Los hackers en tiempo real rompen la seguridad de dos factores

|

A mediados de julio, un director de cuentas de Ferma, una compañías constructora en Mountain View, California, entró en la cuenta bancaria de la compañía para pagar unas facturas, y utilizó una palabra clave de un solo uso para hacer que las transacciones fuesen más seguras.

No obstante, el ordenador había sido secuestrado. Un análisis forense llevado a cabo más tarde reveló que una visita anterior a otra página web había permitido que un programa malicioso invadiese el ordenador. Al mismo tiempo que el director de cuentas efectuaba los pagos legítimos, el programa inició otras 27 transacciones a varias cuentas bancarias, extrayendo 447.000 dólares en cuestión de minutos. “No sólo entraron en el sistema, sino que supieron la cantidad que podían extraer, y extrajeron el límite,” afirma Roy Ferrari, el presidente de Ferma.


El robo tuvo lugar a pesar de que Ferma utilizó una palabra clave de un solo uso, un código de seis dígitos que genera un pequeño aparato electrónico cada 30 ó 60 segundos. Los ladrones por internet se han adaptado a esta medida de seguridad adicional mediante la creación de programas especiales—caballos Troyanos en tiempo real—que pueden efectuar transacciones a un banco mientras que el titular de la cuenta esté en internet, convirtiendo la palabra de clave de un solo uso en el eslabón débil dentro de la cadena de seguridad financiera. “Creo que es un modelo que ya no funciona,” afirma Ferrari.

Los expertos en seguridad afirman que tanto los bancos como los consumidores necesitan adaptarse—que los bancos deberían ofrecer a los titulares de cuentas más seguridad, y que los consumidores deberían tomar más precauciones para permanecer seguros, especialmente protegiendo los ordenadores que utilizan para las transacciones financieras.

“Fundamentalmente tenemos que volver a rediseñar la forma en que los clientes interactúan con sus bancos por internet,” afirma Joe Stewart, director de investigación de malware para la firma de seguridad SecureWorks, en Atlanta, Georgia. “Dejando al margen los problemas que se dan con la tecnología, si los atacantes son capaces de ejecutar su código en tu ordenador, entonces son capaces de hacer cualquier cosa. Se convierten en ti mismo.”

La compañía de seguridad RSA, con sede en Bedford, Massachusetts, y que fabrica un aparato de palabras clave de un solo uso llamado Escurrid, argumenta que ni las compañías ni los consumidores deberían depender de ningún factor individual para llevar a cabo sus transacciones. Sam Curry, vicepresidente de marketing de producto para la compañía, y que ahora es una división de EMC, afirma que la tecnología de palabras clave de un solo uso, aplicada junto a otras medidas de seguridad, puede subir el listón contra los atacantes pero no puede mantenerlos alejados para siempre.
“Las compañías deberían recelar tanto de las profecías acerca del fin del mundo, como puede ser la muerte de un tipo de tecnología, como de aquellos que pinten la seguridad de color de rosa,” afirma Curry. “Cualquier barrera se puede romper.”

Las medidas de seguridad puede que no eliminen las amenazas, pero pueden hacer que a los criminales les cueste más utilizar un tipo particular de ataque, añade Curry. El problema reside en encontrar la mejor combinación entre costes, usabilidad y seguridad para el consumidor.

Fuente: Technology Review

ARTICULOS ANTERIORES:

 

©2010 Genera tu Ingreso | Diseño de Luis Santos *Cel.: (809) 517-1725 * Para:Genera tu Ingreso *San Fco. de Macorís, Rep. Dom.