Entre 3 y 100 euros, lo que gana un hacker por robar los datos de una tarjeta de crédito

Los ciberdelincuentes no son mileuristas, ganan entre 3 y 100 euros por robar los datos de una tarjeta de crédito y las botnets infectadas llegan a venderse por miles de euros, puesto que su precio se cotiza en el mercado negro de los hackers entre los 30 y los 140 dólares. Los kits de malware son los más lucrativos y pueden llegar a ganar hasta 1.500 dólares por su venta. Desde luego, el cibercrimen es un negocio y sus actores se mueven por el lucro económico.

>> Penas de cárcel de 2 años para los hackers

Para evitar que un hacker intente robarte los datos bancarios, en esta otra información te explicamos algunos consejos para usar la tarjeta de crédito de forma segura, tanto en tiendas físicas como en comercio electrónico.

Cómo se gana la vida un cibercriminal
Aunque, evidentemente, no existen datos oficiales de los ingresos de estos delincuentes informáticos, las investigaciones de Kaspersky Lab han arrojado interesantes datos sobre cómo transforman los datos robados en dinero contante y sonante. “Los canales de distribución de malware (crimeware, virus, gusanos, troyanos, etc.) son cada vez más eficaces. Se basan en kits ya construidos, por lo que facilita que personas sin conocimientos sobre programación puedan utilizarlos para crear su propio malware”, señala Preu.

Los principales ingresos destacados por Kaspersky Lab proceden de la venta de datos de tarjetas de crédito (entre 3 y 100 dólares, dependiendo de la calidad de los datos). Asimismo, una red botnet compuesta por 1.000 ordenadores infectados se vende por 5 dólares, mientras que se pueden llegar a ganar 140 dólares por un pack de 5.000. Por último, aunque no menos lucrativo, los kits de malware (crimeware, virus, gusanos, troyanos, etc.) y exploits pueden llegar a costar hasta 1.500 dólares, siempre dependiendo de su calidad.

Tus contraseñas del banco o de tu tarjeta valen de 1,5 a 520 euros en el mercado negro

A través de contactos personales con los ciberdelincuentes se puede adquirir en el mercado negro datos personales bancarios (tarjetas y credenciales para banca online) desde 2$ (1,49 euros) y hasta 700$ (521,99 euros), con garantía de un saldo mínimo de 80.000$ (59.656 euros) en cuenta. Los hackers han diversificado negocio vendiendo además otros productos: máquinas duplicadoras de tarjetas y cajeros automáticos falsos; tarjetas bancarias ya duplicadas y garantizadas; realización de transferencias bancarias para el blanqueo de dinero; falsas tiendas online, etc.

PandaLabs, el laboratorio antimalware de Panda Security -the Cloud Security Company-, ha descubierto una vasta red de venta de datos bancarios robados así como otro tipo de productos, operada por cibercriminales, que cuenta con hasta 50 tiendas online a las que sólo se puede acceder mediante el contacto previo personal con los hackers encargados de su promoción en foros y chats.

El llamado mercado negro del cibercrimen, que tradicionalmente se centraba en la distribución de números de tarjetas bancarias robadas a usuarios de todo el mundo y credenciales de acceso a banca online, han diversificado su negocio en 2010 ofreciendo todo un abanico de productos y servicios.

Ahora, los datos bancarios van acompañados de una larga ristra de datos personales del titular de la tarjeta o cuenta, con los que, lógicamente, se puede operar de forma más veraz. Todo ello, eso sí, desde un módico precio de 2$ por tarjeta de crédito sin información adicional y sin garantía de saldo. Si el comprador quiere garantía de dinero existente en línea de crédito o en la cuenta online del banco, tendrá que pagar un poco más: desde 80$ para saldos bajos y hasta 700$ por credenciales de acceso a una cuenta con un saldo garantizado de 82.000$.

Estos precios varían si lo que queremos comprar son datos de acceso a cuentas creadas y con historial de tiendas online o a sitios de pasarelas de pago, como PayPal. En este caso, para una cuenta simple sin saldo verificado, tendremos que pagar 10$, cantidad que subirá hasta los 1.500$ dependiendo de la plataforma y la garantía de dinero disponible.

Igualmente, estos ciberdelincuentes ofrecen la venta máquinas duplicadoras de tarjetas físicas (de 200 a 1.000$) y de falsos cajeros automáticos (hasta 3.500$ por unidad y según modelo), o tarjetas bancarias ya duplicadas físicamente listas para ser utilizadas (a partir de 180$).

Además, también ofrecen servicios de blanqueo de dinero (realización de transferencias bancarias o cobro de cheques) a cambio de comisiones que pueden ir desde el 10 hasta el 40 % del total de la operación. Y más: si el usuario quiere datos bancarios para comprar cualquier producto online, pero teme ser pillado por la dirección de entrega, estos ciberdelincuentes hacen la compra por él y lo envían a cualquier sitio cobrando entre 30 y 300$ (según el producto elegido).

Y si lo que el usuario quiere es tener su propia tienda online falsa para obtener de esta manera y de forma directa tanto datos de los usuarios que piquen como el dinero de compras de productos, que nunca recibirán (como es el caso de los falsos antivirus), el equipo de “diseño” de los vendedores ofrecen proyectos llave en mano que incluyen el diseño y desarrollo de la tienda completa, su publicación y posicionamiento en buscadores para garantizar tráfico. En este caso, el precio “depende del proyecto”.

El alquiler de redes para el envío de spam (a través de ordenadores comprometidos por un bot, por ejemplo) en función del número de ordenadores elegido y la frecuencia de envío, o el tiempo de alquiler, está disponible desde 15 %. El precio sube a 20$ si además se quiere alquilar un servidor SMTP o una VPN que garantice el anonimato del emisor.

Como la vida misma
Como si de cualquier otro tipo de negocio se tratara, el mercado negro cuenta con todos los ingredientes que un comprador necesita para confiar en el vendedor. Por ejemplo, existe mucha competencia en el mercado negro, y la ley de la oferta y la demanda les obliga a ajustar los precios y a ofrecer descuentos por volumen.

Muchos de ellos ofrecen datos de acceso a cuentas bancarias o de tarjetas de crédito robadas a modo de prueba, y garantizan su material: si el cliente no queda satisfecho, le devuelven el dinero; o si cualquiera de los datos vendidos no funciona, el vendedor le cambia el artículo por otro que goce de buena salud.

Eso sí, siendo el mercado negro tiene sus peculiaridades: llegar a estos vendedores no es sencillo, suelen utilizar foros escondidos underground que les garantiza el no tener curiosos ajenos al negocio. Así, su oficina es Internet, y en sus reclamos publicitarios hasta publican las horas de atención al público. Los hay más lanzados que tienen cuentas activas en Facebook y Twitter, utilizándolo de escaparate de sus productos.

Además, y lógicamente, el contacto se realiza siempre vía aplicaciones de mensajería instantánea, para garantizar el anonimato, o mediante direcciones de correo electrónico gratuitas genéricas.

Una vez contactados, la transacción puede hacerse directamente o bien el vendedor proporcionará una dirección web con login y password de acceso a una tienda online donde el comprador puede componer a su gusto su “cesta de la compra”. Eso sí, el pago siempre se hace por adelantado y utilizando siempre compañías de envío de dinero, como Western Union, Lyberty Reserve, WebMoney o similares.

El mercado negro de Internet ofrece por 300 euros las claves de una tarjeta de crédito

Los datos robados de una tarjeta de crédito tienen un precio de mercado de unos 300 euros en Internet. Un ataque DDoS (del inglés Distributed Denial of Service, un ataque que satura e inutiliza los servidores de las víctimas) de una hora de duración puede costar unos 150 euros. Y se pagan hasta 800 euros por un millón de correos spam. Por eso hay que tener cuidado ante los peligros que puede suponer para un usuario la pérdida de documentos personales, tarjetas de crédito y cualquier información susceptible de ser reutilizada en la red.

DNIs, tarjetas de crédito, ataques informáticos, envíos spam o bases de datos repletas de datos personales o correos electrónicos se venden en los suburbios digitales de la Red. Algunas tiendas ilegales han “profesionalizado” tanto sus servicios que ofrecen descuentos por volumen, se anuncian con banners publicitarios o devuelven el dinero si, por ejemplo, los datos de la tarjeta de crédito que han proporcionado no funcionan.

Estas y otras cifras salen a la luz gracias a las últimas investigaciones de los laboratorios de seguridad de G Data Software centradas en la industria del cibercrimen. El equipo de G Data Software se camufló en los sórdidos círculos de acción de hackers, ladrones de datos y demás delincuentes digitales durante los meses de junio y julio de este año y descubrieron que el “escenario” se ha profesionalizado al máximo dando lugar a una economía perfectamente organizada. Al frente de la organización existen proveedores que ofrecen “hosting a prueba de balas” que permiten la existencia de foros y tiendas online ilegales en las que los ciberdelincuentes ofrecen sus servicios y se ponen en contacto con los posibles compradores.

Los foros ilegales son el centro neurálgico de este ámbito. Allí, quienes se inician en estos bajos fondos digitales se encuentran con sus mentores que, tras cobrar una considerable cantidad de dinero, les enseñan todos los secretos de este oscuro negocio. Aquí también contactan los vendedores y compradores de este mercado negro. Y en las salas privadas de estos foros, de acceso exclusivo para cibercriminales bien conocidos y de prestigio, se intercambian todo tipo de productos y servicios. Los principales acuerdos suelen hacerse fuera de los foros, a menudo a través de ICQ o canales IRC manipulados (dos sistemas de mensajería instantánea).

Precios en el mercado negro

Además, cualquiera que prefiera hacer negocios en un entorno todavía más profesional puede recurrir a una de las muchas tiendas online ilegales que existen. Aquí, los compradores pueden beneficiarse de importantes descuentos al adquirir grandes cantidades de datos robados, e incluso se les devuelve el dinero si no quedan satisfechos con el servicio. De tal forma, si los datos de tarjetas de crédito recién adquiridos no fuesen válidos ya -al haber cancelado el usuario legítimo dicha tarjeta-, se pueden reclamar otros datos o la devolución del dinero.

Junto a los datos robados, existen otros servicios también muy populares. Los principiantes suelen solicitar ataques DDoS. Para mantenerse al frente de esta competición, algunos actores de este mercado ofrecen este servicio por la pequeña cantidad de 10 euros por hora de ataque o 50 euros por día. Pero un buen precio no es la única herramienta de marketing a la que recurren los cibercriminales: incluso contratan banners publicitarios para anunciar sus servicios.

Banners encontrados en la Red que ofrecen ataques DDoS
Otro servicio diferente pero también muy demandado lo constituye la denominada “dropzone”. Existen tanto en el mundo virtual (un servidor en el que, por ejemplo, pueden depositarse copias ilegales de obras protegidas por la propiedad intelectual o incluso pornografía infantil) como en el mundo real (una dirección para la entrega de productos que han sido comprados con datos de tarjetas de crédito robadas). Si en un caso los hostings a prueba de balas se ocupan de todo, en el otro mucha gente ofrece su dirección para recibir los bienes comprados fraudulentamente -por supuesto, a cambio de una buena tarifa-.

Los hackers aportan valor a la sociedad

Los hackers no son piratas informáticos, sino creativos que con pasión y entusiasmo aportan valor a la sociedad, según el filósofo e investigador finlandés Pekka Himanen, protagonista de la tercera conferencia del ciclo “Entendiendo los cambios. Ideas, libros y autores” organizado por Fundación Telefónica y moderada por la periodista Mamen Mendizábal.

Según afirma Himanen, autor de La ética del hacker y el espíritu de la era de la información, “la ética del trabajo para el hacker se fundamenta en el valor de la creatividad y consiste en combinar la pasión con la libertad”. En referencia a la cultura de la creatividad, Himanen ha destacado que en la empresa del futuro que quiera llegar a una gran parte de la sociedad ha de cambiar su corporativismo en aras de una cultura mucho más creativa y generosa: “el dinero dejará de ser un valor en sí mismo y el beneficio se cifrará en metas como el valor social y el libre acceso, la transparencia y la franqueza”.

En este sentido, la ética hacker es una nueva moral que desafía la ética protestante del trabajo, que expuso hace casi un siglo Max Weber en su obra clásica La ética protestante y el espíritu del capitalismo y que está fundada en la laboriosidad diligente, la aceptación de la rutina, el valor del dinero y la preocupación por la cuenta de resultados.

Para Pekka Himanen un hacker no es un delincuente ni un pirata informático con altos conocimientos técnicos (al que prefiere llamar cracker), sino todo aquel que trabaja con gran ilusión y amor a la libertad por lo que hace; de ahí, que el término sea extrapolable a otros ámbitos no necesariamente tecnológicos. Así, Himanen rescata algunos valores fundamentales que debe tener el hacker, como la preocupación responsable, la accesibilidad, la curiosidad, la creatividad, la anticorrupción, la conciencia social, el libre acceso a la información (o conocimiento libre) y la lucha contra la alienación del hombre.

Himanen también se ha referido a la llamada ley Linux, basada en varios pilares como la necesidad de supervivencia económica, la creatividad y una interacción enriquecedora: “un revolucionario solo no existe: le hace falta hacerlo en comunidad”. Junto a estas leyes que deberían regir el nuevo mundo corporativo figura el poder del sueño y de las metas que quiere seguir la gente que trabaja en las empresas.

Pekka Himanen

Pekka Himanen es doctor por la Universidad de Helsinki, ha trabajado como investigador en Finlandia, Inglaterra y en las universidades norteamericanas de Stanford y Berkeley. Asimismo, Himanen ha sido asesor en temas sobre la sociedad de la información en los distintos gobiernos finlandeses y en compañías de telecomunicaciones como Nokia. Es autor de La ética del hacker y el espíritu de la era de la información (2001), obra en la que desarrolla los fundamentos y consecuencias de la “ética hacker” y de El Estado del bienestar y la sociedad de la información: El modelo finlandés (2002), libro del que es coautor junto al sociólogo Manuel Castells.

¿Cómo te imaginas a un hacker?

Ante la pregunta ¿qué aspecto podría tener un hacker?, 1 de cada 10 personas describe a un hacker como una persona fascinada por la tecnología y que tiene gafas, lo que comúnmente se conoce como un “friki con gafas” o un “geek con gafas”. Pero la verdad es que estos criminales no responden al estereotipo que de ellos se tiene. No son personas que llevan armas ni tipos duros, ni tampoco son bromistas ni “geeks” con aspecto desaliñado. Es imposible distinguirles, simplemente porque la mayoría de ellos son como nosotros. El consultor senior de seguridad de Trend Micro, Rik Ferguson, que participa activamente en la investigación del mundo del ciber-crimen, ha elaborado un perfil para ayudar a entender quiénes son las ciber-bandas, cómo funcionan y por qué es tan importante proteger la privacidad online.

Una nueva investigación llevada a cabo por Trend Micro en torno al mundo de la delincuencia online revela que, todavía, a día de hoy, se producen malos entendidos entre el público cuando se trata de comprender la naturaleza del ciber-crimen. Ésta es una de las conclusiones que se extrae de una investigación realizada entre el público británico, pues cuando se pregunta “Desde hace varios años, los equipos de investigación de seguridad, como es el caso de Trend Micro, han advertido a empresas y organizaciones gubernamentales de la creciente amenaza que suponen los ciber-criminales organizados. Las bandas de delincuentes online son organizaciones fuertes que están sacando de las empresas información que identifica personalmente a clientes y empleados, roban contraseñas y propiedad intelectual que, según ha estimado el Departamento del Tesoro de Estados Unidos, es más valiosa que el comercio ilegal de drogas.

“Lamentablemente el mundo oculto del crimen online para inadvertido con demasiada frecuencia”, indica Ferguson. “Mucha gente simplemente ignora que su identidad tiene un valor monetario real, los detalles son vendidos de forma separada a precios increíblemente baratos, pero el conjunto de esta economía clandestina genera una gran facturación. A menudo he escuchado a amigos decir: “Bien, mi cuenta está vacía, ¿por qué debería preocuparme?”, es importante ser consciente de que el robo de identidad tiene consecuencias que van más allá del aquí y ahora. Esto puede afectar a los registros de todo tu historial económico. Si bien es cierto que cada vez más y más aficionados y novatos están tentados para adentrarse en el mundo del crimen online, el peligro real viene de organizaciones y grupos criminales organizadas y serias”.

Ciber-bandas, ¿qué revelan?

* ¿De dónde son? Por todo el mundo se han localizado algunos ciber-grupos muy poderosos. Países como Rusia, Ucrania y China son muy conocidos por proporcionar a los hackers y cibercriminales un “hogar”, pero otros países como Turquía, Brasil y Estonia también se encuentran entre los primeros puestos de las listas de lugares donde estas bandas se ocultan.

* ¿Qué hacen? Cada banda destaca por tener unas características o habilidades diferentes. Los más técnicos se centran en desarrollar de forma minuciosa software ingenioso y ágil. Otros se especializan en la venta de software ilegal con fines criminales o de información personal; mientras que otros, incluso, anuncian sus servicios como la distribución de spam, cómo construir botnets sofisticados, etc. La conclusión que de esto se saca es que las ciber-bandas son una empresa seria, coordinada y de naturaleza cooperativa, que está diseñada con un propósito en mente: conseguir beneficios.

* ¿Cuánto dinero ganan? El rango de ingresos varía entre los diferentes grupos en función de los riesgos que corren. Los programadores venden su código a cualquiera en cualquier lugar por entre 365 y 2.400 euros (la cifra más alta que probablemente corresponde a una licencia de una red zombi o botnet completa, como por ejemplo ZeuS, puede rondar los 8.000 euros). Fuentes clandestinas han confirmado que los programadores de ZeuS ganan alrededor de 610.000 euros al año. Los “guías” de una botnet pueden conseguir cifras incluso mayores que ésta, dependiendo del éxito que tengan a la hora de infectar ordenadores y de vender sus servicios a terceros.

* ¿Cuánta gente compone una banda? Tenemos que partir de la base de que existe un gran trabajo que se externaliza, por lo que cada organización se centra en hacer lo que mejor sabe y paga a otro para que haga el resto. Esto da como resultado un complejo modelo de negocio en el que unos equipos se encargan del código, otros se ocupan de encontrar vulnerabilidades, otros grupos gestionan botnets y la minería de datos, mientras un equipo diferente ejecuta el robo de identidad o fraudes financieros. El tamaño medio de un equipo suele ser de aproximadamente 5 personas.

* ¿Cómo son detectados estos grupos? Mientras muchos fabricantes de seguridad son capaces de detectar archivos maliciosos, la detección del cibercrimen implica a un gran número partes con múltiples intereses. Esto a menudo supone que la detección de un archivo malicioso por sí solo no contribuye a desenmarañar la complejidad de los delitos cibernéticos. Los investigadores trabajamos para intentar hacer un retrato mayor que dé sentido a estas complejas relaciones empresariales y proteger a nuestros clientes detectando todas las familias de malware (kits/packs) en lugar de archivos individuales. También es importante considerar el hecho de que cada amenaza funcionará en diferentes niveles; el email contiene el link a un website malicioso, que explota una vulnerabilidad en un equipo descargando un troyano en un PC que, posteriormente, se conecta con el grupo criminales y recibe más instrucciones. En este sentido, nosotros nos centramos en analizar la amenaza en su conjunto correlacionando la información sobre todos estos diferentes niveles.

* ¿Cuándo interviene la policía? Generalmente, cuando hay suficientes pruebas que sugieran que hay alguna entidad detrás de esta actividad. Actualmente, hay tantas ciber-bandas que las fuerzas de seguridad han creado sus propias unidades para luchar contra el crimen en Internet. Desde que el cibercrimen se ha convertido en una actividad global, la única forma efectiva para abordarlo y combatirlo es fomentar la colaboración entre los organismos y fuerzas de seguridad de los diferentes países y continentes.

Noticias » Ocio - Tecnología » Internet » Entre 3 y 100 euros, lo que gana un hacker por robar los datos de una tarjeta de crédito