Ethical hackers analizan la querella presentada por Walmart Chile
Compraron $79.195.366 en la página web del supermercado, usando una técnica conocida como carding.
Detrás de la pantalla, el mecanismo parecía perfecto. Pero cometieron un error: usaron solo 94 dispositivos para cometer el fraude. Según una querella admitida por el Segundo Juzgado de Garantía de Santiago, un grupo de cyberdelincuentes se organizó para comprar $79.195.366 en la página web del supermercado Líder, utilizando tarjetas bancarias de terceras personas, sin contar con su autorización.
Alcanzaron a realizar 211 compras, entre ellas, variados whiskys, relojes inteligentes, tablets, perfumes y hasta varias colecciones ultra premium de cartas Pokémon: la Mega Charizard X, y la Perfect Order. Pero cuando intentaron 639 compras más, que juntas sumaban otros $212.023.416, el sistema antifraude del supermercado detectó las operaciones y bloqueó las transacciones.
Análisis al fraude
Anthony de la Paz, consultor senior de Inside Security, y Patricio Moraga, consultor senior de cyberseguridad en Cybertrust Latam, son ethical hackers. Ambos analizaron la querella presentada por Walmart Chile y explican cómo los delincuentes lograron concretar parte de su estafa virtual, entre mayo y junio de este año.
«Para intentar pasar inadvertidos, crearon 98 cuentas con diferentes correos electrónicos y nombres que no correspondían a los verdaderos titulares de las tarjetas. Pero hubo un detalle que no consideraron: aunque las identidades eran distintas, muchas de las operaciones que hicieron compartían rastros tecnológicos que permitían relacionarlas», describe de la Paz.
Programa antifraude de Líder
Los cyberdelincuentes alcanzaron a realizar 211 compras hasta que finalmente Signifyd -el sistema antifraude del supermercado- detectó la actividad sospechosa y bloqueó las transacciones que compartían similitudes.
«Signifyd es una plataforma de prevención antifraude que se utiliza en comercio electrónico. Su función es analizar las transacciones e identificar comportamientos sospechosos, considerando factores como los dispositivos utilizados, la frecuencia de las compras y las coincidencias entre distintas cuentas», explica Moraga.
El detalle
De la Paz menciona que uno de los elementos relevantes del análisis realizado por el sistema Signifyd es que detectó que todas las compras, incluso las fallidas, se realizaron solo desde 94 dispositivos, computadores o celulares.
«El sistema detectó que había 94 Device ID. El Device ID es un identificador que permite reconocer o relacionar dispositivos a partir de determinadas características técnicas. En términos simples, funciona como una especie de huella digital. Una persona puede cambiar de correo, nombre o cuenta, pero eso no significa que desaparezcan todos los rastros que deja al conectarse desde un mismo equipo», enfatiza.
Carding
Moraga explica que el fraude utilizado por los cyberdelincuentes se conoce como carding, práctica delictiva que consiste en usar datos de tarjetas bancarias obtenidos de manera ilícita para realizar compras o transacciones no autorizadas. Los datos, agrega, pueden provenir de filtraciones de información, campañas de phishing, programas maliciosos o mercados clandestinos donde se comercializan credenciales financieras comprometidas.
«Según los antecedentes de la querella, los involucrados llegaron a probar hasta ocho tarjetas diferentes durante una misma operación, aparentemente buscando alguna que fuera autorizada por el banco. Ese comportamiento es una señal de alerta importante para el sistema antifraude, ya que no corresponde al patrón habitual de compra de un consumidor legítimo y puede indicar intentos sistemáticos de utilizar medios de pago comprometidos», finaliza.
Walmart Chile, a través de un comunicado, informó que gracias a los sistemas de monitoreo, prevención y seguridad, detectó operaciones fraudulentas en Lider.cl y logró bloquear cientos de transacciones antes de que se concretaran. «Ante estos hechos presentamos una querella criminal y estamos colaborando con las autoridades para contribuir al esclarecimiento de lo ocurrido y la identificación de los responsables».
La querellas es por los delitos de estafa y falsificación informática.
Producto del fraude, los titulares reales de las tarjetas bancarias utilizadas fraudulentamente desconocieron los cargos ante sus bancos. Como consecuencia, Walmart Chile recibió 211 contracargos y el dinero, según la querella, fue devuelto a cada titular a través de la red de Transbank.
De Pokémon a Apple
Según la querella, las 211 compras realizadas fueron despachadas curiosamente a centros de acopio, la mayor parte en la región del Biobío.?Los cyberdelincuentes adquirieron una colección de cartas Pokémon Mega Charizard por $199.900 y otras dos de Perfect Order por $489.930. También compraron un rack de 60 pulgadas por $969.970, realizaron 28 transacciones por botellas de whisky, que suman $9.775.950 y registraron una cuantiosa compra de tablets por $51.658.360, dividida en 137 transacciones, la mayoría ipads 11, entre otros productos.
