Dan Borgogno

Clarín Verified account @clarincom · Aug 14

MOSTRARON CÓMO SE PUEDE HACKEAR LOS CONTROLES BIOMÉTRICOS DE BANCOS Y FINTECH

Lectura rápida
Investigadores de Argentina y Ecuador mostraron en DEF CON 34 que algunos sistemas biométricos usados por bancos y fintech pueden ser manipulados desde el teléfono. En pruebas realizadas con autorización lograron introducir imágenes y videos preparados, superar pruebas de vida y engañar controles contra deepfakes.

Aclaración
Esto no significa que todas las aplicaciones bancarias sean vulnerables ni que haya que abandonar el reconocimiento facial: el mayor riesgo aparece cuando la biometría funciona como única barrera para abrir, recuperar o trasladar una cuenta a otro dispositivo.

Biometría vulnerable
Dan Borgogno y Javier Bernardo analizaron durante más de seis meses algunos de los principales sistemas biométricos utilizados por bancos y proveedores tecnológicos. Según los investigadores, alcanzaron una tasa de evasión del 100% en los frameworks que probaron. Utilizaron imágenes de rostros y técnicas para reemplazar la información capturada por la cámara antes de que llegara al sistema biométrico.

Pruebas de vida
Los ecuatorianos Xavier Riofrío Machado y Alex Tipan analizaron aplicaciones financieras reales. En pruebas realizadas con autorización, lograron superar controles biométricos y pruebas de vida mediante imágenes y videos controlados, incluido material generado con inteligencia artificial. Detectaron riesgos especialmente en procesos de alta y reenrolamiento de clientes cuando no existía una verificación adicional.

El teléfono como riesgo
Los investigadores señalaron que el problema no está en el reconocimiento facial como tecnología aislada, sino en cómo se integra dentro de las aplicaciones y cuánto confían bancos y fintech en los datos procesados por el dispositivo del usuario. Si un atacante consigue manipular la aplicación o el recorrido de las imágenes, puede sustituir la información real por contenido preparado. El avance de los deepfakes aumenta ese riesgo.

Más factores de seguridad
Los especialistas recomiendan que el reconocimiento facial no sea el único requisito para acceder, recuperar o trasladar una cuenta. Proponen combinarlo con contraseñas, códigos temporales, dispositivos de confianza y verificaciones adicionales. También sugieren trasladar más controles a los servidores de las entidades y utilizar desafíos generados en tiempo real.

(+) en Clarín: clar.in/45rRQrq

View quoted post on X

Faraday Security @faradaysec · May 22

“No Spec, No Problem: Automated ISA Reverse Engineering with Multi-Agent AI” en el Main Track de @ekoparty

Les dejamos la nota de Clarín para conocer más sobre la investigación, de @GastonAznarez y @DBorgogno

clarin.com/tecnologia/arg…

View quoted post on X

Dave Aitel @daveaitel · May 21

Everyone always chooses the blue pill lol

View quoted post on X