'Cibercarteristas': cómo actúan y cómo evitarlos

La escena la relata Cristian Q., un joven que el pasado viernes se encontraba en un autobús de la línea 32 de la capital aragonesa: “Subió un chico de unos 24 o 26 años con un datáfono en la mano. Me sorprendió, aunque pensé que trabajaría en alguna tienda. Pero justo cuando fui a salir, él bajó conmigo, y me fijé que en la pantalla del aparato ponía 'verificando operación'. Creo que le sacó dinero a alguien sin que se diera cuenta. Lo primero que hice al llegar a casa fue comprobar mi cuenta”.

Este zaragozano tiene claro que se trataba de un 'cibercarterista', ladrones que aprovechan las nuevas tecnologías 'contactless' para sustraer dinero en lugares públicos y concurridos sin que la víctima se entere. Un tipo de delito difícil de perpetrar, según fuentes policiales, pero posible, según los expertos.

La tarjetas de crédito 'sin contacto' son un medio de pago cada vez más extendido, que permite realizar compras con solo acercarla a un receptor, sin necesidad de introducirla en ninguna ranura. Se calcula que ya hay más de 11 millones de tarjetas en el mercado español con una tecnología que, a su vez, está creciendo en otros dispositivos como los teléfonos móviles.

Según el informe 'El consumidor europeo conectado: una vida online', un 57% de los españoles ya usan medios de pago 'contactless' y un 59% utiliza aplicaciones para pagar en alguna ocasión, lo que supone una penetración doce puntos por encima de la media europea.

En España (cada país marca su límite), estas tarjetas permiten realizar pagos de hasta 20 euros sin necesidad de la autentificación mediante número PIN del cliente, y ahí es donde entra el riesgo de fraude. “Técnicamente hablando, es viable”, reconoce el investigador zaragozano Ricardo J. Rodríguez, profesor en el Centro Universitario de la Defensa de la Academia General Militar.

Sin embargo, explica que el delincuente en cuestión debe hacer frente a numerosas trabas que complican el hurto. “Primero, necesitaríamos siempre tener un contacto con la tarjeta a una distancia de hasta 10 centímetros”, lo que obliga al ladrón a situarse muy cerca de su víctima.

Además, “este ataque sólo es posible con interacción del atacante, es decir, primero tiene que introducir una cantidad de dinero a cobrar (menor de 20€ para no solicitar el PIN), y luego acercar el lector a la tarjeta”, recuerda. Una vez establecida la conexión, se verifica que la tarjeta es correcta y tiene dinero suficiente para efectuar la compra, y finalmente se lleva a cabo la transacción.

Otro aspecto que limita la acción delictiva es el rastro que deja. El dinero obtenido va a parar a una cuenta corriente con nombre y apellidos. Y en el caso de que esa cuenta se localice en un banco en el extranjero, “es casi seguro que será incapaz de realizar cualquier tipo de conexión, a no ser que el emisor del datáfono haya autorizado el 'roaming' de la tarjeta del terminal”, aclara Rodríguez.

De hecho, a su juicio “es más fácil pensar en un atacante con un teléfono móvil con capacidad NFC (tecnología 'contactless') que se acerca a alguna persona y lee su tarjeta de crédito, ya que obtendría el número de la tarjeta, la fecha de expiración, el nombre del titular, y en determinados casos, el historial de pagos realizados con la tarjeta”. De esta forma se podrían realizar compras en ciertas webs de Internet.

Así lo demostraron el propio Rodríguez y Pepe Vila, antiguo estudiante de Ingeniería Informática de la Universidad de Zaragoza, en una conferencia internacional en Nueva York sobre seguridad en radiofrecuencia. “Demostramos que el principio de seguridad basado en la proximidad (los 10 centímetros) es falso: con mi móvil y mi tarjeta de crédito en Nueva York, realicé un pago en Madrid”. Todo ello con un teléfono Android de fábrica, “sin modificaciones adicionales y con una aplicación que podría estar disponible en Google Play”, apunta.

Precauciones

En cualquier caso, y dado que el fraude es posible, expertos y fuentes policiales recomiendan tomar una serie de precauciones. La propias entidades bancarias ya han puesto en marcha algunas barreras. Por ejemplo, la cuenta se bloquea si se detecta un número anormal de transacciones que no requieran el código PIN. Otras ofrecen aplicaciones para el teléfono móvil que envían un mensaje al usuario cada vez que se realizar un pago con su tarjeta.

También existe la posibilidad, en determinados bancos y cajas, de 'encender' y 'apagar' las tarjetas, como si tuvieran un interruptor, de forma que solo estén operativas cuando el cliente lo desee. E incluso se pueden encontrar en el mercado fundas y monederos anti-radiofrecuencia que neutralizan la tecnología 'contactless' para evitar este tipo de fraude.

Por todo ello, las entidades bancarias apuestan por las nuevas tarjetas y medios de pago que vienen introduciendo en el mercado. Como explica José Luis Martínez Campuzano, portavoz de la Asociación Española de Banca, “la mayor parte de las tarjetas que circulan actualmente incluyen ya el sistema de pagos 'contactless', lo que permite que cada vez más usuarios puedan pagar con un simple gesto”. A su juicio, “aportan más rapidez en los pagos, más comodidad y más seguridad”.