Mes: febrero 2021

ALERTA ASOBAN – Casos de Ransomware

Guido Rosales 26/02/2021

En días pasados ASOBAN emitió una circular entre sus afiliados llamando la atención sobre casos de RANSOMWARE

Veamos como viene esto:

Acompañamos referencias a los casos citados por ASOBAN para poner en contexto al lector sobre cada uno de ellos.

https://yanapti.com/2021/supuesto-robo-de-informacion-del-banco-pichincha/

Supuesto robo de información del Banco Pichincha

https://yanapti.com/2018/caso-banco-de-chile-abren-investigacion-por-lavado-de-dinero-en-hong-kong/

Caso Banco de Chile – Abren investigación por lavado de dinero en Hong Kong

CONCLUSIÓN

Sin duda es relevante mantener esta lógica y repetir eventos como el realizado en el año 2019

Sin embargo se espera un plan de acción de mediano y largo plazo tanto de ASOBAN como de ASFI. El problema del ransomware es mundial y puede afectar significativamente no solo la operativa de las entidades financieras, sino la confianza del consumidor financiero.

Articulos

PROBLEMAS CON OTP VIA SMS – BANCO UNION

Guido Rosales 26/02/2021

Como dice el comunicado del Banco Union, estan enfrentando demoras en el envio de la clave transaccional.

Pero que significa esto?

El cliente no puede completar sus transacciones por cuanto la plataforma le pide validar su identidad mediante una clave dinámica que es generada para cada transacción. En este caso la misma le debe llegar mediante un mensaje SMS a su dispositivo móvil.

El Banco debería generar una forma contingente para procesar estos casos. Los SMS a diferencia del SOFTTOKEN o HardToken, siempre tendrán ese problema de intermediario.

Se involucran los siguientes conceptos: OTP - One time password y DFA - doble factor de autenticacion

ESQUEMA DE OPERACIÓN

En el gráfico mostramos el modelo sencillo donde el Banco es el generado de OTP - One time Password. Estos mensajes se envian mediante el servicio de SMS de algun proveedor tipo ENTEL, TIGO, AXS, VIVA u otro.

Algun problema en este esquema se puede dar en el momento de generar y enviar los SMS o en el transporte de estos mediante el operador.

Conclusión

Esperemos que el Banco Unión soluciones este problema, pero mas allá e esto se deben tomar medidas conjunta con los actores y reguladores (ASFI y ATT) par mitigar estos problemas y generar esquemas de contingencia.

Estos aspectos están regulados en la Sección 8 del RGSI de ASFI.

Por supuesto que en este caso ya afecto la sección 9 Incidentes y sin duda la sección 10, contingencias y continuidad.

Firma legal filtra 15,000 casos a través de la nube

Guido Rosales 26/02/2021

Una empresa de asesoría legal ha expuesto inadvertidamente datos sobre 15.000 casos relacionados con personas muertas o heridas en accidentes de tráfico después de una mala configuración de la nube.

Los investigadores del sitio de revisiones WizCase encontraron el bucket de AWS S3 que contiene 55.000 documentos abiertos de par en par. No requería autorización para ver el tesoro de 20 GB, lo que significa que cualquier persona con la URL podría haber accedido a información personal altamente confidencial, afirmó la firma.

WizCase rastreó los datos hasta İnova Yönetim, una consultora actuarial turca que analiza datos para ayudar a calcular el riesgo y las primas de seguros.

Después de ponerse en contacto con la empresa el 1 de octubre de 2020 y con AWS cinco días después, WizCase señaló que el servidor estaba protegido el 12 de octubre, aunque no se recibió respuesta de la consultora.

Para cada uno de los 15,000 casos judiciales, los investigadores encontraron información de identificación personal (PII) de la víctima, incluido el nombre, el número de identificación nacional, el estado civil y la fecha de nacimiento, junto con los detalles del seguro y del accidente.

Algunos documentos exponen aún más detalles de testigos, denunciantes y otras partes, incluida información detallada sobre accidentes, números de registro de vehículos, resultados de pruebas de alcoholemia, descripciones de lesiones y mucho más.

Los datos aparentemente se relacionan con casos entre el comienzo de 2018 y el final del verano de 2020.

Aquellos expuestos en el problema de la privacidad pueden correr el riesgo de que los estafadores realicen un seguimiento con correos electrónicos de phishing muy convincentes o llamadas telefónicas (vishing) diseñadas para engañarlos para que entreguen más información personal y financiera.

“Con algo de ingeniería social, los malos actores o los delincuentes podrían contactar a un operador [móvil], haciéndose pasar por la víctima, y verificar todo tipo de preguntas de verificación que los operadores harían para clonar una tarjeta SIM”, argumentó WizCase.

"Después de tener acceso a las llamadas telefónicas y los mensajes SMS de las víctimas, los malos actores podrían intentar hacer la misma operación con el seguro y el banco de los clientes".

Los ciberdelincuentes también podrían usar los datos para intentar sobornar a los funcionarios y chantajear o amenazar a las personas, afirmó.