Los estafadores pescan en la Red

Estimado cliente, debido a los intentos de estafa que se han producido en los ¨²ltimos d¨ªas necesitamos confirmar los datos de su cuenta. Pinche en el enlace y conf¨ªrmelos en 24 horas, o nos veremos obligados a bloquear la cuenta para su protecci¨®n".

As¨ª suele empezar la estafa. Un cliente de una entidad bancaria recibe un correo electr¨®nico con el que se le solicita su clave de usuario; el correo -que a veces reproduce con enga?osa precisi¨®n el logo y el estilo del banco- reenv¨ªa el cliente que pica a una p¨¢gina pirata; los datos tecleados en esa p¨¢gina quedan grabados, a disposici¨®n del estafador, que los utilizar¨¢ para aligerar la cuenta de la v¨ªctima a trav¨¦s de transferencias.

A finales de 2004, cada d¨ªa circulaban en la Red unos 4,5 millones de correos trampa. Uno de cada 100.000 se concreta en estafa, seg¨²n la polic¨ªa

El 'phishing' circula en Espa?a desde 2003. El problema es el desarrollo de variantes cada vez m¨¢s sutiles, que complican las tareas de protecci¨®n

La pr¨¢ctica se llama phishing, definici¨®n que es el acr¨®nimo de la p de password (clave), de la h de harvest (cosecha) y de la palabra inglesa fishing (pesca). No se trata de una novedad. El problema es que el fen¨®meno aumenta a un ritmo considerable y, sobre todo, vive una constante metamorfosis que dificulta la defensa. As¨ª que si, por un lado, a finales de 2004 se hab¨ªan alcanzado en la Red los 4,5 millones de correos trampa a diario, por otro se desarrollan variantes del phishing cada vez m¨¢s sutiles.

"Entre las variantes en circulaci¨®n, quiz¨¢ la m¨¢s peligrosa sea el pharming, una especie de virus que se coge, por ejemplo, abriendo archivos infectados. El pharming hace que el usuario, cuando teclea la direcci¨®n de su banco, sea autom¨¢ticamente dirigido a una p¨¢gina duplicada, en vez de a la oficial", cuenta un capit¨¢n del Grupo de Investigaci¨®n de Delitos Telem¨¢ticos de la Guardia Civil.

Seguro de estar en la protegida web de su banco, el usuario teclea sus datos directamente en las garras del estafador. Una t¨¦cnica sutil que podr¨ªa elevar el porcentaje de intentos de estafa exitosos. De momento, la cifra se sit¨²a en uno de cada 30.000, seg¨²n asociaciones de usuarios. Uno de cada 100.000, seg¨²n fuentes policiales.

"Es dif¨ªcil dar datos exactos, ya que estamos convencidos de que la mayor¨ªa de los afectados no denuncia la estafa, por verg¨¹enza o por no meterse en l¨ªos para recuperar cifras a veces poco significativas", coinciden el capit¨¢n del Grupo y la inspectora jefe adscrita a la Brigada de Investigaci¨®n Tecnol¨®gica de la Polic¨ªa (BIT).

Los dos equipos, juntos, desmantelaron hace 15 d¨ªas una red sospechosa de haber estafado en Internet varios millones de euros. Entre los 15 detenidos figuraba el espa?ol m¨¢s buscado por ese tipo de delitos, un joven de 23 a?os con una quincena de ¨®rdenes de detenci¨®n sobre su cabeza.

Una plaga extendida

"Detectamos los primeros casos de phishing en la primavera de 2003", cuenta la inspectora de la BIT. Desde entonces, casi todas las grandes entidades bancarias han sido afectadas y han empezado a informar adecuadamente a sus clientes sobre la amenaza. Pero la evoluci¨®n de las t¨¦cnicas de estafa hace que no s¨®lo los usuarios inexpertos o desinformados caigan en las redes tendidas por los delincuentes.

"Yo me considero un usuario avanzado, nunca ni yo ni mi mujer contestamos a correos basura, pero hace un mes nos encontramos con unos 7.000 euros desaparecidos de nuestra cuenta", relata Alberto Isern, cliente de Banesto.

"En cuanto nos enteramos, llamamos al banco", prosigue Isern. "El dinero hab¨ªa sido transferido con dos transacciones y ya no se pod¨ªa recuperar. Hice inmediatamente denuncia, anul¨¦ nuestras claves, y pregunt¨¦ al banco si asum¨ªa alg¨²n tipo de responsabilidad. Se me contest¨® rotundamente que no. Adem¨¢s, ante mi voluntad de entender c¨®mo se pudo acceder a mi cuenta, tampoco se me contest¨® de forma clara".

Al respecto, un portavoz de Banesto se?ala que "se est¨¢ todav¨ªa investigando el caso, y que la decisi¨®n definitiva no est¨¢ tomada. De todas formas, nuestros sistemas de seguridad inform¨¢tica est¨¢n a la vanguardia, y desde hace tiempo se informa adecuadamente a los clientes sobre los riesgos del phishing. En general, no puede ser responsabilidad del banco el descuido de los usuarios en la protecci¨®n de sus ordenadores". Argumentos, ¨¦stos, que repiten todos los bancos contactados. Pero, ?hacen de verdad los bancos todo lo posible para evitar que los estafadores accedan a las cuentas? ?D¨®nde acaba la imprudencia del usuario y d¨®nde empieza la negligencia del banco?

Las asociaciones de consumidores argumentan que las entidades bancarias podr¨ªan hacer m¨¢s. El sencillo env¨ªo de un SMS despu¨¦s de cada transacci¨®n, por ejemplo, podr¨ªa impedir muchas estafas. El cliente se enterar¨ªa enseguida de un movimiento fraudulento, y podr¨ªa bloquearlo.

"El problema es que no hay exigencias legales que obliguen a las entidades bancarias a desarrollar al m¨¢ximo los sistemas de seguridad. Entonces, algunas trabajan bastante el tema, otras no", se?ala Carlos Hern¨¢ndez, letrado de la Asociaci¨®n de Usuarios de Bancos. Un estudio de la consultora Hispasec del pasado mes de mayo se?alaba, por ejemplo, que de los 50 sitios web de entidades bancarias espa?olas analizados, al menos seis eran susceptibles de sufrir un ataque de cross-site-scripting, una variante del phishing.

"Y si la informaci¨®n o la prevenci¨®n son insuficientes, entonces surge la responsabilidad de los bancos y la consecuente obligaci¨®n de indemnizar a los estafados", deduce Hern¨¢ndez.

COMFIA, la secci¨®n servicios financieros y administrativos de CC OO, denuncia, a trav¨¦s de su portavoz Francisco Gonz¨¢lez, que "el cliente se encuentra desprotegido ante estas situaciones. En los contratos que disciplinan el servicio bancario online, los bancos no asumen responsabilidades ante la posibilidad de estafas, al contrario de lo que pasa en el caso de las tarjetas de cr¨¦dito. Entonces pedimos que se regule esta materia y que se establezca un r¨¦gimen que proteja m¨¢s a los usuarios".

La indemnizaci¨®n

Todos los bancos contactados indican que se decide "caso por caso". Isern, para resolver el suyo, contact¨® con la asociaci¨®n de consumidores ADICAE. "Me explicaron que, pasados dos meses desde la reclamaci¨®n, si el banco sigue denegando la indemnizaci¨®n, se puede reclamar al Banco de Espa?a", afirma. El Comisionado para la Defensa del Cliente del Banco de Espa?a contesta en el plazo de seis meses y suele dar la raz¨®n al usuario. A pesar de que su decisi¨®n no sea vinculante, los bancos suelen respetarla. En caso contrario, quedan los tribunales.

M¨¢s all¨¢ de las cr¨ªticas, est¨¢ claro que las entidades bancarias tienen todo el inter¨¦s en controlar el fen¨®meno y en que no se genere desconfianza con respecto a los servicios online, que permiten liberar al personal de un amplio n¨²mero de gestiones. Por eso, en Espa?a se constituy¨®, en diciembre de 2004, un Comit¨¦ de Coordinaci¨®n Interbancario, un foro que sirve como punto de encuentro y di¨¢logo. Y, en el ¨¢mbito internacional, es operativo el Anti-Phishing Working Group, organizaci¨®n que agrupa a unas 800 compa?¨ªas.

"Incluso si las v¨ªctimas no son tus clientes, la estafa de por s¨ª genera desconfianza en el canal", explica Jos¨¦ Antonio Castro, director de seguridad corporativa del Banco Santander Central Hispano. "Por eso el inter¨¦s general es no s¨®lo defender a tus clientes, sino que todo el sistema est¨¦ bien protegido".Sin embargo, a pesar de que todos -bancos y usuarios- converjan alrededor de ese mismo inter¨¦s, la dial¨¦ctica entre las partes est¨¢ abierta y viva. Mientras, los pescadores siguen lanzando anzuelos.