Cómo funcionan los skimmers de tarjetas de crédito y cómo detectarlos

Un skimmer de tarjeta de crédito es un dispositivo malicioso que los delincuentes conectan a un terminal de pago, generalmente en cajeros automáticos y bombas de gasolina. Cuando usa un terminal que ha sido comprometido de tal manera, el skimmer creará una copia de su tarjeta y capturará su PIN (si es una tarjeta de cajero automático).

Si utiliza cajeros automáticos y bombas de gas, debe tener en cuenta estos ataques. Armado con el conocimiento correcto, en realidad es bastante fácil detectar la mayoría de los skimmers, aunque al igual que con todo lo demás, estos tipos de ataques continúan avanzando..

Cómo funcionan los skimmers

Un skimmer tradicionalmente tiene dos componentes. El primero es un dispositivo pequeño que generalmente se inserta en la ranura de la tarjeta. Cuando inserta su tarjeta, el dispositivo crea una copia de los datos en la banda magnética de su tarjeta. La tarjeta pasa a través del dispositivo y entra en la máquina, por lo que todo parecerá funcionar normalmente, pero los datos de su tarjeta se acaban de copiar..

La segunda parte del dispositivo es una cámara. Se coloca una cámara pequeña en algún lugar donde pueda ver el teclado, tal vez en la parte superior de la pantalla de un cajero automático, justo encima del teclado numérico, o al lado del teclado. La cámara apunta al teclado y lo captura al ingresar su PIN. El terminal continúa funcionando normalmente, pero los atacantes simplemente copiaron la banda magnética de su tarjeta y robaron su PIN.

Los atacantes pueden usar estos datos para programar una tarjeta falsa con datos de banda magnética y usarla en otros cajeros automáticos, ingresando su PIN y retirando dinero de sus cuentas bancarias.

Dicho todo esto, los skimmers también son cada vez más sofisticados. En lugar de un dispositivo colocado sobre una ranura de tarjeta, un skimmer puede ser un dispositivo pequeño e imperceptible que se inserta en la ranura de la tarjeta, a menudo llamada tarjeta brillar.

En lugar de una cámara apuntada al teclado, los atacantes también pueden usar una superposición, un teclado falso instalado sobre el teclado real. Cuando presionas un botón en el teclado falso, registra el botón que presionaste y presiona el botón real debajo. Estos son más difíciles de detectar. A diferencia de una cámara, también están garantizados para capturar su PIN.

Los skimmers generalmente almacenan los datos que capturan en el propio dispositivo. Los criminales tienen que volver y recuperar el skimmer para obtener los datos capturados. Sin embargo, ahora más skimmers están transmitiendo estos datos de forma inalámbrica a través de Bluetooth o incluso a conexiones de datos celulares..

Cómo detectar skimmers de tarjetas de crédito

Aquí hay algunos trucos para detectar skimmers de cartas. No puedes ver a cada skimmer, pero definitivamente debes echar un vistazo rápido antes de retirar dinero.

• Jiggle the Card Reader: Si el lector de tarjetas se mueve cuando intenta moverlo con la mano, es probable que algo no esté bien. Se debe conectar un lector de tarjetas real al terminal tan bien que no se mueva: un skimmer superpuesto sobre el lector de tarjetas puede moverse.
• Mira la terminal: Eche un vistazo rápido a la terminal de pago en sí. ¿Algo se ve un poco fuera de lugar? Tal vez el panel inferior sea de un color diferente al resto de la máquina porque es una pieza falsa de plástico colocada sobre el panel inferior real y el teclado. Tal vez hay un objeto extraño que contiene una cámara.
• Examina el teclado: ¿El teclado tiene un aspecto demasiado grueso o diferente de cómo se ve normalmente si ha usado la máquina antes? Puede ser una superposición sobre el teclado real..
• Comprobar si hay cámaras: Considere dónde un atacante puede ocultar una cámara en algún lugar por encima de la pantalla o el teclado, o incluso en el soporte del folleto en la máquina.
• Utilice Skimmer Scanner para Android: Si usa un teléfono con Android, hay una nueva y excelente herramienta llamada Skimmer Scanner que buscará dispositivos Bluetooth cercanos y detectará los skimmers más comunes en el mercado. No es infalible, pero esta es una excelente herramienta para encontrar skimmers modernos que transmiten sus datos a través de Bluetooth.

Si descubre que algo está mal, como un lector de tarjetas que se mueve, una cámara oculta o un teclado superpuesto, asegúrese de avisar al banco o empresa a cargo del terminal. Y, por supuesto, si algo no parece correcto, ve a otro lugar.

Otras precauciones básicas de seguridad que debe tomar

Puede encontrar skimmers comunes y baratos con trucos como intentar mover el lector de tarjetas. Pero esto es lo que siempre debe hacer para protegerse al usar cualquier terminal de pago:

• Protege tu PIN con tu mano: Cuando escriba su PIN en una terminal, proteja el teclado PIN con su mano. Sí, esto no lo protegerá contra los skimmers más sofisticados que usan superposiciones de teclado, pero es mucho más probable que se tope con un skimmer que usa una cámara: son mucho más baratos para los delincuentes. Este es el consejo número uno que puedes usar para protegerte..
• Monitoree las transacciones de su cuenta bancaria: Debe revisar regularmente sus cuentas bancarias y de tarjeta de crédito en línea. Compruebe si hay transacciones sospechosas y notifique a su banco lo antes posible. Desea detectar estos problemas lo antes posible; no espere hasta que su banco le envíe un extracto impreso un mes después de que un delincuente haya retirado el dinero de su cuenta. Las herramientas como Mint.com, o un sistema de alerta que su banco pueda ofrecer, también pueden ayudar aquí, notificándole cuando ocurren transacciones inusuales.
• Utilice sistemas de pago sin contacto: Cuando corresponda, también puede ayudar a protegerse utilizando herramientas de pago sin contacto como Android Pay o Apple Pay. Ambos son intrínsecamente seguros y evitan por completo cualquier tipo de sistema de deslizamiento, por lo que su tarjeta (y los datos de la tarjeta) nunca llegan al terminal. Desafortunadamente, la mayoría de los cajeros automáticos aún no aceptan métodos sin contacto para retiros, pero al menos esto es cada vez más común en las bombas de gas..

La industria está trabajando en soluciones ... lentamente

Al igual que la industria del skimmer está constantemente tratando de encontrar nuevas formas de robar su información, la industria de las tarjetas de crédito está avanzando con la nueva tecnología para mantener sus datos seguros. La mayoría de las empresas han cambiado recientemente a chips EMV, lo que hace que el robo de datos de su tarjeta sea casi imposible, ya que son mucho más difíciles de replicar..

El problema es que, si bien la mayoría de las compañías de tarjetas de crédito y los bancos han adoptado con bastante rapidez esta nueva tecnología en sus tarjetas, muchos lectores de tarjetas (terminales de pago, cajeros automáticos, etc.) siguen utilizando el método tradicional de transferencia. Mientras estos tipos de sistemas sigan en su lugar, los skimmers siempre serán un riesgo. Hasta el día de hoy, no puedo decir que haya visto un solo terminal de bomba de gas o ATM que utiliza el sistema de chip, los cuales tienen la mayor probabilidad de tener un skimmer conectado. Con suerte, comenzaremos a ver cómo el sistema de chips se vuelve más prolífico en los terminales de pago a medida que hacemos la transición a 2018.

Pero hasta entonces, puede utilizar los pasos que se encuentran en esta pieza para protegerse lo más posible. Como dije, no es infalible, pero hacer lo que pueda ayudará a proteger sus datos y sus finanzas nunca es una mala idea.

Para obtener más información sobre este tema aterrador, o simplemente para ver las fotos de todo el hardware de skimming involucrado, consulte la serie All About Skimmers de Brian Krebs en Krebs on Security. Es un poco anticuado en este momento, con muchos de los artículos que se remontan a 2010, pero sigue siendo muy relevante para los ataques de hoy y vale la pena leerlo si está interesado..

Crédito de la imagen: Aaron Poffenberger en Flickr, nick v en Flickr