¿Es seguro realizar operaciones por banca digital en Bolivia?
Tags: seguridad, phishing
Published: 2021-10-19 14:36:54

El pasado domingo 17 de octubre, el periódico Página 7 publicó una [noticia](https://www.paginasiete.bo/seguridad/2021/10/17/al-menos-14-personas-sufrieron-robo-virtual-de-sus-cuentas-del-banco-union-312386.html) indicando que al menos 14 personas sufrieron un robo virtual de sus cuentas del Banco Unión S.A.; esta noticia inmediatamente provocó dudas y susceptibilidades en la población respecto a sí: ¿Es seguro realizar operaciones por Banca Digital en Bolivia?

En CIRRUS IT SRL, hemos construido una plataforma de banca digital : https://bancadigital.com.bo, en base a esta experiencia, a continuación tratare de responder algunas preguntas que nos realizaron en estos días:

## ¿Es posible despertar un día y constatar que existan transferencias de dinero, desde mi cuenta, que yo no hice?
Si es posible. En este caso lo más probable es que usted haya sido víctima de un ataque, en el que por medio de un sitio falso le hayan capturado su usuario y contraseña de Banca Digital, a este tipo de ataques se los denomina Phishing (mas adelante se explica en detalle y con ejemplos).

## ¿Puede un funcionario o empleado de una Entidad Financiera tener acceso a mi información personal?
No sin control. En tecnología existen [estándares internacionales](https://www.escuelaeuropeaexcelencia.com/2019/09/como-gestionar-los-controles-de-acceso-segun-iso-27001/) de seguridad para gestionar quienes pueden acceder a la información de los clientes. Además la Autoridad del Sistema Financiero también establece normas con las condiciones mínimas de seguridad que deben cumplir las Entidades Financieras [(ver. sección 4)] (https://servdmzw.asfi.gob.bo/circular/textos/L03T07.pdf) . El cumplimiento de estas normas son verificadas periódicamente por auditorias externas contratadas por las Entidades Financieras y también por auditorias realizadas por las ASFI.

## A pesar del control que realizan las Entidades Financieras: ¿Puede un funcionario o empleado tener acceso a mi contraseña de Banca Digital?
*No*. A menos que se trate de un error grave de diseño (lo cual no ocurre por lo explicado anteriormente), los sistemas de Banca Digital no almacenan su contraseña. Existen algoritmos criptográficos, denominados (funciones hash)[https://latam.kaspersky.com/blog/que-es-un-hash-y-como-funciona/2806/], que permiten almacenar una representación diferente de su contraseña, si alguien tuviera acceso a esta representación es imposible transformarla de nuevo en su contraseña original.

## Entonces: ¿Cómo alguien puede acceder a mi cuenta de Banca Digital?
*Phishing*. Este tipo de ataque es muy común a nivel mundial y Bolivia no es la excepción, los atacantes (ladrones) construyen un sitio con aspecto idéntico al de su Entidad Financiera, luego le envían mensajes por: correo electrónico, WhatsApp, SMS o publicidad en redes sociales; para que usted ingrese a ellos creyendo que está en el sitio de su banco, y de esta manera ingrese su usuario y contraseña, es en este momento donde usted pierde sus credenciales de acceso y los atacantes tienen acceso a sus cuentas digitales.

Veamos algunos ejemplos en Bolivia.
### Phishing utilizando publicidad en redes sociales, buscando atacar a clientes del Banco Nacional de Bolivia.
Analice la siguiente publicidad reportada por un usuario de Twitter:
{% twitter 1448368921514418176%}
A simple vista parece una oferta legitima del BNB, pero el el enlace en la parte inferior del arte dice: `https://BBNPORTALPRINCIPAL.COM`, no se trata de una publicidad emitida por BNB, si algún usuario despistado hiciera click en la publicidad lo llevaría a un *sitio falso* con la misma interfaz que la del BNB:
![Sitio falso con imagen BNB](https://pbs.twimg.com/media/FBmlmvNXEAwLO2_?format=jpg&name=large)

### Phishing utilizando publicidad en redes sociales, buscando atacar a clientes del Banco Unión.
El ODIB [documentó](https://www.odibolivia.org/2020/12/07/nuevo-ataque-de-phishing-bono-contra-el-hambre/) el siguiente ataque: El pasado año se emitió el Bono contra el hambre, mismo que fue cancelado directamente en cuentas bancarias, atacantes aprovecharon la oportunidad y la premura de las personas para cobrarlo, publicaron el siguiente anuncio haciéndose pasar por el Ministerio de Trabajo. ![Publicidad falsa](https://dev-to-uploads.s3.amazonaws.com/uploads/articles/y4td2k1oujnhowv5qx8o.png) luego de que el usuario hiciera clic, lo derivaba a una página falsa con un aspecto similar a la Banca Digital del Banco Unión: ![Página falsa del Banco Unión](https://dev-to-uploads.s3.amazonaws.com/uploads/articles/f2lkr1ysi2rcil38m8ma.png)

## ¿Puede un atacante realizar transferencias solo con mi usuario y contraseña?
*No*. El Banco Central de Bolivia mediante [Circular Externa](https://www.bcb.gob.bo/webdocs/sistema_pagos/CIEX_N_3-2020_Requerimientos_Op_Minimos_Seguridad_IEP.pdf) establece que las transferencias deben cumplir un proceso de doble factor de autenticación para confirmar una trasferencia bancaria. El doble factor de autenticación consiste en que el banco debe realizar al menos dos de los siguientes tres controles, para verificar la identidad del usuario:
  1. Verificar "algo que se": Este control se lo realiza con el usuario y contraseña, que debería ser un dato que únicamente usted conoce.
  2. Verificar "algo que tengo": Este control se lo realiza de diferente formas siendo las mas comunes: El envío de un SMS a su celular (que es algo que solo usted tiene) o con el ingreso de un código de un solo uso (que se genera mediante una aplicación separada o generadores físicos).
  3. Verificar "algo que soy": Este control puede realizarse de manera biométrica, hoy en día no se utiliza este medio en Bolivia.

## Entonces: ¿Cómo realizaron el ataque a los clientes del Banco Unión?
Parte de los clientes del Banco Unión utiliza como método de doble factor los mensajes SMS, desafortunadamente este medio tiene el inconveniente de que las empresas telefónicas proporcionan medios convenientes para la obtención del chip en caso de pérdida de teléfonos.
  - Tigo: permite a travez de sus Tigomatic (maquinas de autoservicio similares a los cajeros automáticos), obtener el chip de cualquier persona proporcionando su número de celular, fecha de nacimiento, numero de carnet y numero de teléfono.
  - Entel: [Permite](https://institucional.entel.bo/inicio3.0/index.php/internet/nuestros-servicios/internet-4g/51-atc-preguntas-frecuentes-2/218-preguntas-frecuentes-6) recabar el chip a terceros, siempre y cuando presenten una fotocopia de carnet del titular, una carta remitida por el titular y una fotocopia de carnet del que recibe el chip.


## Pero: ¿Cómo obtuvieron los atacantes los datos personales de las victimas?
Desafortunadamente en Bolivia no existe una normativa de protección a los datos personales y su tratamiento, como [por ejemplo](https://eur-lex.europa.eu/legal-content/ES/TXT/?qid=1532348683434&uri=CELEX%3A02016R0679-20160504) en Europa. Esto hace que las empresas e instituciones publicas no sigan procedimientos adecuados para custodiar nuestros datos. Algunos ejemplos de dónde se encuentran nuestros datos:
  - Todos los tramites del gobierno y entidades privadas donde nos piden varias fotocopias de carnet (algunos también piden que coloquemos nuestro numero de teléfono), para absolutamente todo. ¿Se ha puesto a pensar cuántas fotocopias de carnet a entregado en los últimos años?.
  - Acceso a nuestros datos directamente desde el SEGIP, mediante [normativa](https://www.lexivox.org/norms/BO-L-N1057.html) las instituciones del estado tienen acceso a nuestra información. El SEGIP tambien tiene convenios con Entidades Financieras para que ellas puedan consultar nuestros datos sin solicitarnos consentimiento.
  - Ataques de phishing (si otra vez) para captar nuestros datos personales, por ejemplo estos anuncios: {% twitter 1379467887128219648 %} {% twitter 1357422273364393988 %} {% twitter 1397990990900654082 %}
  - Y si lo anterior no fuera poco, [Facebook filtro los datos personales de 533 millones de usuarios](https://eju.tv/2021/04/filtraron-los-numeros-de-telefono-y-datos-personales-de-533-millones-de-usuarios-de-facebook/). Estos datos están disponibles en el mercado negro para que los atacantes puedan comprarlos. Si usted desea saber si sus datos son públicos puede ingresar su numero de celular (con el prefijo +591) en el siguiente sitio: https://haveibeenpwned.com (no ingrese otro dato, no confié en otros sitios), por ejemplo en mi caso, toda mi información fue filtrada por Facebook: ![Datos filtrados por Facebook](https://dev-to-uploads.s3.amazonaws.com/uploads/articles/qppyttu7woks9pwh5uvr.png)


## ¿Es seguro realizar operaciones por banca digital en Bolivia?
Si, pero debemos ser cuidadosos con nuestra información. Las Entidades Financieras poseen la tecnología y los controles para brindar las condiciones adecuadas de seguridad, pero si nosotros no somos cuidadosos con nuestra información podemos ser víctimas de delincuentes, a continuación algunas recomendaciones.
  1. Nunca ingrese su usuario y contraseña en ningún sitio, a menos que usted haya abierto el navegador y colocado el sitio web de su banco.
  2. Nunca ingrese sus datos personales en enlaces enviados por correo electrónico, SMS, WhatsApp, redes sociales u otros.
  3. No utilice la misma contraseña en sus cuentas digitales, porque si se filtran sus credenciales de un sitio queda expuesto en los demás.
  4. Cambie periódicamente su contraseña de acceso a las cuentas digitales sensibles.
  5. Solicite a su Entidad Financiera que le habiliten un método alternativo al SMS para confirmar operaciones, por ejemplo los clientes del Banco Unión pueden habilitar Unitoken.
  6. Si es usuario de Tigo solicite que no puedan recuperar su chip desde Tigomatic.