Seguridad para la banca electrónica en línea (ebanking)

Transcripción

1 Seguridad para la banca electrónica en línea (ebanking) Banca electrónica Bank Leumi USA ofrece banca electrónica en línea a través de Internet. Proporcionamos a nuestros clientes un amplio rango de servicios de banca en línea. Implementamos los más altos estándares y medidas de seguridad de vanguardia a fin de mantener seguros y a salvo sus datos y transacciones de banca electrónica. No obstante, la seguridad de la banca electrónica es algo recíproco entre nosotros y nuestros clientes. Se proporciona la siguiente información como medio para mejorar su concienciación sobre la seguridad de su entorno de banca electrónica y proporcionar una visión acerca de lo que puede hacer para proteger su propia información. Cómo preparar su experiencia de banca en línea La computadora que utiliza para conectarse a los servicios de banca en línea de Bank Leumi podría ser el eslabón más débil de la cadena de seguridad. Para garantizar la seguridad de sus sesiones de banca en línea, asegúrese de tener instalado un software de confianza contra programas maliciosos, cuyo patrón de detección de virus esté actualizado (un evento diario), y todos los parches de seguridad disponibles por parte de los proveedores de software como Microsoft, Adobe Reader y Flash, Java de Oracle, Quicktime de Apple. Cuando elija una contraseña Como bien sabe, las contraseñas sirven de ayuda a nuestra aplicación de banca en línea durante la autenticación de su persona. Por eso, asegúrese de elegir una contraseña que sea difícil de adivinar, tomando en cuenta que un programa de computadora podría estar intentándolo. Le aconsejamos que utilice una contraseña compleja que tenga por lo menos una longitud de siete caracteres y que se componga de varios tipos de caracteres (letras en mayúscula, minúscula, números y caracteres especiales). Debe cambiar su contraseña dos veces al año por lo menos y no utilice la misma contraseña para varias cuentas en línea. Cuando elija las preguntas de seguridad Debería interesarle la serie de preguntas de seguridad que elige para nuestro sitio y para cualquier otro sitio que utilice esta técnica a fin de autenticar al usuario. Cada sitio web pretende ser sencillo para el uso del cliente, por lo tanto las preguntas de seguridad que suelen utilizar tenderán a ser sencillas de adivinar o buscar. Y en los tiempos de los sitios de redes sociales como Facebook, Twitter, Google+ y LinkedIn, las preguntas de seguridad se han vuelto mucho más sencillas de adivinar. Cuando elija y responda la pregunta de seguridad, asegúrese de que no está revelando la respuesta en algún otro lugar donde se pueda encontrar y usar en contra suya. Durante su relación con nosotros Le dijimos que debería mantener actualizado su software antivirus y los patrones de detección? Queremos recordarle que no le contactaremos mediante un mensaje de correo electrónico para informarle acerca de un problema con su cuenta. Esté atento contra mensajes de correo electrónico que contengan hiperenlaces y que soliciten que inicie sesión para solucionar un problema... Usted está bajo ataque Usted debería saber que está bajo ataque cada vez que se conecta a Internet y navega por la web o disfruta de la conveniencia de los mensajes de correo electrónico. Por el simple hecho de conectarse a Internet usted se expone a ser un posible objetivo de los delincuentes. Todos los días, los delincuentes utilizan herramientas automatizadas a fin de buscar computadoras vulnerables o desprotegidas. Los delincuentes pueden tenerlo como objetivo específico o puede ser objeto de un ataque aleatorio. Independientemente del caso, existen dos formas principales en las que el delito informático puede afectar a su computadora: BLUSA Public Página 1

2 Su computadora se utiliza para robar su información personal: Dos ejemplos son los troyanos y el software espía (spyware). Los troyanos son una forma de software malicioso disfrazado como algo que el usuario querría descargar o instalar, y que luego puede realizar acciones inesperadas u ocultas, como permitir acceso externo a la computadora. Un troyano se puede usar para instalar software espía como un capturador de teclado; este software registra las pulsaciones del teclado incluyendo las contraseñas y luego envía al atacante la información capturada. Su computadora se utiliza para facilitar otros delitos y ataques a otras personas: Las computadoras pueden ser usurpadas a fin de proporcionar almacenamiento para imágenes ilegales o descargas ilegales de música. Las computadoras usurpadas también se podrían utilizar como plataforma para lanzar ataques o cometer delitos contra otras personas. La información, ya sea personal o comercial, se está volviendo algo cada vez más valiosa para los delincuentes. Donde se almacena la información personal, como el número de cuenta bancaria, de tarjeta de crédito o del seguro social, ya sea en su computadora personal o con un tercero de confianza como un banco, comercio minorista o agencia gubernamental, el delincuente informático puede tratar de robar esa información que podría usarse para el robo de identidad, fraude con tarjeta de crédito o retiros fraudulentos desde una cuenta bancaria. Los atacantes tratan de aprovecharse de cualquier persona que puedan localizar mediante cualquier método. Según su software malicioso se propaga, ellos obtienen el control de un número cada vez mayor de computadoras conectadas a Internet, alguna de las cuales usted podría llegar a visitar. Cuando lo hace, el sitio comprometido tratará de descargar software malicioso en su computadora. En el negocio esto se conoce como un ataque driveby ; lo único que tiene que hacer es visitar el sitio comprometido utilizando una computadora desprotegida y también será una víctima. Sea cauteloso al utilizar computadoras que no son suyas, como aquellas que se encuentran en los cafés de Internet Sea selectivo a la hora de elegir los sitios web que visita Los atacantes trabajan para que sus sitios web maliciosos estén entre los primeros puestos de las búsquedas de Google Phishing Phishing (fishing) es una forma de ingeniería social. El atacante lanza una red de mensajes de correo electrónico fraudulentos, con la expectativa de que algunas personas bajen la guardia y sigan las instrucciones que figuran en esos mensajes de correo electrónico. Generalmente, estos mensajes de correo electrónico anunciarán que el cielo se está cayendo y que usted debe tomar medidas de inmediato! Cuando una persona cae víctima de un mensaje de correo electrónico de phishing, se ve involucrada en trucos informáticos (cyber tricks) que sirven para plantar troyanos y software espía en su computadora. Si tienen éxito, los atacantes trabajarán para que sus actividades permanezcan desapercibidas, mientras roban credenciales de inicio de sesión y otros datos privados, y los envían al atacante. Spear phishing El spear phishing es una forma especializada del phishing. En esta categoría, el atacante se toma el tiempo para identificar a su objetivo y realizar una investigación de antecedentes del mismo. Después, los atacantes utilizan esta información para elaborar mensajes de correo electrónico diseñados para ser más convincentes para la víctima prevista. Esta forma de ataque está creciendo a una tasa impresionante. SMiShing Los defraudadores están utilizando el popular Servicio de Mensajes Cortos (mensajería SMS, conocido también como mensajes de texto ) para encontrar víctimas. A esto con frecuencia se lo llama smishing. Las víctimas reciben textos (mensajes SMS) que dicen provenir de sus bancos y declaran que el cielo se está cayendo (o algún otro pretexto), y que será mejor actuar ahora comunicándose a un número telefónico o sitio web donde se debe divulgar información personal. BLUSA Public Página 2

3 Vishing La comunicación de voz se lleva a cabo cada vez más a través de redes de datos de computadoras. Esto se denomina comúnmente como Voice over Internet Protocol (Protocolo de voz por Internet) o VoIP. Vishing es phishing que utiliza la tecnología VoIP. Con los años las personas llegaron a confiar en sus teléfonos. Generalmente confían que es un hecho aquello que el identificador de llamadas muestra. Sin embargo, este no es el caso. Un atacante puede utilizar herramientas especializadas para definir los datos que quiere que aparezcan en el identificador de llamadas y, de ese modo, trata de atacar al propietario del teléfono directamente o a través del correo de voz. Capturadores de teclado, troyanos y software espía: Madre mía! Una vez que un atacante lo tiene enganchado dentro de su esquema mediante cualquier forma de phishing, o si lo atrapa mientras usted navega en un servidor web que ya está comprometido e infectado, el mismo trabaja para comprometer su PC e implantar capturadores de teclado, troyanos y otro tipo de software malicioso, y así poder robarle todo lo que puede. Las soluciones de antivirus ayudan a brindar protección contra estas técnicas, pero no son perfectas. Si usted cree que su PC ya está infectado, debe consultar con su proveedor de antivirus para obtener soporte del tipo caso por caso. Hasta que se haya resuelto el problema, debe evitar usar el PC sospechoso para acceder a sitios web que requieren de credenciales de inicio de sesión, por ejemplo, su cuenta de banca en línea. También debe notificar a su representante de cuenta para que apliquemos un monitoreo extra a su cuenta. Teléfonos inteligentes y tabletas Los teléfonos inteligentes y tabletas actuales son computadoras poderosas, al igual que las portátiles y las de escritorio. Algunos teléfonos inteligentes actuales son tan poderosos como lo eran los servidores cuando el Internet empezó a tomar forma. Estos dispositivos cada vez son objeto de más ataques de los ladrones informáticos. Ya analizamos cómo se puede engañar al correo de voz para que piense que el defraudador es en realidad usted. Necesita tener esto en consideración y asegurarse de establecer contraseñas buenas para proteger su correo de voz. De manera regular se publica el descubrimiento de vulnerabilidades en Apple IOS, Google Android y Windows Mobile. Los atacantes tratarán de explotar estas vulnerabilidades de cualquier manera posible, a menudo a través del vishing y el smishing. Además, los atacantes confían en que los usuarios instalarán aplicaciones que parezcan ser ingeniosas. Publicarán aplicaciones maliciosas que parezcan legítimas, con la esperanza de que las personas las descarguen e instalen. También publicarán aplicaciones móviles maliciosas en los estandartes de anuncios que aparecen en los sitios web que ya están comprometidos. Por último, un método de piratería probado y verdadero es publicar aplicaciones que indican ser de seguridad, pero que en realidad son códigos maliciosos de los que todos deseamos defendernos. Aconsejamos a los propietarios de iphone y Android que obtengan sus aplicaciones únicamente del App Store de Apple o de Android Market. Tan pronto como sea posible debe instalar un antivirus y un protector del navegador, y mantenerlos actualizados. Esto aumenta la probabilidad de que no exista ningún código malicioso en las aplicaciones que usted elige ejecutar. Nosotros no No le enviaremos un mensaje de correo electrónico solicitando que haga clic en un enlace para confirmar o corregir la información que tenemos de usted. Este es un truco que los defraudadores utilizan para robar sus credenciales de usuario. Los defraudadores tratarán de convencerlo de que su cuenta con nosotros corre peligro y que necesita actuar de inmediato. Tenga cuidado con sus intentos, trate de no actuar en estos casos. Nuestras recomendaciones La mejor manera de protegerse de los delitos informáticos es usar el sentido común, estar preparado y tomar precauciones. BLUSA Public Página 3

4 Mantenga su sistema operativo actualizado/con parches; configúrelo para realizar actualizaciones automáticas. Si desea más información: (Windows) US/windows/help/windows-update o (MacOS) Utilice un antivirus y software anti-spyware (software espía) y mantenga actualizadas sus suscripciones. No visite los sitios web poco confiables y tampoco siga los enlaces proporcionados por fuentes desconocidas o poco confiables. Asegure sus operaciones. En la barra de estado del navegador busque el ícono del candado y antes de realizar una compra en línea asegúrese de que https aparece en la barra de dirección del sitio web. La letra s significa seguro e indica que la comunicación con el sitio web está encriptada. Para obtener más información: (Internet Explorer) o (Firefox) Sea prudente acerca de todas las comunicaciones que recibe incluyendo aquellas que supuestamente provienen de entidades confiables y tenga cuidado cuando haga clic en los enlaces que vienen dentro de esos mensajes. No responda a ningún mensaje de correo electrónico entrante no solicitado (spam). No abra ningún archivo adjunto a los mensajes de correo electrónico sospechosos. No responda a un mensaje de correo electrónico que solicita información personal o pide verificar su información o confirmar su identificación de usuario y contraseña. Tenga cuidado con los mensajes de correo electrónico que amenazan con consecuencias graves en caso de que usted no quiera verificar su información. No ingrese información personal en cualquier ventana que emerge cuando navega un sitio web. Proporcionar dicha información puede poner en peligro su identidad y aumentar las posibilidades de robo de la misma. Tenga contraseñas separadas tanto para las cuentas relacionadas con el trabajo como para aquellas que no lo están. Para personas conscientes de la seguridad extra El Centro de análisis e intercambio de información de servicios financieros (Financial Services Information Sharing and Analysis Center, FS ISAC) recomienda que los clientes de banca en línea utilicen una computadora aislada y dedicada exclusivamente a las transacciones de sus necesidades de banca. Si le gustaría obtener más detalles acerca de este enfoque, notifique a su gerente de relaciones y haremos los arreglos para colaborar con usted, a fin de garantizar que comprende los detalles y las implicaciones. Importantes recursos en línea Oficina de protección del consumidor (Bureau of Consumer Protection): La oficina de protección del consumidor de la FTC aplica las leyes que protegen al consumidor contra las prácticas engañosas e injustas. El Centro de negocios le brinda tanto a usted como a su negocio herramientas para comprender la ley y cumplirla. Sitio sobre robo de identidad de la FTC (FTC Identity Theft Site): Seguridad de Microsoft (Microsoft Security): Orientación para crear contraseñas: MITRE - Vulnerabilidades comunes (Common Vulnerabilities): El CVE es un diccionario que contiene vulnerabilidades, riesgos e información de seguridad que son de conocimiento público. Centro multi-estatal para el análisis e intercambio de información (Multi-State Information Sharing & Analysis Center, MS-ISAC): BLUSA Public Página 4

5 Boletín de consejos de informática: navegue seguro en Internet Semana Nacional de la Protección al Consumidor (National Consumer Protection Week): Alianza nacional de seguridad informática (National Cyber Security Alliance): OnGuard en línea (OnGuard Online): OnGuardOnline.gov proporciona consejos prácticos del gobierno federal y de la industria de la tecnología a fin de ayudarlo para que se proteja contra el fraude en Internet, asegure su computadora y proteja su información personal. Boletín Ouch! del SANS: Cómo comprar en línea de forma segura según el US-CERT: Boletín The Virus Bulletin: Glosario Fraude de identidad: el uso, sin que usted lo sepa, de su información personal, incluyendo el número de cuenta bancaria o de tarjeta de crédito, u otra información de identificación a fin de cometer fraudes o engaños. Capturador de teclado o keylogger: software especializado que registra las pulsaciones del teclado de su PC. Los keyloggers maliciosos han sido programados para identificar cuando una víctima navega hasta un sitio web confidencial (sitios de banca y sitios que requieren autenticación), que es cuando los mismos se activan y registran lo que usted escribe cuando ingresa su nombre de usuario y contraseña. A continuación estos datos generalmente se encriptan y se envían al atacante, para su posterior uso. Software malicioso: software diseñado para interrumpir o denegar la operación, recopilar información que ocasiona una pérdida de privacidad o explotación, obtener acceso no autorizado a los recursos del sistema y otros comportamientos abusivos. Ingeniería social: técnicas utilizadas para manipular a las personas para que realicen acciones específicas o divulguen información confidencial. El término generalmente se aplica a los trucos o engaños utilizados para recopilar información u obtener acceso al sistema de computadora. En la mayoría de los casos, el atacante nunca se llega a enfrentar con la víctima. Software troyano: software que se presenta como bueno y útil pero que contiene un código malicioso que trata de robar su información privada de banca para reenviarla a los ladrones. BLUSA Public Página 5