Los ladrones pueden obtener detalles de tarjetas visa en 6 segundos preguntando a muchos sitios web a la vez [ENG]

El CVV, y en algunos paises el código postal, es un mecanismo extra de seguridad de las tarjetas de crédito. Como se supone que los comercios no pueden almacenarlo es imposible que un hack en una web que guarde los datos de tarjetas de sus clientes permita obtener el CVV y por tanto usar la tarjeta en otros sitios. Pero una técnica consistente en intentar usar la tarjeta una única vez en un sitio web distinto permite, probando todos los valores posibles, obtener el CVV correcto. El vídeo muestra un programa que obtiene el CVV en segundos.

[#3 Desactivado]

El sistema de seguridad de las tarjetas de crédito es una basura. Ya solo tener un 3/10000 de acertar el pin de una tarjeta de crédito al azar es una BARBARIDAD. se mire por donde se mire.

Igualmente, tener un 1/1000 de acertar el ccv es más bárbaro todavía.

Luego para abrir una cuenta de correo pa enviar el spam necesitas una clave de 12 caracteres incluyendo números, letras mayúsculas y minúsculas y signos de puntuación.

Absurdo.

Especialmente cuando nadie intenta asaltar una cuenta de esta clase por fuerza bruta (que es pa lo único que sirve esa seguridad) sino que los hackeos de estas cuentas se dan casi siempre por phising o fallos de seguridad de la empresa.

Protegemos las moscas con cañones y los cañones con moscas. Absurdo.

[#19 Desactivado]

#3 pues yo tengo que recibir un mensaje en mi movil con una coordenada que tengo que mirar en una tarjeta.
Pero bueno teniendo en cuenta que la gente tiene miedo hasta de dar el número de cuenta

[#43 totope]

#3 De ahí que sea tan fácil que el seguro de visa te devuelva el dinero cuando te hacen algún cargo fraudulento, ellos son conscientes del fallo.

[#48 earthboy]

#3 La "seguridad" de las tarjetas de créito tiene más que ver con las hordas de abogados de VISA y Master Card que con el pin o el ccv.
Por eso cuando un joven padre "roba" 30 € de una tarjeta ajena para dar de comer a su familia de ciegos huérfanos funciona casi de la misma forma que cuando lo hace un grupo de hackers chinos.
Si te pillan van a ir a por ti con todo.

Todo esto no quita que la seguridad en las tarjetas sea una basura.

[#74 ZombiekE]

#48 No sé si cuando escribiste el comentario tenías en mente el caso de una madre que usó una tarjeta para comprar pañales y más cosas. Según un comentario en esta web (La madre que usó una tarjeta perdida para comprar pañales, a prisión en 15 días/c107#c-107 la pena que le cayó fue por falsificar un documento mercantil y además hacerlo dos veces. Ahí es donde está probablemente el problema más que en los 30 € que mencionas (en aquel caso fue bastante más de esos 30 € y creo que eso también influye). Ahora bien, dicho esto, a aquella mujer le cayó año y pico de prisión a pesar de ser una cantidad más grande. Si no tenía antecedentes probablemente no entró en prisión. Creo que el sistema es suficientemente garantista a la vez que tampoco permite que alguien pueda hacer esto de forma continua.

[#51 Desactivado]

#3 ¿Por qué hay un 3/10000 de acertar el PIN? ¿No debería ser de 1/10000 o es que hay algo que desconozco?

[#52 silencer]

#51 supongo q se refiere a q hay 3 intentos por tarjeta

[#54 Frippertronic]

#51 Supongo que será por los 3 intentos antes de bloquearse. Pero por esa regla de 3, el CCV debería de ser 1000/1000 ¿no? #3

[#2 Mister_Lala]

Como explica el artículo, el problema es que VISA no controla el número de intentos erróneos consecutivos que se hacen, para bloquear la tarjeta tras N intentos. Imagino que ya lo habrán cambiado. Menudos gañanes. Hasta en mi empresa que lo que tenemos es un triste CRM controlamos esto.

[#6 Desactivado]

#2 Complicado, porque entonces cualquiera te podría bloquear la tarjeta a mala leche...

#5 Normalmente se envían tarjetas que hay que activar luego con una tarjeta de coordenadas, no son tarjetas que puedas sacar del sobre y usar.

[#7 Mister_Lala]

#6 Cualquiera no. Necesita saber tu número de tarjeta, que no es un dato público.

[#8 Desactivado]

#7 Cierto, pero que se puede conseguir con relativa facilidad: un recibo de cajero, gasolinera, etc.

[#10 Mister_Lala]

#8 Creo recordar que en recibo del cajero te pone el número de tarjeta con asteriscos, salvo los últimos dígitos.

[#11 Desactivado]

#10 Tienes razón, cambiaron eso hace tiempo.

[#68 RivaSilvercrown]

#11 según PCI, sólo se puede almacenar, como máximo, los 6 primeros dígitos y los 4 últimos. No obstante, hay que tener en cuenta que hay gente muy inconsciente que PUBLICA fotos de sus tarjetas en internet, compañias que aunque saquen los recibos debidamente "censurados" almacenan todo el número, etc.

Es decir, no es trivial conseguirlo, pero tampoco imposible.

[#72 Desactivado]

#11 Añadiría una mezcla de descuido+malicia. En muchos sitios aún es habitual que al pagar con tarjeta se la lleven, o simplemente te la quiten de tu vista un momento (detrás del mostrador) para ponerla en el terminal de pago. Aunque claro, si es así, directamente puedes grabar la tarjeta y el código de verificación.

En otro meneo sobre estafas con tarjeta, leía sobre gente que lo borraba de la tarjeta y se lo aprendía, o que le pegaba algo para taparlo y que no se viera a simple vista.

[#17 Desactivado]

#7 No si no quiero putear a nadie en concreto sino poner un número de tarjeta al azar y putear al que esté detrás sea quien sea

[#18 Mister_Lala]

#17 Qué plan tan malévolo. Seguro que eras de los que devolvía las cintas del videoclub sin reboninar.

[#73 Desactivado]

#18 Y los bluray.

[#46 amchacon]

#17 suponiendo que fuese un número válido, tendrías que adivinar la fecha de caducidad

[#25 Radix2]

#7 Si pillas tu tarjeta y le sumas 1 a los 15 primeros dígitos probablemente exista (el dígito 16 es un dígito de control y el algoritmo es publico)

[#28 mickeymouse]

#25 pero si los 6 primeros designan el banco...

[#60 Radix2]

#28 Sumarle uno a los 15 primeros digitos no va a cambiar los 6 primeros, solo el ultimo o los dos ultimos o si es 99 los tres ultimos....

[#82 mickeymouse]

#60 entendido,
coges el numero completo de 15 digitos y sumas uno a todo ese numero, cambiandose por lo general solo el penultimo numero de la tarjeta,
osea 4556 7647 8968 0205 pasa a 4556 7647 8968 0215

pense que decias que se suma uno a cada digito de los primeros 15.

[#50 avalancha971]

#25 Hasta hay webs que ofrecen generadores de numeros de tarjeta validos.

[#62 Radix2]

#50 Esos números de tarjeta validos son numeros con los 6 primeros digitos de alguna entidad y el digito de control 16 correcto, de modo que una validación formal del numero de la tarjeta sea correcto, pero no implica que la tarjeta exista ni caducidad correcta ni nada.

[#9 Desactivado]

#5 Me parece recordar que se activaba metiéndola en un cajero y haciendo cualquier operación, como por ejemplo consultando el saldo una vez puesta la contraseña de la tarjeta caducada. Yo creo que si alguien la roba y por casualidad acierta la contraseña podría quitar dinero una vez que la haya activado.

Editado. Me equivoqué de número. #6

[#71 Desactivado]

#6 Al margen las respuestas respecto a que no es un número tan fácil de obtener, me parece que olvidamos que ninguna medida es perfecta, pero a la vez de que hay riesgos que simplemente se asumen porque son marginales. Por ejemplo, es muy fácil joder una cerradura cualquiera metiendo cualquier cosa en ella. Sin embargo no es un problema generalmente, aunque alguien te puede acosar así. Sin embargo, nadie se quejaría de usar cerradura por eso.

[#20 V.V.V.]

#2 Lo que tampoco entiendo yo, es por qué el nr de la tarjeta es visible, y por qué no se envía a tu domicilio como el código de la tarjeta, en un sobre aparte sin señas de ningún tipo y con un fondo opaco. Creo que algo tan simple como eso evitaría algunos de los robos (que no todos).

Los números de la tarjeta se pueden conseguir con relativa facilidad haciendo una foto a la tarjeta desde un móvil.

[#39 Mister_Lala]

#20 No se han preocupado por mejorar la seguridad porque sigue siendo muy rentable pese a los robos. Si no avisas antes de 24 horas, el robo te lo comes tú, y si avisas, en 24 horas tienen tiempo de reacción para cancelar muchas operaciones (pedidos online, pedidos que no se hayan enviado, etc.). Además, a las tiendas les exigen que pidan el DNI, y/o que metan pin en el datáfono, y si no lo han comprobado es el comercio quien carga con el muerto. Al final, los robos que se tragan VISA, Mastercard y similares, son muy pocos, y que son una minucia respecto a las comisiones que les reportan las tarjetas.

[#53 gadish]

#39 Aunque pasen 24 horas, si presentas una denuncia te devuelven el dinero. Palabrita del niño jesús.

[#56 Mister_Lala]

#53 Sí, perdón, son 48 horas.

[#63 gadish]

#56 A mi me robaron por internet. Me percaté varios días después. Tras la oportuna denuncia, me devolvieron el dinero.

[#76 Mister_Lala]

#63 Por lo visto depende del banco. http://www.elconfidencial.com/mercados/finanzas-personales/2013-10-19/que-bancos-le-dan-cobertura-total-ante-el-robo-o-la-perdida-de-su-tarjeta-de-credito_43288/
ING también ofrece una cobertura total por robo o pérdida, siempre [...] que el cliente notifique los hechos en menos de 24 horas y presente la denuncia correspondiente. [...] En el caso de Citi, los clientes no asumen responsabilidad alguna del uso fraudulento de la tarjeta pero sólo desde el momento en que lo notifiquen telefónicamente a la entidad. Los 150 primeros euros que se hayan sustraído antes de producirse la notificación del robo correrán a cargo del cliente.

[#80 V.V.V.]

#39 Con una cámara de seguridad un empleado de una tienda puede hacer una foto de la tarjeta de crédito, o incluso con un móvil que tenga una cámara de fotos buena.
El número de la tarjeta no se utiliza fuera de las transacciones en casa, sigo sin entender por qué está visible.
En cuanto a que los robos sean pocos, permíteme dudarlo. Solo en Dinamarca (un país de 5,5 millones de habitantes) hay los datos de más de 300 000 tarjetas circulando por Internet, y se pueden comprar.

[#81 Mister_Lala]

#80 Si los robos fuesen realmente importantes, ya hubiesen puesto medidas de seguridad más duras para evitarlos o minimizarlos. El volumen de operaciones es tan grande, que pueden permitirse el lujo de dedicar un pequeño porcentaje de los beneficios a pagar operaciones fraudulentas. Y aún así, han mejorado mucho los sistemas de unos años para acá. Por ejemplo las tarjetas que necesitan de una segunda tarjeta con coordenadas para aprobar una operación, el envío de sms con un código de verificación para compras superiores a 50 euros, las tarjetas de débito virtuales, etc. Y el sistema que realmente ha revolucionado las compras virtuales es paypal, donde el dinero llega al comercio sólo cuando aseguras que has recibido el servicio/producto.

Yo llevo usando las tarjetas en cajeros, tiendas e internet veintitantos años, y sólamente una vez tuve un problema cuando compré un billete de avión, y Mastercard desautorizó la operación porque otros clientes habían tenido problemas con esa agencia de viajes. Yo ya había comprado allí en tres ocasiones sin ningún problema.

[#57 juanac]

#2 No es tan simple, si bloqueas la tarjeta, cualquier gañán podría ir bloqueando tarjetas ajenas a voluntad.

[#66 dadelmo]

#2 Precisamente tu empresa con un triste CRM es mucho más fácil controlar esto que con un ecosistema multiplataforma, multicanal, distribuido y heterogéneo como debe ser el de Visa

[#14 Desactivado]

#13 igual depende del banco... Quizás el mío lo hace por vender na más.

Ya te digo, mi llamada fue:

-quiero activar la tarjeta.
-deme el DNI.
-tome.
-activada. Ya que estamos: no querrá contratar un seguro? Y un plan de pensiones? Y un préstamo en condiciones superventajosas? Y un viaje a Tailandia? Y comprar una lavadora? Un perro tal vez? Le enviamos el periódico a casa? Un análisisde sangre?

Así media hora.

[#15 Desactivado]

#14 La tarjeta que te digo es de La Caixa.

[#16 Desactivado]

#15 la mía liberbank

[#23 LaInsistencia]

#16 Liberbank, ese banco que cuando metes la tarjeta al cajero e introduces el pin, te proponen a bocajarro un crédito de 15.000 lebreles because of yes. Que grandes...

[#24 Desactivado]

#23 ese

[#26 Radix2]

Hace años trabajé en la informática de medios de pago de un banco y me había sorprendido que había control de intentos de PIN pero no de CVV. Lo tenia anotado por si algún día me pasaba al lado oscuro. Estos cabrones me han jodido la jubilación

Dicho lo cual, si un don nadie como yo sabía que, al menos con algunas tarjetas, este riesgo existe, me sorprendería que no se esté explotando desde hace años.

[#1 aunotrovago]

Tiene lógica, es una probabilidad tan alta como 1 entre 999

[#34 Stamina]

#1 Como 0 entre 999

[#40 Desactivado]

#1 es una probabilidad exacta de 1 entre 1000.

[#49 Desactivado]

#1 #matematicosdelaeso

[#33 Eversmann]

El ccv es una validación para comprobar que el usuario está presente. Hay más validaciones, como la ip, la dirección de facturación, de envío, el nombre en la tarjeta, que las pasarelas de pago tienen en cuenta. El ccv no es ni siquiera obligatorio!
Otra validación más es 3d secure, donde la web te redirige a una web del banco y te pregunta por más datos.

[#45 joffer]

Hay muchas pasarelas de pago que sólo admiten tarjetas securizadas. Es un "fastidio" para los dueños de tiendas online que las utilizan ya que se dan muchos errores de pago.

A parte de introducir los datos de la tarjeta junto con el CVV, te solicitan una claves enviadas por SMS

[#58 donnyethmo]

#45 Nada es Seguro: https://www.schneier.com/blog/archives/2012/02/the_failure_of_2.html

[#61 joffer]

#58 Nadie dice lo contrario.

[#41 josemaX]

Si el CVV no se puede guardar... Como hacen por ejemplo Amazon y PayPal para cobrar guardando los datos de la tarjeta? Obviamente guardan TODOS los datos que pide el centro de cobros.

[#47 Pitt]

#41 Eso venía a decir yo, Amazon si lo guarda y lo he visto en más sitios (Aliexpress, por ejemplo).

[#78 Desactivado]

#47 #41 en su dia tuve esa duda, por lo visto es porque las entidades bancarias confian en esos comercios y no les piden el cvv. O algo asi escuche en algun lugar...
Y que no las guardan.

[#79 Pitt]

#78 #41 Tienes razón, cuando le das a "Añadir método de pago" en Amazon, no te pide el CVV de la tarjeta. Sin embargo a mí me suena de haberlo metido en algún momento...

[#5 Desactivado]

Yo me quedé todo mosqueado cuando el banco me envió una tarjeta de crédito por correo normal, sin certificar ni nada. Se caducó la anterior y lo que hicieron fue enviarme otra dentro de un sobre. Si el que entrega la carta le da por quedársela y probar una contraseña a lo mejor acierta.

[#12 Desactivado]

#5 eso no se puede.

Para activarla hay que llamar por teléfono y dar datos personales, como el DNI y alguna cosa más. En realidad obligan a la llamada para intentar venderte de todo.

Pero el caso es q hasta q no llamas y te identificas no la activan.

[#13 Desactivado]

#12 Pues yo recuerdo que la activé metiéndola en un cajero, echando la contraseña y consultando el saldo, ni llamadas ni nada. Lugo fui al banco a decirles que no me volvieran a enviar ninguna correspondencia a mi casa, ni con tarjetas ni sin tarjetas.

[#22 Desactivado]

#12 #13 Lo confirmo. Se activa usándola por primera vez.

[#37 Eusk]

#13 igual que el banco donde soy cliente. Lo de las cartas ordinarias igualito también.

[#42 joffer]

#13 Se suele activar por internet también.

[#64 Desactivado]

Poder podrían entrar, otra cosa es que puedan comprar, en la
Mia tengo activado que una vez compras algo tienes que poner la firma digital de XXXXXXXXX 9 cifras y cuando ya has puesto eso entonces me mandan un mensaje con un código que caduca en 5 min, y después pones ese código y si no tururu,

[#65 Desactivado]

Por cierto el sistema de STEAMWARD que en la aplicación va cambiando el código cada pocos segundos me parece una pasada no creéis?

[#69 Desactivado]

La mejor seguridad es tener tarjetas virtuales a las que vas metiendo dinero según pagas. Los bancos tienen la manía de asociar la tarjeta a la cuenta principal donde tienes todos tus ahorros. Desgraciadamente hay pocos bancos que ofrecen ese servicio y menos que sea gratuito.

[#27 Desactivado]

De mi no

[#75 Desactivado]

Decis que el CCV no se puede guardar. El otro dia andaba leyendo el protocolo PCI-DDS que dicta la seguridad del CCV y SI se puede guardar, en determinadas condiciones...hay gente que ya lo esta guardando.

[#31 Desactivado]

Luego hay sitios como pronokal que para comprar sus productos te piden que envíes la tarjeta con todos sus códigos por email sin cifrar ni nada

[#36 garnok]

#31 te intentan estafar con dietas milagro, ¿que esperas de esa gente?

[#77 Desactivado]

#36 deberia caeres una denuncia del copon por tener un sistema de cobro tan desprotegido es imposible que eso pase la ley de proteccion de datos..

[#83 Desactivado]

edit

[#70 popop]

Esto ya existe desde hace años, de cuando los tiempos del Yahoo Pool, la compraventa de IDs rare y el trapicheo de generadores y tarjetas de crédito robadas.

[#4 ravalak]

si aciertan la mía le doy mil euros.

[#21 V.V.V.]

#4 No hace falta que se los des, ya se los cobrarán ellos.

[#30 Desactivado]

#4 123? Donde me.mandas los 1000 e?

[#32 ravalak]

#30 imposible. no tengo visa.

[#35 Desactivado]

#32 entonces el numero de tu visa es null

[#38 Eusk]

Soy comprador habitual en Internet. Nunca me ha pasado nada raro hasta ayer. Me llegó un SMS de PayPal con nuevo código de seguridad, llamé y me confirmaron que habían intentado realizar un pago con mi cuenta hacía unos minutos por valor de 3,55 euros . Me dijeron que estaba siendo habitual pero que tranquilo que el sistema era seguro, que había demostrado su seguridad y me recomendaban cambiar claves. No me dejó tranquilo, voy a intentar poner un poco de orden y más control en las tarjetas y PayPal.

[#44 totope]

Hoy en día, conseguir tarjetas, claves, cvv, cuentas etc, es muy fácil y no requiere que sepas mucho, solo tienes que tirar del ansia de comprar, lo se porque lo he visto funcionar y es triste que la gente no se preocupe lo mas mínimo sobre la fiabilidad de la página en la que compran.

[#67 alambique]

Ya, si algo de por aquí cree que ha inventado la pólvora...

[#55 paco_camps_2011]

Es muy fácil adivinar el pin de una tarjeta, ¿no os lo creéis? Pensad en vuestro pin, sumarle 59, multiplicar el resultado por 100 y dividirlo entre 5. ¿Qué número os ha salido?

[#59 painful]

#55 Un fail de cinco cifras.

[#29 BarbaNegra]

Lo mismo se podría hacer de hecho con más de un portal web de banca que conozco...