Riesgo Phishing a través de enlaces por correo electrónico – cosas que no entiendo !! *305* 

Un caso más, a sumar a la larga lista de sentencias, que se hubiese evitado si @bbva-espana mejorase su sistema de seguridad de acceso en lo relativo al cambio del número de móvil en cajeros -por ejemplo, como escribía en mi último comentario.

En mi opinión, las Entidades Bancarias, y los Organismos Regulatorios, en ausencia de aquellas, tienen a su alcance capacidades técnicas muy sencillas de implementar para mejorar la seguridad de sus cliente frente al "phishing" -especialmente de aquellos para quienes el uso de las tecnologías informáticas es más desconocido o ingrato. 

En la mayoría de los casos de “phishing” descritos en RANKIA hay un momento en el que el “timador” quiere limitar que el “timado” conozca sus intenciones y para ello una de las primeras acciones que (suele) realiza(r) es cambiar el número de móvil del cliente en la WEB de la entidad bancaria… para, desde ese momento, que sea el móvil del “estafador” el que reciba los códigos de verificación de doble redundancia… 

Si la Entidad Bancaria, o la normativa regulatoria, permitiese que los clientes elijan (aquellos que lo deseen) que, en su contrato de Banca por Internet, se incluya una clausula para que el número de móvil solo lo pueda cambiar presencialmente en una oficina; el cliente elije si quiere o no dicha condición, que -lógicamente- solo puede cambiar presencialmente. 

Y como esta, seguro que saldrían otras mejoras de seguridad que, a poco que fueran de interés para las Entidades Bancarias, mejorarían su seguridad… no digo que con esta medida se eliminarían al 100% los casos de “phishing” pero si se limitarían las cantidades estafadas al entrar otras coberturas elegibles de forma presencial, e.g. no permitir las transferencias al extranjero, no permitir cambiar el límite de la tarjeta, no permitir compras en internet con cargo a tarjeta, etc., coberturas que una gran mayoría de clientes no utilizará nunca o casi nunca y que son la ventana por la que sale el dinero en los casos de "phishing".

Un saludo 

Ya Fernan2, esto supongo que es algo así como la habitual "guerra" de los comerciales con los de riesgos (los de impago) de un banco o de cualquier empresa grande. Aquí el tema es que se da banca on line a cualquiera y sin "cursillo",  que tampoco tengo claro que ello no fuera una discriminación, no se trata de la gente sea tonta, sino que solo por principio, quien no esta muy acostumbrado a temas de papeleo tendrá,  por lo general, un mayor riesgo de inadecuada utilización de los servicios.

No hace falta que piense en mi madre que tiene 85 años y esto de las tecnologías lo lleva francamente mal, sino en muchísima gente que con menos edad, lo lleva igual o peor.

No sé que iba a ocurrir en un juzgado si en un momento me pillan a mi, atendiendo a un enlace supuestamente remitido por el banco, resultado ser una estafa, les fallan los controles de IP, de la doble confirmación o lo que sea, y de ello tenemos diversos hilos en Rankia, que los presuntamente estafados no aciertan a comprender como pudo fallar la "re-confirmación", habiendo reconocido que si, que entraron en el enlace y como prueba de responsabilidad del banco en el asunto, la posibilidad de un fallo de seguridad, aporto a la demanda el correo electrónico que cada mes y sin excepción, me remite dicha entidad financiera para prestarme dinero "sin papeleo alguno", con un enlace bien grande en el centro de la comunicación.

Es evidente que un juzgado no son matemáticas, de serlo en lugar de jueces tendríamos a contables sentenciado !!!! pero ante esta disyuntiva las posibilidades de que el banco fuera determinado responsable, iban a ser muchas. 

Tu que esto de la informática lo conoces infinitamente mejor que yo, habrás visto intentos de phishing con una calidad asombrosa y que sin conocer ciertos sistemas para verificar de donde viene realmente el correo, la apariencia de realidad es impresionante, sin fallos de ortografía, sin que la procedencia de lugar a sospechas, etc. y no temas como Algenciatributaria.ru o Bcosatander.by, mandar un aviso de tu cuenta en Cajamar o Banca Pueyo, de la cual no fuiste cliente en tu vida, para reactivar la cuenta ... todo lo cual clama al cielo !!!!

Es que los de dirección tampoco se aclaran, porque saben que la seguridad es lo más importante, pero sus bonus van ligados a ventas y no a seguridad.

Que los de seguridad y marketing tienen intereses contrapuestos es muy típico. Cómo, por ejemplo, también lo es en industria producción y mantenimiento. A veces es que ni se hablan.
Pero para eso está dirección, para poner orden, cohoneh 😅

Esto es muy fácil de explicar: Hay responsables de seguridad que establecen las directivas a seguir, que siempre incluyen alguna variante de "desconfía de los emails", y luego hay responsables de marketing, cuya preocupación no es la seguridad sino la venta, y que saben que venden más si ponen el enlace.

Al final es todo equilibrar la seguridad y la comodidad, lo que en inglés se llama "tradeoff", ya que tienes dos cosas deseables (en este caso seguridad versus comodidad/conveniencia -> ventas) y cuanto más tengas de una menos tendrás de la otra.

La única forma que veo de solucionar esto sería que un banco quisiera presumir de "somos el banco más seguro", en cuyo caso la seguridad sería parte de la estrategia de marketing, y por tanto no pondrían estos enlaces en los mensajes de marketing "porque a diferencia de los otros nosotros nos preocupamos por tu seguridad". Pero de momento no sé ningún banco que lleve su seguridad por bandera, y si lo hubiera sería sólo uno; los correos con enlaces van a seguir llegándonos, porque las ventas mandan.