Se viven grandes cambios en los sistemas de pagos móviles

Easy Solutions, compañía de protección contra Fraude, puso de relieve los cambios que introdujo el lanzamiento de Apple Pay en los sistemas de pagos basados en tecnología móvil. Pero resalta que se debe estar alerta porque también nacen nuevas oportunidades para los estafadores.

Señala a Apple Pay como el primero de los cambios iniciados en el último año en la forma en que los promotores de grandes pagos y tecnología móvil han abordado la seguridad para apps de pagos.

Nuevas y avanzadas medidas de seguridad se ofrecen en estos sistemas, pero hay que recordar que los estafadores son expertos en encontrar formas simples de evadir sistemas avanzados.

En el caso de Apple Pay, se había anticipado ampliamente que su lanzamiento en octubre de 2014 tendría un gran impacto, en parte debido a los aspectos técnicos del servicio.

Las expectativas en que el lanzamiento alteraría el mercado actual fueron mayormente fundadas en la habilidad de Apple para usar su tamaño, ecosistema y marca para influenciar el mercado.

“Al mirar hacia atrás, hubo retos después del lanzamiento inicial, incluyendo problemas durante el registro, lo cual generó que los bancos que lo apoyaban replantearan sus procesos de verificación. Sin embargo, seis meses después del lanzamiento de Apple Pay ha habido grandes cambios en el paisaje de la tecnología móvil y de pagos que prometen ser los primeros de muchos”, afirmó David López (foto), director de ventas para Latinoamérica de Easy Solutions.

Las Cadenas minoristas en Estados Unidos han visto duplicar los pagos NFC, ya que los Sistemas rivales de pagos móviles con fuerte respaldo de las cadenas minoristas han perdido exclusividad con los usuarios. Por ejemplo, Best Buy, miembro de MCX, anunció recientemente que soportará Apple Pay a finales de este año.

La expansión de Apple Pay

Los indicios del lanzamiento de Apple Pay en nuevos países, han acelerado los esfuerzos de los competidores en esas regiones, incluyendo los soportados por bancos como Zapp en UK.
Recientemente, Google, Samsung y Microsoft han hecho lo propio para aumentar sus ofertas al adquirir compañías y lanzar nuevos productos. Samsung planea usar NFC y tecnología de su reciente adquisición de Looppay, la cual permite que su solución interactúe con lectores de banda magnética, asegurando una extensión más fácil en Estados Unidos y otros países que aún no han implementado EMV o lectores sin contacto.

En este momento, no se conoce mucho sobre Microsoft Pay aunque al parecer utilizará Host Cloud Emulation (HCE) en lugar del Elemento Seguro. Así mismo, Google también ha considerado la tecnología HCE en su camino hacia el lanzamiento de Android Pay, aprovechando su reciente compra de la tecnología y propiedad intelectual de los creadores del hoy extinto Softcard app (antes llamado ISIS).

“Host Cloud Emulation es mejor para Microsoft y Google dado que elude problemas relacionados al control del Elemento Seguro, el cual usualmente recae en los operadores de red móvil (no en el caso de Apple que tiene su propio SIM y elemento seguro). Anteriormente, Google experimentó problemas de acceso al Elemento Seguro, dado que los operadores de red móvil hicieron difíciles las cosas para las apps de pagos distintas a las propias (de las cuales Softcard era una), sin embargo parece haber mayor cooperación ahora con algunas de las mismas compañías que ahora ayudan a Google al acordar pre-instalar Google Wallet en todos los teléfonos Android”, aseguró David López.

Las expectativas ahora son que la asimilación de estos servicios tiende a crecer exponencialmente mientras Google, Microsoft, Samsung y otros se unan a Apple con los servicios de pagos móviles.

Una nueva oportunidad para los estafadores

Nuevas y avanzadas medidas de seguridad se ofrecen en estos sistemas, pero hay que recordar que los estafadores son expertos en encontrar formas simples de evadir sistemas avanzados.

Ya se ha visto a los estafadores usar cuentas falsas de redes sociales para enviar a los usuarios a sitios de phishing, los cuales roban nombres de usuario y contraseñas y luego infectan dispositivos con software que intercepta SMS. Esto demuestra que incluso los sistemas más avanzados pueden ser vencidos con trucos y engaños.

En vez de tratar de derrotar la seguridad de las aplicaciones móviles, los estafadores están creando versiones falsas de aplicaciones y luego usan técnicas de ingeniería social para engañar a los consumidores usando su versión de aplicaciones populares.

Actualmente esta tendencia se usa principalmente para apuntar a aplicaciones bancarias, pero dado que las API de pagos móviles se vuelven más comunes y son usadas por más y más aplicaciones, los estafadores amplían su red, apuntando cualquier aplicación que use tales API o se usen para ingresar detalles seguros los cuales últimamente permitirán que se use la aplicación.

Al descargar una aplicación falsa en lugar de una real, el estafador puede realizar una gran cantidad de acciones, desde simplemente robar la información ingresada en la aplicación, hasta solicitar información adicional o modificar la información usada por la aplicación.
Adicionalmente, los ataques multi-canal y multi-nivel también son comunes, no solo dirigiéndose a los pagos móviles sino a todo el proceso alrededor, incluyendo procesos de registro que usan verificación de correos o dispositivos, manejo online de cuentas y el uso de transacciones offline donde el saldo disponible es desconocido.

Para combatir esto, lo bancos, cadenas minoristas y ahora cualquier aplicación que use API de pagos móviles también necesitan tomar un enfoque multinivel para combatir el fraude.

El monitoreo del alojamiento de aplicaciones móviles falsas, ataques de phishing y redes sociales, instalaciones de aplicaciones falsas y maliciosas, ventas de tarjetas en mercados negros y anomalías en transacciones realizadas, todas deben estar presentes en cualquier estrategia anti-fraude en el mundo moderno de los pagos móviles.