Anomenem phishing a les pràctiques il·legals de pirates informàtics per apropiar-se de dades personals i claus bancàries amb la intenció de suplantar la nostra personalitat i atacar el nostre patrimoni. Un fenomen d’incidència creixent front a la qual cal conèixer els nostres drets com a consumidors i usuaris.
....................................................
La paraula phishing abasta un ampli catàleg de pràctiques tan fraudulentes com sovint sofisticades amb el denominador comú de pretendre «pescar» les nostres dades personals (d’aquí el verb anglès emprat per batejar-ho) per operar en nom nostre a través de serveis bancaris online i disposar a voluntat del nostre patrimoni.
Les tècniques emprades pels ciberdelinqüents a l’hora de fer-se amb aquesta valuosa informació són gairebé infinites però sovint presenten un tret comú: els pirates es posen en contacte amb nosaltres fent-se passar per la nostra entitat financera, per exemple, i ens sol·liciten que visitem la seva pàgina web per introduir informació de seguretat (claus secrets, números PIN, contrasenyes...) amb l’excusa de resoldre algun tipus de problema relacionat amb l’operativa del nostre compte, targetes de crèdit, etc. El problema està en que ni la petició prové del banc ni la pàgina on se’ns adreça és la de l’entitat, malgrat pugui semblar absolutament idèntica, i el que estem fent és facilitar als delinqüents la informació que necessiten per realitzar compres online, ordenar transferències o contractar préstecs al nostre nom.
En d’altres ocasions, la tècnica emprada pels hackers no és la de petició directa i camuflada sinó que a través del correu electrònic, per exemple, introdueixen programes informàtics maliciosos als nostres telèfons mòbils i equips informàtics des dels quals poden rastrejar la nostra activitat i enregistrar dades i contrasenyes sense que en siguem conscients.
Aquestes dues modalitats que us acabem de descriure són, sens dubte, les dues formes més habituals de phishing a dia d’avui, però no pas les úniques. A continuació, us expliquem breument altres tècniques emprades pels ciberdelinqüents a l’hora de captar il·lícitament les nostres dades personals:
- Phishing basat en les DNS: Una de les formes més sofisticades. Els atacants s’apoderen del control del sistema host d’una empresa (és a dir, dels servidors on s’allotja la seva pàgina web) per tal que quan nosaltres la visitem, teclejant l’adreça de la pàgina on volem arribar, se’ns redirigeixi a una pàgina diferent controlada per ells mateixos. Aquesta pàgina és d’aparença idèntica a la que nosaltres volíem visitar de tal forma que podem no ser conscients en cap moment que estem en un lloc web diferent i que la informació que hi estem abocant cau en mans de terceres persones.
- Phishing als cercadors: En ocasions, la tàctica dels ciberdelinqüents és crear pàgines web que no pretenen fer-se passar per altres pàgines sinó que són llocs web d’aparença «legal» on s’anuncien, per exemple, serveis que en realitat no s’ofereixen o s’oferten productes inexistents. En aquest cas, el problema està en què les dades que nosaltres oferim per adquirir aquests productes o serveis no es gestionen mitjançant la passarel·la de pagament d’una entitat bancària sinó a través d’un sistema -aquest sí fraudulent- creat pels propis delinqüents per captar la informació. En alguns casos, aquestes pàgines fraudulentes arriben a publicitar-se a través de serveis d’anuncis a cercadors com ara google ads, reforçant la falsa aparença d’estar davant d’un lloc web aliè a qualsevol ànim delictiu.
- Manipulació de pàgines webs legals: Una altra forma molt sofisticada de captació de dades de particulars és aquella en què els pirates informàtics aconsegueixen manipular i substituir només una part d’un lloc web legal per apropiar-se de les dades que allà s’hi aboquin aprofitant-se d’alguna debilitat o imperfecció del sistema de seguretat de la pròpia pàgina. Per a les persones usuàries, aquesta és una modalitat gairebé indetectable doncs la pàgina web és realment la que nosaltres volíem visitar i no tenim forma de saber està actuant, sense cap senyal extern, com un veritable zombie, sota control dels ciberdelinqüents.
- ·Xarxes wifi fraudulentes: Amb aquesta tècnica, els pirates creen xarxes wifi disponibles amb capacitat per abastar espais públics (cafeteries, per exemple) que identifiquen amb el nom de l’establiment. Quan la gent es connecta creien que estan fent ús d’un servei ofert per l’espai on ens trobem, en realitat estan accedint a una xarxa on tota la informació que aboquem és fàcilment rastrejable pels delinqüents.
- Phishing a través dels serveis d’atenció al client de companyies: Una modalitat a mig camí entre una clàssica estafa «analògica», diguem-ho així, i una cibernètica. Els pirates aconsegueixen les dades de contacte de persones que han abocat a les xarxes socials queixes o crítiques a determinades empreses. Les contacten fent-se passar per representants de la pròpia empresa i acaben sol·licitant-los la informació que requereixen amb l’excusa, per exemple, de retornar-los els diners corresponents a un servei que no ha estat satisfactori.
- Duplicat de la targeta SIM: Una de les modalitats de phishing que està adquirit major rellevància pel gran nombre de persones afectades és el que té a veure amb el duplicat de la targeta SIM dels telèfons mòbils. Amb les dades que els pirates aconsegueixen captar sobre nosaltres, es posen en contacte amb el nostre operador de telefonia fent-se passar per nosaltres per vincular la targeta SIM a un nou dispositiu. D’aquesta forma, quan ordenen una operació online fraudulenta -per exemple una transferència des del nostre compte bancari al dels delinqüents- estan en disposició d’introduir el codi que l’entitat ens farà arribar per validar l’operació.
Aquestes i altres modalitat de phishing que us acabem de descriure breument són cada vegada més recurrents i van prenent el relleu de les formes d’estafa online que havien estat les més habituals i que us hem esmentat anteriorment, consistents a fer-nos arribar un correu que ens adreça a un lloc web fraudulent o instal·la programes malware per accedir a la informació sensible que puguem transmetre en un moment donat.
Sigui quina sigui l’estratègia dels delinqüents informàtics, l’objectiu és idèntic: apropiar-se dels nostres diners i beneficiar-se de la ingent quantitat d’informació que diàriament circula per internet.
Protecció reforçada
Conscient de la magnitud del problema de seguretat que representa l’activitat dels ciberdelinqüents, la Unió Europea va aprovar una directiva, anomenada de Serveis de Pagament en el Mercat Interior, obligant els Estats membres a introduir al seu ordenament jurídic tot un seguit de mesures d’obligat compliment per a les empreses i entitats financeres destinades a reforçar els controls i la protecció dels usuaris. En el cas d’Espanya, aquestes mesures imposades per la UE es van adoptar i aprovar mitjançant la Llei de Serveis de Pagaments que, entre d’altres mesures, establia una nova regulació dels serveis de pagament i emfatitzava la necessitat de reforçar la ciberseguretat, creant un marc extens de responsabilitat per a les entitats a l’hora de garantir un entorn digital segur pels seus clients i clientes.
D’una banda, existeix el compromís d’autenticació reforçada, amb el qual ens hem anat familiaritzant en el decurs dels darrers anys i que implica, bàsicament, que qualsevol ordre de pagament estigui supeditada a un procés de doble validació. És a dir, que per concloure una operació sigui necessari no tan sols introduir la nostra contrasenya o codi PIN sinó també, addicionalment, algun altre mecanisme que només pugui dependre de la persona usuària, ja sigui fent servir una aplicació específica de validació instal·lada al mòbil o factors exclusivament inherents a la pròpia persona com ara dades biomètriques com pot ser-ho l’empremta digital.
Responsabilitat de les entitats
La normativa europea i la transposició d’aquesta a la legislació espanyola no tan sols introdueix mesures significatives pel que fa a reforçar la seguretat de les persones usuàries. També accentua la responsabilitat de les pròpies entitats a l’hora de supervisar les operacions dels seus clients i usuaris per tal de detectar l’existència de pràctiques fraudulentes que puguin suposar risc o indiquin, encara que sigui de forma indiciària, que la seguretat de l’operació podria haver estat compromesa. Per tant, les entitats (que són les proveïdores dels serveis de pagament online) han d’estar en disposició de detectar si la integritats dels diferents elements d’autenticació fets servir per validar una operació han estat objecte de sostracció o la presència de software maliciós (conegut com a ‘malware’) a les possibles transaccions. Igualment, les entitats tenen l’obligació d’analitzar les diferents operacions realitzades a través dels mitjans que posa a disposició dels seus clients i clientes per identificar operacions susceptibles de ser fraudulentes, fins el punt de poder bloquejar-les i no permetre-les fins validar de forma fefaent que és l’usuari qui realment està autoritzant-les i no pas algú altre que ha suplantat la seva personalitat amb finalitats delictives.
En aquest sentit, és molt important recordar que la Llei de Serveis de Pagament estableix amb claredat que les úniques operacions vàlides són aquelles que compten amb el consentiment de la persona ordenant i, per tant, quan un usuari nega haver atorgat aquest consentiment, les entitats estan obligades a retornar-li de forma immediata l’import de la operació.
Deure de diligència
És habitual, però, quan es dóna un d’aquests supòsits en què les dades han estat obtingudes il·lícitament per un tercer amb finalitats delictives, el client afectat es trobi, en primer terme, amb la negativa de l’entitat a retornar els diners. Sobre quin fonament ho fan? Doncs bàsicament, pretenen emparar-se en una suposada manca de diligència del propi client a l’hora de conservar i protegir les seves dades personals.
La manca de diligència, efectivament, exonera de responsabilitat a les entitats, tal i com preveu l’article 46 de la Llei de Serveis de Pagament. Ara bé, i segons la legislació vigent, aquesta negligència ha de ser greu i imputable en exclusiva a la pròpia persona i, en aquest sentit, els tribunals espanyols no acostumen a apreciar negligència per part dels usuaris i usuàries tret dels casos més greus i evidents, especificant una i altra vegada en nombroses sentències que són els bancs els responsables de mantenir la seguretat dels mitjans utilitzar per operar de forma telemàtica, adquirir productes o serveis i realitzar transferències, a banda de qualsevol altra operació financera. En tot cas, i això convé tenir-ho ben present, per quedar exempt de responsabilitat haurà de ser el propi banc qui demostri de forma fefaent que el seu client ha actuat amb negligència i que els perjudicis soferts són imputables en exclusiva a la seva pròpia persona.
Què hem de fer si hem estat víctimes de phishing?
En primer lloc, i imprescindible, si detectem operacions que nosaltres no hem ordenat, cal contactar de forma immediata la nostra entitat per tal que anul·li el mitjà de pagament intervingut pels ciberdelinqüents i generi el més ràpidament possible unes noves credencials de seguretat.
Un cop realitzat aquest tràmit, hem d’acudir als cossos i forces policials per denunciar els fets. A l’hora de fer-ho, cal aportar tota la documentació i informació que sigui possible sobre quin ha estat el mitjà utilitzat pels pirates per aconseguir les nostres dades i com s’ha comés el frau del qual hem estat víctimes. Aquesta informació és cabdal no tan sols per ajudar a esclarir els fets sinó també per demostrar davant l’entitat que no hi ha hagut negligència per la nostra part.
Després de denunciar, cal adreçar-se al servei d’atenció al client de la nostra entitat per reclamar la devolució dels imports corresponents a les operacions realitzades fraudulentament pels ciberdelinqüents informant-los dels fets i de la presentació de la denúncia. Com explicàvem abans, és responsabilitat de l’entitat restituir aquests imports. En cas de negativa a fer-ho o si l’entitat es limita a dir que es van seguir els processos d’autenticació establerts per la normativa vigent i que els fets no els són imputables, segurament no tindreu més alternativa que emprendre les accions legals pertinents per obligar l’entitat a assumir les seves responsabilitats. Recordem, una vegada més, que aquesta responsabilitat està contemplada per la legislació vigent i que l’obligació de demostrar l’existència d’una possible negligència correspon a l’entitat que, en cas de no poder fer-ho, tal i com és habitual, incorre en responsabilitats legals i contractuals respecte el perjudici que hem sofert.
Un equip al vostre servei
Tal i com hem anat insistint al llarg d’aquest article, el fenomen del phishing està tenint, malauradament, una creixent incidència entre la població i el nombre de persones afectades no deixa d’augmentar a mida que es generalitza la realització online i per mitjans telemàtics de tot tipus de gestions i transaccions. Davant d’aquesta situació, esdevé imprescindible ser conscients de quins són els drets que ens emparen com a consumidors i clients, doncs molta gent desconeix els recursos que la legislació ofereix per reclamar pel perjudici sofert.
Al Col·lectiu Ronda disposem d’experts en la matèria que treballen en col·laboració amb consultors informàtics per assessorar-vos si heu estat víctimes de la cada vegada més sofisticada ciberdelinqüència.
