El concepto de seguridad de extremo a extremo es bien conocido por los profesionales de las comunicaciones y la ciberseguridad; generalmente implica un enfoque holístico, donde se implementan medidas de seguridad en cada punto del sistema o red.
La necesidad de resolver vulnerabilidades y la histórica determinación de evitar fenómenos de MitM (‘Man-in-the-Middle’), ha permitido el desarrollo de protocolos y procedimientos que han contribuido a preservar las transmisiones, haciendo los códigos desarrollados menos vulnerables.
Sin embargo, la seguridad de todos los elementos que interviene en la cadena de intercambio de valor, no han sido atendidos por igual. Los medios para el pago han recibido el cuidado de las entidades financieras desde su inicio por razones obvias, como emisores de estos. La evolución de las medidas de protección ha sido notable a lo largo del tiempo, aunque la irrupción del comercio digital ha hecho más compleja y difícil una seguridad óptima. Los numerosos actores que intervienen (entidades financieras, comercios, facilitadores del pago, franquicias, distribuidores logísticos, …) así como la evolución constante de la tecnología (QR, NFC, Digital Wallets, …), o la aparición de nuevas modalidades de negocio (pagos inmediatos, BNPL, …), nos muestran un escenario con numerosos puntos de entrada y de salida, suficientemente diverso y disperso, que lo hace indudablemente atractivo para los estafadores.
La seguridad de extremo a extremo, como concepto aplicable no solamente a la comunicación y la ciberseguridad, sino al ecosistema digital en su conjunto, implica asegurar un elemento clave, el usuario final. No me refiero a sus medios para el pago (tarjeta bancaria, móvil, tarjeta regalo, tarjeta de fidelización, …), sino al usuario en sí mismo como objetivo principal de las amenazas emergentes de fraude digital. En este sentido, cobra especial relevancia la accesibilidad/vulnerabilidad del usuario, abordado a través de diferentes canales, sea correo electrónico, vía telefónica, chat o a por redes sociales. Como clientes de cualquiera de las compañías financieras, de suministros o servicios, recibimos numerosas comunicaciones comerciales u operativas, lícitas, con finalidades diversas, que originan un enorme bosque donde se entremezclan intentos de estafa, cada vez más difíciles de distinguir.
Merece especial atención el cuidado de los datos personales sensibles (PII) del que estas compañías se hacen responsables cuando se los facilitamos, tal como dicta la Ley de Protección de Datos Personales y garantía de los derechos digitales. El crecimiento en especial de las suplantaciones de identidad (ATO), y su impacto exponencial como elemento clave en diferentes espacios del fraude, es una preocupación de primera magnitud. Una identidad robada permite no solo la ejecución de una estafa directa, sino que es utilizada en muchos casos para ocultar la verdadera identidad de los vendedores de procedimientos de fraude en la Dark/Deep webs o grupos de Telegram, para la receptación de bienes o el movimiento de capitales (mulas), así como para el testeo de credenciales y tarjetas bancarias, entre otras muchas finalidades relacionadas con el fraude digital.
Con estos condicionantes, existen necesidades de protección que los agentes activos en este ecosistema deben empezar a valorar. La colaboración entre entidades en la lucha contra el fraude es afortunadamente creciente, así como los organismos oficiales dedicados en exclusiva a la atención del usuario estafado, aunque en muchas ocasiones se trata de procedimientos reactivos y no tanto proactivos (alertas, información de utilidad, recomendaciones, puntos de atención, divulgación de la regulación, …).
Podemos reseñar algunas iniciativas, cuya implementación ha ayudado a reducir la exposición del usuario, bajo el concepto de seguridad extremo a extremo, aplicado al ecosistema digital y las amenazas de vishing, phishing y smishing que sufrimos.
En Reino Unido se ha instaurado la iniciativa del teléfono ‘159’, al estilo de los ‘112’, ‘091’, ‘092’. Desde 2021, se inicia un servicio consistente en facilitar el contacto de manera eficiente y segura, al usuario con su entidad financiera, ante la sospecha de una comunicación ilegítima, diferente en su arquitectura y funcionamiento, aunque similar en finalidad, al ‘017’ del INCIBE; se pone al usuario en contacto directo, de forma segura y confiable con su entidad financiera. La empresa encargada del servicio, ‘Stop Scams UK’, define el servicio de este modo,
“We wanted to provide a memorable simple way to connect UK banking customers safely and securely with their bank if they receive an unexpected or suspicious call about a financial matter. When we first introduced 159, our goal was to provide consumers with a simple, effective tool to protect themselves from cowardly scammers, said Ruth Evans, Chair of Stop Scams UK.”
“The 159 hotline is a vital service, providing an even simpler way for customers to call Chase quickly if you suspect you’re being targeted by a scammer.” Sean Hegarty, Head of Fraud for Chase “
En la actualidad son más de 20 bancos, a los que es posible acceder mediante este servicio, recibiendo una media de 1.000 comunicaciones diarias de usuarios bancarios, siendo una aportación a la seguridad extremo a extremo.
Por otra parte, una tecnología que tiene cierta antigüedad está relacionada con las comunicaciones escritas, vía correo electrónico y conocida como PGP (Pretty Good Privacy). Existen en la actualidad numerosas variantes, soportadas por diferentes fabricantes, a las que se ha añadido firmas y certificados, fundamentadas todas ellas en el uso de algoritmos de clave pública-privada y firma digital, añadiendo integridad a través de mecanismos de hashing. La finalidad es clara, asegurar que el emisor de un determinado mensaje es quien dice ser, protegiendo la integridad del contenido, contribuyendo a la seguridad de extremo a extremo.
Aplicar estas capacidades en las comunicaciones que bancos, empresas de soporte, suministros y servicios, nos hacen llegar de forma más o menos sistemática, proporcionaría un entorno menos practicable para los estafadores en sus modalidades phishing, smishing, vishing o quishing.
Estos esquemas, aparentemente complejos, conllevan procedimientos con los que las entidades están muy familiarizadas, por lo que asociarlos con los actuales mecanismos de alta (‘onboarding’), no redundaría en una mayor fricción para el usuario.
La generación de claves, distribución y hasta custodia, puede ser transparente en gran medida para el usuario. Este tendría la potestad de compartir sus claves públicas con aquellas entidades de las que acepta recibir comunicaciones, pudiendo rechazar todas las que no cuenten con esa certificación, otorgándole así al usuario final un poder que ahora no tiene y que redundaría en mayor protección frente a los intentos de fraude e intrusión.
Se trata únicamente de un ejemplo, en donde la industria puede implementar mecanismos para minimizar el impacto de las comunicaciones fraudulentas, como origen de muchas de las estafas que finalmente se llevan a término. la evolución tecnológica nos proporciona otras opciones como el ‘Zero Knowledge Proof (ZKP)’, que posibilita acciones de identificación similares, con incremento adicional de la privacidad.
Aunque la implementación de estas u otras medidas puede requerir cierto esfuerzo en tiempo y recursos, se hace necesario un planteamiento estratégico a corto y medio plazo, que abarque los procesos de comunicación y contacto digital con los clientes.
#FraudeDigital #Phishing #Vishing #Smishing #RSA #ZKP #PGP #StopScam #DGPR #MarketingDigital #End-to-end
