“El fraude electrónico cada vez es más sofisticado y difícil de detectar”: Limor Kessem de RSA

Comerciantes y consumidores no están exentos de ser víctimas del Ciberdelito de tarjetas de crédito. Experta en seguridad de RSA da algunas recomendaciones para identificar un pedido fraudulento y evitar caer en él.  

Caracas, Venezuela Marzo de 2013. Las ventas en el comercio electrónico están creciendo mundialmente. De acuerdo al estudio realizado por eMarketing, el e-commerce alcanzó 1.000 billones de dólares en 2012 y está anticipado que supere 1.300 billones de dólares este año. En América Latina, Brasil es líder con 59% de las ventas, seguido por México, el Caribe y Argentina.

Distintos estudios prevén que el e-commerce aumentará un 28% este año, además del incremento de compras en el espacio virtual a través de dispositivos móviles como teléfonos y tabletas. Sin embargo para Limor Kessem, experta israelita en ciberseguridad de RSA, la División de Seguridad de EMC, la llegada de estos nuevos canales dificulta la reducción del fraude. “Entre más compras se generan, más fraudes se cometen, y cuando los usuarios prefieren un canal de pago, los delincuentes también lo comienzan a preferir”, asegura Kessem.

¿Qué es el ciberdelito?

Hoy más que nunca el ciberdelito es más sofisticado y difícil de detectar. Consiste en un robo de identidad que afecta a todas las partes de la cadena de valor de las tarjetas débito y crédito en el mundo, y es realizado en el mundo oscuro de hackers y estafadores quienes a través de foros planean sus crímenes para dar “golpes perfectos” de forma anónima*.

Según un estudio reciente realizado en EE.UU., el 46% de los comerciantes en sitios web dice que los pedidos fraudulentos que están viendo hoy son más creíbles que los que vieron hace un año. Estos fraudes creíbles son pedidos hechos por compradores criminales que parecen legítimos gracias a los esfuerzos que hacen los delincuentes para hacerse pasar por el portador verdadero de la tarjeta.

“Actualmente los estafadores tienen la capacidad de hacer fraude mediante las compras que se realizan desde smartphones, haciéndose pasar por los titulares de las tarjetas; esto ha hecho que las empresas de seguridad digital tengan que poner el trabajo de vigilancia a cargo de ojos humanos, lo que a su vez representa más costos”, agrega la experta de RSA.

Cadena del fraude 

En el ciberdelito existen los siguientes grupos de estafadores y servicios de fraude:

• Estafadores (los que engañan): crean y aplican esquemas de ingeniería social tales como scams, phishing y tácticas de spam para todas las finalidades.
• Traficantes de datos: compran y venden credenciales de cuentas y de tarjetas de crédito y  mantienen tiendas de datos.
• Ladrones: saben cómo hacer el fraude, son los que realmente roban a los comerciantes.
• Reclutadores de mulas: ofrecen su ayuda a los ladrones para darles una dirección física a dónde enviar las mercancías robadas.
• Servicios de retirada de dinero o jefes de mulas: reclutan y comandan mulas de dinero o direcciones de mulas para el recibo de la mercancía robada.
• Forjadores: proveen documentos falsos para la recogida de paquetes o dinero.
• Servicios de compra: falsifican el proceso completo para quienes necesitan números de tarjetas o datos personales pero que no saben cómo convertirlo en dinero en efectivo.

Estas personas desarrollan el fraude mediante cuatro etapas: planificación del crimen, robo, salida del mundo virtual al mundo físico y monetización final. La operación criminal se caracteriza por ser un trabajo de equipo compuesto de socios dudosos que operan juntos, y se le llama Carding.

En la etapa de Planificación del crimen (la más larga e importante), se seleccionan las tiendas a atacar y las formas para robar los datos (ya sea a través de phishing, troyanos, hackers, sitios de mercado en línea y páginas web de hackers). Mediante tiendas de tarjetas de crédito, los criminales comprueban previamente el funcionamiento de las mismas y ofrecen información adicional de la víctima, como fecha de nacimiento y teléfonos. Trabajan horas extra antes de las temporadas de compras, con el fin de mantenerse anónimos en Internet.

Aquí también se seleccionan las mulas, que son las personas que reciben la mercancía solicitada online y pueden ser víctimas (que desconocen por completo la situación y no tienen nada que ver con el fraude) y cómplices (que comparten el dinero con los delincuentes involucrados). Los servicios de mulas se comunican con el banco o a través de Internet para alterar la dirección de facturación y recibir los artículos robados.

Una vez se cuenta con los datos completos de las tarjetas y la dirección de recibo de la mercancía, se procede a seleccionar la tienda y los artículos para realizar la compra (o el robo).

En esta etapa, los estafadores:

• Buscan comerciantes en línea
• Evitan tiendas de renombre
• Elijen a minoristas que parecen menos seguros
• Compran productos de alto valor (como portátiles, iPads, smartphones etc.) 

La tercera etapa, la de recepción de la mercancía, deja de estar en la red para llegar al mundo real, y ocurre en los hogares de las mulas, quienes, en caso de que sean cómplices, reciben los artículos robados y los reenvían a los estafadores; y en caso de que sean víctimas, son contactadas tan pronto se confirma la entrega del paquete.

La Monetización es la etapa final del proceso, y sucede entre los cómplices, quienes venden la mercancía y reciben el dinero en efectivo. 

Reconozca un pedido fraudulento (comerciantes) 

• Por lo general se hacen pedidos grandes de nuevos clientes.
• Se pide el mismo artículo más de una vez.
• Se pide que la entrega se haga en el menor tiempo posible, sin importar el costo extra.
• Se realizan múltiples pedidos a la misma dirección de la mula.
• Se utiliza una misma tarjeta pero diferentes direcciones de envío.
• Desde una misma dirección IP  se pueden usar diferentes tarjetas.

¿Cómo protegerse? (consumidores) 

• Revisar constantemente los movimientos de su cuenta a través del banco
• Registrar las tarjetas en servicios online para tener siempre confirmación a través del correo electrónico de las compras realizadas
• Ser conscientes de que las técnicas de delito como phishing, smishing y troyanos también son una amenaza cuando se compra mediante smartphones.
• Comprar a través de sitios oficiales y no por enlaces de correo o redes sociales.
• Acceder directamente al sitio web del comerciante y no mediante buscadores.
• Llamar a la tienda para comprobar que exista y sea legítima.
• Controlar el proceso de llegada del paquete.
• No entregar datos a través de mensajes de texto ni correos que indiquen que la tarjeta ha sido bloqueada

Este video fue preparado por un ciberdelincuente, el cual difundió en la web profunda para encontrar nuevos socios criminales:

httpv://www.youtube.com/watch?v=94Dp6i54ues

Acerca de RSA 

RSA, la División de Seguridad de EMC, es el principal proveedor de soluciones de administración de cumplimiento de normas, riesgos y seguridad para la aceleración del negocio. RSA ayuda a las principales organizaciones del mundo a alcanzar el éxito solucionando sus retos de seguridad más complejos y delicados. Entre estos retos, se incluyen la administración de los riesgos de las organizaciones, la protección de la colaboración y del acceso por medio de dispositivos móviles, la comprobación del cumplimiento de normas y la protección de ambientes virtuales y de nube.

Acerca de Limor Kessem

Limor Kessem es una de las expertas top en Ciberinteligencia de RSA, la División de Seguridad de EMC. Ella es la fuerza impulsora detrás del blog de ​​vanguardia RSA FraudAction Research Lab y Speaking of Security. Limor, cuya carrera incluye diversas funciones técnicas, se unió a RSA como un recurso de Inteligencia contra el Fraude y con los años ganó un considerable conocimiento especializado en las tendencias mundiales de fraude en línea y en los mercados “underground” de ciberdelincuencia.

A diario se ve expuesta a datos originales recopilados por la Unidad de Ciberinteligencia (un equipo de agentes RSA que se despliega para infiltrarse en las filas de los canales de comunicación de la ciberdelincuencia) así como a la información recogida por el Cybercrime Lab (un escuadrón de especialistas que supervisan las operaciones más notorias de grupos del crimen organizado en línea, y por los Centro de Comando de Lucha contra el Fraude 24/7 de RSA (que intercepta phishing y ataques de troyanos contra objetivos globales). Su rol incluye el análisis de los datos, destilación de inteligencia, y la producción de conocimientos valiosos relacionados con nuevas herramientas de delitos cibernéticos, el método de las operaciones y las vulnerabilidades explotadas por la comunidad estafadora.

Limor es considerada una autoridad en amenazas emergentes de ciberdelincuencia. Ella participa como una muy apreciada oradora en los webcasts en vivo InfraGard New-York (una colaboración del FBI), habla en los eventos RSA en todo el mundo, realiza seminarios webinars en directo, y contribuye a una gran variedad de publicaciones sobre delitos informáticos especializados como el Informe Mensual RSA sobre Fraude en Línea. Con su posición privilegiada en el cruce de varias operaciones de inteligencia cibernética y estando al tanto de la actividad diaria del cibercrimen, Limor cubre todo el espectro de amenazas en línea, desde el fraude financiero destinado a las personas hasta las tendencias de ataques cibernéticos que afectan a empleados, empresas e industria como un todo.

Fuera del trabajo pueden encontrar a Limor bailando salsa, leyendo ciencia ficción y tuiteando sobre seguridad en @iCyberFighter