Por qué esta historia de Simswap es una llamada de atención

Hoy en día hay montones de historias sobre diversas estafas financieras: puedes encontrar una nueva prácticamente cada día. Pero algunas destacan y ganan mayor tracción, de modo que acaban siendo notadas por millones de personas.

Una de ellas fue la reciente historia de Charlotte Morgan, una joven londinense, que a finales de agosto fue, como hacía a menudo, a hacer ejercicio a su gimnasio local de Chiswick, al oeste de Londres.

Cuando llegó estaba de fiesta porque acababa de conseguir un nuevo trabajo. Pero esa alegría pronto se convirtió en desesperación cuando terminó su sesión de entrenamiento y fue a marcharse: la puerta de su taquilla estaba entreabierta y su mochila había desaparecido.

Pronto descubrió que también les había ocurrido a otros usuarios del gimnasio: era un robo organizado.

Además de otras pertenencias, Charlotte había perdido el teléfono, la tarjeta bancaria y las llaves de la puerta. Pero quedarse encerrada fuera de su piso y no poder soltar su bicicleta, que estaba encadenada a la verja exterior, pronto quedó claro que eran las menores de sus preocupaciones.

En cuestión de horas, los ladrones se habían ido de juerga por Londres, gastándose 3.000 libras sólo en una tienda Apple y miles más en otras tiendas.

Una vez que se dio cuenta de que la habían atacado de esta manera -lo que no es fácil cuando de repente no tienes teléfono con el que comunicarte, ni tarjeta con la que pagar viajes o mercancías y no puedes entrar en tu propia casa para acceder a otros equipos informáticos-, Charlotte se tranquilizó parcialmente al principio, porque lo único que los ladrones podrían llevarse era lo que había en su cuenta corriente.

Pero la realidad iba a ser mucho peor. Pronto se supo que los ladrones habían sido capaces de saltarse todas las medidas de seguridad de su teléfono y habían asaltado no sólo su cuenta corriente, sino también sus ahorros. Y en pocas horas se habían llevado todo. Le habían robado miles de libras que se había esforzado en acumular durante años. .

Estaba comprensiblemente conmocionada y desolada, pero también desconcertada.

Porque nunca se le había ocurrido que por el mero hecho de robarle el móvil los ladrones pudieran atacarla tan gravemente, creyendo que además estaba protegida por números PIN para activar las aplicaciones de su teléfono.

No fue hasta más tarde cuando descubrió cómo lo habían hecho.

explicó Charlotte: “Un experto en seguridad bancaria me explicó cómo es probable que se produjera la estafa. Una vez que el ladrón tenía mi tarjeta de débito, no necesitaba mi smartphone, sólo la tarjeta SIM, que se puede sacar por el lateral e introducir en otro teléfono.

“Esto elude la seguridad de la huella dactilar y el reconocimiento facial. Es el equivalente digital de una ventana abierta en una casa.

“Una vez dentro de mi cuenta, el ladrón podría restablecer el PIN online, y luego cambiar todas mis contraseñas de seguridad bancarias. Es asombrosamente fácil. Creo que el ladrón pudo hacerlo en el taxi del gimnasio a la primera tienda Apple”.

Es casi seguro que eso fue lo que ocurrió y, si me hubieran preguntado, habría dado la misma explicación.

Intercambiar Sims entre terminales es muy, muy fácil de hacer, con consecuencias devastadoras.

En TMT podemos detectar un Sim Swap -como se conoce a esta estafa- porque los patrones de transacciones inusuales que inevitablemente le siguen nos delatan. Cuando alguien como la Sra. Morgan ha sido una ahorradora prudente durante un largo periodo, podemos ver ese historial previo -no esperamos verle asaltando su cuenta de ahorros por la noche para conseguir miles de libras en cantidades repetidas- y eso se convierte en una señal de alarma instantánea.

Por supuesto, el intercambio de Sims puede producirse y se produce constantemente por razones legítimas. La semana pasada me compré un iPhone nuevo. Hice una copia de seguridad, cambié mi Sim al nuevo teléfono y éste replicó inmediatamente mi antigua página de inicio y mis contactos. La facilidad con que esto ocurre es una de las principales razones por las que la gente se queda con la misma marca de teléfono, Apple o un rival Android, de un contrato al siguiente.

Nuestros protocolos de seguridad habrían sido capaces de distinguir entre lo que le ocurrió a Charlotte y mi inocente Sim switch por los diferentes comportamientos que les rodeaban, uno inocente y otro nefasto.

Sin embargo, sólo podemos controlar los dispositivos de este modo si nos lo pide una empresa cliente autorizada, cuando ésta, a su vez, cuenta con el consentimiento de los usuarios. En este caso, el banco de Charlotte no parece haber utilizado esa seguridad de respaldo de una empresa independiente como nosotros. Y eso no es inusual, ya que la mayoría de las veces esto sólo ocurre en el momento en que un cliente se da de alta en un nuevo servicio: el momento de la incorporación, como nosotros lo llamamos.

Empiezo a preguntarme si ha llegado el momento de que empresas como el banco de Charlotte realicen este tipo de servicios con mucha más frecuencia. Al fin y al cabo, cada comprobación sólo cuesta unos céntimos y sólo con la cantidad que tuvieron que reembolsarle habrían pagado cientos de miles de medidas preventivas de este tipo.

Pero no es sólo el coste lo que impide que estas comprobaciones se utilicen más ampliamente, también está la cuestión de la privacidad. Mientras que los clientes están acostumbrados a que se les pida que autoricen comprobaciones en el momento de registrarse, a que se investigue su historial crediticio, etc., es comprensible que duden mucho más a la hora de aceptar que se comprueben sus datos de forma más rutinaria y continua.

Así que puede que pase algún tiempo antes de que existan sistemas permanentes que impidan a los ladrones atacar de la misma manera a la próxima Charlotte Morgan.

Mientras tanto, lo mejor que puedes hacer es protegerte. Puedes hacerlo estableciendo un nuevo número PIN en la propia tarjeta SIM. Esto impediría que los ladrones pudieran hacer un “Sim Swap” sin conocer ese PIN.

En un iPhone, basta con ir a Ajustes y tocar “Teléfono”. A continuación, toca “PIN SIM” para acceder a esta función. Pulsa “PIN SIM” para activarlo. Tu SIM vendrá con un PIN predeterminado establecido por tu operador de telefonía móvil que puedes sustituir.

Espero que esto ayude a corto plazo. A largo plazo, sería bueno pensar que el mundo empresarial podría hacer más.

Si quieres saber más sobre los servicios de protección contra el fraude que ofrece TMT ID, escríbenos a info@tmtid.com