y nunca dejes tus credenciales en manos de enlaces que no conocés.
