• Inicio
• La Libreta
• Bancos
• Cajas
• Laboral
• Productos
• Tecnología
• Tribunas
• Entrevistas
• Resultados
• Informes
• Más
  • Panorama
  • Revista
  • Premios b15
  • La crisis
  • Cultura
  • Estilo
  • Vídeos
  • Crónica resumen 15 años
  • Cronología resumen 15 años
  • Quien

ENTREVISTA

Rafael Navajo, director de Desarrollo de Negocio de GMV

“Más del 90% de los ataques vienen desde dentro”

Checker, de la compañía GMV, es el producto de seguridad especialmente diseñado para sistemas de autoservicio financiero que ya cuenta con una cuota de mercado en España del 30% y en Latinoamérica del 70%. Checker nace de la colaboración entre los bancos españoles, los fabricantes de software multivendor para cajeros y del conocimiento de seguridad de GMV. Rafael Navajo nos explicó que ahí está el gran diferenciador frente a otros productos del mercado y que a nivel funcional están a años luz de lo que ellos llevan recorrido.

 ELISA CATALINA ALONSO

- ¿A qué le llaman fraude lógico en los cajeros?

Para el lector poco familiarizado con el fraude de cajeros deberíamos diferenciar el fraude físico del fraude lógico. El primero de ellos está más relacionado con el ataque físico perpetrado contra un cajero automático para obtener un activo que ya puede ser dinero o información. O pueden volar un cajero con dinamita como en Latinoamérica y acceder a su caja fuerte o a través del skimming, obtener información de la tarjeta que pertenece al usuario que accede al cajero. Los bancos día a día están introduciendo contramedidas para poder combatir estos mecanismos de fraude como introducir las tarjetas chip que impiden duplicar la banda pero los atacantes están desplazando su foco de ataque. En vez de atacar físicamente a un cajero se van al fraude lógico. Este consiste en manipular o aprovecharse de las vulnerabilidades que ofrece un cajero desde el punto de vista software para poder explotarlas.

- ¿Existe un perfil determinado de estos atacantes dependiendo de la zona geográfica a la que estos se dirijan?

Realmente no existe un perfil claro y definido por regiones ni por zonas. Sin embargo, una cosa que tenemos que tener clara de este tipo de ataques es que el noventa y mucho por ciento de los casos vienen de dentro. Son gente que conoce muy bien la infraestructura del banco, conoce muy bien las aplicaciones del banco, conoce cómo funciona y conoce las debilidades.

- ¿Son empleados de la entidad?

Pueden ser empleados, operadores, personal de outsourcing y puede ser gente que hace la reposición de efectivo. Puede ser cualquiera que realmente tenga acceso a la infraestructura del terminal.

- ¿Y “checker” bloquea todo esto?

“checker” se va a encargar básicamente de llevar a cabo un control del entorno de ejecución del cajero. Sobre todo aquello que intenta ejecutarse en el cajero se tiene un control para saber si está autorizado o no. El concepto básico del producto se apoya en la idea de whitelisting. Mientras su paradigma blacklisting te protege frente a ataques conocidos el que nosotros utilizamos es todo lo contrario. Es una lista blanca muy pequeña donde indicas qué es lo que se puede ejecutar. Como un entorno de cajeros es relativamente estático —aunque se hagan actualizaciones— permanece con el mismo software durante algún tiempo es muy fácil desde el punto de vista conceptual poder identificar cuáles son aquellos procesos, librerías, directorios, dispositivos externos USB, teclados, comunicaciones extremo a extremos, entrantes y salientes que el cajero puede ejecutar. Yo las identifico con tecnología de self-learning (auto apredizaje), que es una diferencia frente a otras soluciones que puede haber en el mercado y una vez identificada esa lista blanca eso lo que genera es una política que se traslada al cajero. Le dices que únicamente esos elementos son los que pueda ejecutar, cualquier otra cosa que te venga córtalo, no lo quieres, siempre notificando al responsable de seguridad para que vea que hay alguna acción que no es correcta. Entonces, realmente el paradigma es completamente nuevo y la aproximación frente a ataques nuevos necesitan realmente soluciones nuevas.

NOTA: La entrevista completa se puede consultar en el número 364 de la edición en papel de Banca15, correspondiente a la segunda quincena de diciembre de 2011.