Nueva t¨¦cnica para estafar con el sistema 'phishing'

El phishing, una pr¨¢ctica delictiva que consiste en enviar mensajes electr¨®nicos a clientes de bancos para que accedan a una web fraudulenta y dejen all¨ª sus datos, se sofistica cada vez m¨¢s. La empresa Hispasec Sistemas ha descubierto una nueva t¨¦cnica que, aprovechando fallos en las webs reales de los bancos, hace que la estafa sea muy dif¨ªcil de detectar.

Hasta ahora, la principal recomendaci¨®n para evitar ser v¨ªctimas del phishing era comprobar si el sitio del banco al que se acced¨ªa era seguro, bas¨¢ndose en dos comprobaciones: que la direcci¨®n empezase por https en lugar de la tradicional http, y que apareciese un candado en la parte inferior del navegador en el que, al hacer doble clic, muestra el certificado del banco. Si se cumpl¨ªan ambas condiciones, el sitio era seguro.

Hispasec ha descubierto que es posible aprovechar una vulnerabilidad, llamada Cross-Site-Scripting, presente en las aplicaciones web de diversos bancos, que permite modificar el contenido y hacer que los datos que se introducen vayan a los delincuentes mientras el sitio conserva sus atribuciones de seguridad intactas: el https en la direcci¨®n y el certificado.

Hispasec ha hecho un estudio en 50 sitios web de entidades bancarias espa?olas, y como m¨ªnimo seis son susceptibles de sufrir este ataque. Para hacerla m¨¢s comprensible, Hispasec muestra en tres v¨ªdeos c¨®mo se realiza la estafa.

HISPASEC:www.hispasec.com/directorio/laboratorio/phishing/demo