Archivado en Ciberderechos

Pedimos que se regule esta materia y que se establezca un régimen que proteja más a los usuarios

Los estafadores pescan en la Red en Banca por Internet


Comfia-CCOO denuncia que el cliente se encuentra desprotegido ante estas situaciones. En los contratos que disciplinan el servicio bancario online, los bancos no asumen responsabilidades ante la posibilidad de estafas, al contrario de lo que pasa en el caso de las tarjetas de crédito.


pdf
print
pmail

Estimado cliente, debido a los intentos de estafa que se han producido en los √ļltimos d√≠as necesitamos confirmar los datos de su cuenta. Pinche en el enlace y conf√≠rmelos en 24 horas, o nos veremos obligados a bloquear la cuenta para su protecci√≥n".

As√≠ suele empezar la estafa. Un cliente de una entidad bancaria recibe un correo electr√≥nico con el que se le solicita su clave de usuario; el correo -que a veces reproduce con enga√Īosa precisi√≥n el logo y el estilo del banco- reenv√≠a el cliente que pica a una p√°gina pirata; los datos tecleados en esa p√°gina quedan grabados, a disposici√≥n del estafador, que los utilizar√° para aligerar la cuenta de la v√≠ctima a trav√©s de transferencias.

La práctica se llama phishing, definición que es el acrónimo de la p de password (clave), de la h de harvest (cosecha) y de la palabra inglesa fishing (pesca). No se trata de una novedad. El problema es que el fenómeno aumenta a un ritmo considerable y, sobre todo, vive una constante metamorfosis que dificulta la defensa. Así que si, por un lado, a finales de 2004 se habían alcanzado en la Red los 4,5 millones de correos trampa a diario, por otro se desarrollan variantes del phishing cada vez más sutiles.

"Entre las variantes en circulación, quizá la más peligrosa sea el pharming, una especie de virus que se coge, por ejemplo, abriendo archivos infectados. El pharming hace que el usuario, cuando teclea la dirección de su banco, sea automáticamente dirigido a una página duplicada, en vez de a la oficial", cuenta un capitán del Grupo de Investigación de Delitos Telemáticos de la Guardia Civil.

Seguro de estar en la protegida web de su banco, el usuario teclea sus datos directamente en las garras del estafador. Una t√©cnica sutil que podr√≠a elevar el porcentaje de intentos de estafa exitosos. De momento, la cifra se sit√ļa en uno de cada 30.000, seg√ļn asociaciones de usuarios. Uno de cada 100.000, seg√ļn fuentes policiales.

"Es dif√≠cil dar datos exactos, ya que estamos convencidos de que la mayor√≠a de los afectados no denuncia la estafa, por verg√ľenza o por no meterse en l√≠os para recuperar cifras a veces poco significativas", coinciden el capit√°n del Grupo y la inspectora jefe adscrita a la Brigada de Investigaci√≥n Tecnol√≥gica de la Polic√≠a (BIT).

Los dos equipos, juntos, desmantelaron hace 15 d√≠as una red sospechosa de haber estafado en Internet varios millones de euros. Entre los 15 detenidos figuraba el espa√Īol m√°s buscado por ese tipo de delitos, un joven de 23 a√Īos con una quincena de √≥rdenes de detenci√≥n sobre su cabeza.

Una plaga extendida
"Detectamos los primeros casos de phishing en la primavera de 2003", cuenta la inspectora de la BIT. Desde entonces, casi todas las grandes entidades bancarias han sido afectadas y han empezado a informar adecuadamente a sus clientes sobre la amenaza. Pero la evolución de las técnicas de estafa hace que no sólo los usuarios inexpertos o desinformados caigan en las redes tendidas por los delincuentes.

"Yo me considero un usuario avanzado, nunca ni yo ni mi mujer contestamos a correos basura, pero hace un mes nos encontramos con unos 7.000 euros desaparecidos de nuestra cuenta", relata Alberto Isern, cliente de Banesto.

"En cuanto nos enteramos, llamamos al banco", prosigue Isern. "El dinero hab√≠a sido transferido con dos transacciones y ya no se pod√≠a recuperar. Hice inmediatamente denuncia, anul√© nuestras claves, y pregunt√© al banco si asum√≠a alg√ļn tipo de responsabilidad. Se me contest√≥ rotundamente que no. Adem√°s, ante mi voluntad de entender c√≥mo se pudo acceder a mi cuenta, tampoco se me contest√≥ de forma clara".

Al respecto, un portavoz de Banesto se√Īala que "se est√° todav√≠a investigando el caso, y que la decisi√≥n definitiva no est√° tomada. De todas formas, nuestros sistemas de seguridad inform√°tica est√°n a la vanguardia, y desde hace tiempo se informa adecuadamente a los clientes sobre los riesgos del phishing. En general, no puede ser responsabilidad del banco el descuido de los usuarios en la protecci√≥n de sus ordenadores". Argumentos, √©stos, que repiten todos los bancos contactados. Pero, ¬Ņhacen de verdad los bancos todo lo posible para evitar que los estafadores accedan a las cuentas? ¬ŅD√≥nde acaba la imprudencia del usuario y d√≥nde empieza la negligencia del banco?

Las asociaciones de consumidores argumentan que las entidades bancarias podrían hacer más. El sencillo envío de un SMS después de cada transacción, por ejemplo, podría impedir muchas estafas. El cliente se enteraría enseguida de un movimiento fraudulento, y podría bloquearlo.

"El problema es que no hay exigencias legales que obliguen a las entidades bancarias a desarrollar al m√°ximo los sistemas de seguridad. Entonces, algunas trabajan bastante el tema, otras no", se√Īala Carlos Hern√°ndez, letrado de la Asociaci√≥n de Usuarios de Bancos. Un estudio de la consultora Hispasec del pasado mes de mayo se√Īalaba, por ejemplo, que de los 50 sitios web de entidades bancarias espa√Īolas analizados, al menos seis eran susceptibles de sufrir un ataque de cross-site-scripting, una variante del phishing.

"Y si la información o la prevención son insuficientes, entonces surge la responsabilidad de los bancos y la consecuente obligación de indemnizar a los estafados", deduce Hernández.

COMFIA, la sección servicios financieros y administrativos de CC OO, denuncia, a través de su portavoz Francisco González, que "el cliente se encuentra desprotegido ante estas situaciones. En los contratos que disciplinan el servicio bancario online, los bancos no asumen responsabilidades ante la posibilidad de estafas, al contrario de lo que pasa en el caso de las tarjetas de crédito. Entonces pedimos que se regule esta materia y que se establezca un régimen que proteja más a los usuarios".

La indemnización
Todos los bancos contactados indican que se decide "caso por caso". Isern, para resolver el suyo, contact√≥ con la asociaci√≥n de consumidores ADICAE. "Me explicaron que, pasados dos meses desde la reclamaci√≥n, si el banco sigue denegando la indemnizaci√≥n, se puede reclamar al Banco de Espa√Īa", afirma. El Comisionado para la Defensa del Cliente del Banco de Espa√Īa contesta en el plazo de seis meses y suele dar la raz√≥n al usuario. A pesar de que su decisi√≥n no sea vinculante, los bancos suelen respetarla. En caso contrario, quedan los tribunales.

M√°s all√° de las cr√≠ticas, est√° claro que las entidades bancarias tienen todo el inter√©s en controlar el fen√≥meno y en que no se genere desconfianza con respecto a los servicios online, que permiten liberar al personal de un amplio n√ļmero de gestiones. Por eso, en Espa√Īa se constituy√≥, en diciembre de 2004, un Comit√© de Coordinaci√≥n Interbancario, un foro que sirve como punto de encuentro y di√°logo. Y, en el √°mbito internacional, es operativo el Anti-Phishing Working Group, organizaci√≥n que agrupa a unas 800 compa√Ī√≠as.

"Incluso si las víctimas no son tus clientes, la estafa de por sí genera desconfianza en el canal", explica José Antonio Castro, director de seguridad corporativa del Banco Santander Central Hispano. "Por eso el interés general es no sólo defender a tus clientes, sino que todo el sistema esté bien protegido".Sin embargo, a pesar de que todos -bancos y usuarios- converjan alrededor de ese mismo interés, la dialéctica entre las partes está abierta y viva. Mientras, los pescadores siguen lanzando anzuelos.

Mecanismos de defensa

√ČSTOS SON LOS PRINCIPALES consejos ofrecidos por la Federal Trade Commission de EE UU y la Organizaci√≥n de Consumidores y Usuarios (OCU) respecto a la protecci√≥n ante el phishing:

- Si recibe un mensaje o le aparece una ventana pidiéndole sus datos, no conteste y no pinche en el enlace. Las entidades bancarias nunca piden ese tipo de información a través del correo electrónico.

- Evite acceder a su banco desde ordenadores p√ļblicos: puede que alguien haya instalado sistemas para capturar sus datos claves. Si no tiene m√°s remedio que hacerlo, cambie sus claves desde un ordenador seguro lo antes que pueda.

- Compruebe que navega a través de una página segura: fíjese en que la dirección comience por https,en vez de http, y que aparezca en la parte inferior derecha del navegador un candado amarillo.

- Tenga su navegador actualizado, con todos los protocolos de seguridad en regla y buenos antivirus y cortafuegos instalados.

- Puede pedir a su entidad bancaria que establezca un importe m√°ximo diario para transferencia a otras cuentas cuando opere en cualquier modalidad de banca a distancia.

- Tenga cuidado en abrir adjuntos o en descargar archivos recibidos por correo: podrían contener virus.


http://www.elpais.es