Prevención de skimmers de tarjetas: una capa física que va más allá de las inspecciones

Las grabaciones de vigilancia de una investigación reciente en Los Ángeles revelaron que bastaron menos de dos segundos para instalar un skimmer de tarjetas en una terminal de pago.  

El incentivo económico detrás de estos ataques es considerable. Un solo skimmer puede almacenar hasta 40,000 registros de tarjetas, incluidos el PAN, el nombre del titular y otros datos sensibles. Incluso sin el PIN, cada registro robado puede venderse por aproximadamente 20 dólares. Cuando se captura el PIN, ese valor puede aumentar hasta 100 dólares por registro. A gran escala, una sola terminal comprometida puede generar entre 800,000 y 4 millones de dólares por ciclo de recolección. Por eso, incluso la captura parcial de datos sigue siendo muy atractiva para los atacantes.  

La realidad es simple: un skimmer puede capturar los datos de los clientes antes de que alguien lo descubra.

Cómo funcionan los ataques con skimmers y shimmers

Un skimmer se coloca sobre una terminal de pago legítima y captura los datos de la tarjeta mientras los clientes realizan sus transacciones. Por sí solos, esos datos siguen siendo muy valiosos y pueden monetizarse mediante su reventa o con transacciones fraudulentas. Lo que los vuelve aún más aprovechables es la incorporación del PIN.  

Por eso, los atacantes pueden combinar los skimmers con una cámara oculta u otro método para capturar el PIN al momento de ingresarlo. Esta combinación convierte una sola transacción en algo que se puede monetizar rápidamente mediante retiros en cajeros automáticos o transacciones de débito de alto valor. Hoy en día, las recomendaciones de seguridad suelen aconsejar a los consumidores que cubran el teclado al ingresar su PIN cuando no hay un protector físico.  

Las variantes más avanzadas, conocidas como shimmers, funcionan de otra manera. En lugar de colocarse en el exterior del dispositivo, se insertan en la propia ranura de la tarjeta. Son invisibles para el cliente y pueden interceptar los datos de la transacción durante el uso normal. Al ser internos, evaden la mayoría de los métodos de detección visual.

Por qué las inspecciones diarias de las terminales no son suficientes por sí solas

La principal recomendación de la industria es sencilla: se pide a los comercios que inspeccionen todas las terminales, todos los días, en busca de señales de manipulación.  

Las inspecciones diarias de las terminales siguen siendo una parte importante de cualquier programa de seguridad. El problema es que se les está pidiendo que hagan solas un trabajo para el que no fueron diseñadas.  

Mantener inspecciones constantes puede ser difícil en tiendas con alto flujo de clientes y en grandes bases instaladas de terminales. La rotación de personal dificulta mantener la capacitación, mientras que los skimmers de alta calidad están diseñados específicamente para evadir la detección, incluso bajo escrutinio.  

Incluso el personal de tienda capacitado puede tener dificultades para identificar un dispositivo diseñado específicamente para el fraude durante una revisión visual rápida. Depender únicamente de la vigilancia humana deja una brecha que se vuelve más difícil de gestionar a gran escala.

Cómo ayudan los protectores de privacidad a disuadir el skimming y limitar la exposición del PIN

Un protector de privacidad agrega una barrera física alrededor del teclado de PIN, lo que limita la visibilidad al ingresar el PIN y cambia el perfil de la terminal.  

Crea un ángulo de visión controlado alrededor del teclado de PIN, de modo que solo la persona que está justo frente al dispositivo pueda ver lo que se ingresa. Esto ayuda a bloquear tanto las miradas por encima del hombro como las microcámaras ocultas que los atacantes utilizan para capturar los PIN junto con los datos de la tarjeta.  

También modifica la estructura física de la terminal. Cualquier dispositivo superpuesto debe ahora adaptarse a esa forma, lo que dificulta la instalación de los skimmers y facilita su detección. Al mismo tiempo, la ranura de la tarjeta se vuelve más restrictiva, lo que complica la inserción de dispositivos internos como los shimmers.  

Una vez instalado, el protector ofrece una capa física de protección sin agregar una tarea diaria para los equipos de la tienda.

Implementado a gran escala: el protector de privacidad de Verifone

Este enfoque no es teórico. Las terminales Verifone con protectores de privacidad fijados de forma permanente se han implementado a gran escala en el mercado alemán desde hace años, donde los requisitos reforzados de seguridad física han impulsado su adopción en toda la industria.  

Las configuraciones con protector de privacidad ya están disponibles para pedido. Tu ejecutivo de cuenta de Verifone puede confirmar la disponibilidad para tus dispositivos y tu mercado.

Por qué esto es importante para los comercios

Cuando se capturan los datos de una tarjeta, estos ya representan un valor y un riesgo considerables. Si además se captura el PIN, el impacto aumenta de forma significativa. Es entonces cuando el fraude se vuelve inmediato y ejecutable, lo que permite retiros no autorizados, transacciones de débito de alto valor y un daño financiero mayor tanto para los clientes como para los comercios.  

Para quienes aceptan EBT, las implicaciones van más allá de las pérdidas individuales por fraude. Se ha documentado que las redes criminales sincronizan el cobro de efectivo con los calendarios mensuales de distribución de beneficios, y aprovechan la ventana inmediatamente posterior a la carga de fondos, cuando los saldos son más altos. Una sola terminal comprometida en un supermercado con alto flujo de clientes o en un entorno de tienda de conveniencia puede afectar a cientos de beneficiarios en un solo ciclo de distribución.  

Un protector de privacidad no elimina todos los ataques posibles. Representa un obstáculo adicional para los atacantes al limitar la exposición del PIN y dificultar la colocación de dispositivos superpuestos.

Un paso práctico que puedes dar ahora

Para los comercios que buscan reforzar su protección más allá de las inspecciones, un protector de privacidad ofrece un control físico adicional.  

Las inspecciones y los protectores de privacidad funcionan de manera distinta, pero dan mejores resultados cuando se usan juntos. Las inspecciones identifican la manipulación durante o después de un ataque. Un protector de privacidad fijado de forma permanente reduce desde un inicio la probabilidad de que un ataque tenga éxito, ya que dificulta la instalación física de dispositivos superpuestos y restringe la captura del PIN. Ninguno reemplaza al otro. Juntos, crean una defensa por capas que a los atacantes les resulta mucho más difícil de vulnerar que cualquiera de los dos controles por separado.

Descubre el panorama completo por capas

‍Los controles físicos son una capa dentro de una estrategia más amplia. Explora el enfoque de 9 capas de Verifone para la seguridad de los pagos en tienda, desde hardware resistente a manipulaciones hasta el cifrado punto a punto (P2PE) validado y la tokenización. Descarga la infografía.

Esto es especialmente importante en entornos con alto flujo de clientes. Estas ubicaciones son blancos frecuentes y las pequeñas vulnerabilidades escalan rápidamente. Las variantes con protector de privacidad ya están disponibles para pedido, no requieren cambios en la forma de operar de los equipos y agregan una capa física de protección justo donde el riesgo es mayor.

Si estás planeando una nueva implementación o renovando tu base instalada de terminales, especifica la variante con protector de privacidad en tu próximo pedido de terminales.

‍Contacta a tu ejecutivo de cuenta de Verifone para confirmar la compatibilidad y la disponibilidad para tu base instalada de dispositivos.

Preguntas frecuentes

P: ¿Un protector de privacidad reemplaza las inspecciones diarias de las terminales?

R: No, y no debería. Las inspecciones diarias siguen siendo una parte importante de cualquier programa de seguridad de terminales. Un protector de privacidad agrega una capa física preventiva que reduce la probabilidad de que un ataque tenga éxito, mientras que las inspecciones identifican la manipulación durante o después de un ataque. Usados en conjunto, ofrecen una protección más sólida que cualquiera de las dos medidas por separado.

P: ¿Cuál es la diferencia entre un skimmer y un shimmer?

R: Un skimmer es un dispositivo superpuesto que se coloca en el exterior de un dispositivo de pago y captura los datos de la tarjeta mientras los compradores realizan sus transacciones. Un shimmer se inserta directamente en la ranura de la tarjeta y opera de forma interna, interceptando los datos de la transacción durante el uso normal. Como los shimmers son internos, evaden la mayoría de los métodos de detección visual, por lo que los controles físicos a nivel de la ranura de la tarjeta resultan especialmente valiosos.

P: ¿Un protector de privacidad previene por completo el skimming? 

R: Ninguna medida por sí sola elimina el fraude por completo. Lo que hace un protector de privacidad fijado de forma permanente es elevar de manera significativa el nivel de dificultad. Ahora, la superposición de un skimmer debe fabricarse para ajustarse al protector y no a la terminal base, lo que cambia el formato requerido, reduce la precisión del ajuste y hace que el dispositivo sea más fácil de notar a simple vista.  

Al mismo tiempo, el protector bloquea el método más común de captura del PIN al limitar la capacidad de las cámaras para ver el teclado mientras se ingresa. Al interferir en la captura tanto de los datos de la tarjeta como del PIN — y reconociendo que los datos de tarjeta robados por sí solos siguen teniendo valor —, dificulta de manera considerable la ejecución del fraude y reduce la probabilidad de que se concrete.