Guía Ciberseguridad Bnext
Bnext es una Entidad de Dinero Electrónico autorizada por el Banco de España para operar como tal. Por ese motivo, Bnext es una entidad obligada por la normativa española y europea al cumplimiento de ciertos requisitos normativos y regulatorios, relacionados con la privacidad y protección de datos de l@s usuari@s y la seguridad de la información y las transacciones bancarias.
Además, desde Bnext estamos muy comprometidos con la seguridad de los datos personales y la información facilitada por nuestr@s usuari@s, por lo que hemos preparado esta Guía para que estéis al tanto de cómo se cometen los ciberfraudes y de cómo actuamos desde Bnext para prevenirlo.
Y es que en los últimos años el comercio electrónico y las compras online se han multiplicado, convirtiéndose en una de las opciones preferidas de l@s usuari@s para comprar cualquier cosa desde cualquier lugar. No obstante, frente a las múltiples ventajas de estas compras en línea, nos encontramos con una serie de riesgos, asociados en su mayoría a fraudes relacionados con el robo de tarjetas o de datos personales para realizar pagos no autorizados por el titular.
¿Cómo actúan los ciberatacantes y cuáles son los casos más comunes?
El ciberfraude consiste en el robo de datos personales, normalmente bancarios, con la finalidad de causar un perjuicio económico o suplantar la identidad de una persona o entidad para cometer algún tipo de fraude.
Estos ciberfraudes se cometen a través de diferentes medios, como el envío de SMS o e-mails o a través de llamadas telefónicas suplantando la identidad de una entidad bancaria o cualquier otra compañía indicando, por ejemplo, que el usuari@ debe proporcionar los datos de su tarjeta de pago por algún motivo.
Te enumeramos a continuación las principales vías para la comisión de ciberfraude:
- Phishing/Smishing/Vishing: El ciberatacante, a través de un e-mail, un SMS o una llamada de teléfono intenta suplantar a una empresa legítima (normalmente, bancos, empresas de paquetería, eléctricas, de mensajería o de telecomunicaciones), identificándose como tal o utilizando una dirección de e-mail similar a la oficial, copiando su marca, logo, textos, etc. A través de estos mensajes o llamadas se solicita al usuari@ que aporte ciertos datos, incluyendo los datos de su tarjeta de crédito, para realizar algún pago o gestión pendiente. Una vez el usuario facilita estos datos, los mismos son utilizados por los ciberdelincuentes para realizar pagos no autorizados. En ocasiones, los cargos en la tarjeta son de pequeñas cantidades repartidas en el tiempo, de tal manera que el usuari@ tarda más tiempo en darse cuenta.
- Anuncios en Webs/Apps de compraventa de segunda mano: A través de páginas web o aplicaciones de reventa o compraventa de productos de segunda mano, los ciberatacantes captan a su víctima haciéndoles creer que va a comprar o vender un producto dentro de estas plataformas. Para ello, solicitan al comprador o vendedor, a través de mensajes dentro de estas plataformas, el número de su tarjeta de crédito. No obstante, estas intenciones de compra o venta son falsas, por lo que utilizan los datos de tarjeta facilitados para realizar cobros no autorizados.
- Falsas ofertas de empleo: A través de diferentes redes sociales o portales de empleo, se publican ofertas de empleo falsas y, con ese pretexto, se solicita al usuari@ una serie de datos personales con la finalidad de abrir una cuenta falsa en una entidad bancaria o de realizar cobros indebidos. Por ejemplo, pueden solicitar datos como la fotocopia del DNI y el número de IBAN y, con esos datos, llevar a cabo domiciliaciones bancarias en nombre de la persona afectada. También pueden obligar al usuari@ a crear una cuenta Bnext para, supuestamente, poder cobrar el salario del empleo prometido, que luego será utilizada por los ciberdelincuentes para llevar a cabo acciones fraudulentas.
- Premios: En ocasiones, los ciberdelincuentes actúan enviando mensajes a l@s usuari@s, por e-mail o SMS, indicándoles que han obtenido un premio y que, para recibirlo, deben hacer click en algún enlace o proporcionar ciertos datos personales. Estos mensajes son completamente falsos, por lo que en ningún caso se debe solicitar la información proporcionada.
- Suscripciones: En los últimos meses, se ha incrementado el uso de páginas webs legítimas de venta de productos o servicios que, de manera inconsciente para el usuari@, crean una suscripción automática al realizar una compra o una prueba gratuita. De esta manera, en los sucesivos meses, se aplicarán una serie de cargos a la cuenta del usuari@ que este desconocía. Estas webs se escudan en el hecho de que, al realizar una compra y aceptar los Términos y Condiciones, el usuari@ está aceptando, voluntariamente, una suscripción, incumpliendo en muchas ocasiones la normativa de consumidores y usuarios en relación a la información clara y transparente.
- Creación de cuentas Bnext: En ocasiones, los ciberdelincuentes piden a la persona afectada que se cree una cuenta Bnext, ofreciéndole incluso una recompensa por ello.La finalidad, en este caso, no es realizar un perjuicio económico a través de cargos no autorizados, sino suplantar la identidad de la persona afectada para, con la cuenta creada a su nombre, realizar actos fraudulentos, relacionados, normalmente, con el blanqueo de capitales o la comisión de otros delitos. Esta práctica resulta muy peligrosa ya que, al estar la cuenta a nombre de una persona, será esta la que cometa un fraude o delito en caso de existir.
- Clonaciones de webs (web spoofing): A través de la clonación o copia de páginas web reales, o de la creación de páginas web falsas con productos a precios reducidos, los ciberdelincuentes nos hacen creer que vamos a comprar un producto (normalmente, a precio sospechosamente bajo) o a realizar otras acciones como alquilar un piso. Para ello, nos solicitan los datos de nuestra tarjeta de crédito que finalmente se utilizará para realizar cargos no autorizados, y en ningún caso se recibirá el producto o servicio facilitado.
¿Qué hacemos desde Bnext para proteger a nuestr@s client@s de este tipo de ataques?
Desde Bnext estamos muy comprometidos con la seguridad de la información y los datos personales de nuestr@s usuari@s. Estas son algunas de las medidas que tenemos implementadas para proteger a los mismos ante cualquier tipo de ciberfraude:
- Contraseñas de acceso a nuestra App de manera segura (4 a 6 dígitos, únicamente modificables por el propio usuario) o acceso a través de reconocimiento facial.
- Doble autenticación a través de SMS en caso de acceder a tu cuenta desde otro dispositivo no vinculado a tu cuenta.
- Las contraseñas y el PIN de las tarjetas se envían y almacenan encriptados, por lo que nadie tiene acceso a ellos.
- Contamos con un sistema de autenticación reforzada a través de doble verificación para la realización de compras con tu tarjeta, reforzando la seguridad en caso de robo.
- Notificación instantánea de cada compra realizada, salvo que desactives esta opción.
- Posibilidad de bloqueo de tarjeta en cualquier momento, desde la propia App o a través de nuestra web.
- Rigurosos procesos de verificación de identidad para la apertura de cuentas Bnext, con doble verificación digital y humana.
- Bloqueo de tarjetas por operativas sospechosas a través de alertas preestablecidas.
- Únicamente acceden a la información personal de nuestr@s client@s aquell@ emplead@s de Bnext que lo necesitan para el desarrollo de sus funciones.
- Robustas medidas de seguridad contra accesos no autorizados a los datos personales de nuestr@s client@s, garantizando la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento de dichos datos.
¿Cómo detectar el ciberfraude?
- Se debe comprobar siempre la dirección de correo electrónico del remitente (en nuestro caso, debe estar bajo el dominio “@bnext.es”). Ante cualquier sospecha de fraude, contacta con el remitente por el medio de comunicación que normalmente utilices con el mismo para asegurarte de su identidad.
- Nunca se debe facilitar los datos de la tarjeta por e-mail, SMS o llamada telefónica, así como a través de chat por aplicaciones como las de compraventa de segunda mano. Si se va a realizar una compra online, se debe comprobar que la página web es segura, verificando que tenga un candado en la barra de direcciones y que la compañía esté correctamente identificada en sus textos legales. Por obligación legal, todas las páginas web deben identificar correctamente al titular de las mismas.
- En caso de duda, se debe buscar la página en la que se desea comprar a través de un buscador para conocer la opinión de otr@s usuari@s y la veracidad de la misma.
- Se debe sospechar de cualquier comunicación que resulte insistente o solicite información con urgencia, así como aquellas con faltas de ortografía o en un idioma diferente al habitual.
- No se debe hacer click en los enlaces incluidos en e-mails o SMS.
¿Qué pueden hacer l@s usuari@s para estar protegid@s frente al ciberfraude?
- Se deben utilizar claves de acceso difíciles y que solamente el titular conozca para acceder a la App de Bnext. Además, el usuari@ puede optar por la opción de activar el reconocimiento facial, de tal manera que se garantiza que sólo esa persona accede a su cuenta a través de nuestra App.
- Se debe mantener siempre actualizada la App de Bnext en su última versión.
- No se debe compartir los datos de la tarjeta Bnext con nadie y, si se realizan compras online, se debe verificar siempre que se trata de una web de confianza.
- Se debe evitar la conexión a través de redes wifi públicas, ya que pueden comprometer la seguridad de la información del dispositivo.
- Nunca se debe facilitar los datos personales a otra persona para que abra una cuenta en Bnext u otra entidad bancaria.
- Se debe desconfiar siempre que se encuentre una página web donde se vendan productos o servicios sospechosamente baratos respecto a su precio habitual, así como de la obtención de premios en sorteos o concursos en los que no hayamos participado.
¿Qué hacer en caso de ser víctima de un ciberfraude?
En caso de considerar que se ha sido víctima de un ciberfraude, se debe comunicar inmediatamente el hecho a la entidad a través de la cual se ha cometido el ataque. Además, dependiendo del caso concreto se deberá hacer lo siguiente:
- En caso de pérdida o robo del DNI o cualquier otro documento de identidad, se debe denunciar inmediatamente ante la Policía.
- En caso de pérdida o robo de la tarjeta de pago o crédito de cualquier entidad, hay que ponerse en contacto inmediatamente con la misma para su bloqueo, además de denunciar ante la Policía en caso de robo. En caso de robo de una tarjeta Bnext, se puede bloquear a través de nuestra App, por la web o escribiendo a support@bnext.es.
- En caso de recibir un e-mail sospechoso, se debe denunciar dentro del servidor de correo (todos los servidores de correo cuentan con la opción “denunciar suplantación de identidad”), y a continuación eliminar el mensaje. En caso de ser cliente de la entidad que remite el mensaje, se debe comunicar a la misma el caso de suplantación de identidad.
- En caso de recibir un SMS sospechoso, se debe bloquear el número de teléfono desde el que se ha enviado y eliminar el mensaje.
- En caso de recibir una llamada sospechosa, se debe bloquear el número de teléfono desde la que se ha recibido la misma.
¿Cómo actúa Bnext en caso de fraude cometido a través de una de nuestras cuentas?
En ocasiones, debido a alguno de los motivos expuestos en esta Guía, l@s usuari@s sufren cargos en su cuenta Bnext que no reconocen, y Bnext hará lo posible para ayudar en la reclamación de los mismos.
Para que podamos acompañar a l@s usuari@s a interponer una reclamación a través de MasterCard, es importante tener en cuenta que todos nuestros pagos deben ser siempre autorizados por el usuari@ a través de nuestra App.
Por tanto, si el pago ha sido autorizado por el usuari@ a través de cualquiera de nuestros métodos de autenticación, ya sea biométricamente (reconocimiento facial o por huella dactilar) o por PIN, no podrá reclamarse como un movimiento fraudulento, al entenderse que ha sido el usuari@ el que ha aceptado ese pago accediendo a su App de Bnext a través de los medios indicados anteriormente.
No obstante, si el usuari@ considera que no ha aceptado un pago y, al intentar ponerse en contacto con el comercio en cuestión, no consigue que se le devuelva el importe de la transacción no reconocida, podrá ponerse en contacto con Bnext para que le ayudemos a gestionar la incidencia.
Es importante que, en el momento en el que el usuari@ reciba un movimiento aparentemente fraudulento, bloquee la tarjeta y se ponga en contacto con nuestro equipo de soporte (support@bnext.es) para que se le indiquen los pasos a seguir.
Una vez bloqueada, solicitaremos al usuari@ afectad@ que nos aporte una denuncia policial en la que consten los movimientos reclamados, para los que podremos dar el proceso de reclamación correspondiente con MasterCard. El usuari@ deberá además rellenar un formulario que será proporcionado por Bnext para aportar toda la información necesaria.
El usuari@ afectad@ cuenta con 110 días desde que el movimiento haya caído en firme en la cuenta para ponerse en contacto con Bnext. De lo contrario, Bnext no puede garantizar que la reclamación pueda ser gestionada.
Los movimientos que podremos reclamar y que serán devueltos al usuari@ serán aquellos que no estén confirmados mediante cualquier método de autorización de la tarjeta de los anteriormente mencionados, no se haya introducido ningún parámetro que haya facilitado la confirmación del cargo, o en los que el usuari@ no tenga la web o comercio tokenizados en su tarjeta (es decir, esté “suscrito” a la misma o haya aceptado algún cargo anterior mediante la marcación de una casilla que confirme los movimientos posteriores).
En consecuencia, los movimientos que no podremos reclamar son aquellos en los que el usuari@, bien por sí mism@, bien a través de un robo o suplantación de identidad de un tercero, haya confirmado o autorizado el cargo por alguno de los medios previstos.
¿Qué obligaciones legales tienen las entidades de dinero electrónico para combatir el fraude?
Bnext, como entidad de dinero electrónico, cuenta con una serie de obligaciones legales, al igual que otro tipo de entidades financieras, tendentes a prevenir, combatir y comunicar cualquier tipo de fraude que detecten, proteger nuestras cuentas de delitos relacionados con el blanqueo de capitales y la financiación del terrorismo y salvaguardar la información personal los datos de l@s usuari@s y de sus cuentas y tarjetas.
Entre estas obligaciones, además de la normativa de protección de datos (Reglamento General de Protección de Datos -RGPD- y otras leyes relacionadas) y de prevención de blanqueo de capitales y la financiación del terrorismo (LPBCFT), estamos sometidos a normativas como la regulación europea sobre servicios de pago electrónicos (PSD2) o los estándar de seguridad para tarjetas de pago (PCI).
¿Cómo detectamos los fraudes en Bnext?
Como hemos indicado, en Bnext estamos muy comprometidos con la seguridad de la información y los datos personales de nuestr@s usuari@s. Por ello, tenemos implementadas una serie de medidas tendentes a detectar acciones u operaciones fraudulentas de manera preventiva, así como a mitigar aquellos casos detectados de manera reactiva:
- Exhaustivos procesos de verificación de identidad, con doble verificación digital y humana, de manera previa a la apertura de la cuenta.
- Filtros y límites preestablecidos para las operaciones o transacciones, de manera que se restrinjan a aquellas operaciones que puedan resultar sospechosas.
- Solicitud de documentación adicional en caso de que se considere necesario por sospechas de fraude.
- Posibilidad de bloqueo inmediato de cuentas ante sospechas o reportes de fraude, hasta que se analice el caso con detenimiento.
- Colaboración con las autoridades competentes en caso de ser requeridos para la identificación de casos de fraude.
¿Cómo actúa Bnext ante un caso de fraude?
En Bnext, los equipos de seguridad de la información (tecnología), protección de datos personales y prevención del blanqueo de capitales trabajan de manera conjunta y coordinada para prevenir y reaccionar de manera inmediata ante casos de fraude.
En caso de detectar, tanto de manera previa a que ocurra o a posteriori, un caso fraudulento relacionado con el uso de una cuenta o tarjeta Bnext, nuestros equipos valoran la posibilidad de bloquear la cuenta afectada para que no se puedan realizar más operaciones a través de ella, analizando detenidamente cada caso concreto para determinar qué medidas tomar.
A partir de este momento, realizamos las investigaciones internas correspondientes para conocer más en profundidad el detalle del caso, y poder realizar las acciones correspondientes, tales como solicitar más información a la persona afectada o ponerlo en conocimiento de las autoridades competentes en caso necesario.
Además, nuestros equipos de soporte y el Servicio de Atención al Cliente (SAC) se encargan de resolver todas las dudas y reclamaciones de nuestr@s usuari@s en este sentido.
Direcciones de contacto
- Para contactar con nuestro equipo de soporte para el bloqueo de tarjetas o cualquier otra duda relacionada, se puede escribir a support@bnext.es.
- En caso de haber sufrido algún robo de datos personales, suplantaciones de identidad o para cualquier otra cuestión relacionada con esta materia, se puede contactar con nuestro Delegado de Protección de Datos en dpo@bnext.es.
- En caso de ser una autoridad o administración pública y necesitar información sobre usuari@s u operaciones de Bnext, pueden contactar con nosotros a través de pbc-ft@bnext.es.
- Para interponer una reclamación formal ante nuestro Servicio de Atención al Cliente, puede hacerse a través de sac@bnext.es.
