El fenómeno de los cajeros automáticos ha ido creciendo de forma imparable desde que surgió, hasta alcanzar la cifra de más de dos millones de unidades en el mundo, con grandes ventajas tanto para el consumidor como para la entidad bancaria, aunque desde sus inicios, su seguridad ha sido un problema de difícil solución.

Actualmente nos encontramos con un incremento en los ataques a las redes de cajeros automáticos, convirtiéndose en un gran problema, ya que provocan importantes pérdidas de dinero tanto a las entidades como a los clientes. Según datos aportados por EAST (European ATM Security Team), los bancos de 22 países europeos perdieron en conjunto 485 millones de euros durante 2008 debido al fraude en cajeros.

Los ataques básicos a un cajero se pueden clasificar en dos tipos: ataques a la infraestructura TI (tecnologías de la información) de los cajeros -y de las redes que emplean para procesar transacciones- y ataques físicos en cajeros automáticos. Tradicionalmente se ha venido prestando especial atención a los ataques físicos en los cajeros. Para ello se han habilitado diversos controles de seguridad física en el lugar donde está ubicado el cajero. Pero hoy en día, el fraude tiende, por un lado, hacia técnicas que persiguen el robo de los datos de las tarjetas de crédito, con el fin de suplantar la identidad de la persona, y por otro lado, hacia el ataque a las infraestructuras de las sucursales bancarias, para hacerse con el control remoto del cajero.

Tarjetas con chip

Las tarjetas de crédito, hasta hace poco, constaban de una banda magnética donde se almacenaba la información del cliente, pero es fácil de copiar y falsificar, lo que se está tratando de solventar con la introducción de tarjetas inteligentes EMV (también conocido como tarjetas con chip). La implantación de EMV reduce el fraude al disminuir las posibilidades de obtener datos de la banda y el 90% de los cajeros automáticos europeos son ahora compatibles con EMV.

De esta forma, el fraude en cajeros parece que tiende hacia el ataque de las infraestructuras tecnológicas. Parece que es más rentable explotar alguna vulnerabilidad o infectar al ATM con algún tipo de software malicioso, pudiendo tomar el control remoto del cajero, en lugar de disponer de los datos de un usuario. La detección de este tipo de fraude es mucho más compleja, dado que al no existir manipulación física del ATM en el momento de efectuar el fraude, la entidad bancaria, si no dispone de las herramientas necesarias, puede tardar mucho tiempo en identificar la causa del problema, siendo más difícil la identificación del criminal.

Los cajeros actuales son bastante vulnerables, aunque ya existen en el mercado algunos productos de seguridad especialmente diseñados para sistemas de autoservicio financiero, que permiten administrar de forma centralizada cuáles son las aplicaciones que se ejecutan, a qué recursos locales o remotos acceden, con qué otros sistemas se comunican y qué dispositivos pueden acceder a él. Mediante este férreo control, aseguran en el cajero un entorno de alta seguridad que evita que se puedan explotar vulnerabilidades, infectar los ATM con virus, troyanos, gusanos y otros malware especialmente diseñados para atacar la infraestructura de autoservicio financiero, así como la introducción y ejecución de software malicioso con acceso a recursos sensibles del cajero.

Afortunadamente, estos productos crean en el cajero automático un entorno de ejecución y de comunicaciones seguro, cumpliendo los más altos niveles de calidad y fiabilidad. Ahora sólo queda esperar que cada vez más entidades lo instalen en sus ATM, ya que su propia seguridad está en juego.

Rafael Navajo es director de Desarrollo de Negocio de GMV Secure e-Solutions. Licenciado por la Universidad Politécnica de Madrid, comenzó su carrera profesional en Telefónica I+D y posteriormente se incorporó a Alcatel-Lucent, como jefe de desarrollo de negocio en el Sur de Europa occidental. Como responsable de Desarrollo de Negocio de GMV Secure e-Solutions, Navajo ha logrado posicionar a la compañía como un referente mundial en el área de la seguridad lógica para la Banca, Servicios Financieros y de Seguros.