Comfia-CCOO denuncia que el cliente se encuentra desprotegido ante estas situaciones. En los contratos que disciplinan el servicio bancario online, los bancos no asumen responsabilidades ante la posibilidad de estafas, al contrario de lo que pasa en el caso de las tarjetas de crédito.
Estimado cliente, debido a los intentos de estafa que se han producido
en los últimos días necesitamos confirmar los datos de su cuenta.
Pinche en el enlace y confírmelos en 24 horas, o nos veremos obligados
a bloquear la cuenta para su protección».
Así suele empezar la estafa. Un cliente de una entidad bancaria recibe
un correo electrónico con el que se le solicita su clave de usuario; el
correo -que a veces reproduce con engañosa precisión el logo y el estilo del banco- reenvía el cliente que pica
a una página pirata; los datos tecleados en esa página quedan grabados,
a disposición del estafador, que los utilizará para aligerar la cuenta
de la víctima a través de transferencias.
La práctica se llama phishing, definición que es el acrónimo de la p de password (clave), de la h de harvest (cosecha) y de la palabra inglesa fishing
(pesca). No se trata de una novedad. El problema es que el fenómeno
aumenta a un ritmo considerable y, sobre todo, vive una constante
metamorfosis que dificulta la defensa. Así que si, por un lado, a
finales de 2004 se habían alcanzado en la Red los 4,5 millones de
correos trampa a diario, por otro se desarrollan variantes del phishing cada vez más sutiles.
«Entre las variantes en circulación, quizá la más peligrosa sea el pharming, una especie de virus que se coge, por ejemplo, abriendo archivos infectados. El pharming
hace que el usuario, cuando teclea la dirección de su banco, sea
automáticamente dirigido a una página duplicada, en vez de a la
oficial», cuenta un capitán del Grupo de Investigación de Delitos
Telemáticos de la Guardia Civil.
Seguro de estar en la protegida web
de su banco, el usuario teclea sus datos directamente en las garras del
estafador. Una técnica sutil que podría elevar el porcentaje de
intentos de estafa exitosos. De momento, la cifra se sitúa en uno de
cada 30.000, según asociaciones de usuarios. Uno de cada 100.000, según
fuentes policiales.
«Es difícil dar datos exactos, ya que estamos convencidos de que la
mayoría de los afectados no denuncia la estafa, por vergüenza o por no
meterse en líos para recuperar cifras a veces poco significativas»,
coinciden el capitán del Grupo y la inspectora jefe adscrita a la
Brigada de Investigación Tecnológica de la Policía (BIT).
Los dos equipos, juntos, desmantelaron hace 15 días una red sospechosa
de haber estafado en Internet varios millones de euros. Entre los 15
detenidos figuraba el español más buscado por ese tipo de delitos, un
joven de 23 años con una quincena de órdenes de detención sobre su
cabeza.
Una plaga extendida
«Detectamos los primeros casos de phishing
en la primavera de 2003″, cuenta la inspectora de la BIT. Desde
entonces, casi todas las grandes entidades bancarias han sido afectadas
y han empezado a informar adecuadamente a sus clientes sobre la
amenaza. Pero la evolución de las técnicas de estafa hace que no sólo
los usuarios inexpertos o desinformados caigan en las redes tendidas
por los delincuentes.
«Yo me considero un usuario avanzado, nunca ni yo ni mi mujer
contestamos a correos basura, pero hace un mes nos encontramos con unos
7.000 euros desaparecidos de nuestra cuenta», relata Alberto Isern,
cliente de Banesto.
«En cuanto nos enteramos, llamamos al banco», prosigue Isern. «El
dinero había sido transferido con dos transacciones y ya no se podía
recuperar. Hice inmediatamente denuncia, anulé nuestras claves, y
pregunté al banco si asumía algún tipo de responsabilidad. Se me
contestó rotundamente que no. Además, ante mi voluntad de entender cómo
se pudo acceder a mi cuenta, tampoco se me contestó de forma clara».
Al respecto, un portavoz de Banesto señala que «se está todavía
investigando el caso, y que la decisión definitiva no está tomada. De
todas formas, nuestros sistemas de seguridad informática están a la
vanguardia, y desde hace tiempo se informa adecuadamente a los clientes
sobre los riesgos del phishing.
En general, no puede ser responsabilidad del banco el descuido de los
usuarios en la protección de sus ordenadores». Argumentos, éstos, que
repiten todos los bancos contactados. Pero, ¿hacen de verdad los bancos
todo lo posible para evitar que los estafadores accedan a las cuentas?
¿Dónde acaba la imprudencia del usuario y dónde empieza la negligencia
del banco?
Las asociaciones de consumidores argumentan que las entidades bancarias
podrían hacer más. El sencillo envío de un SMS después de cada
transacción, por ejemplo, podría impedir muchas estafas. El cliente se
enteraría enseguida de un movimiento fraudulento, y podría bloquearlo.
«El problema es que no hay exigencias legales que obliguen a las
entidades bancarias a desarrollar al máximo los sistemas de seguridad.
Entonces, algunas trabajan bastante el tema, otras no», señala Carlos
Hernández, letrado de la Asociación de Usuarios de Bancos. Un estudio
de la consultora Hispasec del pasado mes de mayo señalaba, por ejemplo,
que de los 50 sitios web de entidades bancarias españolas analizados, al menos seis eran susceptibles de sufrir un ataque de cross-site-scripting, una variante del phishing.
«Y si la información o la prevención son insuficientes, entonces surge
la responsabilidad de los bancos y la consecuente obligación de
indemnizar a los estafados», deduce Hernández.
COMFIA, la sección servicios financieros y administrativos de CC OO,
denuncia, a través de su portavoz Francisco González, que «el cliente
se encuentra desprotegido ante estas situaciones. En los contratos que
disciplinan el servicio bancario online,
los bancos no asumen responsabilidades ante la posibilidad de estafas,
al contrario de lo que pasa en el caso de las tarjetas de crédito.
Entonces pedimos que se regule esta materia y que se establezca un
régimen que proteja más a los usuarios».
La indemnización
Todos los bancos contactados indican que se decide «caso por caso».
Isern, para resolver el suyo, contactó con la asociación de
consumidores ADICAE. «Me explicaron que, pasados dos meses desde la
reclamación, si el banco sigue denegando la indemnización, se puede
reclamar al Banco de España», afirma. El Comisionado para la Defensa
del Cliente del Banco de España contesta en el plazo de seis meses y
suele dar la razón al usuario. A pesar de que su decisión no sea
vinculante, los bancos suelen respetarla. En caso contrario, quedan los
tribunales.
Más allá de las críticas, está claro que las entidades bancarias tienen
todo el interés en controlar el fenómeno y en que no se genere
desconfianza con respecto a los servicios online,
que permiten liberar al personal de un amplio número de gestiones. Por
eso, en España se constituyó, en diciembre de 2004, un Comité de
Coordinación Interbancario, un foro que sirve como punto de encuentro y
diálogo. Y, en el ámbito internacional, es operativo el Anti-Phishing
Working Group, organización que agrupa a unas 800 compañías.
«Incluso si las víctimas no son tus clientes, la estafa de por sí
genera desconfianza en el canal», explica José Antonio Castro, director
de seguridad corporativa del Banco Santander Central Hispano. «Por eso
el interés general es no sólo defender a tus clientes, sino que todo el
sistema esté bien protegido».Sin embargo, a pesar de que todos -bancos
y usuarios- converjan alrededor de ese mismo interés, la dialéctica
entre las partes está abierta y viva. Mientras, los pescadores siguen lanzando anzuelos.
| Mecanismos de defensa |
|
 |
|
|
|
|
ÉSTOS SON LOS PRINCIPALES consejos
ofrecidos por la Federal Trade Commission de EE UU y la Organización de
Consumidores y Usuarios (OCU) respecto a la protección ante el phishing:
– Si recibe un mensaje o le aparece una ventana pidiéndole sus datos, no conteste y no pinche en el enlace. Las entidades bancarias nunca piden ese tipo de información a través del correo electrónico.
–
Evite acceder a su banco desde ordenadores públicos: puede que alguien
haya instalado sistemas para capturar sus datos claves. Si no tiene más
remedio que hacerlo, cambie sus claves desde un ordenador seguro lo
antes que pueda.
– Compruebe que navega a través de una página
segura: fíjese en que la dirección comience por https,en vez de http, y
que aparezca en la parte inferior derecha del navegador un candado
amarillo.
– Tenga su navegador actualizado, con todos los protocolos de seguridad en regla y buenos antivirus y cortafuegos instalados.
–
Puede pedir a su entidad bancaria que establezca un importe máximo
diario para transferencia a otras cuentas cuando opere en cualquier
modalidad de banca a distancia.
– Tenga cuidado en abrir adjuntos o en descargar archivos recibidos por correo: podrían contener virus.
|
|
http://www.elpais.es