Cuidado con las ofertas en Black Friday: así es el 'e-skimming', el peligroso método para robarte la tarjeta de crédito

La temporada de compras navideñas ya está presente en España, y lo hace con un escenario en lo que a ciberseguridad refiere desolador. Estas son las fechas más queridas por los hackers al aprovechar estas campañas de ofertas para hacer grandes ataques contra los usuarios.

NordVPN, una de las firmas más conocidas dentro del sector tecnológico específico referente a la ciberseguridad, ha advertido de una técnica de hacking que va ganando enteros con los meses: el e-skimming.

Este es un código malicioso de JavaScript que, según dicen desde la empresa, se inyecta en las tiendas online legítimas para robar datos y credenciales de tarjetas de crédito, haciendo que el simple acto de comprar en Internet sea un peligro.

Cuidado con el e-skimming

Primero, debemos entender cómo funcionan las compras online. En ellas se hace uso de una pasarela de pago, que carga una mezcla de códigos externos, incluyendo rastreadores de marketing, herramientas de pruebas A/B o bibliotecas de UX, entre otros.

Obviamente este código proviene de proveedores de confianza, totalmente fiables. NordVPN denuncia que estos proveedores no suelen tener seguimiento, lo que facilita la entrada del e-skimming.

Hacker Max Bender vía Unsplash

Este es un código peligroso que se ejecuta en una página web como si fuera un script normal. Cuando la web acaba de cargar, este se ejecuta de forma local en el navegador del usuario, comprometiéndolo.

Tan solo es necesario que un único proveedor sea infectado o que un plugin esté desactualizado para afectar a todas las tiendas que los utilizan. "Una vez es inyectado, el código se mezcla con scripts legítimos", dice NordVPN.

[El peligro oculto del robot humanoide doméstico de Figure: "Tiene tanta fuerza que podría destrozar un cráneo"]

Esta mezcla con scripts causa que el e-skimming pueda activarse en ciertas regiones y horarios específicos para proceder al robo de datos. Un robo que, de hecho, se puede producir sin que el usuario se entere, antes de que se produzca la compra como tal.

Cuando los hackers se hacen con nuestros datos, los venden a mercados de la Dark Web, a precios tan irrisorios como 9 dólares. Después de comprar datos de tarjetas de crédito, por ejemplo, los atacantes actúan rápido antes de que sean bloqueadas.

Black Friday un-perfekt

Cuando acceden a estas tarjetas, lavan dinero con tarjetas regalo, vacían cuentas bancarias de forma completa y hacen compras rápidas a pocas horas de que se produzca el robo, en una carrera contrarreloj contra el usuario.

Marijus Briedis, CTO de NordVPN, destaca que el e-skimming se ejecuta de forma pasiva en el navegador, sin que nos demos cuenta llevándose por el camino números de tarjetas de crédito, códigos CVV, nombres e incluso correos electrónicos, entre otros datos.

[La IA ya puede reemplazar a casi el 12% de los trabajadores de EEUU, avisa un estudio sobre el impacto de la tecnología]

Briedis es serio al respecto. Afirma que podemos el usuario "puede comprar en una página legítima y que sus datos sean robados, sin pop-ups, sin advertencias; solo un robo en silencio", haciendo estragos serios entre las víctimas.

Logra esto, dice Briedis, escondiéndose en los scripts que las tiendas online necesitan para operar. "Muchos comercios no tienen visibilidad o control sobre estos scripts que se ejecutan en el navegador del usuario", apostilla el CTO.

Hacker usando un ordenador.

Para protegernos de esta posibilidad, Briedis recomienda usar tarjetas virtuales o tarjetas efímeras, de un solo uso que no exponga datos reales de tarjetas ampliamente usadas, ni datos de pagos tokenizados.

También recomienda nunca guardar información de tarjetas bancarias en sitios web, incluso si la web es de confianza, además de desactivar el relleno automático de los espacios para pagar.

[Google descubre una grave vulnerabilidad que iba a usarse por hackers en millones de dispositivos]

Por supuesto, Briedis no cesa en recomendar la instalación de herramientas de seguridad que bloqueen scripts y rastreadores peligrosos, así como estar atento a extensiones inusuales o pop-ups inesperados a la hora de confirmar la compra.