Número de autenticación de la transacción

Algunos servicios de banca en línea utilizan un número de autenticación de transacción ( TAN ) como una forma de contraseña de un solo uso (OTP) para autorizar transacciones financieras . Los TAN constituyen una segunda capa de seguridad que complementa la autenticación tradicional con una sola contraseña .

Los TAN proporcionan seguridad adicional, ya que funcionan como un sistema de autenticación de dos factores (2FA). Si se roba el documento físico o el token que contiene los TAN, este será inservible sin la contraseña. Del mismo modo, si se obtienen los datos de acceso, no se podrán realizar transacciones sin un TAN válido.

Los TAN suelen funcionar de la siguiente manera:

1. El banco crea un conjunto de TAN únicos para el usuario. ^{[ 1 ]} Normalmente, hay 50 TAN impresos en una lista, suficientes para que un usuario normal los use durante medio año; cada TAN tiene seis u ocho caracteres de longitud.
2. El usuario recoge la lista en la sucursal bancaria más cercana (presentando un pasaporte , un documento de identidad o un documento similar) o se le envía la lista TAN por correo postal.
3. La contraseña (PIN) se envía por correo por separado.
4. Para acceder a su cuenta, el usuario debe ingresar su nombre de usuario (generalmente el número de cuenta) y contraseña ( PIN ). Esto puede darle acceso a la información de la cuenta, pero la capacidad de realizar transacciones queda deshabilitada.
5. Para realizar una transacción, el usuario ingresa la solicitud y la autoriza introduciendo un código TAN no utilizado. El banco verifica el código TAN ingresado comparándolo con la lista de códigos TAN que le ha emitido al usuario. Si coincide, la transacción se procesa. Si no coincide, la transacción se rechaza.
6. El TAN ya se ha utilizado y no se reconocerá para ninguna transacción posterior.
7. Si la lista TAN se ve comprometida, el usuario puede cancelarla notificándolo al banco.

Sin embargo, dado que cualquier TAN puede utilizarse para cualquier transacción, siguen siendo vulnerables a ataques de phishing, en los que se engaña a la víctima para que proporcione tanto su contraseña/PIN como uno o varios TAN. Además, no ofrecen protección contra ataques de intermediario (man-in-the-middle) , en los que un atacante intercepta la transmisión del TAN y lo utiliza para una transacción falsificada, por ejemplo, cuando el sistema del cliente se ve comprometido por algún tipo de malware que permite a un usuario malintencionado realizar acciones fraudulentas . Si bien los TAN restantes no se han visto comprometidos y pueden utilizarse de forma segura, se recomienda a los usuarios que tomen medidas adicionales lo antes posible.

Los TAN indexados reducen el riesgo de phishing. Para autorizar una transacción, no se le pide al usuario que utilice un TAN cualquiera de la lista, sino que introduzca un TAN específico identificado por un número de secuencia (índice). Dado que el índice lo elige el banco aleatoriamente, un TAN cualquiera obtenido por un atacante suele ser inútil.

Sin embargo, los iTAN siguen siendo susceptibles a ataques de intermediario , incluidos los ataques de phishing en los que el atacante engaña al usuario para que inicie sesión en una copia falsificada del sitio web del banco y los ataques de intermediario en el navegador ^{[ 2 ]} que permiten al atacante intercambiar secretamente los detalles de la transacción en segundo plano en el PC, así como ocultar las transacciones reales realizadas por el atacante en el resumen de la cuenta en línea. ^{[ 3 ]}

Por lo tanto, en 2012 la Agencia de la Unión Europea para la Seguridad de las Redes y la Información recomendó a todos los bancos que consideraran que los sistemas informáticos de sus usuarios estaban infectados con malware por defecto y que utilizaran procesos de seguridad donde el usuario pudiera verificar los datos de la transacción contra manipulaciones como, por ejemplo (siempre que la seguridad del teléfono móvil lo permita), lectores de mTAN o tarjetas inteligentes con su propia pantalla que incluye los datos de la transacción en el proceso de generación del TAN mientras lo muestra previamente al usuario ( chipTAN ). ^{[ 4 ]}

Antes de introducir el iTAN, se le presenta al usuario un CAPTCHA que, en segundo plano, muestra los datos de la transacción y otros datos que un posible atacante desconocería, como la fecha de nacimiento del usuario. El objetivo es dificultar (aunque no imposibilitar) que un atacante falsifique el CAPTCHA.

Esta variante del método iTAN, utilizado por algunos bancos alemanes, añade un CAPTCHA para reducir el riesgo de ataques de intermediario (man-in-the-middle). ^{[ 5 ]} Algunos bancos chinos también han implementado un método TAN similar a iTANplus. Un estudio reciente muestra que estos esquemas TAN basados ​​en CAPTCHA no son seguros frente a ataques automatizados más avanzados. ^{[ 6 ]}

Los mTAN son utilizados por bancos en Austria, Bulgaria, República Checa, Alemania, Hungría, Malasia, Países Bajos, Polonia, Rusia, Singapur, Sudáfrica, España, Suiza y algunos en Nueva Zelanda, Australia, Reino Unido y Ucrania. Cuando el usuario inicia una transacción, el banco genera un TAN y lo envía a su teléfono móvil mediante SMS . El SMS también puede incluir datos de la transacción, lo que permite al usuario verificar que esta no ha sido modificada durante la transmisión al banco.

Sin embargo, la seguridad de este esquema depende de la seguridad del sistema de telefonía móvil. En Sudáfrica, donde los códigos TAN enviados por SMS son comunes, ha aparecido un nuevo ataque: el fraude de intercambio de SIM. Un vector de ataque común es que el atacante suplante la identidad de la víctima y obtenga una tarjeta SIM de reemplazo para el teléfono de la víctima del operador de red móvil . El nombre de usuario y la contraseña de la víctima se obtienen por otros medios (como el registro de pulsaciones de teclas o el phishing ). Entre la obtención de la SIM clonada/de reemplazo y el momento en que la víctima se da cuenta de que su teléfono ya no funciona, el atacante puede transferir/extraer los fondos de la víctima de sus cuentas. ^{[ 7 ]} En 2016 , un ingeniero social realizó un estudio sobre el fraude de intercambio de SIM , que reveló debilidades en la emisión de números de portabilidad.

En 2014, se publicó una vulnerabilidad en el Sistema de Señalización n.° 7 utilizado para la transmisión de SMS, que permite la interceptación de mensajes. Fue demostrada por Tobias Engel durante el 31.º Congreso de Comunicación del Caos . ^{[ 8 ]} A principios de 2017, esta vulnerabilidad se utilizó con éxito en Alemania para interceptar SMS y redirigir fraudulentamente transferencias de fondos. ^{[ 9 ]}

Además, el auge de los teléfonos inteligentes provocó ataques de malware que intentaban infectar simultáneamente tanto el PC como el teléfono móvil para romper el esquema mTAN. ^{[ 10 ]}

pushTAN es un sistema TAN basado en una aplicación del grupo bancario alemán Sparkassen, que reduce algunas de las deficiencias del sistema mTAN . Elimina el coste de los mensajes SMS y no es susceptible al fraude con tarjetas SIM, ya que los mensajes se envían a través de una aplicación especial de mensajería de texto al teléfono inteligente del usuario mediante una conexión a Internet cifrada. Al igual que mTAN, el sistema permite al usuario verificar los detalles de la transacción frente a manipulaciones ocultas realizadas por troyanos en su ordenador, al incluir los detalles reales de la transacción que el banco recibió en el mensaje pushTAN. Aunque es análogo al uso de mTAN con un teléfono inteligente, existe el riesgo de una infección simultánea de malware en el ordenador y el teléfono inteligente. Para reducir este riesgo, la aplicación pushTAN deja de funcionar si el dispositivo móvil está rooteado o con jailbreak. ^{[ 11 ]} A finales de 2014, el Deutsche Kreditbank (DKB) también adoptó el sistema pushTAN. ^{[ 12 ]}

• Contraseña de un solo uso
• token de seguridad