Bre-B cumple un año: pagos más rápidos, pero también nuevas oportunidades para el fraude

Bre-B cumple este 6 de octubre su primer año de operación en Colombia, después de transformar la manera como personas y empresas realizan transferencias inmediatas entre entidades financieras.

Sin embargo, la velocidad y facilidad que caracterizan al sistema también han creado un nuevo desafío: aprender a diferenciar rápidamente una operación legítima de un intento de fraude.

Kaspersky advierte que durante estos doce meses los ciberdelincuentes también se han adaptado a los nuevos hábitos de pago.

La compañía ha identificado campañas de phishing que utilizan el nombre de Bre-B, páginas falsas que imitan procesos de registro y transferencia y dominios diseñados para capturar credenciales personales y financieras.

Incluso antes de que el sistema entrara plenamente en funcionamiento, investigadores de la compañía habían rastreado más de diez dominios vinculados con campañas fraudulentas que buscaban aprovechar el interés generado alrededor de las llaves digitales.

El comprobante ya no es suficiente

Uno de los principales aprendizajes del primer año es que la rapidez para transferir dinero debe estar acompañada por una capacidad igualmente rápida para verificarlo.

El riesgo es particularmente importante en comercios, PyMEs y áreas administrativas y financieras.

Una captura de pantalla, una notificación presentada desde otro celular, un correo de confirmación o un mensaje enviado por un supuesto proveedor pueden parecer pruebas suficientes de una transacción, aunque realmente hayan sido manipulados.

Los delincuentes, además, no necesitan vulnerar directamente Bre-B para cometer un fraude. Buena parte de los ataques se desarrolla alrededor de la transacción.

Pueden suplantar a un cliente, proveedor, empleado o directivo; falsificar comprobantes; crear páginas similares a las de las entidades financieras o enviar mensajes aparentemente legítimos para conseguir que alguien entregue sus credenciales, modifique los datos de un pago o autorice una transferencia.

En una empresa, una solicitud para cambiar una llave puede confundirse con una comunicación habitual de un proveedor.

Un mensaje urgente puede aparentar haber sido enviado por un directivo y un comprobante falso podría pasar inadvertido entre decenas de pagos recibidos durante una jornada.

El objetivo es conseguir que el trabajador actúe antes de verificar.

Así, el atacante podría intentar desviar un pago, acceder a una cuenta corporativa o hacer que un establecimiento entregue un producto o preste un servicio sin haber recibido realmente el dinero.

“A un año de operación, Bre-B deja una lección importante para las empresas: la ciberseguridad no puede quedarse únicamente en proteger la infraestructura. También debe acompañar los procesos de pago y a las personas que los ejecutan”, explica Lisandro Ubiedo, analista senior de seguridad del Equipo Global de Investigación y Análisis de Kaspersky (GReAT).

Cuidado con los códigos QR

El crecimiento de los pagos mediante códigos QR agrega otro frente de riesgo.

Un código manipulado o sustituido podría dirigir al usuario hacia una página falsa, solicitar credenciales o llevarlo a efectuar una operación diferente de la esperada.

Por esa razón, los QR ubicados en cajas, mostradores y puntos de venta deberían considerarse parte de la seguridad del establecimiento.

Kaspersky recomienda revisarlos periódicamente para comprobar que no hayan sido cubiertos, reemplazados o alterados y verificar que continúen dirigiendo al destinatario correcto.

El consumidor también debe revisar quién recibirá el dinero, cuál es el monto y a qué página o aplicación lo conduce el código antes de confirmar.

Cinco cuidados para las empresas

Kaspersky recomienda que los negocios confirmen directamente en sus canales financieros que el dinero fue recibido y no acepten una captura o comprobante como única prueba.

También deben verificar cualquier solicitud de cambio de cuenta o llave de un proveedor utilizando un canal de contacto previamente conocido; revisar periódicamente sus códigos QR; capacitar a empleados de caja, tesorería, compras, administración y finanzas para reconocer phishing, suplantaciones e ingeniería social, y mantener protegidos los dispositivos y sistemas corporativos.

La recomendación para los usuarios sigue la misma lógica: utilizar únicamente las aplicaciones y páginas oficiales de las entidades financieras, evitar ingresar desde enlaces recibidos mediante mensajes, correos o SMS y desconfiar especialmente de comunicaciones que generen urgencia con supuestos bloqueos, problemas con una llave o transferencias pendientes.

Además, nunca se deben entregar contraseñas o códigos de autenticación a terceros para recibir, confirmar o cancelar una transferencia, y es recomendable mantener protegidos los dispositivos desde los cuales se realizan operaciones financieras.

Comments