Hackeo tarjeta BBVA

ohsii
ForoCoches: Usuario
#1
Hola muy buenas, nos acaba de pasar algo rarísimo con la tarjeta de mi mujer y quisiera ver si alguien conoce algún caso parecido porque de verdad que estamos flipando.

Abrimos una cuenta conjunta de BBVA online para la promoción de los 720 € en recibos, y nos enviaron sendas tarjetas, a mi mujer y a mí, que nunca, pero nunca, hemos utilizado. Ya era plenamente consciente de no haberla utilizado jamás, pero lo acabo de confirmar viendo los movimientos del año.

Pues bien, le acaba de llegar a mi mujer un mensaje en la app del BBVA para autorizar un cargo de unos 40 € en Glovo, nos hemos quedado alucinados, hemos rechazado el cargo, y al meternos en la app vemos que nos han hecho otros dos cargos sin autorización esta misma tarde también en Glovo. Los importes son relativamente bajos (ambos de unos 20 €), pero lo que me tiene realmente flipando y acojonado es:

1) ¿Cómo alguien ha podido hackear una tarjeta que jamás ha sido usada, ni físicamente (la tenemos en un cajón en el sobre con el que llegó, sin haberla siquiera despegado del papel), ni online?

2) ¿Por qué no nos han pedido autorizar las dos primeras operaciones?

Obviamente ya he llamado a BBVA, hemos bloqueado la tarjeta, y le he planteado estas mismas preguntas a la operadora, que no ha sabido responderme más allá de decirme que los hackers suelen utilizar estas tarjetas en webs sin estándares de seguridad... Evidentemente ése no puede ser el motivo, ya que de las tres operaciones se nos ha notificado una de ellas y las otras dos no. Yo sospecho que quizá haya algún tipo de límite por importe para autorizaciones, porque la última operación era de 40 € y las anteriores de unos 20 €, pero no tengo ni idea, porque insisto en que jamás las he utilizado.

En fin, si alguien conoce algún caso agradecería información, porque estoy flipando, literalmente.

Y si alguien me dice también en dónde me han podido hackear, o qué he podido hacer mal en temas de seguridad también lo agradecería. Creo que tomo las lógicas medidas que tomamos todos, no me paso ni por defecto ni por exceso.

EDIT 02/10/24


El importe de los cargos fue devuelto sin problema a los días, alguien en el hilo ha tenido problemas, pero en mi caso todo ok por parte de BBVA.


Para los que hayan abierto la cuenta por la promo de los 720€ de recibos, cancelé las tarjetas, ahora mismo no tengo ninguna, solo la cuenta, y me han abonado los 60€ hoy igualmente.
CryShark
ForoCoches: Usuario
#2
Es la tarjeta Aqua o algo así ? Yo he leído casos del estilo por internet, no sé qué pasa con esas tarjetas … te han dicho si te devuelven los cargos ?
ohsii
ForoCoches: Usuario
#3
Cita de CryShark
Es la tarjeta Aqua o algo así ? Yo he leído casos del estilo por internet, no sé qué pasa con esas tarjetas … te han dicho si te devuelven los cargos ?
Si, esa misma.

Nos han dicho que una vez se confirmen los pagos (ahora mismo están retenidos) nos los devolverán. A ver si es verdad...


Gracias por tu comentario, voy a buscar en internet casos de esa tarjeta, había filtrado la búsqueda por banco no por tarjeta
Ganterjunior
ForoCoches: Usuario
#4
Yo he tenido unos años BBVA online para el día a día y nunca he tenido un susto de estos...

Activaste las tarjetas??
Rossyafk
ForoCoches: Miembro
#5
Hay bots probando rangos aleatorios de tarjetas las 24h del día. De vez en cuando dan con combinaciones buenas. No hay que darle más vueltas.

Aquí teneis más info:
https://stripe.com/es/resources/more...es-should-know
ADCASA
ForoCoches: Usuario
#6
Igual han entrado en la cuenta y han comprado desde una tarjeta virtual porque si no están activadas las físicas no le veo la lógica.
Siaükia
Inocence never last 4ever
#7
Un consejo para las tarjetas BBVA: Llevadlas siempre desactivadas en la app, la seguridad es nula.

Yo que nunca he comprado en Shein una mañana me levanté y me hicieron un par de cargos por 6€ o así

Mi gestora me tramitó la devolución y la expedición de una nueva
ohsii
ForoCoches: Usuario
#8
Cita de Ganterjunior
Yo he tenido unos años BBVA online para el día a día y nunca he tenido un susto de estos...

Activaste las tarjetas??
Si, no sé por qué lo hice cuando no esperaba usarlas, la verdad, pero si que las activé
Siaükia
Inocence never last 4ever
#9
Cita de Rossyafk
Hay bots probando rangos aleatorios de tarjetas las 24h del día. De vez en cuando dan con combinaciones buenas. No hay que darle más vueltas.

Aquí teneis más info:
https://stripe.com/es/resources/more...es-should-know
Así me jodieron a mi, menos mal es poca cantidad y fue devuelta sin necesidad de denuncia.
Dackel080
ForoCoches: Miembro
#10
No es la primera vez que escucho problemas con BBVA o con sus tarjetas Aqua.

En cualquier caso yo tengo y no me ha pasado nunca nada
Gurb
ForoNaves: Usuario
#11
Yo tengo siempre desactivada la opción de compra online.
Es un poco coñazo tener que activarla cuando quiero comprar algo, pero te aseguras que estas cosas no te pasen.
Ganterjunior
ForoCoches: Usuario
#12
Cita de ohsii
Si, no sé por qué lo hice cuando no esperaba usarlas, la verdad, pero si que las activé
Vaya...
Si no vas a usar las tarjetas de un banco siempre se deben de tener desactivadas...


Pero yo no me comería la cabeza, has tenido mala suerte y ya está
Te ha tocado a ti sin más
A mí madre con caja rural le paso algo parecido
wanaker
ForoCoches: Usuario
#13
Cita de Rossyafk
Hay bots probando rangos aleatorios de tarjetas las 24h del día. De vez en cuando dan con combinaciones buenas. No hay que darle más vueltas.

Aquí teneis más info:
https://stripe.com/es/resources/more...es-should-know
Gracias por la info. Muy interesante, shur. Las tarjetas que no son de uso diario y que tenemos bajo supervisión permanente hay que desactivarlas en su app. Está más que claro con esto que envías.
ohsii
ForoCoches: Usuario
#14
Cita de Gurb
Yo tengo siempre desactivada la opción de compra online.
Es un poco coñazo tener que activarla cuando quiero comprar algo, pero te aseguras que estas cosas no te pasen.
Pues está va a ser la derecha, si.

Gracias a todos por las respuestas!!!
angeltdci
ForoCoches: Miembro
#15
Por cosas como estas han modificado las condiciones del multicanal para cubrirse las espaldas
Un contrato con unas condiciones abusivas y de total indefension para el cliente
joset00
ForoCoches: Usuario
#16
Tiene huevos el tema!

Menos mal que os disteis cuenta relativamente pronto.

Debe ser lo que dice Rossyafk de bots que van probando... o en algún caso al logearse desde un mensaje falso te pillan los datos.

Todos los bancos (alguno no lo tiene) deberian tener opcion de desactivar compras por internet, desactivar tarjeta, establecer límite maximo de esa tarjeta etcY/o si el usuario lo quiere que le avise siempre que se haga un cargo, nada de que con cantidafes pequeñas no pasa nada
Titanio
ForoCoches: Usuario
#17
Esto es como el hackeo de los correos electrónicos. Antiguamente tenían que sacar tu contraseña y tener una contraseña segura era algo básico. Pero los sistemas han cambiado y ahora no necesitan descifrar tu contraseña, sino que roban bases de datos de contraseñas y entonces da igual que tu contraseña sea segura o no.

Con las tarjetas pasa lo mismo y también ha habido cambios en la forma de hackearlas. Antiguamente había que duplicarlas, clonarlas o algo así. Ahora no hace falta acceder a la tarjeta porque usan otros sistemas que desconozco. Lo malo es que los bancos también lo desconocen, no saben ni por donde les da el aire.

En este mismo foro hay foreros a los que les usaron la tarjeta teniéndola apagada, o sea, que ese sistema de seguridad se ve que no vale para nada. Pero ojo, que al menos a dos foreros les he leído que les mandaron una tarjeta nueva y antes de llegarles y activarla ya les habían cargado compras fraudulentas. Alucinante como los hackers están mil pasos por delante de los bancos y sus sistemas de seguridad.
boole
Forocoches: Miembro
#18
La que suelen hackear es la Aqua de débito no? Las de crédito también?
yopami
ForoCoches: Miembro
#19
El protocolo de las aqua esta hackeado desde hace tiempo, por lo que todas seran susceptibles de que las revienten creo yo...
joset00
ForoCoches: Usuario
#20
Me sonaba haber leido otros casos en BBVA por ejemplo:

https://www.rankia.com/foros/bancos-...o-tarjeta-bbva

Joak Rankia 24/10/23

Ayer se había hecho efectivo el cobro, llamé para retornarlo y cero problemas.

El gestor muy majo, y me confesó que la semana pasada recibieron cada día (solo él) unas 10 llamadas de clientes con compras fraudulentas de Shein.

Me explicó un rollo de porque escogen esos comercios. Bueno, al final te lo tienes que creer, pero le dije que se solucionaba si cada vez que haces una compra online, sea donde sea y de la cantidad que sea, te llegue una doble confirmación.

Dijo que cuando un comercio como este, da tantas alarmas, que lo suelen incluir con el paso del tiempo y por eso igual de aquí a unos días al comprar en Shein te pide autorizacion.
Cosa que no entiendo. O sea, tienes que esperar a que te roben mucho para bloquearlo?Ostras, bloquealos todos de inicio y listo! O das confirmación o nada. Te ahorras robos, malos ratos, cambios de tarjetas, etc.

Si que en el devenir de la coversación me dijo: "bueno, hay un departamento de seguridad que se encarga de estudiar estos filtrados de datos". Al preguntarle por ello se ha hecho el loco... Pues ahí tienes la respuesta de porque están tus números de tarjeta por ahí si no los sabes ni tu. Filtraciones que nunca reconocerán.

.....

Yo creo que BBVA, al menos su departamento de seguridad sabe de donde viene el problema..

Lo que es una verguenza es que siga ocurriendo.

En algún banco, además de apagar y encender cada tarjeta (con eso ya deberia bastar, minimo poder desactivar compras por internet aunque sea un rollo) también puedes poner limite de compra (en Revolut a alguna tarjeta le he puesto limite de compra 0,10€... aunque aqui puedes crearte todas las que quieras) o en otros bancos, a alguna prepago, le cargas el dinero que vas a gastar y eso es lo que pueden gastar.

BBVA ni idea que no he tenido pero una verguenza. Al menos devolverán siempre la pasta no? que saben lo que hay...
#creative#
ForoCoches: Miembro
#21
Cita de joset00
Me sonaba haber leido otros casos en BBVA por ejemplo:

https://www.rankia.com/foros/bancos-...o-tarjeta-bbva

Joak Rankia 24/10/23

Ayer se había hecho efectivo el cobro, llamé para retornarlo y cero problemas.

El gestor muy majo, y me confesó que la semana pasada recibieron cada día (solo él) unas 10 llamadas de clientes con compras fraudulentas de Shein.

Me explicó un rollo de porque escogen esos comercios. Bueno, al final te lo tienes que creer, pero le dije que se solucionaba si cada vez que haces una compra online, sea donde sea y de la cantidad que sea, te llegue una doble confirmación.

Dijo que cuando un comercio como este, da tantas alarmas, que lo suelen incluir con el paso del tiempo y por eso igual de aquí a unos días al comprar en Shein te pide autorizacion.
Cosa que no entiendo. O sea, tienes que esperar a que te roben mucho para bloquearlo?Ostras, bloquealos todos de inicio y listo! O das confirmación o nada. Te ahorras robos, malos ratos, cambios de tarjetas, etc.

Si que en el devenir de la coversación me dijo: "bueno, hay un departamento de seguridad que se encarga de estudiar estos filtrados de datos". Al preguntarle por ello se ha hecho el loco... Pues ahí tienes la respuesta de porque están tus números de tarjeta por ahí si no los sabes ni tu. Filtraciones que nunca reconocerán.

.....

Yo creo que BBVA, al menos su departamento de seguridad sabe de donde viene el problema..

Lo que es una verguenza es que siga ocurriendo.

En algún banco, además de apagar y encender cada tarjeta (con eso ya deberia bastar, minimo poder desactivar compras por internet aunque sea un rollo) también puedes poner limite de compra (en Revolut a alguna tarjeta le he puesto limite de compra 0,10€... aunque aqui puedes crearte todas las que quieras) o en otros bancos, a alguna prepago, le cargas el dinero que vas a gastar y eso es lo que pueden gastar.

BBVA ni idea que no he tenido pero una verguenza. Al menos devolverán siempre la pasta no? que saben lo que hay...
Todo lo que dices se puede hacer
Poner límite de retiro y de pagos
Bloquear pagos online en España o en el extranjero o todos
Bloquear retiros en cajeros en España o en el extranjero o en todos
Apagar y encender la tarjeta


Lo que la gente se confía yo tengo la se crédito apagada si la necesito por algo la enciendo y la de débito bloqueada online y bloqueado en el extranjero por si acaba en manos de alguien o en la Red.También tengo un máximo de retiro en cajero que es lo mínimo ya que no lo uso nunca y un máximo de pago al día que igual si necesito más lo subo sobre la marcha y listo.


También tienes prepagos para pagos online la recargas y pagas y se queda a 0 esta la uso para las plataformas digitales todo los meses se carga lo que necesito para pagar y fuera.
jcesarsh
ForoCoches: VIP
#22
Pues si, en la tele venden la Aqua como la más segura y la realidad es que la usan hasta sin activarla.

Yo la tengo sin activar y aún no la han usado, pero cualquier día me llegará.
Macarrona
NO SOY EL DE LA FOTO
#23
Cita de Rossyafk
Hay bots probando rangos aleatorios de tarjetas las 24h del día. De vez en cuando dan con combinaciones buenas. No hay que darle más vueltas.

Aquí teneis más info:
https://stripe.com/es/resources/more...es-should-know
Vaya cagada de la app que permita un ataque de fuerza bruta tan burdo cuya solución sería simplemente poner un timeout de yo que se 30 minutos cada vez que hay 3 intentos erróneos de introducir tarjeta.

Además detectar bots en aplicaciones de movil es muy sencillo, tan sencillo que ya ni se usa captcha en muchas aplicaciones.
Shurvietico
tolili el ke lo lea
#24
Entiendo que van a por cosas "baratas" porque por defecto no te pide el pin ni confirmación en la app o por SMS para comprar cosas que cuestan menos de X euros, por lo que pueden tirar de fuerza bruta probando combinaciones sin problema porque al no tener que superar la pasarela del SMS/app que es donde cantaría la estafa y no podrían superarla porque el sistema detectaría un uso sospechoso al probar numerosas claves aleatorias.


Vamos, quiero pensar que la estafa va por ahí y que en esas pasarelas pueden tirar de fuerza bruta que no les tira para atrás el sistema bloqueando la tarjeta por seguridad al fallar más de X veces consecutivas. Otra opción que se me ocurre es que el algoritmo que utilicen para las claves que traen las tarjetas por defecto sea una castaña y lo hayan reventado o directamente que los números de tarjeta así como las claves asociadas de X tarjetas se hayan filtrado de una de las tantas veces que han hackeado bases de datos bancarias, aunque esto me cuesta más creerlo, pero no lo descartaría.
Don Kiko
Gente de orden
#25
Cita de ohsii
Y si alguien me dice también en dónde me han podido hackear, o qué he podido hacer mal en temas de seguridad también lo agradecería. Creo que tomo las lógicas medidas que tomamos todos, no me paso ni por defecto ni por exceso.
Yo bloqueo los pagos por Internet (no presenciales), y en su lugar, para compras por Internet utilizo una tarjeta virtual de prepago. Asi no me pueden hacer cobros indebidos.

Spens
ForoCoches: Usuario
#26
A mi me paso que un día de madrugada me empezaron a llegar cobros de 2 euros y pico de paypal, me da por mirar paypal y no hay registro. Miro detenidamente y se habia metido un paypal adicional a mi tarjeta (cosa que requiere un proceso de verificación), insofacto bloquee la tarjeta y por 2 euros no me moleste más que en reportarlo pero me pareció muy llamativo, desde entonces paso dinero a revolut y pago con revolut todo lo que sea online por evitar estos sustos, es más la tarjeta si no es fisicamente ni la uso.
Don Kiko
Gente de orden
#27
Cita de Titanio
Esto es como el hackeo de los correos electrónicos. Antiguamente tenían que sacar tu contraseña y tener una contraseña segura era algo básico. Pero los sistemas han cambiado y ahora no necesitan descifrar tu contraseña, sino que roban bases de datos de contraseñas y entonces da igual que tu contraseña sea segura o no.
Eso no es así. En cualquier sitio mínimamente serio, las contraseñas nunca se guardan en texto claro, sino que se guarda su hash, ya sea MD5, SHA1, bcrypt, scrypt, PBKDF2, Argon2, etc...

Si tu contraseña es segura y guardan el hash en la base de datos hackeada, no la van a sacar en siglos.

En los bancos además pueden utilizar HSM para que las contraseñas cortas sean casi imposibles de crackear a pesar de que se filtre la base de datos.

Otra cosa es te hagan un phishing y te engañen para que introduzcas tu contraseña en una web falsa. Ahi si que da igual que tu contraseña sea segura o débil. Pero en ese caso entra el 2FA o doble factor de seguridad, en caso de que falle la primera barrera.

Y otra recomendación es nunca reutilizar contraseñas. En cada sitio web, una contraseña diferente y que no tengs relación con el resto que utilicemos (recomendable usar un gestor de contraseñas).
Inesuca
ForoCoches: Miembro
#28
Me pasó hace un par de años con el bbva. Me hicieron el cargo de una compra de unos 60€ en un Hipercor de Alcalá de Henares. Al final reclamé y me dijeron que no había nada que hacer.

Son infinidad los casos que hay así del bbva (puedes usar el buscador).

Yo creo que por algún motivo su sistema te carga compras de otras tarjetas y no saben solucionarlo porque llevan años así.
errante1980
ForoCoches: Miembro
#29
Cita de ohsii
Hola muy buenas, nos acaba de pasar algo rarísimo con la tarjeta de mi mujer y quisiera ver si alguien conoce algún caso parecido porque de verdad que estamos flipando.

Abrimos una cuenta conjunta de BBVA online para la promoción de los 720 € en recibos, y nos enviaron sendas tarjetas, a mi mujer y a mí, que nunca, pero nunca, hemos utilizado. Ya era plenamente consciente de no haberla utilizado jamás, pero lo acabo de confirmar viendo los movimientos del año.

Pues bien, le acaba de llegar a mi mujer un mensaje en la app del BBVA para autorizar un cargo de unos 40 € en Glovo, nos hemos quedado alucinados, hemos rechazado el cargo, y al meternos en la app vemos que nos han hecho otros dos cargos sin autorización esta misma tarde también en Glovo. Los importes son relativamente bajos (ambos de unos 20 €), pero lo que me tiene realmente flipando y acojonado es:

1) ¿Cómo alguien ha podido hackear una tarjeta que jamás ha sido usada, ni físicamente (la tenemos en un cajón en el sobre con el que llegó, sin haberla siquiera despegado del papel), ni online?

2) ¿Por qué no nos han pedido autorizar las dos primeras operaciones?

Obviamente ya he llamado a BBVA, hemos bloqueado la tarjeta, y le he planteado estas mismas preguntas a la operadora, que no ha sabido responderme más allá de decirme que los hackers suelen utilizar estas tarjetas en webs sin estándares de seguridad... Evidentemente ése no puede ser el motivo, ya que de las tres operaciones se nos ha notificado una de ellas y las otras dos no. Yo sospecho que quizá haya algún tipo de límite por importe para autorizaciones, porque la última operación era de 40 € y las anteriores de unos 20 €, pero no tengo ni idea, porque insisto en que jamás las he utilizado.

En fin, si alguien conoce algún caso agradecería información, porque estoy flipando, literalmente.

Y si alguien me dice también en dónde me han podido hackear, o qué he podido hacer mal en temas de seguridad también lo agradecería. Creo que tomo las lógicas medidas que tomamos todos, no me paso ni por defecto ni por exceso.


a mi me pasó exactamente lo mismo hace unos 4 años,. tarjeta sin activar, sin usar nunca, 250 pavos de compra por internet


me devolvieron el dinero al cabo de una semana
CoPo87
ForoCoches: Miembro
#30
Nos ha pasado a mí mujer y a mí. Por suerte no hicieron los cargos y se bloqueó la tarjeta automáticamente. Llama a tu gestor y que te anulen la tarjeta y te envíen otra. Pero no solicites el cambio de tarjeta de la app que encima tienen los cojones de cobrarte 4€.

Luego bloquea las compras online y a otra cosa. Si no, otra cuenta y que me den al BBVA.

Un saludo.
← A InverForo