Titulares de tarjetas de crédito y débito en Singapur reportan cargos no autorizados de ChatGPT y Apple

Resumen Tl;DR

• Titulares de tarjetas de crédito y débito en Singapur reportan cargos no autorizados de ChatGPT y Apple, a pesar de no suscribirse a estos servicios.
• Palo Alto Networks observa un aumento en los ataques y intentos de phishing con temática de ChatGPT, destacando el aumento de actividades fraudulentas.
• Para protegerse, los titulares de tarjetas deben configurar alertas de transacciones, revisar los extractos y reportar inmediatamente las transacciones no autorizadas a sus bancos.

En los últimos meses, numerosos titulares de tarjetas de crédito y débito en Singapur y en el extranjero han sido víctimas de cargos no autorizados realizados por empresas legítimas, incluidas ChatGPT de OpenAI y Apple. Estas personas desprevenidas nunca se suscribieron a la versión de pago de OpenAI ni autorizaron ninguna transacción relacionada con ChatGPT. Intentaremos analizar los detalles de estos incidentes, el aumento de los ataques con temática de ChatGPT, los riesgos potenciales y los pasos que los titulares de tarjetas pueden tomar para protegerse.

Cargos no autorizados e intentos de suplantación de identidad

Desde el lanzamiento del programa de inteligencia artificial de OpenAI, han surgido múltiples informes de transacciones no autorizadas relacionadas con suscripciones a ChatGPT. Los clientes se han quejado de haber sido cobrados por un servicio al que nunca se suscribieron, a pesar de haberse registrado solo para una cuenta gratuita de ChatGPT. La firma de ciberseguridad Palo Alto Networks también ha observado un aumento significativo en los ataques con temática de ChatGPT, con URL maliciosas e intentos de phishing que suplantan los sitios oficiales de OpenAI.

Los estafadores suelen utilizar diversas tácticas para suplantar la identidad de empresas legítimas y obtener acceso a los detalles de las tarjetas de crédito y débito. Estas pequeñas transacciones no autorizadas, que pasan desapercibidas para muchos usuarios, podrían servir como un medio para que los cibercriminales validen o identifiquen la información de la tarjeta antes de realizar transacciones fraudulentas más grandes. Aunque la Agencia de Ciberseguridad de Singapur (CSA) no ha recibido informes de transacciones fraudulentas relacionadas con suscripciones a ChatGPT, los riesgos potenciales asociados con estos incidentes son significativos.

Vulnerabilidades explotadas por los cibercriminales

Los expertos en seguridad han identificado los ataques BIN (Bank Identification Number) como un método potencial utilizado por los estafadores para obtener detalles de las tarjetas de crédito. Con los seis primeros dígitos de una tarjeta de crédito, los criminales pueden generar los números restantes, incluido el valor de verificación de la tarjeta (CVV) y las fechas de vencimiento, utilizando software especializado. Estos números de tarjeta completamente generados se prueban luego contra transacciones reales para validar su autenticidad.

En muchos casos, los comerciantes en línea no requieren que los usuarios proporcionen múltiples factores de verificación para transacciones que no impliquen tarjetas físicas. Esta falta de medidas de seguridad estrictas, destinadas a mejorar la conveniencia del usuario, deja espacio para que los cibercriminales exploten vulnerabilidades. Las máquinas de remuneración pueden generar numerosas combinaciones de números de tarjeta hasta que se realice una transacción exitosa, eludiendo la necesidad de aprobación individual para cada transacción.

Además de los ataques BIN, los cibercriminales también pueden obtener detalles de la tarjeta a través de filtraciones de datos o cuando los datos del cliente son robados de sitios web inseguros. Una vez adquiridos los detalles de la tarjeta, pueden utilizarse para realizar transacciones fraudulentas. Se recomienda encarecidamente al público que notifique a sus instituciones financieras y a la policía inmediatamente si encuentran cualquier actividad sospechosa o fraudulenta.

Protección contra cargos no autorizados

Las instituciones financieras desempeñan un papel crucial en la protección de los clientes contra cargos no autorizados. Los clientes generalmente no serán responsables de tales transacciones si los comerciantes no han implementado la autenticación de dos factores, como una contraseña de un solo uso. Sin embargo, la responsabilidad recae en los comerciantes para activar la autenticación 3D Secure (3DS), un paso adicional que requiere que los clientes ingresen una contraseña o código enviado a su teléfono antes de completar un pago.

Precauciones y monitoreo del cliente

Para protegerse contra cargos fraudulentos, los clientes deben tomar medidas proactivas. Utilice servicios de protección contra el robo de identidad para monitorear las cuentas y proporcionar opciones de reembolso en caso de robo de identidad. Configure alertas de transacciones para incluso las cantidades más pequeñas, como $0.01, a través de sus aplicaciones bancarias. Por último pero no menos importante, revise regularmente los extractos de la tarjeta en busca de cualquier discrepancia y reporte inmediatamente las transacciones no autorizadas al banco.