Hackeo tarjeta BBVA

Cita de Don Kiko

Hay cargos fraudulentos en casi todos los bancos, también en Openbank: https://forocoches.com/foro/showthread.php?t=10259303

Las medidas de seguridad que ha mencionado @SKELETOR son las que cualquier usuario concienciado debería aplicar. Pero no pueden poner todo activado por defecto, porque entonces el usuario medio, la Charo o el Paco de turno, se quejarían de que no pueden comprar por Internet.



No se guarda la clave de acceso como tal. En BBVA se utiliza el estándar FIDO, que consiste en que cuando uno se da de alta con el acceso con huella o la firma biométrica, el sistema genera una pareja de claves criptográficas, de forma que la clave privada se conserva en el área segura del procesador (TrustZone para Android, Secure Enclave para iOS) del dispositivo y la clave pública se guarda en el servidor web del banco.

Para realizar la autenticación o la firma de la operación, el dispositivo móvil debe demostrar al servicio web que dispone de la clave privada realizando una operación criptográfica. La clave privada del cliente únicamente se podrá utilizar dentro del área segura del procesador, validando previamente con la huella o con el rostro (FaceID).

En BBVA implementaron este método de autenticación la empresa Nok Nok Labs, que tiene reputación y está especializada en soluciones de autenticación sin contraseña (passwordless) utilizando el estándar FIDO y la biometría:

https://www.bbva.com/es/innovacion/q...cacion-online/

https://www.bbva.com/es/bbva-se-alia...e-banca-movil/

Es un método de autenticación mucho más seguro que el clásico combo clave+SMS, ya que es un método de autenticación multifactor o MFA, y además es resistente al phishing, ataques de repetición, robos de contraseña, o ataques de ingeniería social para que la victima desvele las claves que le llegan por SMS.

Cita de Don Kiko

La página web para guardar los ahorros más segura que conozco, es esta:

https://wwws.tesoro.es/index.aspx

La página web del Tesoro Público, el servicio compra y venta de Valores Letras, Bonos y Obligaciones del Tesoro, donde solamente puedes acceder mediante el certificado electrónico del DNIe, u otro tipo de certificado electrónico cualificado como puede ser el de la FNMT.

También se puede acceder con Cl@ve permanente que es menos seguro. Pero para realizar cualquier operación como cambiar el correo electrónico, modificar la cuenta bancaria de abono, o vender las letras/bonos/obligaciones del Tesoro en el mercado secundario, es obligatorio firmar con certificado electrónico del DNIe o certificado cualificado.

Ni phishing, ni robo de contraseñas, ni SMS... sin la tarjeta física del DNIe y el PIN no puedes operar. O si tienes certificado digital de la FNMT, de forma análoga a un "ledger", te puedes comprar una tarjeta criptográfica en la web de la FNMT o una Yubikey 5, e instalar el certificado digital en un dispositivo físico externo al PC que te va a pedir PIN en cada operación que hagas.

Cita de LM14

Pues hoy me ha tocado a mi, me ha saltado en la app el intento de domiciliación de suscripción de DISNEY PLUS a mi tarjeta de debito Aqua.

Cabe decir que ni tengo Disney plus, ni meto esa tarjeta en ningún lado. Para internet uso la virtual recargable. Tampoco he abierto sms, enlaces ni nada.

Cita de jlmcr87

Hola, me acaban de hackear a mí pero no han podido, gracias a qué tengo la tarjeta apagada siempre.

5 o 6 cargos de PayPal de golpe en dólares y euros.

He llamado por teléfono y al momento me han anulado la tarjeta y me han hecho una nueva.


Estoy flipando...

Cita de Ganterjunior

Mira que no te la hayan liado ya que una tarjeta nueva tiene comisiones

Cita de jlmcr87

Hola, me acaban de hackear a mí pero no han podido, gracias a qué tengo la tarjeta apagada siempre.

5 o 6 cargos de PayPal de golpe en dólares y euros.

He llamado por teléfono y al momento me han anulado la tarjeta y me han hecho una nueva.


Estoy flipando...

Cita de jlmcr87

A ver si alguien explica como me han hackeado, me gustaria saberlo. La tengo metida en internet pero solo suelo usarla para pagar en la gasolinera. Y lo de paypal significa que alguien se ha hecho un paypal y ha metido mi tarjeta para pagar o como?

Cita de lussac

No tiene porqué, hay webs que usan de pasarela paypal y si le das a que no tienes cuenta, te deja meter los datos sin más. O Igual es un enlace de paypal.me para que dones a alguien.

Hay tres opciones.


1.- Hackeo de una cuenta (paypal si la tuvieras, la de google si tienes la tarjeta en el movil, la de samsung... etc.). O de una plataforma dónde la tuvieras metida. Si la tienes en alguno de esos sitios revisa los últimos accesos a la cuenta (ips y demás si te deja y cambia las contraseñas por si acaso)... Esto mediante fuerza bruto, sms malicioso, pishing...


2.- Una APP maliciosa. Recientemente a dos usuarios les jodieron con una APK para ver el futbol, tenemos la mítica de acestream y el otro día que no funcionaba, fueron al puto sitio dónde cuelgan siempre las actualizaciones, y resulta que alguien les había suplantado con una apk con regalo...


3.- Suerte. Lo del CVV dinámico está muy chulo y tal, pero hay paises/pasarelas que no necesitan el CVV... Es más un poco de marketing (y seguridad extra de cara a ciertos casos, pero nada más). El BBVA (como la mayoría) por defecto permite compras en el extranjero sin comercio electrónico seguro... Cosa lógica porque si lo piensas no podrías sino hacer por ejemplo reservas en hoteles en ciertos países sin ser por booking xD.

Cita de jlmcr87

La tarjeta la tenía metida en Amazon y en Google pay.

Cuenta PayPal tengo pero esa tarjeta no la tenía metida en mi PayPal, además de doble factor.


También tengo autenticación en dos pasos en todo lo demás.


Solo he comprado un par de cosas por internet porque uso otra, y con esta normalmente gasolina y supermercados.


Mi tarjeta no es la Aqua, tiene número y cvv fijo.


Futbol no veo. Y correos spam o sms tampoco.

Apuesto más a eso que he leído de bots de Telegram probando números de tarjetas.


Un domingo a las 9 de la noche...no sé...

Cita de jlmcr87

A ver si alguien explica como me han hackeado, me gustaria saberlo. La tengo metida en internet pero solo suelo usarla para pagar en la gasolinera. Y lo de paypal significa que alguien se ha hecho un paypal y ha metido mi tarjeta para pagar o como?

Cita de Don Kiko

Si no has hecho ninguna compra por Internet, el director del máster de ciberseguridad de la Universidad Politécnica de Madrid, te lo explica en este video a partir del minuto 2:52

https://www.cuatro.com/noticias/soci...014981127.html

Por eso es básico y fundamental autoprotegerse con medidas de seguridad como tú has hecho:

- Apagar la tarjeta si no se usa.

- Bloquear las compras no presenciales por Internet, si utilizamos la tarjeta para pagos presenciales.

- Utilizar tarjetas virtuales prepago para compras por Internet.

Cita de Don Kiko

Por eso es básico y fundamental autoprotegerse con medidas de seguridad como tú has hecho:

- Apagar la tarjeta si no se usa.

- Bloquear las compras no presenciales por Internet, si utilizamos la tarjeta para pagos presenciales.

- Utilizar tarjetas virtuales prepago para compras por Internet.

Cita de VitoAndolini

Por saber, en el BBVA me suelen llegar SMS para confirmar compras.

¿ Hay alguna alternativa que pueda tomar ?. Lo de los SMSs no me mola nada nada nada.

Cita de Andamous

No es de extrañar que haya fraudes con la tarjeta de BBVA.. a mí recientemente me quisieron estafar telefónicamente y siguiendo el rollo resulta que se sabían los 8 primeros dígitos de la tarjeta BBVA.. desde entonces me he abierto Revolut y tiro de tarjetas desechables siempre que puedo.

Cita de Andamous

No es de extrañar que haya fraudes con la tarjeta de BBVA.. a mí recientemente me quisieron estafar telefónicamente y siguiendo el rollo resulta que se sabían los 8 primeros dígitos de la tarjeta BBVA.. desde entonces me he abierto Revolut y tiro de tarjetas desechables siempre que puedo.

Cita de Don Kiko

Claro que lo sabía, los 8 primeros dígitos de las tarjetas Aqua son el bank identification number (BIN) que son el mismo número para todas las tarjetas BBVA del mismo tipo.

El estafador intenta aprovecharse del desconocimiento de las potenciales victimas, haciendo creer que conoce tus 8 primeros dígitos, cuando realmente no está adivinando nada, es el mismo número para todas las tarjetas Aqua. Si le has seguido el rollo y te ha sonsacado que eres de BBVA y tienes una tarjeta Aqua, es fácil que te haya "adivinado" eso 8 dígitos.

Eso pasa en TODOS los bancos, no solamente en el BBVA. Con el único matiz, de que dependiendo del banco y tarjeta, el BIN puede ser de 6 dígitos, o de 8 dígitos.

Cita de jcesarsh

Pues justo han abierto hoy un hilo en el general de otro afectado con tarjeta aqua y dicen que están afectadas todas las que empiezan por 5181, y uno ha dicho que todas las del BBVA empiezan por 5181 y han salido bastantes diciendo que la suya no empieza por 5181 y es de BBVA, y no solo el 5 que es de Mastercard porque muchos tenemos visa que empieza por 4, luego no sigue el 181
O si es visa se usa un código de BBVA distinto que si es de Mastercard?

https://forocoches.com/foro/showthread.php?t=10477374

Cita de Don Kiko

Menuda inventada.

Es un invent de @Begoña, las VISA que utiliza BBVA empiezan todas por 4.