Un reporte de la firma de seguridad Gemini Advisory menciona que se han detectado múltiples campañas maliciosas operadas desde sitios en dark web relacionadas con esquivar 3D Secure (3DS), un conjunto de soluciones diseñadas para mejorar la seguridad de las transacciones en línea usando tarjetas de pago. El reporte se refiere a 3D Secure 2.0, la versión más reciente de esta herramienta, aunque los expertos creen que es un hecho que las versiones anteriores de 3D Secure también están expuestas.
Para ser más precisos, 3D Secure es un protocolo basado en XML diseñado para operar como una capa de seguridad adicional al realizar transacciones en línea con tarjetas de crédito y débito, lo que incluye uso de contraseñas y autenticación biométrica.
Según el reporte, los actores de amenazas pueden usar tácticas de phishing e ingeniería social para engañar a los usuarios atacados y hacer que revelen la información confidencial de sus tarjetas de pago. Uno de los principales problemas reside en el uso de contraseña para la verificación de transacciones, pues en ocasiones las víctimas emplean un número de identificación personal que un hacker malicioso podría obtener fácilmente.
La técnica más común para estos hackers es hacerse pasar por empleados bancarios para obtener toda clase de información de sus víctimas, incluyendo nombres completos, números telefónicos, domicilios fiscales y direcciones email, entre otros datos.
Sobre las formas de esquivar la seguridad de 3D Secure, los expertos mencionan que un hacker podría llamar a la víctima para informar sobre una supuesta transacción fraudulenta, cuya anulación requerirá de que la víctima entregue su información para verificación de identidad.
Por otra parte, los hackers maliciosos también pueden crear sitios web de phishing disfrazados como plataformas de comercio electrónico con el fin de recopilar información confidencial a gran escala. Los actores de amenazas también utilizan variantes de malware para dispositivos móviles capaces de rastrear la información almacenada en la memoria y detectar potenciales códigos de verificación para 3D Secure y otros mecanismos similares.
Finalmente, los expertos mencionan que los actores de amenazas pueden explotar fallas de seguridad en operadores de pago como Paypal para esquivar los mecanismos de seguridad 3DS. Los expertos señalan que en algunos casos esta variante de ataque podría ser más efectiva debido a que PayPal no siempre solicita la confirmación del usuario, especialmente cuando las transacciones son inferiores a un monto previamente establecido.
Un reporte separado menciona que las versiones anteriores de 3D Secure, como v1.0 también se ven afectadas por estos problemas, lo que representa un gran riesgo considerando que estas herramientas siguen siendo ampliamente utilizadas en todo el mundo. Los expertos de Gemini Advisory recomiendan a los usuarios de este marco mantenerse alertas ante cualquier nueva actualización, además de seguir las recomendaciones de seguridad emitidas por los desarrolladores.
Trabajando como arquitecto de ciberseguridad, el se enfoca en protección de datos y la seguridad de datos empresariales. Antes de unirse a nosotros, ocupó varios puestos de investigador de ciberseguridad con diferentes empresas. También tiene experiencia en diferentes industrias como finanzas, salud medica y reconocimiento facial.