Si le pasa algo así al vicepresidente del Parlamento Europeo, que le roben vía bizum a su mujer y que en el banco no le solucionen nada, qué no le ocurrirá a un individuo anónimo cualquiera. Es lo que miles de personas se preguntan tras ver este vídeo que se ha vuelto viral y en el que Alejo Vidal-Quadras se queja amargamente del drama que ha vivido su mujer tras sufrir un ciberataque en el que se utilizó la identidad clonada del banco. Lo contó en el programa "El Gato al Agua", de El Toro TV.
Dijo que su mujer es cliente desde hace veinte años del banco, y recibió un mensaje por WhatsApp "como los que recibe habitualmente, y en esa misma serie, con el teléfono del banco, procedente del banco, recibe un alerta en la que le avisan de que alguien le está intentando hackear su cuenta, y que se conecte con un link, y lo hace, porque le viene del teléfono del banco. Y llama al teléfono... Un banco ha de tener un teléfono de urgencias que debe contestar inmediatamente, en segundos, y cuando consiguió hablar con un individuo muy antipático ya le habían soplado 1.200 euros".
Desde entonces ha vivido un auténtico calvario, y la humillación de tener que aguantar que le dijeran "Señora, es culpa suya" con muy malas maneras. Tanto él como su esposa se han sentido como el protagonista de "El Castillo", el famoso libro de Kafka. Es más, ha llegado a escribir al presidente del BBVA y no ha obtenido respuesta alguna."Cuando yo estaba en el Parlamento Europeo no se dejaba ni una carta por responder", agrega en su intervención
Bizum, la Ley del Oeste y los problemas de la autenticación "por la cara"
El propio presentador manifestó el grave problema que vive la banca en estos momentos, y más sus clientes: "O todo por App, o vía online, y no hay más ,y esto (dijo señalando un móvil)) es una trampa para conejos".
Escudo Digital se ha puesto en contacto con diversos expertos que han hablado de lo ocurrido. Unos han preferido hablar con nombres y apellidos, y otros off the record, y hemos podido saber que "el daño reputacional que se ha hecho al banco es muy grave. Este no es un señor cualquiera, pero está igual de feo si se lo hacen a cualquier persona. Lo importante ha sido el maltrato posterior a lo ocurrido".
Ha sido un ataque de smishing, y es relativamente fácil conseguir que aparezca el banco como el remitente del SMS, incluso hay servicios como Amazon que te permiten enviar SMS a través de sus pasarelas. Es muy fácil, afirman, "mandar un mensaje como BBVA, como Bankia o como lo que sea, no aparece el número por ningún lado, solo el identificador que tú digas". Se puede hacer una trazabilidad hacia atrás. ¿Solución? ¿No tener Bizum? "El bizum lo activas porque tú quieres", nos dice nuestra fuente, perteneciente al ámbito de la banca, y es un servicio que te ofrece tu banco y "tú lo puedes activa o desactivar".
La esposa de Vidal-Quadras siguió un enlace de texto que le llevó a una página falsa desde donde consiguieron su nombre de usuario y su contraseña probablemente, mediante una simulación, ya con ese usuario hicieron una orden de envío de pago para que se autenticase por el teléfono móvil.
Tras programarlo, le mandaron un SMS en el que le dijeron "le vamos a mandar un código de verificación, ábralo cuando se lo pida y ponga su cara, porque muchos de ellos utilizan identificación biométrica, para que se valide la operación".
Nuestra fuente está convencida de que con el usuario suyo entraron en la banca online, programaron un bizum, dijeron ok, le mandaron el sms a la señora, y le apareció el mensaje del BBVA diciendo: "Está usted realizando una operación, confirme poniendo huella o cara de que es válida , y ella cogería el teléfono lo tendría delante y ya la fastidió". Y es que el problema de la autenticación automática Face-ID "con la cara es que cuando te quieres dar cuenta ya lo has autenticado aunque no quieras".
La culpa, añade nuestra fuente, no ha sido del banco, pero deberían de haberse mostrado más comprensivos con la señora.
Ángel Bahamontes Pardo, presidente de la Asociación Nacional de Tasadores y Peritos Judiciales Informáticos , opina que el BBVA se encuentra en una situación muy complicada, "le han echado para atrás los ERTES, han empezado sin pactar con nadie el cierre de las oficinas de un día para otro y el mismo cliente ni se entera de que han cerrado oficinas de un día por otro".
Con respecto a lo que le ha ocurrido a la esposa de Vidal-Quadras afirma: " Rapidez y seguridad en el carro no pueden ir a la vez. No recomiendo Bizum en absoluto, ha quedado reducido a ver quién la saca más rápido. Tú intentas hacer un pago conmigo y como yo saque antes el dinero lo vacío de tu cuenta, no al revés, el Bizum es la ley del Oeste, yo estoy hablando contigo y como alguien se meta en la conversación o yo mismo utilice la funcionalidad de cobrar en vez de pagar te sableo".
Se trata de un sistema que no tiene ninguna salvaguarda, sostiene, y si no hay nadie que lo denuncie es "como la aplicación Zoom, como nadie denuncia, pasa lo que pasa, todos los casos que tenemos de zoom de robo de credenciales es porque la aplicación está abierta, hay un agujero de ciberseguridad".
En el caso de la mujer de Vidal Quadras no se le puede echar la culpa al banco, sino en parte a ella por usar Bizum, "que es una aplicación diseñada para que los jovencitos se paguen entre ellos. La usan los jóvenes que quieren tener rapidez, pero un chaval joven puede tener en la cuenta 300 euros. Lo que pasa es que eso lo cogen los mayores y el mayor sí tiene 10.000 euros en la cuenta, no sabe ni la misma tecnología ni tiene los dedos de la gente jóven y te pasa lo que te pasa".
Más dura se muestra otra fuente del ámbito de la ciberseguridad cuando afirma que Vidal-Quadras solo está creando alarmismo en una situación en la que lo que hay que intentar hacer es dejar de ser un analfabeto digital.
¿Cuál es la solución? Para Ángel Bahamontes está muy claro, operar sin prisa, utilizar la doble autenticación desde casa tranquilamente, "porque las prisas no son buenas consejeras, y lo que no es comprensible es que para llevar un perro haya que hacer un curso y para tener un ordenador nadie sabe nada de ciberseguridad".
Cabe objetar que lo que no puede prescindir un banco es de teléfonos de atención, y en eso no le falta razón al catedrático de Física retirado. De hecho llevamos gran parte de la mañana intentando ponernos en contacto con el departamento de prensa del BBVA y ha sido imposible.