Seguridad de las tarjetas de crédito en la “vida real”

Todo el mundo habla del protocolo HTTPS y de tener cuidado con nuestras tarjetas de crédito en el ámbito online… pero ¿qué pasa con ellas en el mundo offline? Solo puedo hablar por mismo, pero estoy seguro de que todos habéis ido a un supermercado, restaurante o gasolinera y le habéis confiado vuestra tarjeta a un completo desconocido para que cobrase un producto o servicio.

Después de terminar mis estudios, estuve trabajando como camarero justo antes de adentrarme en el sector de la seguridad informática. Si os soy sincero apenas conocía nada de esta industria; no sabía qué era un virus, cómo funcionaba o por qué alguien lo había creado. A pesar de mis escasos conocimientos, sabía que un TPV viejo no acarrearía nada bueno. Todavía no estoy seguro al 100% de lo pasó exactamente pero, después de introducir una tarjeta en el aparato, éste se estropeó y empecé a dudar sobre la integridad del sistema de principio a fin (cliente, distribuidor, tarjeta de crédito, banco y cualquier paso entre medias).

Después de varios intentos fallidos de arreglarlo, llamamos a un compañero de trabajo, un hacker de 16 años, fanático de los ordenadores, para que solucionara el entuerto. Sólo un amigo suyo y él eran  los únicos capaces de arreglar el sistema.

La pregunta es: ¿Cómo podemos proteger nuestros datos de pago escritos es un trozo de plástico? Recuerdo una anécdota que me sucedió en una peluquería de mi ciudad que no aceptaba tarjetas de crédito. La chica me dijo que su hermana trabajaba en una tienda al final de la calle, que podía llamarla y darle telefónicamente los datos de mi tarjeta para que me cobrase. Luego, su hermana le abonaría el importe en metálico. Por supuesto, me negué en redondo ante esa descabellada idea.

Aunque esto no sea habitual, debemos saber que, si una persona quiere anotar tu número de tarjeta o usa un TPV demasiado anticuado, la mejor opción es pagarle en mano.

El siguiente problema reside en los cajeros automáticos. Si os gustan las historias de miedo, os recomiendo leer la página web de Brian Krebs, periodista de seguridad. Afortunadamente, esta website no sólo aterroriza a los lectores, también ofrece información sobre cómo funcionan los robos de datos en los cajeros, también denominados skimming.

Un skimmer es un término usado para referirse a un dispositivo o pieza que introducida en un cajero automático roba los datos de la tarjeta de crédito que meten los usuarios en la máquina. Este procedimiento puede utilizarse, igualmente, en los TPV de tiendas o restaurantes. Así, los skimmers son una especie de ataques man-in-the-middle.

Si el ladrón que instala un skimmer en un TPV o en un cajero automático hace un buen trabajo, la víctima no se enterará del robo hasta que le llegue una notificación de violación de datos a su correo. Sin embargo, los criminales son humanos y no son perfectos. Así que antes de introducir tus datos de tarjeta de crédito, comprueba el terminal o el dispositivo. Aunque la mayoría de skimmers pasan desapercibidos, suelo comprobar que el teclado está perfectamente anclado así como la pantalla, cerciorándome que todo está en su sitio. No olvidéis echar un vistazo a las cámaras, aunque es más fácil decirlo que hacerlo porque son realmente pequeñas. Todos los cajeros deberían disponer de cámaras enfocando al rostro del usuario, no al teclado. Yo suelo evitar los cajeros que están escondidos o en zonas con poca visibilidad. Supuestamente, no debería haber problemas con los cajeros de las entidades porque, al fin y al cabo, los empleados de las sucursales saben cómo evitar los robos o estafas. No obstante, según Krebs, el departamento de Servicios Secretos de EE.UU. afirma que se robó 1  billón de dólares en cajeros durante el año 2008 y la cifra sigue subiendo hoy en día.

Los TPV son más complicados. Es necesario asegurarnos de que la carcasa está intacta, sino es así, existe el riesgo que el terminal esté trucado. Un experto en seguridad informática me contó que, una vez, llegó un hombre vestido con un uniforme oficial informando a los empleados de un establecimiento  que tenía que reparar el sistema del TPV. Por supuesto, esto no era cierto. En su lugar, instaló un skimmer y se marchó. No es fácil saber si la anécdota es cierta o no, pero tampoco es  inverosímil.

Dejar nuestras tarjetas de crédito a la vista de todo el mundo es lo mismo que publicar una foto de ésta en Internet. No obstante, por mucho cuidado que pongamos, todo está fuera de nuestro control. Sin embargo, sí podemos tomar medidas que nos ayuden; por ejemplo, comprobar regularmente nuestra cuenta bancaria o poner un límite al importe de nuestras tarjetas. Además, es buena idea utilizar tarjetas de diferentes entidades bancarias. ¿Prefieres que te roben los datos de tu tarjeta sin límite o de una tarjeta con un límite de 500 €? Por supuesto, esto también se aplica a las tarjetas de débito.