Fraude por apropiación de cuenta (ATO): Cómo los ciberdelincuentes roban tu identidad y dinero

Internet ha revolucionado la forma en que vivimos, trabajamos e interactuamos. Sin embargo, también ha creado nuevas oportunidades para que los ciberdelincuentes roben nuestra información personal y dinero. Uno de los tipos más insidiosos de ciberdelito es el fraude por apropiación de cuenta (ATO), que implica que los criminales obtengan acceso no autorizado a tus cuentas en línea y las usen para sus propios fines, a menudo causando daño financiero.

El ATO puede ocurrirle a cualquiera, sin importar la edad, género o estatus socioeconómico. Puede resultar en consecuencias devastadoras, incluyendo robo de identidad, pérdidas financieras y daño reputacional. En este artículo, exploraremos qué es el ATO, cómo funciona y qué puedes hacer para protegerte de convertirte en una víctima.

¿Qué es el Fraude por Apropiación de Cuenta?

El fraude por apropiación de cuenta (ATO) es una forma de robo de identidad en línea en la que un criminal toma el control de la cuenta de un individuo, como una cuenta bancaria, de tarjeta de crédito o de redes sociales, con el objetivo de robar dinero, información personal o ambos.

El ATO puede afectar cuentas bancarias, cuentas de correo electrónico, cuentas de redes sociales y cuentas de compras en línea. Si tiene éxito, los atacantes pueden usar tus cuentas para llevar a cabo actividades fraudulentas, como realizar compras no autorizadas, transferir dinero a sus propias cuentas o robar tu información personal.

El Impacto Financiero del ATO

Según un informe del Índice de Confianza y Seguridad Digital de Sift, el fraude por apropiación de cuenta aumentó un 307% entre 2019 y 2021. Además, se estima que el 22% de los adultos en EE. UU. han sido víctimas de ATO, según la Comisión Federal de Comercio. Los estafadores están desarrollando constantemente métodos y herramientas más sofisticados, lo que lleva a un aumento en los casos de ATO.

El ATO puede ser particularmente dañino porque los atacantes a menudo tienen acceso a datos sensibles e información financiera. Además, las víctimas de ATO pueden no ser conscientes de la actividad fraudulenta hasta que es demasiado tarde, lo que lleva a pérdidas financieras significativas y daño a su puntaje crediticio.

¿Cómo Funciona el Fraude por Apropiación de Cuenta (ATO)?

El ATO generalmente comienza con la obtención de las credenciales de inicio de sesión de la víctima. Esto se puede lograr a través de varios métodos, como phishing, malware, ingeniería social o mediante filtraciones de datos. Una vez que el atacante ha obtenido las credenciales de inicio de sesión, iniciará sesión y cambiará la información, como el correo electrónico, número de teléfono o contraseña, para evitar que la víctima acceda a su cuenta. El atacante puede entonces usar la cuenta para hacer compras, transferir fondos o participar en otras actividades fraudulentas.

Una vez que los ciberdelincuentes han accedido a tu cuenta, pueden llevar a cabo una serie de actividades fraudulentas, incluyendo:

• Realizar compras no autorizadas usando tu tarjeta de crédito o cuenta bancaria
• Transferir dinero de tu cuenta a la suya
• Cambiar la configuración de tu cuenta, como tu dirección de correo electrónico o contraseña
• Robar tu información personal, como tu nombre, dirección y número de Seguro Social
• Usar tu cuenta para enviar correos electrónicos de spam o phishing a tus contactos

Tipos de Fraude por Apropiación de Cuenta

Existen varias formas en que puede ocurrir el fraude por apropiación de cuenta. Aquí están algunos de los tipos más comunes de fraude por apropiación de cuenta:

Relleno de Credenciales

El relleno de credenciales es un método de ATO que implica el uso de un gran número de combinaciones de nombres de usuario y contraseñas obtenidas de la web oscura o filtraciones de datos, para intentar acceder a múltiples cuentas. Los atacantes usan herramientas automatizadas, aprovechando los hábitos de los usuarios de reutilizar nombres de usuario y contraseñas, para probar muchas combinaciones diferentes hasta que logran acceder.

Rociado de Contraseñas

Similar al relleno de credenciales, el rociado de contraseñas implica usar una sola contraseña con múltiples nombres de usuario. Este método aprovecha la tendencia de los usuarios a usar contraseñas débiles y fáciles de adivinar.

Phishing

El phishing es uno de los métodos más comunes de ATO. Los atacantes envían correos electrónicos o mensajes de texto fraudulentos, a menudo haciéndose pasar por instituciones legítimas, solicitando información sensible como credenciales de inicio de sesión o información personal. Las víctimas desprevenidas son atraídas a hacer clic en enlaces o descargar archivos adjuntos que contienen malware, permitiendo a los atacantes acceder a sus cuentas.

Malware

El malware es software diseñado para interrumpir, dañar o obtener acceso no autorizado a la computadora o dispositivo móvil de una víctima. Un ataque de malware puede resultar en que el atacante obtenga acceso a las credenciales de inicio de sesión y la información personal de la víctima.

Ingeniería Social

La ingeniería social es una táctica utilizada por los atacantes para manipular a las personas para que revelen información sensible. Implica manipulación psicológica y puede llevarse a cabo a través de llamadas telefónicas, redes sociales o interacciones en persona. Los atacantes a menudo se hacen pasar por una institución legítima o figura de autoridad y usan el miedo o la urgencia para presionar a la víctima a divulgar información sensible.

Ataques de Fuerza Bruta

Un ataque de fuerza bruta es cuando un estafador usa software para adivinar credenciales de inicio de sesión hasta encontrar la combinación correcta. Esto se puede hacer a través de software automatizado o ingresando manualmente diferentes combinaciones de nombres de usuario y contraseñas.

Intercambio de SIM

El intercambio de SIM es una táctica utilizada por los estafadores para tomar el control de la cuenta de teléfono móvil de alguien. Convencerán a la compañía telefónica para transferir el número de teléfono de la víctima a una nueva tarjeta SIM que controlan. Una vez que tienen el control del número de teléfono de la víctima, pueden usarlo para restablecer contraseñas y tomar el control de cuentas en línea.

Señales de Advertencia de Fraude por Apropiación de Cuenta

Existen varias señales de advertencia que pueden indicar que tu cuenta ha sido tomada por un estafador. Aquí están algunas de las señales de advertencia más comunes:

1. Actividad Inusual: Si notas actividad inusual en tu cuenta, como transacciones no autorizadas o cambios en la información de tu cuenta, puede ser una señal de que alguien más ha tomado el control de tu cuenta.
2. Intentos de Inicio de Sesión Fallidos: Si recibes notificaciones de que alguien ha intentado iniciar sesión en tu cuenta sin éxito, puede ser una señal de que alguien está intentando acceder a tu cuenta.
3. Estados de Cuenta Perdidos: Si dejas de recibir estados de cuenta u otras comunicaciones de tu institución financiera, puede ser una señal de que un estafador ha cambiado la información de tu cuenta para evitar que veas actividad no autorizada.
4. Notificaciones Inesperadas: Si recibes notificaciones de tu institución financiera sobre cambios en tu cuenta que no iniciaste, puede ser una señal de que alguien más ha tomado el control de tu cuenta.
5. Cambios en la Información de Contacto: Si notas cambios en tu información de contacto, como tu dirección de correo electrónico o número de teléfono, puede ser una señal de que un estafador está intentando evitar que recibas notificaciones sobre actividad no autorizada.

Si notas alguna de estas señales de advertencia, es importante actuar de inmediato. Contacta a tu institución financiera y reporta cualquier actividad no autorizada o cambios en la información de tu cuenta. Cambia tus credenciales de inicio de sesión y habilita la autenticación de dos factores para proporcionar una capa adicional de seguridad a tu cuenta. Al estar alerta y actuar rápidamente, puedes protegerte del fraude por apropiación de cuenta.

Por Qué el Fraude por Apropiación de Cuenta Tiene Éxito

El fraude por apropiación de cuenta puede tener éxito por varias razones. Aquí están algunos de los principales factores que pueden contribuir al éxito del fraude por apropiación de cuenta:

Credenciales de Inicio de Sesión Robadas

Una de las principales formas en que los estafadores toman el control de las cuentas es robando credenciales de inicio de sesión. Esto se puede hacer a través de estafas de phishing, tácticas de ingeniería social o comprando credenciales robadas en la web oscura. Si un estafador puede obtener credenciales de inicio de sesión válidas para una cuenta, puede tomar el control de la cuenta y realizar actividades fraudulentas.

Falta de Autenticación Multifactor

La autenticación multifactor (MFA) es una medida de seguridad que requiere que los usuarios proporcionen una segunda forma de identificación además de su contraseña. Esto puede incluir un escaneo de huella digital, un código enviado a su teléfono u otra forma de autenticación. Si una cuenta no tiene habilitada la MFA, es más fácil para un estafador tomar el control de la cuenta usando credenciales de inicio de sesión robadas.

Contraseñas Débiles

Si un usuario elige una contraseña débil, es más fácil para un estafador adivinar o crackear la contraseña y obtener acceso a la cuenta. Muchas personas todavía usan contraseñas simples como “contraseña” o “123456”, que son fáciles de adivinar para los estafadores.

Falta de Monitoreo

Si un titular de cuenta no monitorea su cuenta regularmente, puede que no note cuando ocurre actividad fraudulenta. Esto puede permitir que un estafador continúe realizando actividades fraudulentas en la cuenta durante un período prolongado de tiempo.

Tácticas de Ingeniería Social

Los estafadores a menudo usan tácticas de ingeniería social para obtener acceso a la información de la cuenta o credenciales de inicio de sesión. Esto puede incluir hacerse pasar por un representante de servicio al cliente u otra persona de confianza para engañar al titular de la cuenta para que proporcione información sensible.

Qué Hacer si Eres Víctima de Fraude por Apropiación de Cuenta

Si has sido víctima de fraude por apropiación de cuenta, es importante actuar de inmediato para minimizar el daño y prevenir más fraudes. Aquí están los pasos que debes seguir:

Contacta a Tu Proveedor de Cuenta

El primer paso es contactar a tu proveedor de cuenta, ya sea una institución financiera, un proveedor de correo electrónico u otro proveedor de cuenta, y reportar la actividad fraudulenta. Ellos pueden congelar tu cuenta e iniciar una investigación sobre la actividad fraudulenta.

Cambia Tu Contraseña

Si aún no lo has hecho, cambia tu contraseña de inmediato. Elige una contraseña fuerte que sea única para esta cuenta y habilita la autenticación de dos factores si está disponible.

Revisa Tu Informe de Crédito

Revisa tu informe de crédito para detectar cualquier cuenta o actividad no autorizada. Puedes solicitar un informe de crédito gratuito de cada una de las tres principales agencias de crédito una vez al año.

Monitorea Tus Cuentas

Mantén un ojo atento en todas tus cuentas para detectar cualquier signo de actividad fraudulenta adicional. Reporta cualquier actividad sospechosa a tu institución financiera de inmediato.

Presenta un Informe Policial

Si crees que tu información personal ha sido comprometida como parte del fraude por apropiación de cuenta, debes presentar un informe policial. Esto puede ayudarte a disputar cualquier cargo fraudulento o cuentas que se hayan abierto a tu nombre.

Considera la Protección contra el Robo de Identidad

Considera inscribirte en un servicio de protección contra el robo de identidad que pueda monitorear tus informes de crédito y alertarte sobre cualquier actividad sospechosa.

Edúcate

Tómate el tiempo para educarte sobre cómo ocurre el fraude por apropiación de cuenta y qué puedes hacer para prevenirlo en el futuro.

Al tomar estos pasos, puedes minimizar el daño causado por el fraude por apropiación de cuenta y tomar medidas para evitar que vuelva a ocurrir en el futuro.

Leyes Federales y Estatales Dirigidas al Fraude por Apropiación de Cuenta

El fraude por apropiación de cuenta es un problema serio que afecta a muchas personas y empresas. Para combatir este tipo de fraude, se han promulgado leyes tanto federales como estatales para proteger a los consumidores y responsabilizar a los perpetradores. Aquí hay algunos ejemplos de leyes federales y estatales que se dirigen al fraude por apropiación de cuenta.

Leyes Federales

La Ley de Transferencia Electrónica de Fondos (EFTA) y el Reglamento E: Estas leyes requieren que las instituciones financieras brinden protección a los consumidores contra transferencias electrónicas de fondos no autorizadas. También exigen que las instituciones financieras investiguen y resuelvan cualquier transacción no autorizada reportada.

La Ley Gramm-Leach-Bliley (GLBA): Esta ley requiere que las instituciones financieras tengan medidas de seguridad adecuadas para proteger la información personal no pública de sus clientes, incluidas las credenciales de inicio de sesión. Las instituciones financieras también están obligadas a notificar a los clientes si hay una violación de su información personal.

La Ley de Informe Justo de Crédito (FCRA): Esta ley otorga a los consumidores el derecho a disputar información inexacta o fraudulenta en sus informes de crédito, lo que puede ayudar a prevenir el fraude por apropiación de cuenta.

La Ley de Fraude y Abuso Informático (CFAA): Esta ley hace ilegal obtener acceso no autorizado a una computadora o sistema informático, incluida la cuenta en línea de otra persona. Los violadores de la CFAA pueden enfrentar sanciones civiles y penales.

La Ley de Disuasión del Robo de Identidad y Asunción (ITADA): Esta ley convierte en un delito federal transferir o usar intencionalmente la identidad de otra persona sin autoridad legal, lo que incluye tomar el control de la cuenta en línea de otra persona.

Leyes Estatales

Leyes de Notificación de Violación de Datos: Muchos estados tienen leyes que requieren que las empresas notifiquen a los consumidores si su información personal ha sido comprometida en una violación de datos. Esto puede ayudar a los consumidores a tomar medidas para protegerse del fraude por apropiación de cuenta.

Leyes de Protección al Consumidor: Algunos estados tienen leyes de protección de datos del consumidor que prohíben prácticas comerciales engañosas, incluyendo apropiaciones de cuentas fraudulentas.

Código Comercial Uniforme (UCC): El UCC es un conjunto de leyes que rigen las transacciones comerciales, incluidas las transferencias electrónicas de fondos. Muchos estados han adoptado el UCC, que incluye disposiciones que protegen a los consumidores contra transferencias no autorizadas de sus cuentas.

Estas leyes brindan protecciones importantes para los consumidores contra el fraude por apropiación de cuenta y responsabilizan a las instituciones financieras y a los estafadores por sus acciones.

Previene el Fraude por Apropiación de Cuenta con Kiteworks

La Red de Contenido Privado de Kiteworks ayuda a las organizaciones a minimizar el riesgo de fraude por apropiación de cuenta de varias maneras.

• Autenticación Multifactor: Kiteworks ofrece autenticación multifactor (MFA) como medida de seguridad. Esto ayuda a prevenir que los estafadores tomen el control de las cuentas de usuario incluso si han obtenido credenciales de inicio de sesión.
• Permisos Granulares: Kiteworks permite a los administradores establecer permisos granulares para los usuarios, asegurando que solo las personas autorizadas tengan acceso a contenido sensible. Esto puede ayudar a prevenir el acceso no autorizado y reducir el riesgo de fraude por apropiación de cuenta.
• Monitoreo de Actividades: Kiteworks ofrece monitoreo detallado de actividades, permitiendo a los administradores rastrear la actividad de los usuarios y detectar cualquier actividad sospechosa. Esto puede ayudar a identificar potenciales fraudes por apropiación de cuenta antes de que se conviertan en un problema.
• Integración con Herramientas de Seguridad: Kiteworks puede integrarse con una variedad de herramientas de seguridad, incluyendo prevención de pérdida de datos (DLP), para proporcionar una capa adicional de seguridad.
• Colaboración Segura: Kiteworks ofrece una plataforma segura para colaboración y uso compartido de archivos, reduciendo la necesidad de que los usuarios compartan información sensible por correo electrónico u otros métodos inseguros.

Para saber más sobre cómo Kiteworks puede ayudarte a proteger a tus clientes del fraude por apropiación de cuenta, programa una demo personalizada.

Volver al Glosario de Riesgo y Cumplimiento