Los estafadores pescan en la Red

Estimado cliente, debido a los intentos de estafa que se han producido en los últimos días necesitamos confirmar los datos de su cuenta. Pinche en el enlace y confírmelos en 24 horas, o nos veremos obligados a bloquear la cuenta para su protección".

Así suele empezar la estafa. Un cliente de una entidad bancaria recibe un correo electrónico con el que se le solicita su clave de usuario; el correo -que a veces reproduce con engañosa precisión el logo y el estilo del banco- reenvía el cliente que pica a una página pirata; los datos tecleados en esa página quedan grabados, a disposición del estafador, que los utilizará para aligerar la cuenta de la víctima a través de transferencias.

A finales de 2004, cada día circulaban en la Red unos 4,5 millones de correos trampa. Uno de cada 100.000 se concreta en estafa, según la policía

El 'phishing' circula en España desde 2003. El problema es el desarrollo de variantes cada vez más sutiles, que complican las tareas de protección

La práctica se llama phishing, definición que es el acrónimo de la p de password (clave), de la h de harvest (cosecha) y de la palabra inglesa fishing (pesca). No se trata de una novedad. El problema es que el fenómeno aumenta a un ritmo considerable y, sobre todo, vive una constante metamorfosis que dificulta la defensa. Así que si, por un lado, a finales de 2004 se habían alcanzado en la Red los 4,5 millones de correos trampa a diario, por otro se desarrollan variantes del phishing cada vez más sutiles.

"Entre las variantes en circulación, quizá la más peligrosa sea el pharming, una especie de virus que se coge, por ejemplo, abriendo archivos infectados. El pharming hace que el usuario, cuando teclea la dirección de su banco, sea automáticamente dirigido a una página duplicada, en vez de a la oficial", cuenta un capitán del Grupo de Investigación de Delitos Telemáticos de la Guardia Civil.

Seguro de estar en la protegida web de su banco, el usuario teclea sus datos directamente en las garras del estafador. Una técnica sutil que podría elevar el porcentaje de intentos de estafa exitosos. De momento, la cifra se sitúa en uno de cada 30.000, según asociaciones de usuarios. Uno de cada 100.000, según fuentes policiales.

"Es difícil dar datos exactos, ya que estamos convencidos de que la mayoría de los afectados no denuncia la estafa, por vergüenza o por no meterse en líos para recuperar cifras a veces poco significativas", coinciden el capitán del Grupo y la inspectora jefe adscrita a la Brigada de Investigación Tecnológica de la Policía (BIT).

Los dos equipos, juntos, desmantelaron hace 15 días una red sospechosa de haber estafado en Internet varios millones de euros. Entre los 15 detenidos figuraba el español más buscado por ese tipo de delitos, un joven de 23 años con una quincena de órdenes de detención sobre su cabeza.

Una plaga extendida

"Detectamos los primeros casos de phishing en la primavera de 2003", cuenta la inspectora de la BIT. Desde entonces, casi todas las grandes entidades bancarias han sido afectadas y han empezado a informar adecuadamente a sus clientes sobre la amenaza. Pero la evolución de las técnicas de estafa hace que no sólo los usuarios inexpertos o desinformados caigan en las redes tendidas por los delincuentes.

"Yo me considero un usuario avanzado, nunca ni yo ni mi mujer contestamos a correos basura, pero hace un mes nos encontramos con unos 7.000 euros desaparecidos de nuestra cuenta", relata Alberto Isern, cliente de Banesto.

"En cuanto nos enteramos, llamamos al banco", prosigue Isern. "El dinero había sido transferido con dos transacciones y ya no se podía recuperar. Hice inmediatamente denuncia, anulé nuestras claves, y pregunté al banco si asumía algún tipo de responsabilidad. Se me contestó rotundamente que no. Además, ante mi voluntad de entender cómo se pudo acceder a mi cuenta, tampoco se me contestó de forma clara".

Al respecto, un portavoz de Banesto señala que "se está todavía investigando el caso, y que la decisión definitiva no está tomada. De todas formas, nuestros sistemas de seguridad informática están a la vanguardia, y desde hace tiempo se informa adecuadamente a los clientes sobre los riesgos del phishing. En general, no puede ser responsabilidad del banco el descuido de los usuarios en la protección de sus ordenadores". Argumentos, éstos, que repiten todos los bancos contactados. Pero, ¿hacen de verdad los bancos todo lo posible para evitar que los estafadores accedan a las cuentas? ¿Dónde acaba la imprudencia del usuario y dónde empieza la negligencia del banco?

Las asociaciones de consumidores argumentan que las entidades bancarias podrían hacer más. El sencillo envío de un SMS después de cada transacción, por ejemplo, podría impedir muchas estafas. El cliente se enteraría enseguida de un movimiento fraudulento, y podría bloquearlo.

"El problema es que no hay exigencias legales que obliguen a las entidades bancarias a desarrollar al máximo los sistemas de seguridad. Entonces, algunas trabajan bastante el tema, otras no", señala Carlos Hernández, letrado de la Asociación de Usuarios de Bancos. Un estudio de la consultora Hispasec del pasado mes de mayo señalaba, por ejemplo, que de los 50 sitios web de entidades bancarias españolas analizados, al menos seis eran susceptibles de sufrir un ataque de cross-site-scripting, una variante del phishing.

"Y si la información o la prevención son insuficientes, entonces surge la responsabilidad de los bancos y la consecuente obligación de indemnizar a los estafados", deduce Hernández.

COMFIA, la sección servicios financieros y administrativos de CC OO, denuncia, a través de su portavoz Francisco González, que "el cliente se encuentra desprotegido ante estas situaciones. En los contratos que disciplinan el servicio bancario online, los bancos no asumen responsabilidades ante la posibilidad de estafas, al contrario de lo que pasa en el caso de las tarjetas de crédito. Entonces pedimos que se regule esta materia y que se establezca un régimen que proteja más a los usuarios".

La indemnización

Todos los bancos contactados indican que se decide "caso por caso". Isern, para resolver el suyo, contactó con la asociación de consumidores ADICAE. "Me explicaron que, pasados dos meses desde la reclamación, si el banco sigue denegando la indemnización, se puede reclamar al Banco de España", afirma. El Comisionado para la Defensa del Cliente del Banco de España contesta en el plazo de seis meses y suele dar la razón al usuario. A pesar de que su decisión no sea vinculante, los bancos suelen respetarla. En caso contrario, quedan los tribunales.

Más allá de las críticas, está claro que las entidades bancarias tienen todo el interés en controlar el fenómeno y en que no se genere desconfianza con respecto a los servicios online, que permiten liberar al personal de un amplio número de gestiones. Por eso, en España se constituyó, en diciembre de 2004, un Comité de Coordinación Interbancario, un foro que sirve como punto de encuentro y diálogo. Y, en el ámbito internacional, es operativo el Anti-Phishing Working Group, organización que agrupa a unas 800 compañías.

"Incluso si las víctimas no son tus clientes, la estafa de por sí genera desconfianza en el canal", explica José Antonio Castro, director de seguridad corporativa del Banco Santander Central Hispano. "Por eso el interés general es no sólo defender a tus clientes, sino que todo el sistema esté bien protegido".Sin embargo, a pesar de que todos -bancos y usuarios- converjan alrededor de ese mismo interés, la dialéctica entre las partes está abierta y viva. Mientras, los pescadores siguen lanzando anzuelos.