Mi banco usa un sistema de seguridad basado en un lector de tarjetas para la banca en línea. La tarjeta es la misma que se usa para cajeros automáticos y pagos en tiendas. Hay varios ataques conocidos en este sistema, por ejemplo, como se describe en aquí y here .
No tengo información detallada sobre los lectores utilizados por mi banco. Lo que sé es:
- Se pueden operar con o sin cable USB.
- Los lectores son intercambiables, es decir, no contienen información personalizada asociada con mi cuenta.
Mi pregunta es, qué puedo hacer para minimizar el riesgo de fraude. Mis pensamientos hasta ahora son:
- Utilice Tor para cualquier interacción con el sitio web del banco.
- Use una instalación de Linux en un VirtualBox (u otra VM), que se usa solo para la banca en línea. Sin embargo, según tengo entendido, esto no me protegería de los registradores de teclas en mi PC host. Tampoco me queda claro qué tan grande es el peligro debido a los registradores de claves con un lector de tarjetas, ya que el PIN se ingresa en el lector, no en la PC.
- Cuando se usa con una conexión USB, es necesario usar un controlador en la PC host (disponible solo para Windows, por lo que en realidad no es una opción, también debido a la disminución implícita de la seguridad). Por otro lado, por lo que entiendo, la conexión USB podría usarse para obtener mayor seguridad, al mostrar información específica de la transacción en el lector de tarjetas, que el usuario tiene que confirmar. Pero como entiendo por los documentos vinculados anteriormente, a menudo esto no se implementa correctamente, así que no sé si el modo no conectado sería realmente más seguro.
- Las mismas tarjetas se utilizan para la banca en línea y para los cajeros automáticos y terminales de pago. Por lo tanto, parece que perder el PIN y la información en el chip de la tarjeta (a través de la limpieza y / o ser observado al ingresar el PIN) automáticamente dará a los atacantes acceso a la banca en línea. Ya que mi esposa y yo tenemos una tarjeta para la misma cuenta, ¿tiene sentido (en la medida de lo posible) usar una de las tarjetas como la "tarjeta bancaria en línea" y la otra como una "tarjeta de cajero automático"? ¿Eso disminuiría sustancialmente el riesgo, o estoy pasando por alto algo?
¿Podría aclarar mi comprensión de los puntos que describí, así como proporcionar más información?