Seguridad de tu app de banca móvil
¿Es segura tu ‘app’ de banca móvil?
Google Play no está exento de
peligros. Algo tan sencillo como descargar una app puede poner en riesgo nuestro smartphone y nuestros datos. Solo en 2017 la compañía tuvo que
retirar de su plataforma 700.000 aplicaciones
que violaban las políticas de Google Play, de acuerdo con Android
Developers Blog.
Aunque el recorrido de estas apps suele ser breve (en 2017 el 99% de
dichas aplicaciones fueron retiradas antes de que alguien pudiese instalarlas),
pueden llegar a infectar millones de terminales. Y las consecuencias de
instalar una app ilegítima en nuestro
móvil pueden ser bastante negativas. Pueden incluir malwares, suscribirnos a servicios premium de SMS, etc.
En abril del pasado año, la Oficina
de Seguridad del Internauta (OSI) alertó sobre una aplicación falsa disponible
en Google Play que suplantaba a la de
Bankia, cuyo objetivo era “capturar el usuario y contraseña de la víctima”.
El cibercrimen también ha afectado a entidades como BBVA o EVO Banco, tal y
como publicó Trend Micro en noviembre del pasado año. Ninguna de esas apps está ya disponible en Google Play.
Aunque la mayoría no sufrimos
ningún ataque al operar a través de la
banca móvil, debemos estar alertas. Antes de instalar una
aplicación, hay que comprobar que sea la
oficial. La OSI aconseja instalar aplicaciones que provengan únicamente de
canales oficiales, como Google Play o la App Store, y comprobar las
valoraciones y los comentarios de otros usuarios.
La mayoría de los bancos tienen
enlazada su aplicación oficial en su página web, por lo que una forma de
asegurarnos de que estamos ante la app
legítima de nuestro banco es instalarla desde el enlace que facilitan los
bancos en sus portales de Internet. Precisamente, la OSI señala que una de las
claves para detectar una aplicación bancaria falsa es comprobar si desde la web
de la entidad se enlaza con ella. También podemos comprobar quién es su desarrollador y si coincide con el del resto
de las aplicaciones del banco.
La banca se protege ante posibles ataques
El número de clientes que usan la
banca móvil se ha disparado durante los últimos años. Banco Santander tenía al
cierre de 2018 32 millones de clientes digitales y BBVA, 27,2 millones (23
millones de clientes móviles), según sus informes de resultados. Este
incremento de usuarios se ha visto reflejado también en el aumento de las
descargas de las apps de los bancos
dirigidas al público español: la aplicación del Santander supera el millón de
instalaciones y las de BBVA y CaixaBank,
los cinco millones. Y hablamos solo de las descargas realizadas en
dispositivos Android.
Para garantizar la
seguridad de sus usuarios, la banca ha protegido sus aplicaciones. “Cada
función está analizada, diseñada y revisada con los controles de seguridad
necesarios” explican desde BBVA y añaden que “las comunicaciones son siempre
bajo los estándares más seguros de la industria como TLS”. Estas siglas, que
hacen referencia a transport layer
security (seguridad de la capa de transporte), se repiten en la industria y
hacen referencia a los protocolos de encriptado que hacen seguras las
comunicaciones por la Red.
Fuentes de
CaixaBank consultadas por el comparador de productos financieros HelpMyCash.com
señalan que “toda la información que se envía desde nuestros servidores está
cifrada con el protocolo TLS”. Además, la entidad aplica medidas de seguridad
extra en sus aplicaciones de Android e iOS como “controles de modificación de
la aplicación para evitar la intrusión de código malicioso, controles antitapjacking o herramientas de ofuscación
de código, entre otras”.
El banco móvil N26, que está alojado en su totalidad en la
nube, usa Amazon Web Services, lo que le “permite una mayor capacidad de
reacción ante los cambios y realizar nuevas funciones con más rapidez”, explica
el challenger bank a HelpMyCash. No
obstante, “este servicio de alojamiento en la nube no quiere decir que Amazon
tenga acceso a los datos de los clientes”. Entre las técnicas que usa la
entidad para garantizar la privacidad se encuentran “la comunicación
encriptada, el uso de datos cifrados, escáneres de vulnerabilidad y estándares
globales y locales”.
“Este alojamiento
en la nube define nuestra identidad y nos permite ofrecer los servicios al
coste que lo hacemos actualmente. Si
tuviéramos que ejecutar nuestro propio centro de datos, los costes serían
mayores y también sería más lento el desarrollo de productos”, afirma
Francisco Sierra, director general de N26 en España.
Además, la banca
usa medidas adicionales para garantizar la seguridad de sus aplicaciones, como
notificaciones push cuando se detecta
un movimiento en la cuenta o varios factores de autentificación. N26, por
ejemplo, solo permite acceder a una
cuenta por la app en un dispositivo
móvil a la vez. Por su parte, Openbank permite añadir un sistema de doble
autenticación consistente en combinar un código recibido por SMS con la clave
de firma para validar una operación. BBVA, por su parte, permite desde 2018
limitar la visibilidad de los productos en la app, así como restringir la operativa con las cuentas, las tarjetas
y los productos de ahorro, de manera que solo se pueda consultar su posición,
pero no operar con ellos.
Nuestro uso del móvil afecta a la seguridad
Para corregir vulnerabilidades y
crear entornos lo más seguros posibles, la banca ha invertido millones en su
proceso de digitalización. Pero está en
nuestras manos convertir el móvil en una herramienta realmente segura. “Consideramos
muy importante apoyar y difundir las buenas prácticas de seguridad”, afirman
fuentes de Caixabank.
HelpMyCash ofrece algunos consejos
para un uso seguro del teléfono móvil: verificar que se descarga la aplicación
legítima del banco, escoger claves seguras y difíciles de adivinar y no usar
aplicaciones bancarias con wifis públicos.
También es importante tener tanto
el software del teléfono como la app del banco actualizados e instalar un
antivirus. Además, podemos añadir un extra de seguridad incluyendo un sistema
de bloqueo de la pantalla de inicio y un código pin para poder ejecutar la app del banco. Esta funcionalidad la
ofrecen algunas compañías de antivirus y hace que cada vez que se intente
acceder a una aplicación, se exija un paso previo de autentificación.
La tecnología perfecta no existe
En 2016 un estudio de la consultora Accenture en el que se
analizaron 30 aplicaciones para iOS y Android de 15 bancos norteamericanos sacó los colores a la industria: todas
las apps habían revelado al menos un
problema de seguridad, como, por ejemplo, no tener el código ofuscado. Aunque
lo cierto es que no todas las vulnerabilidades se clasificaban de alto riesgo.
Para adelantarse a los malhechores,
N26 tiene en marcha el programa de recompensas por errores (bug bounty program) que premia con
dinero a los especialistas en ciberseguridad que encuentren “errores o
vulnerabilidades” e informen al banco para “poder repararlos mucho antes de que
causen cualquier daño”.
