Comisión de Seguridad

En la tarde del viernes del pasado fin de semana, la Asociación de Internautas denunció el tercer ataque Phising al BSCH en menos de cinco días, en esta ocasión descubrimos el servidor desde donde se estaba lanzando el ataque era un "zombi" e inmediatamente, como es habitual en estos casos, lo denunciamos a la entidad afectada y a las autoridades. En esta ocasión pudimos grabar un vídeo en el que se muestra como operan los cibercacos.

03-03-2006 - En el siguiente trabajo de investigación grabado en vídeo por la Comisión de Seguridad de la Asociación de Internautas y el grupo de seguridad Anti-Phishing encargados de la lucha contra el Phishing, se muestra como los cibercacos utilizan un PC ZOMBI para realizar ataques de Phising y se pone re manifiesto que una rápida actuación de las autoridades competentes podrían bloquear este tipo de ataques. fraudulentos.

El vídeo demuestra lo fácil que era haber actuado de forma inmediata contra la web trampa, que sin ser experto en seguridad informática . El servidor zombi usado para este ataque contenía diferentes "script en PHP" para realizar desde el envió del correo electrónico fraudulento a miles de internautas, hasta la base de datos de las clientes que cayeron en el Phishing bancario. El servidor zombi contenía un php-shell para manejar el servidor trampa por parte de los cibercacos a su antojo

La página web fraudulenta podía estar deshabilitada de forma fácil en un par de minutos y no estar operativa durante tres días, de actuar rápidamente se hubiera podido evitar que clientes de la entidad BSCH no “fueran engañados” y entregaran sus claves bancarias. Este hecho fue denunciado por la Asociación de Internautas a la entidad bancaria BSCH a las Fuerzas de Seguridad del Estado y a la lista antifraude coordinada por el Centro de Alerta Temprana de Red.es, tan solo obtuvimos respuesta por parte de los miembros del CAT. Este mismo servidor zombi estaba preparado para realizar otro ataque de Phishing a clientes de Caja Madrid.

La lucha contra el Phishing es un trabajo de todos , también de las entidades financieras, ¿Que tipo de seguridad en línea puede dar una entidad bancaria que no hace caso a las denuncias de sus clientes y que solo esta ;operativo; en los horarios comerciales tradicionales?.

En el video se omiten algunos datos por motivos de seguridad, pero deja claro lo fácil que hubiera sido evitar que hubiera estado operativo durante tanto tiempo esta web trampa para robar claves bancarias.

El mismo demuestra que sin ser un experto en seguridad informática lo fácil que era haber deshabilitado la web trampa, el servidor zombi usado para este ataque contenía diferentes script en PHP para realizar desde el envió del correo electrónico fraudulento a miles de internautas, hasta la base de datos de las clientes que cayeron en el phishing bancario. El servidor zombi contenia un php-shell para manejar el servidor trampa por parte de los cibercacos a su antojo.

El propósito de la Asociación de Internautas es evitar y ERRADICAR DE UNA VEZ los posibles intentos de estafas realizado mediante el uso de Phishing. No podemos bajar la guardia, lo mas importante es el cliente y la información y la transparencia nos ofrece seguridad y confianza.

Recuerden que SU BANCO NUNCA LE SOLICITARA SUS CLAVES, NI QUE VERIFIQUE SUS DATOS BANCARIOS, NI POR CORREO ELECTRÓNICO, SMS, FAX, TELEFONO etc. No basta con poner un simple aviso de seguridad en las web bancarias sobre los intentos de fraudes, hay que mover pieza de una vez y no quedarse con los brazos cruzados, hay entidades que luchan contra el Phishing eficazmente : Unicaja, Ibercaja y Caja Madrid.

La Asociación de Internautas cuenta con un servicio operativo desde hace meses para todos aquellos internautas que quieran reportar información sobre este tipo de fraudes realizados por medio de Phishing, con solo mandar un correo y adjuntar la información a; phishing@internautas.org


Se estudia el caso y se comunica a las fuerzas del estado para cursar la denuncia junto a un comunicado de aviso al banco afectado.

SeguridaPymes.es ofrece el indicador Alert-Phishing para sitios web.

Realizado por;
José María Luque Guerrero
Comisión de seguridad en la red.
http://seguridad.internautas.org
/ www.seguridadenlared.org
Asociación de Internautas. www.internautas.org