Cuando el dinero en efectivo es más seguro que los datáfonos: ¿Aparece tu tarjeta de crédito en esta lista?

218
Unos ciberdelincuentes están publicando los datos de miles de transacciones y tarjetas de crédito en Costa Rica. Hay una lista, a veces es más ventajoso pagar en efectivo. El banco afectado no está respondiendo como debiera

El dinero en efectivo está ganando enteros ante la opinión pública por culpa de los cibercriminales que actúan con absoluta impunidad y están haciendo perder mucho dinero a las instituciones bancarias con sus acciones. Un grupo cibercriminal denominado Maze ha puesto en jaque al Banco Central de Costa Rica. Según informa la web Delfino CR, a comienzos de mes amenazó con haber hackeado los sistemas de seguridad del Banco de Costa Rica (BCR), y amenazó con divulgar información de las tarjetas pertenecientes a esta entidad bancaria cada viernes.

Han cumplido su promesa y han liberado un documento que contiene información comprometedora para los dueños del las mismas, y afirman que irán liberando uno por semana. Según ha podido saberse, el origen del hackeo está relacionado con un datáfono o procesador de pagos del Banco Central de Costa Rica. El problema es que no solo incluye datos de tarjetas de crédito y de débito de este banco, sino tambien de otros bancos nacionales e internacionales, probablemente de turistas que han viajado a Costa Rica, uno de los destinos más atractivos de Hispanoamérica.

El año pasado, Costa Rica, según datos estadísticos a los que ha podido tener acceso Escudo Digital, recibió 3.139.008 turistas. Más de la mitad procedían de Norteamérica, y 500.602 de Europa. Alemania encabeza la lista de visitantes con 80.580, pero no le va muy a la zaga España, en segunda posición, con 69.745. Si es usted uno de estos turistas, su tarjeta ha podido ser hackeada. Parecía que los saquitos con imperdible que nos cosían las abuelas para engancharlos en el forro del los pantalones o en la ropa interior y guardar los billetes, van a volver a salir del fondo de los cajones. Se está más seguro en algunos aspectos, en el mundo analógico que en el digital. Y el dinero empieza a ser uno de ellos.

Normalmente, una organización cibercriminal como Maze roba informacion para venderla después den la Dark Web. Quien compra la información “hace una copia gemela” de la tarjeta y procede a hacer una compra con el dinero del dueño de la misma. En el caso de Maze, no se ha comercializado la información: la ha liberado en la internet superficial en lugar de en la Dark Web. La lista está disponible en distintos chats y foros y no la publicamos por motivos obvios.

Cinco millones de registros de transacciones, y una pregunta: ¿Quién es más pícaro, el banco afectado o los ciberdelincuentes?

Varias empresas de ciberseguridad se están ocupando de descargar y depurar más el documento publicado por Maze, eliminando la informacón sensible, como los números de tarjeta de crédito. Si la tarjeta está vigente y se encuentra dentro del documento publicado por Maze, sepa que puede ser hackeaedo.

Es tal el volumen de “datos robados” que algunos medios especializados han comprobado que las tarjetas de sus propios trabajadores estaban en la lista maldita.

Delfino.CR revisó el documento “depurado” y confirmó que distintas tarjetas vigentes de personas allegadas a la redacción aparecían en la lista.

Según los expertos consultados por la publicación Delfino, el primer track liberado por Maze incluye el track 2 de más de 5 millones de registros de transacciones. Si la tarjeta aparece en la lista, lo más inteligente es pedir la cancelación al banco.

La herramienta de consulta que ha facilitado la división de Inteligencia de una empresa de ciberseguridad costarricense

La empresa costarricense Atti Cyber manifestó que ha desarrollado una herramienta que permite “verificar sin ningún riesgo si sus tarjetas de crédito o débito han sido publicadas en algún sitio reconocido de hackers”. La consulta no requiere facilitar todos y cada uno de los números de la tarjeta. Aunque aseguran que Atti Cyber no realiza tratamiento de datos ni los almacena, según Delfino, la banca costarricensse está utilizando un subterfugio para evitar que se tomen medidas legales contra ella por exponer los datos de sus usuarios.

Así, señalan que “a quien reclama al banco indicando que encontró la información de su tarjeta comprometida el banco le contesta que la información incompleta de la tarjeta que se utiliza en esta herramienta basta para comprometerla, colocando la responsabilidad en el usuario. Es decir, quiere “dar a entender” que Atti Cyber es quien compromete la seguridad de la persona dueña de la tarjeta cuya información ya fue filtrada. El banco sigue negando que su información haya sido comprometida. Consultamos a Atti Cyber y nos indica que “La información ya fue comprometida, nosotros queremos ayudar a la gente. Solo podemos aconsejar que tomen la decisión que más les parezca”. Este es el enlace https://inteligencia.atticyber.com/ .

Algunos medios, como Delfino, han decidido eliminarlo pues el banco está cobrando diez euros por el remplazo de la tarjeta a quien indique que confirmó la filtración de su tarjeta por dicho medio. Ante una situación semejante cabe preguntarse: ¿Quién es más pícaro? ¿El banco o los ciberdelincuentes? Este tipo de prácticas carga de razón a los defensores del dinero en efectivo. Van a salir saliendo listas de transacciones cada viernes, y no olvidemos que son más de cinco millones de transacciones realizadas a las que han tenido acceso los piratas informáticos.