En busca de un ant¨ªdoto definitivo para el 'phishing'

En 2002, The Economist alertaba de que el comercio electr¨®nico podr¨ªa tambalearse por una nueva modalidad de estafa bautizada con el nombre de phishing -combinaci¨®n de las palabras inglesas 'fishing' (pescando), y 'passwords' (contrase?as)-. El diario econ¨®mico se cuestionaba qui¨¦n asumir¨ªa la responsabilidad ante este fraude en la Red. Los posibles candidatos eran las entidades financieras cuyos clientes sufr¨ªan el timo, las compa?¨ªas de software que presentan vulnerabilidades en sus programas, los usuarios incautos, e incluso los poderes p¨²blicos. Tres a?os m¨¢s tarde la pregunta a¨²n queda en el aire.

El phishing consiste normalmente en un env¨ªo masivo de mensajes electr¨®nicos, en los que aparece una web falsa clonada a partir de la de una de una entidad bancaria. En esta imitaci¨®n se pide que se introduzcan los n¨²meros PIN, nombres de usuario, o contrase?as de sus cuentas bancarias digitales, con la excusa de actualizarlas. Otra modalidad, a¨²n m¨¢s convincente, aprovecha la p¨¢gina real de la entidad bancaria para desviar al usuario a una p¨¢gina falsa, pero de apariencia id¨¦ntica, en la que se piden las claves. Una vez revelados los datos, estos delincuentes tecnol¨®gicos tienen en su poder un abanico de posibilidades tan amplio como dinero contenga la cuenta.

Los costes que el phishing ha supuesto para los bancos no son nada triviales. Seg¨²n recog¨ªa hace unas semanas el diario econ¨®mico Cinco D¨ªas, durante 2004, este timo cost¨® en torno a 930 millones de euros en da?os a las entidades financieras y emisoras de tarjetas de cr¨¦dito.

Formaci¨®n de los usuarios

Los bancos que disponen de estos servicios digitales culpan a la poca audacia de los usuarios a la hora de caer en la trampa, y advierten de que no son sus sistemas de seguridad los que est¨¢n fallando, sino la cautela de sus clientes. Para un portavoz de Caja Madrid, la reflexi¨®n que puede sacarse en claro sobre la estafa es que no puede hablarse de inseguridad en los m¨¦todos de transacciones bancarias digitales, ya que no se est¨¢n accediendo a sus p¨¢ginas internas: "Lo ¨²nico que podemos hacer es alertar del peligro del phishing en nuestra p¨¢gina", explica.

Desde la administraci¨®n p¨²blica tambi¨¦n se escudan en la irresponsabilidad de los navegantes ante este tipo de fraudes. Seg¨²n Marcos G¨®mez, responsable del Centro de Alerta Temprana de Virus (CATA) de la empresa Red.es: "En el caso del phishing, el usuario "cae en la trampa h¨¢bilmente montada y da las contrase?as de acceso a sus cuentas de banca electr¨®nica, por lo que la culpa es de la candidez del usuario".

Red.es: "Obtener estos datos personales no es delito"

Adem¨¢s, la competencia de la administraci¨®n s¨®lo llega a proteger al usuario de lo que est¨¦ tipificado como de delito", afirma el responsable del CATA. "Hasta el momento, obtener estos datos personales no es un acto delictivo", explica Marcos G¨®mez, "El ¨²nico acto delictivo est¨¢ en el hecho de conseguir de manera fraudulenta nuestras cuentas de correo a las que mandan las p¨¢ginas clonadas de las entidades bancarias, y en el uso de sus logoscorporativos".

El Centro de Alertas Temprana de Virus, que ha comenzado a cooperar con la Asociaci¨®n de Bancos para tratar de limitar los efectos del phishing, considera que las entidades financieras han tenido "un cuidado extremo" en hacer que sus p¨¢ginas de acceso y operaci¨®n de cuentas digitales sean lo suficientemente seguras. En definitiva, se trata de un m¨¦todo de ingenier¨ªa "mucho m¨¢s efectivo que intentar atacar el sitio web de un banco". Pero muchas asociaciones en Internet se niegan a aceptar que la responsabilidad sea exclusivamente de esta falta de perspicacia de los navegantes.

Webs m¨¢s f¨¢ciles de usar

Hispasec Systems -una empresa dedicada a la seguridad en Internet- apunta a que aspectos "b¨¢sicos", como el dise?o de una p¨¢gina web, puede prevenir que los usuarios caigan en este tipo de fraude. Un estudio a cerca de 50 p¨¢ginas webs de entidades bancarias realizado por Hispasec demostr¨® que un 44% de las p¨¢ginas de los bancos espa?oles mostraban fallos que les hac¨ªan vulnerables al phishing. 22 de las 50 evaluadas no pasaban todos los filtros de seguridad, o presentaban alg¨²n defecto en su dise?o que les hac¨ªa m¨¢s f¨¢ciles de atacar. Entre ellas figuraban las del SCH, Bankinter, Caja Duero o La Caixa.

El estudio pon¨ªa a prueba tres aspectos en cada p¨¢gina web evaluada, y que deber¨ªan poder ser comprobados con facilidad por el usuario. En el campo de direcci¨®n que aparece en el navegador debe aparecer la URL completa, con el dominio al que pertenece precedido de https://, y nunca s¨®lo http://. Deber¨¢ existir tambi¨¦n un s¨ªmbolo que ilustra un candado cerrado o una llave completa en la barra de estado, icono a trav¨¦s del que se podr¨¢ visualizar informaci¨®n sobre el certificado de seguridad y la autenticidad de la p¨¢gina haciendo doble clic en ¨¦l. ?stos elementos son parte del dise?o de la p¨¢gina, y no un error del software de navegaci¨®n en la Red. Aunque ¨¦ste es tambi¨¦n un elemento importante a tener en cuenta ante los ataques de phishing.

Software m¨¢s seguro

Desde las empresas de software se aclara que, a pesar de estar constantemente en alerta para solventar los fallos que aprovechan los ciberdelincuentes, es dif¨ªcil controlar todas las lagunas de Internet. "Los hackers suelen localizarlos primero", confiesa Tor Orland de Opera. Paul Mutton, de Netcraft, coincide: "Probablemente existan muchos 'agujeros' en la programaci¨®n que d¨¦ entrada a los ciberdelincuentes antes de que lo hagamos nosotros desde las propias empresas". Adem¨¢s, seg¨²n Mutton, la labor de detecci¨®n se hace a¨²n m¨¢s dif¨ªcil por que son espec¨ªficos a cada navegador, "por lo que no puede aplicarse una soluci¨®n gen¨¦rica a cada caso".

Soluciones moment¨¢neas

Desde Red.es se insta a los usuarios a que lleven a cabo una serie de normas de "f¨¢cil aplicaci¨®n" para no caer en la trampa. La primera consiste en no abrir mensajes escritos en idiomas diferentes al propio, ya que la entidad no se dirige al usuario en otra lengua que la elegida inicialmente. Es mejor tampoco hacer caso de correos enviados por supuestos bancos de los que no se sea cliente, ni de mensajes sobre sorteos u ofertas econ¨®micas en los que se les pidan datos personales. Seg¨²n Red.es es conveniente no abrir alertas que avisen del cese de actividades financieras que lleguen a su buz¨®n, ya que ¨¦stas tambi¨¦n pueden contener material falso. En definitiva, la advertencia de la empresa p¨²blica es que se use el "sentido com¨²n" ante esta avalancha de ataques de phishing, en Internet, y de que elimine material sospechoso que llegue de forma imprevista a su correo.

Para Verisign, la soluci¨®n pasar¨ªa por m¨¢s colaboraci¨®n entre las ISP de los distintos pa¨ªses, y un reforzamiento de las leyes locales para condenar este tipo de actividades.

Por su parte, la empresa de seguridad en Internet, Cable and Wireless opina que la introducci¨®n de la firma y los certificados digitales resolver¨ªan el problema de la identificaci¨®n del remitente de los mensajes. Pero la implantaci¨®n de estos sistemas es larga y costosa, por lo que la mayor¨ªa de los expertos apuntan a que la educaci¨®n de los internautas sobre estas estafas en la Red es la medida m¨¢s urgente para prevenir que el fraude llegue a consumarse.

La Asociaci¨®n de Usuarios de Internet (AUI) va m¨¢s all¨¢, y propone que antes de abrir la aplicaci¨®n, el usuario pueda responder a una pregunta personal que s¨®lo consta en la aplicaci¨®n original. "Esto solventar¨ªa una carencia de formaci¨®n cibern¨¦tica, ya que cualquier usuario, con independencia de su grado de alfabetismo digital, podr¨ªa comprobar que est¨¢ ante un proveedor real". Pero la mayor¨ªa de los bancos consultados opinan que esto supondr¨ªan una vuelta atr¨¢s tecnol¨®gica en sus servicios online. "La soluci¨®n podr¨ªa llegar con el DNI electr¨®nico", pronostica un portavoz del BBVA.

No obstante, la AUI recuerda que tambi¨¦n es responsabilidad de los bancos y las administraciones que ofrezcan estos servicios, "transmitir confianza y seguridad a los ciudadanos, y actuar con diligencia y eficacia para dar respuesta a problemas como el phishing.