Bancos alemanes dejarán de usar SMS para proveer un segundo factor de autenticación / verificación

Los bancos alemanes se alejan de la autenticación y verificación de transacciones del cliente basadas en SMS (denominadas mTAN o SMS-TAN), ya que el método se considera muy inseguro.

Según informa el equipo alemán de noticias de negocios Handelsblatt, un número de bancos privados, cooperativos o públicos, han dejado de ofrecer la opción, o están planeando eliminarla para fin de año. Entre estos se encuentran Postbank, Berliner Sparkasse, Consorsbank y otros.

Las razones se deben principalmente a la seguridad y el cumplimiento de la normativa

Como muchas personas hacen sus operaciones bancarias en línea a través de sus teléfonos móviles / inteligentes, los delincuentes informáticos deben comprometer solo este dispositivo para obtener toda la información necesaria para realizar una transacción fraudulenta. Los usuarios también pueden ver comprometidas sus credenciales bancarias y ser blanco de mensajes de texto falsos supuestamente provenientes del banco.

También es cada vez más común que los atacantes realicen un intercambio de SIM para hacerse pasar por el teléfono de la víctima y validar la transacción fraudulenta. Y últimamente, han habido casos de delincuentes que explotan vulnerabilidades de seguridad de larga data en los protocolos SS7 para eludir la autenticación de dos factores de los bancos alemanes y vaciar las cuentas bancarias de sus clientes.

La Oficina Federal Alemana para la Seguridad de la Información (BSI) ha estado advirtiendo sobre los riesgos de seguridad del uso de SMS-TAN durante años, señaló Handelsblatt, y los casos de abuso del proceso de mTan se han vuelto más frecuentes.

Además, los bancos y otros proveedores de servicios de pago deben alinearse con la Directiva de Servicios de Pago de la UE 2 (PSD2), que obliga a que las transacciones electrónicas remotas realizadas por los consumidores de la UE se autoricen mediante la "autenticación de cliente fuerte" (SCA).

“'Autenticación de cliente fuerte' significa una autenticación basada en el uso de dos o más elementos categorizados como conocimiento (algo que solo el usuario sabe), posesión (algo que solo el usuario posee) e inherencia (algo que el usuario es) que son independientes, y en la cual "La violación de uno no compromete la confiabilidad de los otros, y está diseñada de tal manera que protege la confidencialidad de los datos de autenticación", establece la Directiva.

Además: "Cuando el proveedor de servicios de pago no requiera una autenticación sólida del cliente, el pagador no sufrirá pérdidas financieras a menos que el pagador haya actuado de manera fraudulenta".

SMS-TAN se inscribe en el elemento de "conocimiento" y la Autoridad Bancaria Europea (EBA) no lo considera compatible con SCA.

Con la opción mTan desactivada, los usuarios deberán comenzar a usar:
  • ChipTANs (dispositivos generadores TAN provistos por bancos)
  • Photo-TANs (una aplicación móvil especial o dispositivo lector que fotografía un “código de barras” en la pantalla de la computadora y genera el número TAN)
  • Push-TANs (a través de una aplicación Tan especializada) o
  • Firmas digitales (a través de tarjetas inteligentes).
Traducción: Raúl Batista Redacción de Segu-Info
Autor: Zeljka Zorz
 
Fuente: SeguInfo

Comentarios

Publicar un comentario

Entradas populares de este blog

Presuntos narcotraficantes liberados por un ransomware

Imagen
Los fiscales estadounidenses se vieron obligados a dejar caer 11 casos de narcotráfico contra seis presuntos delincuentes, después de que se perdieron archivos de casos cruciales en una infección de ransomware en un departamento de policía de Florida. Es al menos séptimo incidente conocido de este tipo: investigaciones policiales se ven afectadas por una infección de ransomware que elimina la evidencia de las fuerzas del orden. La evidencia en los 11 casos no se pudo recuperar después de un ataque de ransomware que golpeó al departamento de policía de Stuart en abril de 2019. Si bien la policía de Stuart recuperó algunos datos de las copias de seguridad, algunos archivos no se pudieron recuperar. Los archivos perdidos incluyeron evidencia en fotos y videos , dijo el sargento detective Mike Gerwan del Departamento de Policía de Stuart a WPTV en una entrevista la semana pasada. Gerwan dijo que los casos retirados incluyen cargos por posesión de metanfetamina, posesión de
Leer más

Metasploit y Windows 10: Creando un payload indetectable (Evadiendo software antivirus)

Imagen
Anteriormente escribimos un artículo donde mostramos la manera de acceder a un sistema operativo Windows 10 usando metasploit de manera local o remotamente, puedes leer el artículo aquí:  Accediendo remotamente a Windows 10 con Metasploit . Hoy les vamos a mostrar cómo ofuscar el código malicioso para que sea indetectable a los antivirus. Los entusiastas de seguridad siempre buscan exploits de día cero que pueden eludir con éxito las características de seguridad de sistemas cómo Windows 10. Se han llevado a cabo numerosas investigaciones para crear malware indetectable y proyectos completos de GitHub dedicados a automatizar la creación de payloads indetectables como WinPayloads , Veil v3 y TheFatRat . Todo lo que se explicará en esta guía se hace con fines explícitamente educativos y bajo un laboratorio propiedad de Security Hack Labs , los usos que se le puedan dar a este tutorial depende del usuario y es absolutamente responsabilidad del él los daños que
Leer más

Diferencias entre mapa de calor, mapa de riesgos y matriz de riesgos

Imagen
4.5 / 5 ( 6 votos ) El mapa de riesgos, el mapa de calor y la matriz de riesgos son herramientas útiles en Risk Management. Si bien, en ocasiones los profesionales en Risk Management confunden estos conceptos y lo tratan como si fueran una única herramienta. En este artículo vamos a aclarar las principales diferencias y similitudes entre mapa de calor y matriz de riesgos, así como con mapa de riesgos. ¿Qué son los mapas de riesgos? Un mapa de riesgos es una tabla de 2×2, normalmente una tabla cruzada, que se organiza en columnas. En la primera se colocan los posibles eventos que pueden aportar incertidumbre al objetivo de la empresa u organización. Y, en las siguientes columnas, se colocarán las probabilidades, consecuencias o variables que puedan explicar dichos eventos. Por lo tanto, esta tabla viene a considerarse un mapa de riesgos.
Leer más