Los pagos electrónicos han ido avanzando considerablemente, extendiéndose su uso debido al impacto de la pandemia del coronavirus. Algunos de los riesgos para la protección de datos pueden derivarse de los métodos de autenticación de la identidad del pagador, la vulnerabilidad de los dispositivos móviles y los posibles tratamientos adicionales que se podrían producir en determinadas implementaciones.
Pagos electrónicos y doble factor de autenticación
Se puede decir que la seguridad que proporciona la utilización de un único factor de autenticación ha sido considerada como demasiado limitada. Se ha establecido por normativa la necesidad de introducir una autenticación fuerte. Es decir, una autenticación basada en al menos dos factores de los siguientes: algo que se sabe, algo que se tiene y algo que se es.
La Autoridad Bancaria Europea en su Dictamen de Noviembre de 2019 en el siguiente documento identifica los mecanismos que son válidos. Lo puede ver en el siguiente enlace.
Debilidades del sistema
Por otro lado, hay diferentes debilidades asociadas al proceso de autenticación. El proceso es el siguiente:
- Consiguen nuestro usuario y contraseña, a través de una brecha de seguridad del proveedor o a través de un phishing en el que nos han robado esta información cuando intentábamos acceder a una web falsa del banco.
- Una vez que tienen nuestro usuario y contraseña, se dirigen a la operadora telefónica suplantando nuestra identidad.
- Cuando se superan los mecanismos de verificación del operador, nuestra identidad ya está suplantada. De esta manera pueden solicitar un duplicado de nuestra tarjeta SIM para rápidamente realizar las operaciones fraudulentas en nuestra cuenta bancaria. Esta técnica se denomina SIM Swapping.
Para intentar combatir este tipo de fraudes, las entidades bancarias han empezado a aplicar alternativas al envío de estas notificaciones vía SMS mediante la opción de enviar dichos códigos a través de notificaciones en Apps propias instaladas en dispositivos móviles verificados.
Cabe destacar, que hay que indagar más en diferentes opciones por parte de grandes compañías y los bancos para proteger al usuario final.
