Troyanos bancarios
Malware especializado que superpone un formulario falso a su aplicación, capta las credenciales e inicia después transferencias sin que el titular lo sepa.
El contexto
Por qué el fraude apunta al móvil
Los atacantes apuntan directamente al terminal del cliente. Un registrador de pulsaciones o una superposición en pantalla captura las credenciales en el momento en que se introducen.
La autenticación fuerte, impuesta por la DSP2, supone que el terminal no está comprometido. Cuando un malware lee las notificaciones y los SMS del mismo terminal, el código de validación sigue siendo válido para el servidor. La normativa exige, por tanto, medidas contra el riesgo de un dispositivo comprometido. La DSP2 está además en proceso de sustitución.
Desde el 17 de enero de 2025, DORA obliga a las entidades financieras a gestionar los incidentes relacionados con las TIC, con notificación de los incidentes graves, y a aplicar un programa de pruebas de resiliencia que puede incluir revisiones del código fuente.
Lo que está en juego va más allá de la pérdida financiera directa: un fraude mediatizado en la aplicación mina la confianza de los clientes en el canal móvil.
La solución
La respuesta de Pradeo para las finanzas
Para proteger la propia aplicación bancaria, Pradeo propone la In-App Protection. Combina dos soluciones complementarias: el Application Shielding endurece el código antes de publicarlo, para que sea difícil de analizar, modificar y clonar; el Runtime Application Self Protection (RASP), integrado en la aplicación, vigila de forma continua su entorno de ejecución: aplicaciones maliciosas, redes trampa, sistemas alterados.
Ante una amenaza, la aplicación activa las respuestas configuradas, por ejemplo bloquear una transacción de riesgo, y los eventos de seguridad se registran para ajustar la estrategia.