Fallos de seguridad en datáfonos

Hoy en día en cualquier establecimiento poseen un TPV que nos permite pagar cómodamente con nuestra tarjeta de crédito. Pero esta forma de pago trae consigo una polémica aparecida recientemente en Estados Unidos. Se trata de PunkeyPos, un malware que ataca el sistema del TPV para acceder al ordenador del establecimiento y robar así datos referidos a pagos y cuentas bancarias con propósitos claramente ilícitos. La plataforma Expansión recoge la noticia referida al neonato virus y a cómo puede afectar a los usuarios de tarjetas. No es la primera polémica que tiene que ver con estos dispositivos. Los TPVs han sido protagonistas de varios casos de estafa y robo en los últimos meses, como el recogido recientemente en La Opinión de Málaga relativo al carding, o la anterior pero muy difundida estafa del datáfono portátil y las tarjetas contactless.

Un malware a través del TPV

Los laboratorios anti-malware de la compañía de seguridad, llamados PandaLabs, trabajan en una investigación acerca de recientes ataques a datáfonos o TPVs en los comercios y restaurantes de Estados Unidos. El resultado del esfuerzo ha sido el descubrimiento de un nuevo virus que se ejecuta en sistemas operativos Windows y que accede a través del TPV. Este malware recibe el nombre de PunkeyPos, y es capaz de dejar los datos de tu tarjeta al descubierto para utilizarlos en una estafa y robo a gran escala. PandaLabs, en resuesta, ha puesto a disposición de los organismos estatales toda la documentación recogido referente a este nuevo ataque cibernético que afecta a comercios y usuarios. El virus fue concebido para ser instalado directamente en las TPVs con la firme intención de robar datos bancarios. Funciona introduciendo un Keylogger en el sistema que monitoriza las pulsaciones del teclado, mientras el ram-scraper registra los procesos en ejecución. Con la información obtenida resultante de ambas secciones, el virus selecciona los datos más importantes y los cifra mediante el algoritmo AES para, junto con las bandas magnéticas de las tarjetas de los clientes, ser enviados a un servidor web remoto y así clonarlas.

Carding a través de datáfonos

Los TPVs pueden convertirse en potentes herramientas del crimen en las manos equivocadas. Una de las más

recientes modas es el Carding, que se basa en el uso de tarjetas duplicadas de otras robadas en el extranjero. Previamente debe haber concretado con un comerciante local la instalación de un datáfono que le permita hacer altos cargos en el mismo mediante dichas tarjetas. Esas sumas son transferidas a otra cuenta de manera rápida, mucho antes de que el banco se dé cuenta de que el pago no se ha realizado por los legítimos dueños. El dinero era velozmente retirado y el regente del local recibía una comisión de un tanto por ciento de los movimientos. El Servicio de Criminalidad Informática de la Fiscalía Provincial de Málaga ha detectado ya los primeros casos dentro de la localidad. Un comerciante se enfrenta a 5 años y medio de prisión y una multa de 60.000 euros por delito continuado de estafa bancaria por internet, uso de falsificaciones y blanqueo de capitales. El encausado se ha negado a hacer declaraciones y ha intentado justificar la suma de dinero, que asciende a varios miles de euros, mediante venta de contenedores y un coche de la marca BMW, pero ni el banco ni la fiscalía le creyeron.

Contactless y falta de seguridad

Recientemente saltó a la palestra de los avisos a través de las redes sociales el robo mediante un datáfono portátil a usuarios de tarjetas de tipo contactless que no estuvieran cifradas en importes inferiores a veinte euros. Un delincuente se acercaría a la descuidada víctima con la cantidad ya introducida, siempre inferior a 20 euros, y la operación se realizaría ya que no es necesario ingresar el código pin para compras de ese importe. Este timo es posible de evitar ya que ciertas entidades financieras ofrecen a sus clientes la posibilidad de cifrar cualquier operación a través de la petición de número pin, independientemente de la cantidad que se vaya a pagar. Con esta medida habríamos invalidado por completo el problema, aunque se debe decir que para que se diera el timo, el TPV debería ser de tamaño reducido para que pasara inadvertido. Además, al realizarse la operación emitiría un pitido audible a no ser que se trate de un recinto ruidoso, como eventos musicales o deportivos, un centro comercial o el metro. En todos ellos la conexión WiFi que el terminal necesitaría es inestable, por lo que es probable que el robo diera problemas.