NEW CONTROL Plus Technology 22 Feb 2012 Web Fraud

Web Fraud
Prevention of Fraud

José Ponce
Jose.ponce@newcontrol.com.pe

Agenda
Introducción
Amenazas en el entorno WEB
Recomendaciones
Bibliografía

Agenda
Introducción
Amenazas en el entorno WEBRecomendaciones
Bibliografía

Frecuencia de los Ciberataques

Benchmark Study of
U.S. Companies
August 2011

Proyección de Ciberataques

% Costo Anual por tipo de ataque

Benchmark Study of
U.S.Companies
August 2011
50 organizations
$5.9 million promedio
Year/organizations

Ciberataques en la Región

Ciberdelitos Bancarios en el Perú
Según
DIVINDAT
se reportaron
420 denuncias
en el 2010 y
800denuncias
en el 2011

Agenda
Introducción
Amenazas en el entorno WEB
Recomendaciones
Bibliografía

Transacciones Bancarias
KEYs ?
Proveedores
PANs ?
Cuentas ?
Claves acceso?
Marcas de TarjetasCanales transaccionales

Procesadores

Cliente

Comercios
Agencias

WEB
Bancos

Principales Amenazas en Internet
Ingeniería Social
Débil Autenticación

Suplantación del Cliente
(MITM / MITB)
RolAdquirente

Cliente

Comercio

INTERNET

Compromiso de Datos
Tipo de Comercio Riesgoso

Débil Autenticación
Compromiso de Datos

Rol Emisor

Man-in-the-middle (MITM)
Intercepta las comunicaciones entre dossistemas. Por ejemplo, en una transacción
HTTP el objetivo es la conexión TCP entre el cliente y servidor. El atacante divide la
conexión TCP original en 2 nuevas conexiones, una entre el cliente y elatacante y el
otro entre el atacante y el servidor. Una vez que la conexión TCP es interceptado, el
atacante actúa como proxy pudiendo leer, insertar y modificar los datos en
la comunicacióninterceptada.

Sniffing

Spoofing

Negación de Servicio

Métodos de
Autenticación
vulnerados
con MITM

Man-in-the-browser (MITB)
Tiene mismo enfoque que el Man-in-the-middle, pero en este caso se utilizaun
troyano para interceptar y manipular las llamadas entre el ejecutable de la aplicación
(por ejemplo: el navegador o browser) y sus librerías.

Objetivo del (MITB)
Causar el fraude financiero...