Hackeo tarjeta BBVA

Cita de C Palangana

Shur te he leído a lo largo del hilo y te veo bastante puesto, además de agradecerte los consejos que has dado para estar más tranquilo con la tarjeta que he seguido al pie de la letra. Te quería preguntar porque no me queda claro leyendo las bases en bbva. Las tarjetas virtuales tienen algún tipo de coste o comisión? Muchas gracias shur!!

Cita de ohsii

Hola muy buenas, nos acaba de pasar algo rarísimo con la tarjeta de mi mujer y quisiera ver si alguien conoce algún caso parecido porque de verdad que estamos flipando.

Abrimos una cuenta conjunta de BBVA online para la promoción de los 720 € en recibos, y nos enviaron sendas tarjetas, a mi mujer y a mí, que nunca, pero nunca, hemos utilizado. Ya era plenamente consciente de no haberla utilizado jamás, pero lo acabo de confirmar viendo los movimientos del año.

Pues bien, le acaba de llegar a mi mujer un mensaje en la app del BBVA para autorizar un cargo de unos 40 € en Glovo, nos hemos quedado alucinados, hemos rechazado el cargo, y al meternos en la app vemos que nos han hecho otros dos cargos sin autorización esta misma tarde también en Glovo. Los importes son relativamente bajos (ambos de unos 20 €), pero lo que me tiene realmente flipando y acojonado es:

1) ¿Cómo alguien ha podido hackear una tarjeta que jamás ha sido usada, ni físicamente (la tenemos en un cajón en el sobre con el que llegó, sin haberla siquiera despegado del papel), ni online?

2) ¿Por qué no nos han pedido autorizar las dos primeras operaciones?

Obviamente ya he llamado a BBVA, hemos bloqueado la tarjeta, y le he planteado estas mismas preguntas a la operadora, que no ha sabido responderme más allá de decirme que los hackers suelen utilizar estas tarjetas en webs sin estándares de seguridad... Evidentemente ése no puede ser el motivo, ya que de las tres operaciones se nos ha notificado una de ellas y las otras dos no. Yo sospecho que quizá haya algún tipo de límite por importe para autorizaciones, porque la última operación era de 40 € y las anteriores de unos 20 €, pero no tengo ni idea, porque insisto en que jamás las he utilizado.

En fin, si alguien conoce algún caso agradecería información, porque estoy flipando, literalmente.

Y si alguien me dice también en dónde me han podido hackear, o qué he podido hacer mal en temas de seguridad también lo agradecería. Creo que tomo las lógicas medidas que tomamos todos, no me paso ni por defecto ni por exceso.

EDIT 02/10/24


El importe de los cargos fue devuelto sin problema a los días, alguien en el hilo ha tenido problemas, pero en mi caso todo ok por parte de BBVA.


Para los que hayan abierto la cuenta por la promo de los 720€ de recibos, cancelé las tarjetas, ahora mismo no tengo ninguna, solo la cuenta, y me han abonado los 60€ hoy igualmente.

Cita de Don Kiko

La comisión de emisión y mantenimiento de una tarjeta prepago es de CERO euros.

Tienes más información en la siguiente URL:

https://www.bbva.es/personas/product...a-virtual.html

Y en el siguiente PDF:

https://www.bbva.es/content/dam/publ...ta-virtual.pdf




La puedes tener con un saldo de 0€, para que nadie pueda hacerte cargos sin tu consentimiento. Cuando vayas a comprar algo por Internet, puedes cargar la tarjeta con la cantidad exacta, y listo.

Incluso puedes hacer pagos presenciales con la tarjeta virtual prepago, vinculándola a tu teléfono móvil con la aplicación del BBVA o con Samsung Pay o Apple Pay. Yo por ejemplo, y ahora que existe la posibilidad de que los hoteles guarden nuestro número de tarjeta por obligación legal, he pagado en hoteles de forma presencial (pasando el datáfono por el móvil) utilizando esta modalidad.

Y en cualquier momento, tú puedes cancelar la tarjeta y crearte otra nueva sin coste. Por ejemplo, si tienes la certeza o sospecha de que el PAN (número de tarjeta) se ha filtrado.

Cita de CarlosGr97

Refloto este hilo para contar lo que me pasó esta pasada semana. Yo tambien tengo BBVA Aqua debito(CVV dinámico) , llevo como un año o mas en bbva y hasta ese momento 0 problemas.


El 6 de marzo a la noche me llegaron notificaciones de 3 cargos realizados correctamente con el titular de BETFAIR (150€, 150€ y 180€) , cuando no tengo nada relacionado con mis datos en esa web . Ni que decir tiene que ni me llegó mensaje para entrar en la app y confirmar compra ... ni me llegó nada de nada , solamente la notificación del pago realizado correctamente. Corriendo cancelé la tarjeta y llame al gestor en linea , me la eliminó y me solicitó otra. Fui a comisaria a denunciar pero me dijeron que necesitaban los extractos bancarios sellados por el banco , pero claro , aún los tenía retenidos y no podia sacarlos.
Este mismo lunes pude ir al banco a que me dieran los papeles sellados (la mujer de la caja me dio a entender como que a lo mejor no me devolvían el dinero ... ) , ala vez inicié el proceso de cargo fraudulento mediante el gestor en línea de BBVA . Por la tarde fui a poner la denuncia a la guardia civil, y para mi asombro , cuando entro en la app y me habian abonado los 3 cargos (son provisionales hasta que no se confirme la resolución a mi favor) . Al ver esto me dijeron que ya no podia poner denuncia porque no es "considerado estafa" , si no que lo han devuelto, aún así , me hicieron como un documento reflejando todo lo que ha pasado, por si el banco me reclama o me vuelve a quitar el dinero tener eso para aportarlo ...


No se en que quedará la cosa, pero desde luego que me ha dejado sorprendido un banco del nivel de BBVA que pase esto.


PD:Agradezco si a alguien más le ha pasado esto recientemente , que cuente como le ha ido y que ha pasado al final.

Cita de peruzzy

Es un problema conocido el agujero de seguridad que tiene BBVA con las tarjetas Aqua.


Sólo puedes apagarla o restringir las operaciones por Internet y utilizar siempre que puedas una tarjeta virtual.


A mí me pasó algo parecido hace un par de años.
Hay gente que incluso le ha pasado con la tarjeta sin activar.

Cita de CarlosGr97

Gracias amigo por responder ! Espero que no me vuelvan a retirar ese abono provisional que me han hecho de MI DINERO.


Y sí, ya la nueva tarjeta solicitada está desactivada ( es lo mismo que apagada?) , y pagos online desactivados.


Me voy a hacer una virtual de BBVA también , e iré metiendo saldo y es la que usaré para las suscripciones y pagos online , entiendo que eso es lo más seguro

Cita de ManuMtz

Por que seguis con este banco? Yo me cambiaría, no es normal esto

Cita de peruzzy

Es un problema conocido el agujero de seguridad que tiene BBVA con las tarjetas Aqua.


Sólo puedes apagarla o restringir las operaciones por Internet y utilizar siempre que puedas una tarjeta virtual.


A mí me pasó algo parecido hace un par de años.
Hay gente que incluso le ha pasado con la tarjeta sin activar.

Cita de SoyAdrian

shures

tan dificil es apagar la tarjeta y encenderla cuando la vayas a necesitar?

tan dificil es bloquear compras en el extranjero?


tan dificil es bloquear pagos via internet?




es de 1 de sentido comun

Cita de ElRuti

Y si pago cuotas automáticas como HBO, Amazon, Netflix... Voy a tener que estar apuntando en una agenda cuando debo encender la tarjeta o activar pagos online? Pues vaya mierda.

Cita de peruzzy

Es un problema conocido el agujero de seguridad que tiene BBVA con las tarjetas Aqua.

Cita de Titanio

Pues ya está durando años el agujero de seguridad

En el BBVA no saben ni por donde les da el aire con este tema y eso causa una desconfianza de la hostia, como para cambiarse de banco solo por eso.

Cita de Freeman18

Buenas! Recién llegada la tarjeta a casa con la promoción Cuenta Nomina y gracias a vosotros he seguido las siguientes medidas:

-Activar tarjeta Aqua
-Desactivar individualmente pagos online, extraccion de dinero, etc.
-Apagado definitivo de la tarjeta.

Están bien seguidos esos pasos? No pienso usar la tarjeta para nada, es más, me planteo esta cuenta como únicamente una cuenta de ahorro.

Según vosotros, para comprar por internet por ejemplo recomendáis PayPal o alguna tarjeta virtual de 1 solo uso como las que ofrece Revolut?

Gracias

Cita de jcesarsh

Esos son los pasos.

Para ahorro no la uses porque no dan nada por tener el dinero allí, hay decenas de opciones que dan algo de rentabilidad.

Cita de Freeman18

Bueno, me daban los 400€ por la domiciliación de la nómina, desconozco otras opciones. Sería posible recibir el dinero aquí y hacer una transferencia inmediata a una cuenta de ahorra sin penalización?

Gracias a este hilo he apagado también los pagos online de mi otra tarjeta de otra entidad (aunque llevo toda la vida utilizándola sin problema). A partir de ahora haré recargas con el importe exacto en mi tarjeta Revolut y así se quedará a 0.00€ o bien continuaré pagando con PayPal, que creo que también es bastante seguro.

Cita de jlmcr87

Pues los cojones. No vale para nada. Aunque lo actives sigue saliendo un botón para que inicies solo con la contraseña esa ridícula de 6 números y letras.

Cita de Don Kiko

Si que funciona, pero por cookie de sesión te debe de recordar tu usuario para que no te pida el NIF, y te ofrezca el acceso biométrico.

Es decir, que debes entrar con ese navegador al menos una vez con tu NIF y tu contraseña.

Se podría haber hecho bastante mejor con un QR, como hacen por ejemplo en Steam. Pero los bancos tienden a ser conservadores, y no quieren que la linea de atención al cliente se colapse de manolos y charos llamando porque al ir a la web del BBVA salen unos cuadros raros y no saben donde poner el DNI y la clave.


PS: la contraseña ridicula son 56.800.235.584 combinaciones posibles, y los intentos máximos de probar por fuerza bruta son 5. Si la clave se guarda en un HSM, es una clave adecuada. El problema de seguridad más bien es que no hay un segundo factor de autenticación fuerte obligatorio, como puede ser un dispositivo vinculado o una llave de seguridad USB.

Cita de jlmcr87

Pues ya está...lo que te decía. Que cualquier página web Paco tiene verificación de dos pasos y un banco no.

Cita de jcesarsh

Esos son los pasos.

Para ahorro no la uses porque no dan nada por tener el dinero allí, hay decenas de opciones que dan algo de rentabilidad.

Cita de Freeman18

Hola shur! Perdona, pero ahora no encuentro la opción para encender la tarjeta en caso de necesitarlo. Podrías echarme una mano?

Cita de Freeman18

Hola shur! Perdona, pero ahora no encuentro la opción para encender la tarjeta en caso de necesitarlo. Podrías echarme una mano?

Cita de Shurloner

Estaba igual que tu con tremenda rayada, tienes que activarla via web. cuando vuelves a apagarla desaparece de nuevo la interfaz, chapuza nivel dios, espero lo arreglen rapido.

Cita de Freeman18

Gracias! Activado únicamente la retirada en cajero para evitar problemas con los hackers.


Además de esto, sabes si aún retirado todo el dinero de la nómina una vez ingresada sigo optando a los 400€ de la promoción? No he leído nada de un saldo mínimo en la cuenta.

Cita de Don Kiko

En este video, en el minuto 2:50 un experto como Victor Villagrá director del máster de ciberseguridad de la Universidad Politécnica de Madrid, explica la vulnerabilidad, es por cierto es una vulnerabilidad inherente a TODAS las tarjetas VISA, Mastercard, etc...

El 'carding' es un nuevo método que siguen los estafadores para robarle su dinero aunque sea prudente con sus tarjetas bancarias

https://www.cuatro.com/noticias/soci...014981127.html

En síntesis, mediante fuerza bruta van probando combinaciones por fuerza bruta hasta dar con una correcta. Y se ceban más con las tarjetas Aqua (opinión mía) probablemente porque tienen BIN predecible más largo, y por tanto, una combinatoria más pequeña para probar.

Por mucho 3DS que utilice VISA o Mastercard, no es obligatorio su uso por parte de los comercios (sobre todo para compras de poco valor), que suelen ser utilizados para averiguar combinaciones correctas mediante fuerza bruta. También hay comercios compinchados con las bandas criminales que colaboran con el fraude:

https://www.lasexta.com/programas/la...001f9dcc3.html



La única contramedida eficaz que tenemos los clientes es desactivar permanentemente las tarjetas para compras por Internet, y en su lugar usar tarjetas virtuales prepago u otras alternativas de pago más seguras.