Archivo de la categoría: Fraudes

Más sobre el nuevo tipo de fraude en comercio electrónico

2 respuestas

Como e introducido en el post anterior,  asistimos a una nueva modalidad de ataque a tiendas virtuales,que usa las mismas técnicas que el crimen organizado ha creado para el phishing: la contratación de "mulas".

Hasta hace poco tiempo los mails que ofrecían trabajo desde casa se concentraban en ofrecer compensaciones "laborales" por llevar a cabo unas cuantas transacciones económicas: transferencias a determinadas cuentas por empresas remesadoras, y recepción de pagos "de clientes" en cuentas bancarias propias.

Aunque parece increible que haya gente que se crea la historia (sobre todo en aquellos primeros e-mails tan cutres, últimamente el aspecto ha mejorado mucho), lo cierto es que personas de cierto nivel cultural (y usuarios frecuentes de internet) han sido detenidas por su participación "involuntaria " en las redes de fraude "phishing" y en el posterior "blanqueo" de dinero.

Esta técnica se extiende ahora, y las ofertas para "trabajar desde casa" incluyen la gestión de "paquetes enviados por los clientes" de la "empresa" que ofrece el trabajo (no olvidemos que lo normal es enviar paquetes a los clientes, no al revés).

Estos "paquetes" son los que contienen los productos que las empresas de comercio electrónico envían engañadas a destinatarios aparentemente fiables. A las tiendas debería hacerles sospechar la adquisición de pedidos tan grandes y el hecho de que en ellos pidan incluir teléfonos móviles y otros objetos de alto valor y fácil reventa.

En definitiva, el crimen organizado en guerra contra el comercio electrónico, que tiene menos medios para reaccionar que las entidades financieras.

Como muestra, mirad el tipo de e-mail que envían para captar "mulas":

You might have noticed how the recent changes of all kinds influence your life. Constant growth of prices, low wages, employment problems. If you aren't satisfied with your present income or it doesn't comply with your capabilities; If you constantly lack money; If you want to better your financial status or you are just looking for a part-time job, then this job is what you need. Consider the advantages of the work we offer: Extra incomeYou might have noticed how the recent changes of all kinds influence your life. Constant growth of prices, low wages, employment problems. If you aren't satisfied with your present income or it doesn't comply with your capabilities; If you constantly lack money; If you want to better your financial status or you are just looking for a part-time job, then this job is what you need. Consider the advantages of the work we offer: Extra income
Minimal expenses and no expenditures at all (only I-net and e-mail)
The easiness of work. – Possibility to combine this work with your occupations (you just need to check your e-mail several times a day) For this work you don't need a special education possessing some special skills or knowledge possessing storehouse, office, special equipment.
The job we offer is related to mail. It is an easy job which doesn't require leaving your main occupation. You will have to receive to your home address parcels from our clients and ship them out further following our manager's instructions ($30 for each shipped out box). Contact us by e-mail and you will be sent a list of vacancies available at the present time. You work will be paid for without any delays.
You may work with several orders at a time as well as work with each one separately

Nuevo tipo de fraude contra las tiendas virtuales

1 respuesta

Un nuevo tipo de fraude de las mafias del phishing se empieza a ver por España (y, con toda probabilidad, por todo el mundo), esta vez dirigido contra las tiendas virtuales.

Los defraudadores se dirigen por e-mail a la tienda ofreciendo hacer un pedido grande, y, al mismo tiempo pidiendo lotes de otros productos que la tienda no vende, como teléfonos móviles.

La credibilidad que tiene para una tienda el hecho de que se dirijan a ella juega a favor del defraudador.

Lo que nos debe hacer pensar es la petición de objetos que no sean típicos de nuestro negocio.

Este tema lo ampliaré próximamente porque me están llegando detalles de algunos amigos sobre el "modus operandi" de los delincuentes y detalles para reaccionar de la forma correcta. 

Conclusiones del III Foro de las Evidencias Electrónicas

4 respuestas

El Foro de las Evidencias Electrónicas surgió hace más de dos años con el objetivo de generar seguridad jurídica en el ámbito de las transacciones electrónicas, el intercambio de documentos y la creación y comercialización de contenidos que se generan diariamente en la Sociedad de la Información. Desde entonces, sus miembros han mantenido una comunicación permanente y numerosos debates a través de un foro electrónico, así como reuniones presenciales que han contado con la participación de expertos de reconocido prestigio en nuevas tecnologías y seguridad jurídica.

Conclusiones1- Es necesario seguir trabajando en la implementación del DNI electrónico, ya que se ha revelado como una herramienta fundamental y eficaz para generar seguridad en la red.

“Actualmente no existe seguridad jurídica en Internet y esta situación afecta cada vez a más personas. El DNI electrónico es una herramienta muy eficaz para garantizarla. En nuestro país, está cobrando una mayor relevancia (actualmente existe 5.000 documentos electrónicos en circulación), pero todavía es necesario un fuerte impulso por parte de todos”.

2- Es importante que todos apoyemos la lucha contra la vulneración de los Derechos de Propiedad Intelectual. Mañana nos puede afectar a nosotros.

“La ciberdelincuencia es un fenómeno cada vez más inquietante. El grado de tolerancia que existe hoy en día en la sociedad sobre algunas formas de ciberdelincuencia, como la descarga de música y vídeo por Internet, es prácticamente absoluto. Es necesario que la sociedad asuma nuevas responsabilidades y ofrezca una respuesta moral y ética a este problema”

3- A pesar de lo mucho que hay que hacer es indiscutible el avance tecnológico, legal y cultural que ha experimentado nuestro país. 

“Es incuestionable que en los últimos años, España ha realizado importantes avances tecnológicos. Sin embargo, si nos comparamos con otros países de la Unión Europea y, sobre todo, con EE.UU. todavía queda mucho por hacer.  Existe un déficit tecnológico que necesita de un esfuerzo titánico por parte de todos. Si no, corremos el riesgo de que España se quede en un país de segunda y tercera fila”

4- Publicaciones como la ‘Guía para tu seguridad en Internet’, elaborada por el Foro de las Evidencias Electrónicas, contribuyen a paliar los riesgos presentes en la red. 

"Esta guía está editada en forma de díptico y tiene un carácter muy divulgativo, siendo una iniciativa novedosa su publicación en España. Incluye recomendaciones y consejos de fácil aplicación y gran utilidad para garantizar la seguridad de los usuarios en Internet que hoy en día superan en nuestro país casi los catorce millones de personas".

Peritajes electrónicos (Computer Forensics)

5 respuestas

Aunque el proceso que describe el periodista no es ortogonal y está muy simplificado, es una primera aproximación para no expertos.
Se describe en http://www.elpais.es/articulo.html?d_date=&xref=20060119elpcibpor_4&type=Tes&anchor=elpcibpor

Estos son los pasos que se indican

  1. Toma de contacto. Conversación con los relacionados en el caso, con el objetivo de tener una idea clara de lo que ha ocurrido y planear la investigación. En este caso se sospechaba de un empleado que había accedido a una máquina de otro empleado para sustraer un documento.
  2. Copia del disco duro. Acompañado del representante de los trabajadores y de los directores, se requisa el ordenador del sospechoso para, delante de todos, realizar una copia íntegra, bit a bit, del disco duro. Esta copia servirá para la investigación, y el ordenador requisado será guardado para su custodia en la caja fuerte de la empresa. Si se dispone de otros medios de almacenamiento externo, como CD o discos USB, se requisan también para su posterior análisis.
  3. Análisis del disco duro. Se buscan indicios de virus, troyanos o gusanos, así como herramientas de ataque, con la idea de realizar una foto del ordenador y saber para qué se usa realmente, así como el nivel del usuario. A continuación se localiza y analiza la información que ha sido borrada. Seguidamente, se realiza una escala temporal lo más exacta y detallada posible. Es decir, conociendo aproximadamente la fecha del suceso, se reconstruye el escenario segundo a segundo: acceso a ficheros, creación o borrado de ficheros, ejecución de comandos, accesos a páginas de Internet, etcétera. Como se trata de un robo de información confidencial, se busca en todo el disco, tanto en archivos existentes, como en archivos borrados y espacio no utilizado.
  4. Análisis de logs. Revisión y análisis de todos los logs o huellas de actividad, de la máquina y de todos los elementos relacionados, tales como cortafuegos, IDS, impresoras y servidores.
  5. Cadena de custodia. Una vez que hemos obtenido las pruebas, es fundamental documentarlas y mantener lo que se denomina cadena de custodia, que garantiza el origen de las pruebas, imprescindible si hay juicio.
  6. Presentación de resultados.
  7. Acciones legales si fuera necesario.

En mi opinión, hay 2 grandes pasos:

  1. Incautación Confiable de la Prueba y Preservación de la Cadena de Custodia.
  2. Análisis de la información disponible con arreglo al incidente investigado y Redacción del informe pericial

Con la información disponible se puede valorar la conveniencia o no de pleitear o de negociar.

Supuesto que se decide pleitear, el perito de parte colabora con la parte y su abogado informando sobre la especialidad tecnológica y los problemas probatorios.

El rol de perito de la demanda es el más deseable, ya que se dispone de tiempo suficiente para preparar el análisis. Sin embargo, el perito de la contestación, normalmente tiene la restricción de los plazos procesales, a la que se añade el tiempo de respuesta de la parte demandada y de su abogado en concluir que necesitan un perito.

Fraudes en premios de lotería


Un porcentaje alto del spam que recibimos corresponde a falsos anuncios de premios de lotería.

Yo pensaba que eran mensajes tan obviamente falsos que nadie caería en la trampa, pero no es así.

Hasta en la página web de Loterías y Apuestas del Estado han tenido que avisar sobre el asunto.

Transcribo el aviso:

Loterías y Apuestas del Estado (LAE) pone en conocimiento del público en general que unas bandas de delincuentes, de nacionalidades diversas, están utilizando fraudulentamente el prestigio y los nombres comerciales de la Lotería española en varios países, especialmente en los de la zona del sudeste de Asia y el Pacífico y los del continente americano. Se mueven con facilidad por toda la geografía mundial y emplean teléfonos móviles, apartados de correos, direcciones provisionales o falsas (con inclusión de las direcciones reales de Organismos oficiales españoles), así como nombres que evocan instituciones prestigiosas («el Gordo», «la Primitiva», «European Lottery Commission», etc.). También falsifican los papeles impresos y las firmas de diversas entidades bancarias.

Para cometer la estafa, el procedimiento generalmente seguido consiste en anunciar a la víctima potencial que ha sido agraciada con un premio cuantioso (aunque no haya participado en sorteo alguno), si bien no podrá cobrar dicho premio hasta que haya pagado por anticipado una suma destinada a los impuestos, gastos bancarios, gastos de envío o tramitación de seguro, etc. Habitualmente, el estafador advierte a su víctima potencial que el plazo para abonar esas cargas es muy breve y que está a punto de caducar su derecho al cobro del premio.

Los premios de la Lotería española siempre están libres de impuestos y gravámenes, y la Policía española ya ha detenido y puesto a disposición judicial a algunos miembros de bandas que actuaban desde el territorio nacional.

Por consiguiente, cuando le ofrezcan «premios» que guarden relación aparente con la Lotería española, NO PAGUE cantidad alguna. Asimismo, agradeceríamos que estos hechos delictivos se pongan en conocimiento de las autoridades locales.

La percepción de seguridad

2 respuestas

En el fondo es un problema de confianza, no de seguridad.

El hecho de que los phishers puedan hacerse su propio certificado de servidor web y simular un entono seguro con SSL ya empieza a preocupar a los usuarios y a desmitificar la supuesta seguridad de este protocolo.

Entendedme, no estoy en contra del SSL: garantiza el cifrado de las comunicaciones entre el servidor y el navegador, pero poco más.

No garantiza que la URL a la que accedemos sea la del servidor. De hecho, hay bancos que usan el certificado de seguro.banco.com en http://www.banco.com o viceversa, y el usuario está acostumbrado a decir OK al aviso de alarma del navegador. 

No garantiza que el certificado que aparece emitido por una autoridad de certificación, esté de verdad emitido por ella. De hecho al certificado autofirmado que nos hacemos cuando creamos la root puede contener los datos que la inspiración nos haya dictado en ese momento, como Verisign, FNMT o Moncloa. 

Muchos PSC (Prestadores de Servicios de Certificación) de plena confianza no está incluidos en el repositorio de confianza del navegador, por lo que nos crean malos hábitos como el de dar por buena cualquier instalación de root en nuestro sistema que nos sale al paso.  

En definitiva: tenemos que hacer algo más para lograr la confianza que la ¿falsa? sensación de seguridad que da el candadito que señala el funcionamiento del SSL. 

La banca pacta un nuevo sistema centralizado para frenar el fraude

1 respuesta

Las estafas crecen un 20% al año y ya provocan pérdidas de 110 millones.

Un tipo que logra suplantar la personalidad de un cliente desviando dinero de su cuenta o usando su tarjeta de crédito, otro que solicita préstamos en distintas entidades en varios puntos del país con datos falsos, un tercero que hace creer en Internet que su página web es la de determinada caja de ahorros… Morosos e impostores logran timar cada año a las entidades financieras y a sus clientes en torno a 110 millones de euros al año. Y el problema crece a un ritmo del 20% anual. Internet y la banca telefónica multiplican además las posibilidades

Para intentar frenar el problema, el Centro de Cooperación Interbancaria (CCI), la asociación que agrupa a más de 200 bancos y cajas de toda España, está promoviendo el proyecto llamado Servicio de Prevención del Fraude. El grupo Santander, el BBVA, el Banco Popular, Bankinter, el Banco Pastor, el Banco Gallego, el Banco de Finanzas e Inversiones y la Caja de Ahorros del Mediterráneo han acordado ya su implantación, según ha podido saber EL MUNDO.

El proyecto, que será presentado en las próximas semanas al Ministerio del Interior y que puede arrancar este mismo año, está encabezado con la creación del llamado Centro de Observación del Delito Económico. «Se trata de un equipo profesional contratado, formado por expertos en la lucha contra el fraude», según afirma Rafael Marín, director de Administración del CCI.

El Code se encargará de vigilar la red y difundir alertas tempranas de nuevos fraudes para prevenir a los asociados del CCI, a sus clientes y al público en general. Se convertirá en un centro de estudio del delito en España, capaz de colaborar con las fuerzas de seguridad y en la formación del personal bancario.

Y, sobre todo, el proyecto prevé la creación de tres bases de datos con un sistema centralizado. «Hasta ahora, cada entidad se defiende como puede del fraude, pero uniendo fuerzas en un sistema que proporcione alertas a todos los bancos y cajas se puede ser mucho más eficaz», afirman los promotores.

Intentos. El fichero de Solicitudes y Operaciones Registradas (SOR) almacenará los datos de fraudes conocidos que han afectado a los usuarios en algún momento. Las entidades que lo han sufrido alimentarán esta base con sus datos y utilizarán herramientas automáticas de análisis de solicitudes.

DNI robado. El Servicio de Actualización de Datos Personales (SADP) integrará en una base de datos los datos de personas físicas y jurídicas que se quieran incluir voluntariamente en un fichero de vigilancia. Personas que han perdido su documentación o que han sufrido un robo pueden darse de alta. Si alguien pretende realizar una operación financiera con sus datos serán avisados en tiempo real. «Por ejemplo, se les enviará un mensaje a su móvil de que alguien intenta algo con sus cuentas en ese momento», explica Marín.

Incoherencias. La base de datos de información de solicitudes (SOL) comparará posibles incoherencias. Si una misma persona pide un préstamo en BBVA alegando que gana 50.000 euros y al día siguiente solicita otro en el Santander asegurando que su sueldo son 55.000, será descubierto. «Ningún banco sabrá a qué otra entidad se ha dirigido, pero sí que esa persona está dando datos incoherentes en otras oficinas», resume Marín.

Intimidad. Los promotores aseguran que el proyecto no va a poner en peligro la intimidad de los usuarios, «al contrario, se van a ver más protegidos». El CCI ha mantenido reuniones con la Agencia de Protección de Datos y el Banco de España y, de acuerdo con Interior, será explicado a las fuerzas y cuerpos de seguridad del Estado.

La tentación vive en la casa de al lado
Un ejemplo de fraude que los promotores del proyecto creen que podrán atajar es el del vecino defraudador. Se trata de un caso real que sucedió en Reino Unido y que fue neutralizado por un sistema de alerta temprana similar al que la banca española quiere introducir ahora en el país.

Un ciudadano que preparaba un cambio de vivienda cedió la llave a su vecino durante un tiempo y le pidió que le recogiera su correspondencia.

El vecino no resistió la tentación de abrir las cartas del banco y, al ver la existencia de fondos y cuentas, decidió hacer fortuna.Se hizo con claves que encontró en la vivienda y utilizó el servicio de banca telefónica de la entidad financiera. Siguió los pasos correctamente para desviar fondos a sus cuentas, pero cometió un error. No supo responder a una pregunta del banco sobre la fecha de nacimiento del cliente y colgó.

La equivocación bastó para que saltara una alerta en el sistema y que una investigación de la procedencia de la llamada, puesta posteriormente en conocimiento de la policía, sirvieran para descubrir todo el pastel.

El proyecto que impulsa el CCI no afecta al ya existente Registro de Aceptaciones Impagadas (RAI).

El RAI es el fichero utilizado por los bancos para ver si una empresa ha devuelto letras o pagarés; es propiedad del CCI y sólo se puede acceder caso a caso y tras consultar un informe.

Fuente: El Mundo
13.03.06

Noticias relacionadas: