Angel Aguirre

Consejos de un Hacker Ético para Víctimas del Hackeo de Interbank

El pasado 30 de Octubre del 2024, multiples usuarios reportaron que tenían problemas de acceso a los servicios bancarios de Interbank.

Interbank confirmó un acceso no autorizado a sus sistemas y la exposición de datos de un considerable número de clientes. Se estima que el hacker logró recavar información de los usuarios que asciende a los 3.7 terabytes(TB).

Interbank ha señalado que este incidente fue perpetrado por un tercero sin autorización.

Esto es lo que sabemos del incidente que paralizó a uno de las entidades financieras más importantes en el Perú.

- Cantidad de Datos Comprometidos:
  Se menciona que el hacker, identificado bajo el alias de "kzoldyck" en foros en la dark web, afirmó haber obtenido datos que incluirían información de más de 3 millones de clientes de Interbank.

- Tipo de Información Comprometida: La información comprometida incluye:
    - Nombres Completos, IDs de cuenta, fechas de nacimiento, direcciones, números de teléfono, direcciones de correo electrónico, y direcciones IP.
    - Detalles de tarjetas de crédito como números de tarjeta, códigos de verificación (CVV), y fechas de vencimiento.
    - Información sobre transacciones bancarias y saldos.
    - Credenciales de acceso en texto plano que permite acceso a cuentas bancarias desde bloques de IP de Perú.

- Negociaciones Fallidas:
  El hacker afirmó haber mantenido negociaciones con Interbank durante dos semanas, buscando un pago de 4 millones de dólares para no exponer la información. Sin embargo, las negociaciones fracasaron cuando Interbank se negó a pagar, lo que llevó al hacker a liberar los datos como represalia.

- Reacciones de Interbank:
  - El banco implementó medidas de seguridad adicionales y un monitoreo especial de sus operaciones y la información de los clientes.
  - Interbank aseguró que los depósitos y productos financieros de los clientes permanecían seguros y que los servicios podían ser utilizados con normalidad.

- Impacto en Servicios: Los clientes experimantaron problemas de acceso a la aplicación móvil y la billetera digital Plin, con algunas operaciones bancarias afectadas debido a la necesidad del banco de actualizar su sistema para mitigar el ataque.

- Acciones Legales y Regulatorias:
  - La Fiscalía en Ciberdelincuencia de Lima Centro inició diligencias preliminares contra el presunto responsable del delito informático.
  - La Superintendencia de Banca, Seguros y AFP (SBS) y la Autoridad Nacional de Protección de Datos Personales comenzaron investigaciones para determinar si hubo infracciones y para asegurar que se tomen las medidas adecuadas.


A continuación mis recomendaciones en base a lo acontecido para todos los que fueron victimas en este ciber-ataque a Interbank.

1. Cambio Inmediato de Contraseñas
  • ¿Por qué es urgente?:
    • Las contraseñas son la primera línea de defensa contra el acceso no autorizado. Si los hackers tienen tus contraseñas actuales, cambiarlas puede prevenir que accedan a tus cuentas. Además, es una oportunidad para fortalecer la seguridad de tus datos.
  • Cómo realizar el cambio:
    • Diversificación: Nunca uses la misma contraseña para más de una cuenta. Si un servicio es comprometido, esto asegura que otros servicios no sean inmediatamnete vulnerables.
    • Robustez: Utiliza una combinación de letras mayúsculas y minúsculas, números, y símbolos (ejemplo: M!@dP4s5). Este tipo de contraseña es mucho más difícil de descifrar mediante ataques de fuerza bruta.
    • Evitar patrones: No uses secuencias obvias o información personal como fechas de nacimiento, nombres de mascotas, etc.
    • Gestión de contraseñas: Considera usar un gestor de contraseñas como LastPass o 1Password para generar y almacenar contraseñas seguras de manera cifrada.

2. Autenticación de Dos Factores (2FA)
  • Ventajas detalladas:
    • La 2FA no solo protege contra el uso de contraseñas comprometidas, sino que también es efectiva contra el robo de credenciales en dispositivos físicos perdidos o robados.
  • Implementación detallada:
    • Aplicaciones de autenticación: Aplicaciones como Google Authenticator, Microsoft Authenticator o Authy generan códigos de un solo uso (TOTP) que cambian periódicamente. 
    • SMS: Aunque menos seguro, enviar un código a tu teléfono móvil es mejor que nada, pero es susceptible a interceptación.
    • Claves físicas: Dispositivos como YubiKey proporcionan un nivel de seguridad físico, donde la clave debe ser físicamente insertada o tocada para autenticar.

3. Congelar tu Crédito
  • El contexto peruano en detalle:
    • En Perú, la protección contra el fraude de identidad no se realiza a través de una congelación de crédito como en otros países. En su lugar:
      • Comunicación con entidades: Contacta directamente con cada banco o entidad financiera. Pregunta por sus procedimientos para proteger contra el fraude de identidad. Esto puede incluir poner alertas, restricciones o bloqueos en tu perfil.
      • Documentación y seguimiento: Mantén un detallado registro de cada interacción. Guarda emails, números de referencia, y cualquier confirmación escrita de las medidas tomadas.

4. Monitoreo Activo de Cuentas Financieras
  • Por qué es vital:
    • El monitoreo continuo puede detener fraudes antes de que se acumulen daños significativos.

  • Métodos de vigilancia:
    • Revisión manual: Dedica tiempo cada semana a revisar cada transacción en tus estados de cuenta.
    • Alertas digitales: Configura notificaciones para cualquier transacción que supere un monto específico o que se produzca en momentos inusuales.
    • Herramientas de monitoreo: Algunos servicios bancarios o aplicaciones de terceros pueden monitorizar tu crédito y alertarte de cualquier actividad sospechosa.

5. Actualización de Información Personal
Nueva Identidad Digital:

  • Correo Electrónico: Es crítico considerar seriamente cambiar tu dirección de correo electrónico. Si estás tentado a mantener tu correo actual, aquí hay razones para reconsiderar:

    • Riesgo de Phishing: Con los datos personales robados, es casi seguro que tu correo electrónico se convertirá en un blanco para ataques de phishing altamente personalizados. Los hackers pueden enviarte correos que parecen proceder de entidades legítimas, utilizando detalles precisos de tu vida o cuentas para dar autenticidad a sus estafas. Estos correos podrían contener enlaces a sitios web falsos o archivos adjuntos con malware diseñado para comprometer tu dispositivo.
    • Persistencia de Hackers: Incluso si solo actualizaras tu contraseña y añadieras 2FA, los hackers podrían seguir intentando acceder, ya que conocen tu dirección y tienen información para hacer sus ataques más convincentes.

Consejos para los que no desean cambiar de correo electrónico:

  1. Uso de Alias: Si cambiar completamente de correo es algo que no quieres hacer, considera al menos usar un alias de correo. Muchos servicios de correo permiten crear alias o direcciones alternativas que redirigen al correo principal. Esto añade una capa de anonimidad y puede ayudar a filtrar el spam o los ataques de phishing.

    • Cómo hacerlo: En Gmail, puedes añadir un punto (.) en cualquier parte antes de @gmail.com (ejemplo: usuario@gmail.com (mailto:usuario@gmail.com) y us.ario@gmail.com (mailto:us.ario@gmail.com) irían al mismo buzón) o añadir un '+' seguido de cualquier etiqueta antes del @ (ejemplo: usuario+interbank@gmail.com (mailto:usuario+interbank@gmail.com)).
  2. Filtrado Avanzado: Configura reglas de filtrado avanzadas en tu correo para que cualquier correo con la palabra "Interbank", números de cuenta, o cualquier otro dato sensible que hayas tenido con el banco sea etiquetado, redirigido a una carpeta aparte o directamente marcado como spam.
  3. Educación Personal: Aumenta tu conocimiento sobre ciberseguridad:
    • Lee sobre las últimas técnicas de phishing y cómo los hackers operan.
    • Participa en cursos o webinars sobre seguridad en línea.
  4. Reducción de Exposición: 
    • Desinscripción de Servicios: Desuscribirse de boletines y servicios que no sean esenciales para reducir la cantidad de correos que recibes, lo que podría también disminuir las oportunidades para los ataques de phishing.
    • Minimizar Información Compartida: Asegúrate de no compartir tu dirección de correo electrónico en sitios web públicos o en lugares donde la privacidad no esté asegurada.
  5. Monitoreo y Respuesta:
    • Revisa tu correo frecuentemente: Para detectar y reaccionar rápidamente a cualquier intento sospechoso.
    • Alerta de correo: Configura alertas para correos de ciertas palabras claves o remitentes conocidos, para que puedas estar más atento a las comunicaciones potencialmente fraudulentas.
  6. Cifrado y Seguridad Adicional: 
    • Cifrado de correo: Utiliza servicios que ofrecen cifrado de correo electrónico como ProtonMail o el cifrado PGP para comunicaciones sensibles.
    • Aplicaciones de Seguridad: Considera utilizar software de seguridad adicional que pueda alertarte sobre enlaces o archivos sospechosos.
  7. Acuerdo de Seguridad con Contactos:
    • Informa a tus contactos sobre la situación y pídele que se comuniquen contigo por otros medios si reciben un correo sospechoso que parece proceder de ti.

A pesar de estos consejos, el cambio de correo sigue siendo la recomendación más segura para evitar ser una víctima repetida de hackers que ya poseen información personal tuya. La implementación de estas estrategias puede mitigar riesgos, pero no elimina completamente la amenaza.

6. Protección Contra Phishing
  • Peligros específicos:
    • Phishing personalizado: Al tener acceso a datos privados, los hackers pueden crear correos o mensajes que parezcan auténticos, incluso mencionando detalles específicos sobre ti.
    • Falsas soluciones: Emails o mensajes que prometen "solucionar" el problema del hackeo, pero en realidad buscan robar más información o dinero.
  • Prevención detallada:
    • No confíes automáticamente: Si recibes una comunicación no solicitada, siempre verifica a través de un canal oficial.
    • Verificación directa: Usa solo los números de teléfono y direcciones de correo oficiales de Interbank. No sigas enlaces en correos inesperados.
    • Protección práctica: Nunca proporciones información personal a través de correos o sitios web no verificados.
    • Conciencia: Educación personal y de la comunidad sobre cómo identificar phishing.
  • Acciones post-phishing:
    • Reportar: Avisa a Interbank y a las autoridades sobre cualquier intento de phishing.
    • Acción inmediata: Si has caído en un engaño, cambia todas tus contraseñas, notifica a tu banco, y considera congelar temporalmente tus cuentas.
|