Los estafadores encuentran todo el tiempo modalidades para llevar adelante distintos tipos de fraude. Lo hacen con tarjetas de crédito, a través de la tecnología o el siempre vigente cuento del tíos.

Ahora, denuncian que en Argentina hay una nueva ola de ataques apuntados a las cuentas personales. Se trata de una estafa conocida como SIM swap o suplantación de SIM.

La estafa funciona usando dos pasos diferentes. En primer lugar, los delincuentes usan técnicas de ingeniería social para acceder a datos personales de la potencial víctima. Pueden envíar correos haciendose pasar por alguna entidad que requiere algunos datos (como un banco, por ejemplo).

En otros casos, acceden a los datos a través de las fugas de información. Luego, una vez que tiene acceso a esos datos, se hacen pasar por la víctima en una llamada telefónica a los proveedores de conexión mobile. La idea es pedir un nuevo chip, vinculado al número de la víctima, para usarlo en otro celular e interceptar la información.

Las tarjetas SIM recuperan la información de la red GMS global de las empresas de telefonía, a través de esta interferencia puede acceder a datos personales y sensibles ligados a el número de teléfono. Por ejemplo, muchas aplicaciones y servicios populares (como correo electrónico y redes sociales) pueden limpiar y cambiar las contraseñas autenticado los permisos del usuario con un chequeo vía SMS u otros servicios que llegan a la línea del teléfono. Así, es posible acceder a las cuentas de la víctima.

Según pudo relevar Infotechnology, es posible realizar la suspensión de una tarjeta SIM, pedir una nueva (que es provista por la compañía) y darle de alta todo desde una llamada telefónica. La nueva tarjeta llegaría a la dirección solicitada a través de un courier privado.

Con solo insertarla en un nuevo telefono inteligente, se tendría acceso a todos los servicios relacionados con el númeroen cuestión.

"Para tener una idea del impacto de este tipo de ataques, solo en Brasil, un grupo organizado pudo clonar las tarjetas SIM de 5.000 víctimas, entre las cuales se vieron afectados políticos, ministros, gobernadores, celebridades y empresarios de alto perfil. En Mozambique, un ataque causó pérdidas de US$50.000 a un solo empresario, mientras que en Brasil se han registrado pérdidas de hasta US$2.500 por ataque", informó la compañía de ciberseguridad Kaspersky, que se encargó de relevar el caso regional y otros casos internacionales. No obstante, el verdadero impacto de este fraude es imposible de analizar porque la mayoría de los bancos no comparte este tipo de estadísticas públicamente.

En África, el banco más grande de Mozambique registró un promedio de 17,2 casos de clonación de SIMs al mes. Tal situación llevo a los bancos y a las operadoras del país a adoptar una solución simple pero eficaz para combatir el fraude: desarrollaron un sistema integrado de consultas en tiempo real que erradicó este tipo de fraude a nivel nacional.

Ataque a las "Fintech"

La técnica de ‘SIM swap’ tiene un "hermano gemelo" conocido como clonación de WhatsApp. Al tener acceso a los datos del portador; se pueden instalar aplicaciones como WhatsApp que recuperan la información original del teléfono. Entonces, el criminal procede a enviar mensajes a los contactos en nombre de la víctima, para conseguir dinero, pedir un rescate o cualquier otra maniobra. 

Algunos de los ataques han tenido como objetivo a compañías, después de lograr apoderarse del teléfono de un ejecutivo y usar la clonación de WhatsApp para solicitar fondos al departamento financiero de su empresa que mueva dinero. Este ataque es similar al compromiso de correos corporativos (BEC, por sus siglas en inglés), pero utilizando una cuenta de WhatsApp.

Otro de los blancos, explicó la empresa Kasperksy, son las fintech, donde se ataca a sus usuarios para vaciar las cuentas bancarias. Como la mayoría de las aplicaciones financieras todavía dependen de la autentificación de doble factor, los criminales utilizan la función de recuperación de contraseña de la aplicación para recibir un código por SMS, lo que les permite tener control total de la cuenta del usuario y efectuar pagos ilegales con la tarjeta de crédito registrada en la aplicación.

Afortunadamente, muchas otras entidades financieras tomaron más recaudos para protegerse de este y otros tipos de ataques fundados sobre la usurpación de identidad. Por ejemplo, los token de las aplicaciones bancarias requieren del uso del plástico o del ingreso de datos en un cajero para poder confirmar las operaciones.