Recentment s'han reportat a través de xarxes socials alguns casos d'estranyes trucades telefòniques, aparentment fraudulentes, que han cridat l'atenció de la comunitat de la ciberseguretat.
Segons els testimonis, en aquests casos, a diferència d'algunes populars estafes telefòniques, els perpetradors no es presenten com a empleats bancaris ni sol·liciten als usuaris el seu número de targeta i NIP, sinó que es limiten a fer algunes preguntes, aparentment sense sentit (¿és vostè el senyor NOM/COGNOM?, ¿és vostè usuari regular d'Internet?, entre d'altres).
En cas que aquestes trucades siguin part d'un frau, sembla que la intenció dels operadors d'aquesta campanya és que els usuaris objectiu responguin a les seves preguntes amb un simple 'sí' però, ¿per què és que els defraudadors estan interessats en això?
Els experts en ciberseguretat afirmen que, en fer això, els actors d'amenaces estan recollint registres biomètrics, relacionats directament amb alguns bancs. Un exemple d'això és Rússia, on els bancs poden prestar alguns serveis sense que els clients acudeixin a les sucursals personalment.
Exemples de registres biomètrics
Per poder accedir a aquests serveis remots, els clients dels bancs han d'habilitar l'autenticació per veu, cosa que requereix que els usuaris repeteixin algunes frases perquè el banc pugui emmagatzemar el seu registre biomètric, que posteriorment serà usat per verificar la seva identitat.
Alexander Dvoryansky, expert en ciberseguretat rus, afirma que: “els hackers podrien accedir a aquestes bases de dades biomètriques, extreure'ls i vendre'ls en fòrums de dark web; encara que en la majoria dels casos no seria possible accedir al compte d'una víctima usant només la paraula 'sí', els hackers podrien accedir a tots els registres de veu d'un usuari, mateixos que han de contenir paraules clau o les frases necessàries per comprometre el compte bancari”, afirma l'expert.
Per la seva banda, Andrey Golovin, del Departament de Seguretat Informàtica de Rússia, esmenta que: “a més de l'autenticació per veu, els hackers també requeririen accés a contrasenyes o a altres registres biomètrics (com reconeixement facial) per accedir a un compte bancari, per la qual cosa la complexitat de l'atac augmenta de forma considerable.
“A més, cada conversa amb un empleat bancari serà diferent, i seria realment complicat que els empleats no aconseguissin distingir entre una mostra d'àudio gravada i una conversa real”, va esmentar l'expert en ciberseguretat. Un altre punt a destacar és que els usuaris d'aquests serveis bancaris a distància hauran de lliurar prèviament al seu banc una llista de targetes de pagament autoritzades, per la qual cosa un potencial intrús no podria realitzar una transferència a qualsevol altra targeta.
Especialistes de l'Institut Internacional de Seguretat Cibernètica (IICS) esmenten que una de les principals mesures de protecció contra aquest potencial frau és evitar contestar a les trucades telefòniques de números sospitosos i, en cas que l'usuari decideixi prendre la trucada, no esmentar la paraula 'sí' durant la trucada. Així mateix, es recomana als usuaris que no empren l'autenticació per veu inhabilitar per complet aquest servei.
