Un 44% de las páginas web bancarias españolas favorecen el phishing

En un estudio realizado por Hispasec sobre las páginas web de 50 entidades
bancarias de España hemos podido comprobar que un 44% de ellas se ven
afectadas por algún tipo de fallo de diseño que favorece los ataques de
phishing.

El estudio se ha centrado en analizar los aspectos de diseño de la primera
página web de autenticación del usuario que podrían permitir o facilitar la
realización exitosa de ataques de phishing.

Los clientes de cualquier entidad pueden recibir un mensaje incitándoles a
visitar un servidor falso, sin posibilidad de que la entidad pueda evitarlo.
Sin embargo, el diseño de las páginas web de las entidades financieras es
determinante para que el usuario pueda comprobar si realmente se encuentra en
el servidor de su banco o, por el contrario, se trata de un servidor web falso
que imitando al original trata de robarles sus credenciales.

Las características evaluadas se centran en la posibilidad de que el cliente
pueda comprobar de forma sencilla que está conectando con el servidor seguro
de la entidad. Para ello se examina el campo de dirección que aparece en el
navegador, donde debe estar visible la URL completa, con el dominio al que
conecta precedido de https://, así como la existencia del candado cerrado o
una llave completa que aparece en la barra de estado (en función del navegador
utilizado), icono al que los usuarios pueden hacer doble click para visualizar
información detallada del certificado de seguridad y comprobar que pertenece a
la entidad bancaria.

De las 50 páginas de banca online analizadas por Hispasec, 19 de ellas (un
38 por ciento) no fuerzan a que el usuario introduzca sus credenciales de
identificación en una página segura, aunque la transmisión de las mismas si
se haga de forma segura. A efectos prácticos, en el momento que el usuario
introduce sus credenciales (usuario y contraseña, identificado y pin, etc)
no puede comprobar de forma sencilla que se encuentra realmente en el servidor
web de la entidad.

Otro rasgo evaluado ha sido la existencia de la dirección URL en la página de
identificación, de esta forma el usuario siempre puede comprobar que la URL a
través de la que accede es correcta. Aunque en Hispasec ya hemos analizado en
ediciones anteriores de una-al-dia, vulnerabilidades que permiten falsificar
la URL en el navegador, si el propio sistema oculta dicha información el
atacante tendrá mucha mayor facilidad para suplantar la identidad del banco.

Hay que señalar que este aspecto está más cuidado, ya que tan solo cinco (un
diez por ciento) de las páginas analizadas carecían de URL en la ventana de
autenticación de usuario. Por último, se han comprobado los certificados en
aquellas páginas web cuyo formulario de autenticación se encontraban bajo una
conexión segura, y en este aspecto ninguna entidad ha presentado ningún problema.

En total, de las 50 páginas de sistemas de banca electrónica analizadas, 22 de
ellas (un 44%) se veían afectadas por alguno de los problemas de diseño
mencionados de forma que impiden al usuario comprobar la autenticidad de la
página de la entidad en el momento del acceso, lo cual es fundamental para
dificultar la realización de ataques de phishing.

A continuación se muestra una tabla con los resultados obtenidos para cada una
de las entidades:













">

http://www.bancaja.es/

">

http://www.batlantico.es/

">

http://www.bancocetelem.es

">

http://www.bancoesfinge.es/

">

http://www.bancogui.es/

">

http://www.bancoherrero.es

">

http://www.bancopastor.es/

">

http://www.bancopopular.es/

">

http://www.bancourquijo.es/

">

http://www.ebankinter.com/

">

http://www.bankpyme.es/

">

http://www.barclays.es/

">

http://www.bbvanet.com

">

http://www.caixacatalunya.es

">

http://www.caixagalicia.es

">

http://www.caixasabadell.es

">

http://www.cajaduero.es

">

http://www.cajaespana.es

">

http://www.cai.es/

">

http://caionline.cai.es

">

http://www.cajalaboral.es/

">

http://www.cajamadrid.es

">

http://www.cajarioja.es/

">

http://www.citibank.es

">

http://www.hispamer.es/

">

http://www.ibanesto.com/

">

http://www.ingdirect.es

">

http://www.inversis.es

">

http://www.lacaixa.es

">

http://www.lacajadecanarias.es/

">

http://www.lloydsbank.es/

">

http://www.patagon.es

">

http://www.ruralvia.com/

">

http://www.unicaja.es

">

https://www.uno-e.com

Seguridad básica en sistemas de autenticación de los servicios de banca electrónica
	dirección URL	https en página de login	Validez del certificado	Visualización de url	Calificación
Bancaja	http://www.bancaja.es/	no	-	sí		incorrecto
Banco Atlántico	http://www.batlantico.es/	no	-	sí		incorrecto
Banco Cetelem	http://www.bancocetelem.es	sí	sí	sí		correcto
Banco de Valencia	www.bancodevalencia.es	sí	sí	sí		correcto
Banco Finantia Sofinloc	http://www.bancoesfinge.es/	no	-	no		incorrecto
Banco Gallego	www.bancogallego.es	sí	sí	sí		correcto
Banco Guipuzcoano	http://www.bancogui.es/	sí	sí	sí		correcto
Banco Herrero	http://www.bancoherrero.es	no	-	sí		incorrecto
Banco Pastor	http://www.bancopastor.es/	sí	sí	no		incorrecto
Banco Popular	http://www.bancopopular.es/	sí	sí	sí		correcto
Banco Sabadell Atlantico	www.sabadellatlantico.com/	no	sí	sí		incorrecto
Banco Urquijo	http://www.bancourquijo.es/	sí	sí	sí		correcto
Banco Zaragozano	www.bancozaragozano.es/	sí	sí	sí		correcto
Banesto	www.banesto.es	sí	sí	sí		correcto
Bankinter	http://www.ebankinter.com/	no	-	sí		incorrecto
Bankoa	www.bankoa.es	sí	sí	sí		correcto
Bankpyme	http://www.bankpyme.es/	no	-	sí		incorrecto
BankpymeNet	www.bankpymenet.com	sí	sí	sí		correcto
Barclays	http://www.barclays.es/	sí	sí	sí		correcto
BBK	www.bbk.es	sí	sí	sí		correcto
BBVA	http://www.bbvanet.com	sí	sí	sí		correcto
BSCH	www.santandercentralhispano.es	no	-	sí		incorrecto
Caixa Catalunya	http://www.caixacatalunya.es	no	-	sí		incorrecto
Caixa Galicia	http://www.caixagalicia.es	sí	sí	sí		correcto
Caixa Sabadell	http://www.caixasabadell.es	sí	sí	sí		correcto
Caja Duero	http://www.cajaduero.es	no	-	no		incorrecto
Caja España	http://www.cajaespana.es	sí	sí	sí		correcto
Caja Inmaculada (CAI)	http://www.cai.es/	no	-	sí		incorrecto
CAi Online	http://caionline.cai.es	sí	sí	sí		correcto
Caja Laboral	http://www.cajalaboral.es/	sí	sí	sí		correcto
Caja Madrid	http://www.cajamadrid.es	sí	sí	sí		correcto
Caja Rioja	http://www.cajarioja.es/	no	-	sí		incorrecto
Caja Rural Vasca	www.cajaruralvasca.es	sí	sí	sí		correcto
Caja Vital	www.cajavital.es	no	-	sí		incorrecto
Cajamar	www.cajamar.es	sí	sí	sí		correcto
Citybank	http://www.citibank.es	sí	sí	sí		correcto
Deutsche Bank	www.deutsche-bank.es	no	-	sí		incorrecto
Hispamer	http://www.hispamer.es/	sí	sí	sí		correcto
ibanesto.com	http://www.ibanesto.com/	sí	sí	no		incorrecto
Ibercaja	www.ibercaja.es	sí	sí	sí		correcto
ING direct	http://www.ingdirect.es	no	-	sí		incorrecto
Inversis	http://www.inversis.es	no	-	sí		incorrecto
Kutxa	www.kutxa.es	sí	sí	no		incorrecto
La caixa	http://www.lacaixa.es	no	-	sí		incorrecto
La Caja de Canarias	http://www.lacajadecanarias.es/	no	-	sí		incorrecto
Lloyds TSB Bank	http://www.lloydsbank.es/	sí	sí	sí		correcto
Patagon	http://www.patagon.es	sí	sí	sí		correcto
RuralVia	http://www.ruralvia.com/	no	-	sí		incorrecto
unicaja	http://www.unicaja.es	sí	sí	sí		correcto
Uno-e	https://www.uno-e.com	sí	sí	sí		correcto
Total		19		5	22

Antonio Ropero
antonior@hispasec.com

Más información:

Descarga del estudio con la tabla completa con los resultados:
http://www.hispasec.com/directorio/laboratorio/articulos/EstudioBancaPhishing/estudio_banca_y_phishing.pdf

una-al-dia (30/09/2004) Implicaciones del diseño web en los ataques
"phishing"
http://www.hispasec.com/unaaldia/2168