Captura de credenciales
Registradores de pulsaciones, capturas de pantalla automáticas y ventanas falsas superpuestas interceptan usuarios y contraseñas en el momento de la introducción.
El contexto
Por qué el fraude se desplaza al móvil
El móvil concentra hoy una gran parte de los recorridos transaccionales, y los defraudadores adaptan a él sus técnicas.
El malware bancario moderno combina varios vectores: superposición de una pantalla de acceso falsa, lectura de las notificaciones para captar los códigos de validación y acceso remoto para iniciar transferencias sin que el titular lo sepa.
El rooteo o el jailbreak del terminal, a veces realizado por el propio usuario, desactiva la compartimentación del sistema y hace que todos estos ataques resulten mucho más sencillos de ejecutar.
La DSP2 exige a los proveedores de servicios de pago medidas para limitar el riesgo de un terminal comprometido, entre ellas mecanismos que verifiquen que el software o el dispositivo no han sido alterados. Está siendo sustituida por la DSP3 y un reglamento europeo sobre servicios de pago. PCI MPoC y EMV mobile fijan exigencias comparables para las aplicaciones de pago.
La solución
Cómo Pradeo protege sus aplicaciones
Pradeo combina dos protecciones. El Shielding endurece el binario de la aplicación antes de su publicación: el código se vuelve difícil de analizar, modificar y clonar. El RASP, integrado en la aplicación como SDK (Android) o framework (iOS), vigila de forma continua el entorno de ejecución: aplicaciones maliciosas, redes trampa, sistemas alterados.
Ante una amenaza, la aplicación activa las respuestas configuradas. Los eventos de seguridad se reportan desde los terminales y permiten ajustar la estrategia.