La verificación en dos pasos ya tiene un malware
Mucho se ha hablado de la necesidad de tener una verificación en dos pasos (2FA), por ser un plus de seguridad. Y de hecho lo es, hasta el punto que en las aplicaciones bancarias y otras de tipo financiero es obligatoria.
La mala noticia es que ya se ha creado un malware que simula una app de verificación en dos pasos que intenta estafar a los usuarios de servicios bancarios.
El hecho de que las entidades bancarias y financieras lo usen para infinidad de transacciones ha despertado el interés de los ciberdelincuentes que han olido el dinerito calentito que podían ganar. Se pusieron manos a la obra y desarrollaron una apliacación de phishing que simula una app de verificación de dos pasos. Para sus fechorías eligieron la interfaz del BBVA y así tratar de robar el dinero de los usuarios de este banco.
¿Cómo lo hacen?
Como en muchos actos de ciberdelincuencia, todo empieza con una réplica de la web oficial de una entidad. En este caso, de la web del BBVA. Y a partir de ahí se sigue esta sucesión de acciones:
• Réplica de la web del BBVA.
• Aviso a los usuarios de la existencia de una nueva aplicación de verificación que va a ser obligatoria en un futuro inmediato para cualquier gestión de la cuenta.
• Muchos usuarios se descargan la aplicación.
• La falsa aplicación posibilita que un malware (concretamente un troyano, de nombre Revive), infecte el dispositivo del cliente.
• Este troyano tiene la particularidad que captura todo lo que se escribe en el dispositivo en cuestión (keylogger).
• El malware pide al cliente que acepte dos permisos relacionados con los SMS y las llamadas telefónicas.
• Aparece una página que suplanta a la del BBVA y pide al cliente que introduzca los credenciales de acceso. Con ello quedan en poder de los ciberciminales, que podían transferir dinero de la cuenta de las víctimas hacia las suyas.
El descubrimiento de este troyano se lo debemos a los investigadores de la empresa italiana Cleafy, dedicada a la prevención del fraude online. Lo explican detalladamente en este artículo publicado en su web.
También podéis leer el artículo que el INCIBE ha publicado para alertar a los usuarios sobre este troyano bancario AQUÍ.
Un remedio muy asequible
La moraleja es muy clara: a pesar del doble factor de autenticación, nunca podemos estar seguros de nada. Y ante la duda, antes de clicar, molestaros en preguntar.
Hay que actuar con sentido común y no fiarse de nada de lo que recibimos. Pero también hay que proteger los dispositivos y eso no es tan complicado. Con poner una VPN suele bastar.
¿Qué es una VPN o red privada virtual? Seguro que habéis oído hablar de ella. Esta red lo que hace es redirigir el tráfico de un dispositivo hacia un túnel seguro; oculta la dirección IP y encripta los datos. En consecuencia protege frente a los timos como el que describimos.
Con este post os queremos advertir: la verificación en dos pasos ya tiene un malware. Así que agudizad las precauciones cuando os llegue un mensaje de vuestra entidad bancaria.
Imagen principal: mohamed Hassan en Pixabay
- Publicado en Ataques / Incidencias, General, Noticias, Privacidad, Protección de datos, Seguridad
Metodología de programación segura OWASP
Decir que la ciberseguridad está en todas partes no es una frase dicha al azar. Tendemos a simplificar las cosas y por ello a menudo pensamos que al hablar de ciberseguridad nos referimos a los equipos informáticos. Pero nada más lejos de la realidad. La Ciberseguridad no solo está en los equipos y en los usuarios, sino también en todas las herramientas y comunicaciones que usamos día a día.
Si habéis visto nuestros vídeos, asistido a algún webinar o curso de concienciación, veréis que hacemos mucho hincapié en la formación, pero también en las herramientas que usamos y sobre todo las de comunicaciones, como VPN por ejemplo.
Ya hemos hablado de las VPN en este blog. Pero os refrescamos la memoria: una VPN es una Red Privada Virtual (del inglés Virtual Private Network) y lo que hace es redirigir tu tráfico de internet de forma segura, encriptando los datos y protegiéndote de posibles vulnerabilidades.
Si queréis saber más cosas sobre las VPN, podéis ver las consideradas las diez mejores del año 2021 en la web TOP10VPN. Esta web es parte de la empresa británica PrivacyCo Ltd, que cree que la privacidad es un derecho fundamental y defiende una Internet libre y abierta en todo el mundo y su objetivo es simplificar la privacidad digital para todos.
Pero también debemos decir que hay cosas que se escapan a nuestro control y que la formación no da para que, por ejemplo, un software o una app que usemos, sea segura. Segura tanto en código, como en base de datos, comunicaciones entre sus partes, etc. Ya hicimos un artículo hace unos días sobre los servicios que ofrecemos, tanto de acompañamiento como de formación, a programadores o jefes de proyecto, que realicen estas tareas.
Lo podéis leer AQUÍ.
Siguiendo este hilo, hoy os queremos hablar del Open Web Application Security Project®(OWASP).
“El Open Web Application Security Project® (OWASP) está dedicado a la búsqueda y la lucha contra las vulnerabilidades en el software. La OWASP Foundation es una organización sin ánimo de lucro que proporciona la infraestructura y apoya este trabajo.
La participación es gratuita y abierta para todos, todo gratuito y con código abierto, cuyos objetivos son crear herramientas, documentación y estándares relacionados con la seguridad en aplicaciones.”
Owasp foundation
Hay diferentes recursos y guías para realizar comprobaciones y test según el nivel de desarrollo del proyecto, como veis en la imagen anterior. Como no podía ser de otro modo, se actualizan y mejoran con el tiempo, y uno de los ejemplos más característicos es su “Testing guide“, que ya va por la versión número 5.
Imagen principal: lo que debería ser y no es
En este Testing guide encontraréis mucha información y algunas imágenes y esquemas. Como por ejemplo la imagen principal que abre este artículo. En ella se muestra una representación proporcional típica. De acuerdo con la investigación y la experiencia, es esencial que las empresas pongan un mayor énfasis en las primeras etapas de desarrollo. Eso es algo que en TECNOideas no cesamos de reclamar y de recomendar a nuestros clientes. Por eso en esta imagen se recomienda que un marco de prueba equilibrado mantenga estos porcentajes de diseño, desarrollo, despliegue, mantenimiento y definición. ¿Los cumple vuestra empresa?
Como podéis comprobar, la metodología de programación segura OWASP es una muy buena alternativa y está en total concordancia con nuestra filosofía del trabajo.
- Publicado en General
Español 
Català