BOLETÍN INFORMATIVO

www.kunak .com.pe

¿Qué pasó con YAPE?

Análisis de un ciberataque

Ing. Stanley Velando

Especialista en ciberseguridad y seguridad de información
Director y Socio Principal - KUNAK
Febrero 8, 2021
 ¿Qué pasó con YAPE?
Análisis de un ciberataque
Un reciente ataque ha llamado la atención de
todas las empresas que estamos en contacto
con la industria financiera y que, además,
somos felices usuarios de las
innovaciones tecnológicas, tales como YAPE.
En seguridad informática existen los conceptos
de Blue Team y Red Team, son conceptos que
vienen de estrategias de guerra, donde un
equipo ataca (Red Team) y el otro equipo
defiende (Blue Team). Lo que ha sucedido con
YAPE es que los ciber-delincuentes han
utilizado técnicas de Red Team, es decir, han
analizado al enemigo -en este caso YAPE- para
identificar sus debilidades y atacarlo justo ahí.
Pero, ¿qué es lo que identificaron?
Identificaron que si eras cliente del BCP pero
aun no tienes cuenta YAPE (por eso se
orientaron a clientes nuevos), era muy sencillo
afiliar cualquier teléfono a YAPE.  Los únicos
datos reales que necesitabas eran tu número
de tarjeta y tu clave de cuatro dígitos del cajero
automático.  Los otros datos, como el número
del celular y el correo electrónico podían ser de
cualquier persona.   lanzaron el ataque, digamos a 5000 personas,
El proceso de afiliación NO VALIDABA ningún
dato adicional, por ejemplo si el número del
celular donde querías instalar YAPE era el
mismo número de celular que se había
registrado en el banco, o si el correo
electrónico a utilizar era el mismo registrado
en el banco.   mercado negro, afiliarlos a YAPE y empezar a
Toda esta “facilidad” con la finalidad de no
hacer complicado o tedioso el proceso de
afiliación.  La consigna era “hagámoslo simple”.
Ahora se preguntaran… ok ¿pero cómo
obtuvieron el numero de tarjeta y la clave de
cuatro dígitos?.  
Bien acá entra la segunda fase del ataque.  Lo
mas probable es que haya habido un ROBO
O FUGA DE INFORMACION del banco.  Es
decir a través de alguna brecha de seguridad
o un empleado malintencionado, se obtuvo
una lista o reporte de clientes nuevos
(digamos de los últimos 6 meses), con el dato
del número de la tarjeta, el número celular y
el correo electrónico.
En este punto entra la tercera fase del ataque:
INGENIERIA SOCIAL.  A través de mensajes de
texto o WhatsApp al teléfono registrado o a
través de correos electrónicos a la dirección
de las víctimas se hacen llegar mensajes en
los cuales te piden “actualizar” datos,
“verificar algún movimiento de tu cuenta”,
"anular alguna transaccion posiblemente
fraudulenta", etc. El objetivo es conseguir tu
clave de cuatro dígitos del cajero.  Las
estadísticas nos dicen que en promedio el 5%
de estos ataques tienen éxito, entonces si
tendríamos 250 claves de cuatro dígitos. Listo
ya tenemos todo lo que se necesita: el
número de la tarjeta y la clave de cuatro
dígitos.
Ahora todo lo que tenemos que hacer es
conseguir 250 chips de celulares en el
pagar usando YAPE.  

Claro, los montos son limitados, 500 soles al
día, pero ya se está monetizando el ataque, si
se cuantifica en masa, se ha robado un
montón de dinero, además no sabemos en
realidad a cuantas personas se lanzó el ataque,
entonces no se sabe (ni se sabrá) el impacto
real.  El banco obviamente no va a revelar esa
información y va a decir que todo ya esta
controlado y solucionado. Evidentemente
tomará acción para corregir el problema.
Existe otra posibilidad.  Que los ciber-
delincuentes hayan identificado el algoritmo
de generación de números de tarjeta.  Es decir
que hayan “deducido” una serie de números
posibles de tarjetas nuevas y con técnicas de
ADIVINACION DE CONTRASEÑAS hayan
intentando crear las cuentas YAPE, es decir
usando claves fáciles de cuatro dígitos como
“1234”, “4321”, “5555”, etc.  Entonces con los
números de tarjetas nuevas e intentando
claves fáciles hayan dado con la contraseña y
creado las cuentas YAPE. Esta opción es
mucho más trabajosa y menos probable, pero
no por eso imposible.
EN CONCLUSIÓN:
Toda innovación siempre trae riesgos, YAPE es
una gran idea, es muy útil  pero con la
consigna de hacer todo más fácil, se saltaron
pasos de seguridad básicos, como la
VALIDACION DE DATOS.
La validación de datos debió haber incluido:
Con estas dos simples verificaciones se evitaba
el ataque.
RECOMENDACIONES FINALES
Para las empresas en general:
• Es muy bueno INNOVAR, pero siempre se
deben analizar a detalle los RIESGOS que
éstas innovaciones implican.
• Para las innovaciones tecnológicas, se
deben profundizar las técnicas de análisis
de ataques tipo Red Team.
Para las personas:
• NUNCA brinden datos a través de
mensajes de texto, WhasApp, llamadas
telefónicas o correos electrónicos
• Usen contraseñas seguras hasta en el
cajero automático, NO ES UNA BUENA
IDEA poner “1234”, “4321” o algún patrón
como la técnica de los cuadrados “1245” o
“2356” (teclas adyacentes).
• Siempre tapen su contraseña cuando la
ingresan en el cajero o en los POS (puntos
de venta).
• Sean muy desconfiados de ofertas,
sorteos, gangas, etc, cuando algo es muy
bueno para ser cierto, por lo general no lo
es..
Disfrutemos de las innovaciones, pero siempre
pensemos en la seguridad.
KUNAK CONSULTING
Think big. Think Secure.

• Verificar que el número del celular donde

se instala YAPE es el mismo número de
teléfono que la persona ha registrado en
el banco.
• Verificar que el correo electrónico de la
persona es el mismo que la persona ha
registrado en el banco.
 La Seguridad es nuestra pasión
KUNAK es una firma peruana de consultoría especializada en
ciberseguridad y seguridad de la información. Con más de 09
años en el mercado, ha desarrollado más de 300 proyectos de
consultoría en más de 150 clientes, tanto privados como
públicos en el Perú, habiendo también desarrollado servicios
en Chile y Ecuador.

KUNAK cuenta con una planta estable de consultores

CERTIFICADOS y con experiencia en todos los servicios
desarrollados, donde la calificación de nuestros clientes como
“Excelente” o “Muy bueno” dan fe de la calidad y atención
post-venta de nuestros servicios. Nuestras palabras clave son:
servicio de calidad, flexibilidad y valores agregados.

+300
Proyectos de consultoría

+150
Clientes

RISK MANAGEMENT +09

Ing. STANLEY VELANDO - Socio Años en el mercado
svelando@kunak.com.pe
+51 997-146-749
Servicios ISO27001, ISO22301
Gestión de riesgos, Auditorías TI, LPDP
Programas Disruptivos de Concienciación

CYBER SECURITY +51(1) 206-4204

Ing. OMAR PALOMINO - Socio
www.kunak.com.pe
opalomino@kunak.com.pe
+51 987-559-346
info@kunak.com.pe
Hackeo ético
Servicio de cibervigilancia
Diagnóstico de ciberseguridad NIST-CSF