¿qué es el sistema biométrico?

2011
Sistema Biométrico
Banco Pichincha
Danyana Baquerizo - Tania Huilcapi
22/05/2011
Tabla de contenido
ANTECEDENTES................................................................................................................. 3
¿QUÉ ES EL SISTEMA BIOMÉTRICO? ................................................................................. 4
Necesidad de aplicación y posible impacto .............................................................................. 4
COMO ACTIVAR Y USAR EL NUEVO SISTEMA BIOMÉTRICO ............................................. 5
Posibles errores e inconvenientes que presenta el sistema ..................................................... 8
PHISHING .......................................................................................................................... 8
¿Qué es el Phishing? ................................................................................................................. 8
¿De dónde viene?...................................................................................................................... 9
¿Cómo protegernos? ............................................................................................................ 9
¿Qué debemos recomendar a los clientes, familiares y amigos? ............................................. 9
VIRUS INFORMÁTICOS .................................................................................................... 11
Otras recomendaciones de seguridad por internet: ............................................................... 12
Ingeniería social .............................................................................................................. 13
¿Cómo puede protegerse? ...................................................................................................... 14
Casos reportados en el Banco Pichincha................................................................................. 15
TABLA DE ILUSTRACIONES .............................................................................................. 17
BIBLIOGRAFÍA ................................................................................................................. 18
ANTECEDENTES
Desde hace algún tiempo el número de denuncias por perjudicados de fraudes
informáticos en sus cuentas bancarias ha aumentado en las fiscalías del país.
A la cabeza de las innovaciones están los bancos Pichincha, de Guayaquil, Bolivariano y
Produbanco. Las cuatro instituciones implementaron el sistema de control de acceso
basado en una tarjeta con coordenadas (e-key) que contienen una nueva clave que no
reemplaza a la principal y sirve como refuerzo de seguridad.
También realizan un ethical hacking (auditoría informática). Compañías extranjeras
simulan un ataque virtual para verificar las seguridades del banco. Se identifican las
fallas y se aplican los correctivos. Lamentablemente, una vez más, la idiosincrasia de
los usuarios permitía que los datos de estas tarjetas sean divulgados al verse atacados
por técnicas de ingeniería social en su mayoría. Igualmente este sistema no era
compatible con ciertas versiones o tipos de navegadores, lo que complicaba aun más
su eficiencia.
Ante las amenazas de programas que atacan el hardware de los computadores,
registrando las claves que se digitan, se han incorporado teclados virtuales y
matriculación de cuentas. Esta última guarda todas las cuentas con las que se
realizarán transacciones para que no se pueda desviar dinero sin la aprobación previa
del titular de la cuenta. Al cliente se le notifica de cualquier transferencia a su correo
electrónico y en un mensaje de texto al celular.
El Banco Pichincha utiliza, desde el 16 de febrero, un sistema biométrico. El programa
hace una lectura del tiempo promedio que tarda un cliente en realizar una transacción
virtual. Si el tiempo es mayor al habitual del ahorrista, el sistema se bloquea
impidiendo que se transfiera dinero.
¿QUÉ ES EL SISTEMA BIOMÉTRICO?
Es una solución de seguridad implementada por el Banco de Pichincha para el ingreso
a su Banca Electrónica que consiste en la validación de la Identidad que certifica que la
persona que escribe su usuario y contraseña es cliente original.
El Sistema de Ingreso Biométrico construye, evoluciona y almacena un patrón personal
en la forma en la que el usuario ingresa los datos en su computador además de otras
características de comportamiento y entorno (Denominado Patrón de
Comportamiento). Es como crear una nueva huella o una firma única y exclusiva de
cada cliente.
Este sistema contempla seguridades adicionales mediante el uso de preguntas secretas
y figuras secretas las cuales garantizan aún más el acceso a la Banca Electrónica.
Adicionalmente tiene un sistema de alertas mediante correo electrónico y mensajes
SMS que le informarán cuando existan intentos errados de ingreso a su Banca
Electrónica
Necesidad de aplicación y posible impacto
El número de incidencias de seguridad en el Banco Pichincha es alto. Esto se debe a
que la mayoría de usuarios de la banca electrónica no conocen o no practican
estrategias de seguridad informática básicas como:
 Tener un antivirus instalado y actualizado
 Usar software actualizado, en especial los navegadores
 No instalar programas de dudosa procedencia o no verificados
 Manejar claves diferentes para cada servicio
 Crear claves de más de 12 caracteres que contengan letras, números y símbolos
 Encriptar bases de datos de claves o de información sensible
Entre otras
Si a esto se le suma que muchas personas tenían el descuido de ingresar a sus cuentas
bancarias a través de equipos públicos, el panorama no era alentador.
Afortunadamente, el sistema de control de acceso basado en una tarjeta con
coordenadas (e-key).
COMO ACTIVAR Y USAR EL NUEVO SISTEMA
BIOMÉTRICO
El proceso para activar este sistema es tiene muchas opciones por configurar. Esto es
debido a que al tratarse de un sistema biométrico basado en la conducta, se debe
crear un perfil inicial del usuario basado en sus gustos y elecciones.
El banco ofrece un manual bastante funcional de cómo se debe activar el servicio. El
proceso es básicamente el siguiente:
 Ingrese al portal del Banco Pichincha y diríjase al control de su banca virtual
Ilustración 1
 En la nueva pantalla, seleccione la opción para crear una nueva cuenta
 Ingrese la clave de su tarjeta de debito (Si no tiene una, no podrá activar el
servicio)
Ilustración 2
 Indique su cedula de identidad, número de teléfono y responda al menos tres
preguntas predeterminadas; cree una nueva pregunta y seleccione un dibujo
de su elección (Recomiendo tomar un pantallazo de esta información pues si la
olvida, no podrá acceder a su cuenta. Igualmente no olvide el borrar este
archivo cuando ya no lo vaya a usar)
Ilustración 3
 Elija un nombre de usuario y una contraseña de mínimo 12 caracteres
Ilustración 4
 Reciba el correo de verificación que le informa sobre la activación del sistema
 Después de que haya ingresado exitosamente al sistema por al menos 10
ocasiones, podrá modificar sus preguntas o su clave.
Ilustración 5
Posibles errores e inconvenientes que presenta el sistema
A continuación cito algunos posibles problemas que identifique al realizar el proceso
de activación. Igualmente comento sobre varias características que pudiesen resultar
molestas:
 La no posibilidad de elegir qué sistema de control de acceso usar
 Proceso largo y que puede ser confuso para usuarios inexpertos
 Las contraseñas no aceptan símbolos (Un grave riesgo, más que todo cuando
hablamos de cuentas bancarias y dinero)
 La plataforma no acepta el copiar y pegar información (Usuarios avanzados
prefieren copiar contraseñas de una base de datos encriptada y pegarlas
directamente en los campos del formulario web para minimizar el riesgo de
que un keylogger robe información sensible)
 Existen muchas opciones que el usuario debe recordar para lograr tener acceso.
PHISHING
¿Qué es el Phishing?
Esta modalidad de fraude consiste en utilizar diversos métodos (e-mails, páginas web,
chat, etc.) para direccionar a la víctima a una página web falsa y convencerla de que
está navegando en la página real del Banco. Se utiliza para obtener información
confidencial del usuario y sus cuentas, como los números de su tarjeta de crédito o
débito, números de cédula o pasaportes, claves secretas, contraseñas, coordenadas eKey, direcciones, teléfonos, etc., es decir cualquier información que le sirva al
delincuente para realizar el robo o estafa. La página web fraudulenta tiene colores,
logos y formatos similares a la del Banco lo cual puede confundir a los clientes y
usuarios.
¿De dónde viene?
El Phishing es un mecanismo utilizado a nivel mundial por diversos hackers que son
casi imposibles de rastrear pues migran de país en país creando las páginas falsas. Los
ataques se realizan a diario a varios clientes de bancos de todo el mundo. Mucha de
esta información los hackers la obtienen y la venden en el mercado de cada país lo cual
hace más difícil rastrear a los delincuentes.
¿Cómo protegernos?
El mejor mecanismo de defensa contra estos ataques es la educación. Es conocer cómo
funciona el método de fraude para no caer en la trampa de los delincuentes y evitar
de esta manera entregar información personal y confidencial.
A nivel tecnológico están en desarrollo varios software para minimizar los riesgos de
este tipo de fraudes.
Hay otras opciones como doble clave, cambio de clave frecuente, notificaciones al
celular, etc. sin embargo cuando se llega a entregar toda su información al delincuente
las probabilidades de fraude son altas y casi imposibles de evitar.
¿Qué debemos recomendar a los clientes, familiares y amigos?





Nunca deben atender o responder a mensajes recibidos por mail o por chat
donde les soliciten información confidencial como son: el número de cédula, la
clave de tarjeta Xperta, la clave de Banca Electrónica, las coordenadas de
Tarjeta e-Key, y demás información personal y financiera.
Esta información es confidencial y debe ser utilizada únicamente en los canales
de acceso del Banco.
Tampoco proporcione información de manera verbal a parientes, amigos,
compañeros de trabajo.
No utilizar los enlaces incorporados en e-mails o páginas web de terceros. Estos
enlaces o links también pueden contener virus o archivos maliciosos que
pueden afectar el funcionamiento del equipo del cliente.
Ante cualquier duda de la veracidad de los datos pedidos o autenticidad de las
páginas visitadas, deben reportar de inmediato al Banco llamando a Servicio



del
Pichincha
al
02-2-999999.
nuestro
correo
electrónico
[email protected] respecto a cualquier novedad o inquietud.
Recuerde que Banco Pichincha no solicita en ningún momento el ingreso
masivo de la clave electrónica ni las coordenadas de la tarjeta e-Key.
El sistema le solicitará una sola coordenada de su tarjeta e-Key por cada
transacción que realice.
Banco Pichincha nunca solicita copias de la tarjeta e-Key mediante ningún
medio, sea correo electrónico, chat o carta.
Banco Pichincha NUNCA solicita el ingreso de varias coordenadas e-key por Internet.
Solo pide 1 por cada transacción. Jamás entregue sus CLAVES DE ACCESO NI DE E-KEY
por PAGINA WEB, correo electrónico, mensajes de celular, Messenger, teléfono u otro.
Las claves son secretas.
Para garantizar la seguridad de sus transacciones a través de Banca Electrónica le
presentamos una serie de recomendaciones que le permitirán operar con la máxima
confianza.
Antes de ingresar a la página inicial del detalle de sus cuentas (posición consolidada)
tenga en cuenta las siguientes recomendaciones:
1. Al ingresar a banca electrónica personas la dirección (URL) que tendrá que aparecer
es pichincha.com. e iniciará siempre con https:// tome en cuenta la “S” del sitio de
seguridad
2. Al extremo derecho a la dirección existe la imagen de un candado, lo que garantiza
la seguridad del sitio a transaccionar. Al dar clic en este tendrá información del
certificado de la actualización de la página, tenga en cuenta que la fecha de validez
este vigente.
Ilustración 6
3. Una vez que haya ingresado a banca electrónica personas podrá visualizar si la
dirección de la página en la que va a transaccionar es correcta, presionando F11.
4. Luego de ingresar su cédula y clave virtual asegúrese de que la pantalla del detalle
de sus cuentas (posición consolidada) posea las siguientes partes:
* Dirección Internexo Banco Pichincha
* Mensaje de Alerta de Seguridad
* Fecha y hora
* Nombre Titular de Cuenta
Ilustración 7
VIRUS INFORMÁTICOS
Existen bandas organizadas que a través de correos electrónicos y otros medios buscan
confundir
a
los
clientes
y
acceder
a
sus
datos
personales.
Uno de los mecanismos utilizados recientemente opera a través de la instalación de un
VIRUS
en
el
computador
del
usuario
o
cliente.
Los VIRUS son programas informáticos que se instalan sin conocimiento del usuario en
máquinas que no tienen su antivirus actualizado. Se transmiten por medio del correo
electrónico, Internet, Messenger o del acceso a links en páginas web no seguras.
Este VIRUS hace que el Internet Explorer abra una página fraudulenta, similar a la
página real del Banco, donde solicita al cliente el ingreso de varias coordenadas de su
tarjeta e-Key. Dicha página web no es de Banco Pichincha, es un sitio web falso que
busca engañar al usuario y obtener de esta manera su información confidencial.
Para no ser víctima de este mecanismo le solicitamos aplicar las siguientes
recomendaciones.
1. Instale en su equipo un antivirus que se ejecute cada vez que arranque su
computador. Ejecute un barrido periódico del antivirus en su computador.
2. Actualice su antivirus con las últimas definiciones.
3. Nunca abra archivos sospechosos adjuntos a un correo electrónico o enviados por
Messenger.
4. Preste especial atención cuando realice descargas de programas, y en caso de duda
no permita esta descarga en aquellos sitios que no son de su plena confianza.
5. Existen diversos archivos que pueden estar infectados con virus, desconfíe de
aquellos cuyas extensiones sean de tipo .exe, .com, cmd y .bat.
6. No contribuya a la difusión de virus mediante el reenvío de correos electrónicos con
archivos adjuntos infectados.
TARJETA E-KEY
Recuerde que nuestro sistema de Banca Electrónica NUNCA le solicita el ingreso de
DOS o más coordenadas de su Tarjeta e-Key de una sola vez. Sólo solicita UNA
coordenada por cada transacción que realiza.
Otras recomendaciones de seguridad por internet:
1. Banco Pichincha NUNCA se contactará con usted (por medio del teléfono, chat o email) para pedir sus claves electrónicas, ni las coordenadas de la Tarjeta e-Key, ni la
clave de su tarjeta Xperta.
2. Nunca entregue su Tarjeta e-Key a terceros (familiares, amigos, personal del Banco,
policías, etc.). Es personal y debe ser utilizada únicamente por usted.
3. Bajo ninguna circunstancia debe sacar copias de su Tarjeta e-key, escanearla,
tomarle fotografías y mucho menos entregar esa información a terceras personas.
4. Reporte inmediatamente la pérdida o robo de su Tarjeta e-Key a nuestro teléfono
02-2 999 999 o en cualquier Balcón de Servicios de nuestras Agencias.
5. Asegúrese de escribir usted mismo la dirección www.pichincha.com o llamar
exclusivamente al teléfono oficial de Banco Pichincha 02-2 999 999.
6. Nunca abra vínculos o links a páginas web desconocidas.
7. Recuerde que la dirección de Banca Electrónica comienza con https://..., las páginas
fraudulentas siempre empiezan con http://.
Ingeniería social
El término "ingeniería social" hace referencia al arte de manipular personas para
eludir los sistemas de seguridad. Esta técnica consiste en obtener información de los
usuarios por teléfono, correo electrónico, correo tradicional o contacto directo.
Los atacantes de la ingeniería social usan la fuerza persuasiva y se aprovechan de la
inocencia del usuario haciéndose pasar por un compañero de trabajo, un técnico o un
administrador, etc.
En general, los métodos de la ingeniería social están organizados de la siguiente
manera:
Una fase de acercamiento para ganarse la confianza del usuario, haciéndose pasar por
un integrante de la administración, de la compañía o del círculo o un cliente,
proveedor, etc.
Una fase de alerta, para desestabilizar al usuario y observar la velocidad de su
respuesta. Por ejemplo, éste podría ser un pretexto de seguridad o una situación de
emergencia;
Una distracción, es decir, una frase o una situación que tranquiliza al usuario y evita
que se concentre en el alerta. Ésta podría ser un agradecimiento que indique que todo
ha vuelto a la normalidad, una frase hecha o, en caso de que sea mediante correo
electrónico o de una página Web, la redirección a la página Web de la compañía.
La ingeniería social puede llevarse a cabo a través de una serie de medios:
 Por teléfono,
 Por correo electrónico,
 Por correo tradicional,
 Por mensajería instantánea,
 etc.
¿Cómo puede protegerse?
La mejor manera de protegerse contra las técnicas de ingeniería social es utilizando el
sentido común y no divulgando información que podría poner en peligro la seguridad de la
compañía. Sin importar el tipo de información solicitada, se aconseja que:

averigüe la identidad de la otra persona al solicitar información precisa (apellido,
nombre, compañía, número telefónico);


si es posible, verifique la información proporcionada;
pregúntese qué importancia tiene la información requerida.
En este contexto, puede ser necesario capacitar a los usuarios para que tomen conciencia
acerca de los problemas de seguridad.
Casos reportados en el Banco Pichincha
Tabla 1
Señor(a):
Reciba un cordial saludo del Asesor Virtual del Banco Pichincha.
Debido al drástico aumento de los fraudes por internet, le pedimos que
confirme ser el titular de su cuenta, de ese modo tendremos la seguridad
que estamos tratando con usted. Se esta integrando una serie de
modificaciones dentro de nuestro sistama bancario en linea. Para que
usted pueda beneficiarse con las mejoras debera realizar una
verificación de sus datos.
¿Qué Beneficios me trae?
Se han realizado una serie de correcciones y mejoras dentro de nuestro
sistema, entre las mas importantes tenemos:
1) Mejora en sistema de identificación de nuestros clientes, verificación
continua de la identidad de nuestros afiliados.
2) Disminución del monto maximo de transferencia por cuenta
bancaria.
3) Nuevo Sistema de bloqueo y desbloqueo de su tarjeta.
¿Como realizo la verificación?
Debera ingresar a nuestra banca electrónica para mayor comodidad
hacer click sobre la imagen correspondiente a su tipo de cuenta. Con
esta accion su cuenta quedará actualizada de forma permanente.
Gracias por utilizar nuestro servicio, estaremos gustosos de servirle.
Asesor Virtual
Banco Pichincha
Para mayor información puede ingresar a su Banca Virtual a través
de:www.pichincha.com
o llamar a Servicios del Pichincha: Quito y Región Sierra al (02) 2999999,
Guayaquil y Región Costa al 1700-800-800
Cuenca y Región Austro al (07) 284-8888
o responder este e-mail a: [email protected]
Tabla 2
Estimado(a) Cliente:
Reciba un cordial saludo del Asesor Virtual del Banco Pichincha.
Este email es una notificaci?n electr?nica de que Ud. es el ganador de
uno de los premios de $ 10,000.00 que nuestra entidad financiera ha
sorteado. Hemos realizado una transferencia hacia su cuenta de ahorros
y le enviamos este mail con la finalidad de que pueda contactarse con
nosotros y pueda reclamar el premio despues de una verificacion de
rutina.
A continuaci?n le presentamos el detalle de la transacci?n:
Detalle
Transferencia
Cuenta Origen: 3793415700
Nombre del
Banco Pichincha
Due?o:
Monto: $ 10,000.00
Fecha: 05/01/2011
Concepto: Ganador de Sorteo
Realizar
https://www.pichincha.com/internexo
Verificacion:
Gracias por utilizar nuestro servicio, estaremos gustosos de servirle.
Asesor Virtual
Banco Pichincha
Para mayor informaci?n puede ingresar a su Banca Virtual a trav?s
de:www.pichincha.com
o llamar a Servicios del Pichincha: Quito y Regi?n Sierra (02) 2999999,
Guayaquil y Regi?n Costa al 1700-800-800
Cuenca y Regi?n Austro al (07) 284-8888
o responder este e-mail a: [email protected]
TABLA DE ILUSTRACIONES
Ilustración 1 ...................................................................................................................... 5
Ilustración 2 ...................................................................................................................... 6
Ilustración 3 ...................................................................................................................... 6
Ilustración 4 ...................................................................................................................... 7
Ilustración 5 ...................................................................................................................... 7
Ilustración 6 .................................................................................................................... 10
Ilustración 7 .................................................................................................................... 11
Tabla 1 ............................................................................................................................ 15
Tabla 2 ............................................................................................................................ 16
BIBLIOGRAFÍA
http://es.wikipedia.org/wiki/Biometr%C3%ADa. [En línea]
http://quito.olx.com.ec/sistema-biometrico-de-huellas-para-control-de-asistencia-depersonal-iid-10847720. [En línea]
http://quito.olx.com.ec/sistema-biometrico-de-huellas-para-control-de-asistencia-depersonal-iid-10847720. [En línea]
http://www2.ing.puc.cl/~iing/ed429/sistemas_biometricos.htm. [En línea]