Cómo protegen los bancos sus transacciones

Cuando visita el sitio web de su banco, TLS (Transport Layer Security) cifra cada byte intercambiado entre su navegador y el servidor del banco. Sin TLS, un atacante conectado a la misma red podría leer el saldo de su cuenta, interceptar credenciales o modificar transacciones.

Los bancos exigen TLS 1.2 o superior y normalmente aplican políticas estrictas de conjuntos de cifrado para evitar ataques de degradación.

La banda magnética de las tarjetas antiguas almacena datos estáticos, incluido el número de tarjeta y la fecha de caducidad. Cualquiera que lea la banda puede crear un clon idéntico de la tarjeta.

Los chips EMV generan un código criptográfico único para cada transacción mediante un protocolo de desafío-respuesta. Aunque un atacante capture los datos de la transacción, no podrá reutilizarlos para realizar compras fraudulentas.

Apple Pay y Google Pay utilizan la tokenización: el número real de su tarjeta se sustituye por un token específico del dispositivo que no tiene ningún significado fuera del contexto de esa transacción.

Cuando acerca el dispositivo para pagar, el comercio solo recibe un token de un solo uso. El número real de su tarjeta nunca sale del enclave seguro de su dispositivo ni de la bóveda de la red de tarjetas.

Los bancos utilizan módulos de seguridad de hardware (HSM) para generar, almacenar y gestionar claves criptográficas en hardware resistente a manipulaciones. Las claves privadas nunca existen fuera del HSM en texto plano.

Los HSM cuentan con certificación conforme a los estándares FIPS 140-2 o FIPS 140-3 y realizan miles de operaciones criptográficas por segundo. Son la base fundamental de todos los terminales de pago y sistemas bancarios.

Cuando introduce su PIN en un cajero automático, se cifra inmediatamente en un bloque PIN mediante un formato estándar como ISO 9564. Después, el bloque PIN se cifra con una clave que solo conoce el HSM de su banco.

Su PIN nunca viaja en texto plano por ningún punto de la red. Ni siquiera el banco adquirente ni el procesador de pagos pueden verlo; solo su banco emisor puede verificarlo.

SWIFT (Society for Worldwide Interbank Financial Telecommunication) es la red que utilizan los bancos para los pagos transfronterizos. Los mensajes de SWIFT están cifrados y autenticados para evitar manipulaciones.

A pesar de su seguridad, el robo al Bangladesh Bank de 2016 demostró que unas credenciales de SWIFT comprometidas podían provocar el robo de 81 millones de dólares. La autenticación es tan importante como el cifrado.

3D Secure (como Visa Verified o Mastercard SecureCode) añade un paso de autenticación cuando realiza compras en línea. La red de tarjetas le redirige a su banco para verificar su identidad, normalmente mediante un OTP o datos biométricos.

La comunicación entre el comercio, la red de tarjetas y el banco en 3D Secure utiliza TLS y mensajes firmados para evitar ataques de repetición y falsificación.

Los sistemas modernos de detección de fraude analizan los patrones de las transacciones en tiempo real. Se basan en códigos de autenticación de mensajes (MAC) para garantizar que los datos de la transacción recibidos por el banco no hayan sido manipulados.

Una transacción fraudulenta que modifique el importe o el código del comercio no superaría la verificación del MAC antes de llegar al motor de detección de fraude.

Un banco que almacene su contraseña en texto plano corre el riesgo de exponerla en una filtración de datos. En su lugar, los bancos almacenan un hash criptográfico unidireccional de su contraseña, normalmente generado con bcrypt, scrypt o Argon2.

Cuando inicia sesión, se aplica un hash a la contraseña que introduce y se compara con el hash almacenado. El banco nunca necesita conocer su contraseña real, solo comprobar que los hashes coinciden.

En la cadena de pagos, desde el terminal hasta el adquirente, la red de tarjetas y el emisor, cada enlace utiliza HSM para envolver y desenvolver claves. El terminal utiliza una clave de trabajo derivada de una clave maestra en un HSM.

Esta jerarquía de claves significa que ningún compromiso aislado expone toda la red. Las claves individuales se rotan periódicamente y cualquier compromiso queda limitado a un ámbito reducido.

Las aplicaciones de banca móvil suelen utilizar la fijación de certificados: están programadas para aceptar únicamente certificados o claves públicas específicos de los servidores del banco. Si un atacante de tipo MITM intercepta el tráfico con un certificado diferente, la aplicación rechaza la conexión.

La fijación de certificados proporciona una capa de protección adicional a la validación TLS del sistema, lo que dificulta mucho más que los atacantes intercepten el tráfico de la aplicación bancaria, incluso en redes comprometidas.

La banca se basa en una pila criptográfica por capas: TLS para la seguridad de la red, chips EMV y tokenización para la seguridad de las tarjetas, HSM para la gestión de claves y bloques PIN para la confidencialidad de los PIN.

Las contraseñas se almacenan como hashes, no en texto plano. Cada enlace de la cadena de pagos está autenticado y cifrado mediante protocolos estándar del sector y hardware certificado.