Las instituciones bancarias minoristas en Singapur tienen tres meses para eliminar gradualmente el uso de contrase\u00f1as de un solo uso (OTP) para fines de autenticaci\u00f3n al iniciar sesi\u00f3n en cuentas en l\u00ednea para mitigar el riesgo de ataques de phishing.<\/p>\n
La decisi\u00f3n fue anunciada por la Autoridad Monetaria de Singapur (MAS) y la Asociaci\u00f3n de Bancos de Singapur (ABS) el 9 de julio de 2024.<\/p>\n
“Los clientes que hayan activado su token digital en su dispositivo m\u00f3vil tendr\u00e1n que utilizar sus tokens digitales para iniciar sesi\u00f3n en la cuenta bancaria a trav\u00e9s del navegador o la aplicaci\u00f3n de banca m\u00f3vil”, dijo el MAS. dicho<\/a>.<\/p>\n “El token digital autenticar\u00e1 el inicio de sesi\u00f3n de los clientes sin la necesidad de un OTP que los estafadores puedan robar o enga\u00f1ar a los clientes para que lo revelen”.<\/p>\n La MAS tambi\u00e9n insta a los clientes a activar sus tokens digitales para protegerse contra ataques dise\u00f1ados para robar credenciales y secuestrar sus cuentas para realizar fraudes financieros.<\/p>\n “Esta medida ofrece a los clientes una mayor protecci\u00f3n contra el acceso no autorizado a sus cuentas bancarias”, afirm\u00f3 Ong-Ang Ai Boon, director de ABS, en un comunicado. “Si bien pueden ocasionar algunos inconvenientes, estas medidas son necesarias para ayudar a prevenir estafas y proteger a los clientes”.<\/p>\n Si bien los OTP se introdujeron originalmente como una forma de autenticaci\u00f3n de segundo factor (2FA) para reforzar la seguridad de las cuentas, los ciberdelincuentes han ideado troyanos bancarios, bots OTP y kits de phishing que son capaces de recopilar dichos c\u00f3digos utilizando sitios similares.<\/p>\n Los bots OTP, accesibles a trav\u00e9s de Telegram y publicitados por entre $100 y $420, llevan la ingenier\u00eda social al siguiente nivel al llamar a los usuarios y convencerlos de que ingresen el c\u00f3digo 2FA en sus tel\u00e9fonos para ayudar a eludir las protecciones de la cuenta.<\/p>\n Es importante mencionar que estos bots est\u00e1n dise\u00f1ados principalmente para saquear el c\u00f3digo OTP de la v\u00edctima, lo que requiere que los estafadores obtengan credenciales v\u00e1lidas a trav\u00e9s de otros medios, como violaciones de datos, conjuntos de datos disponibles para la venta en la web oscura y p\u00e1ginas web de recolecci\u00f3n de credenciales.<\/p>\n “La principal tarea del bot OTP es llamar a la v\u00edctima. Los estafadores cuentan con las llamadas, ya que los c\u00f3digos de verificaci\u00f3n solo son v\u00e1lidos durante un tiempo limitado”, dijo la investigadora de amenazas de Kaspersky, Olga Svistunova. dicho<\/a> en un informe reciente.<\/p>\n “Mientras que un mensaje puede permanecer sin respuesta durante un tiempo, llamar al usuario aumenta las posibilidades de obtener el c\u00f3digo. Una llamada telef\u00f3nica tambi\u00e9n es una oportunidad para intentar producir el efecto deseado en la v\u00edctima con el tono de voz”.<\/p>\n La semana pasada, SlashNext revel\u00f3 detalles de un proyecto “de extremo a extremo”. kit de herramientas de phishing<\/a> denominado FishXProxy que, aunque aparentemente est\u00e1 destinado a “S\u00f3lo con fines educativos<\/a>“, reduce el nivel t\u00e9cnico para los aspirantes a actores de amenazas que buscan montar campa\u00f1as de phishing a gran escala eludiendo las defensas.<\/p>\n “FishXProxy proporciona a los cibercriminales un arsenal formidable para ataques de phishing por correo electr\u00f3nico de m\u00faltiples capas”, afirma la empresa. anotado<\/a>“Las campa\u00f1as comienzan con enlaces generados de forma \u00fanica o archivos adjuntos din\u00e1micos, evitando el escrutinio inicial”.<\/p>\n “Las v\u00edctimas se enfrentan entonces a sistemas antibot avanzados que utilizan el CAPTCHA de Cloudflare, que filtra las herramientas de seguridad. Un sistema de redireccionamiento inteligente oculta los destinos reales, mientras que la configuraci\u00f3n de caducidad de la p\u00e1gina dificulta el an\u00e1lisis y facilita la gesti\u00f3n de las campa\u00f1as”.<\/p>\n Otra caracter\u00edstica destacable de FishXProxy es el uso de un sistema de seguimiento basado en cookies que permite a los atacantes identificar y rastrear a los usuarios en diferentes proyectos o campa\u00f1as de phishing. Tambi\u00e9n puede crear archivos adjuntos maliciosos mediante t\u00e9cnicas de contrabando de HTML que permiten evadir la detecci\u00f3n.<\/p>\n “El contrabando de HTML es bastante eficaz para eludir los controles de seguridad perimetral, como las puertas de enlace de correo electr\u00f3nico y los servidores proxy web, por dos razones principales: abusa de las caracter\u00edsticas leg\u00edtimas de HTML5 y JavaScript, y aprovecha diferentes formas de codificaci\u00f3n y cifrado”, Cisco Talos dicho<\/a>.<\/p>\n El aumento del malware m\u00f3vil a lo largo de los a\u00f1os tambi\u00e9n ha llevado a Google a revelar un nuevo programa piloto en Singapur que tiene como objetivo evitar que los usuarios descarguen ciertas aplicaciones que abusan de los permisos de las aplicaciones de Android para leer OTP y recopilar datos confidenciales.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/07\/Los-bancos-de-Singapur-eliminaran-gradualmente-los-OTP-para-inicios.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/section>\n