Asufin ha puesto una reclamación ante el Banco de España por "un grave fallo de seguridad en los sistemas de Unicaja". Tal y como señalan los ciberdelincuentes suplantan los sms de la entidad, colocándose éstos en la misma línea de comunicación de los legítimos de Univía, y llegan a poder comunicarse telefónicamente desde el número de la entidad.

La asociación ha asegurado que este es el origen de los casos demphishing generalizados y masivos. Según Asufin, “hasta tal punto es grave el agujero originado”, que los ciberdelincuentes han tenido acceso a los datos personales de los clientes, como DNI.

La reclamación alerta de que “esta forma de operar está siendo masiva, sin que hasta la fecha se haya logrado detener por Unicaja, ni esté advirtiendo de la misma a sus clientes, ni la misma haya cambiado el número de teléfono de su SAC o al menos haya implementado medidas de seguridad para impedir la utilización ilegítima del mismo”.

Desde Unicaja Banco aseguran que no se puede hablar de fallos ni de brecha en los sistemas de seguridad de Unicaja Banco, ni de que la entidad facilite datos o información de clientes, sino que se produce una interacción directa entre el ciberdelincuente y la víctima, que es quien al facilitar al ciberdelincuente sus claves, permite la actuación fraudulenta. "Esa interacción se produce fuera de los sistemas del banco y por mucho que las entidades desplieguen, como lo hacen, una intensa actividad para detectar actividades delictivas, no es posible evitar que se produzca esa interacción y que el propio cliente acabe facilitando sus contraseñas y claves al delincuente".

Ante esto, Unicaja Banco recuerda que nunca pide al cliente por teléfono, SMS o email las claves de acceso a la banca digital ni datos confidenciales. Las ciberestafas son un fenómeno que afecta de forma frecuente a clientes de todo tipo de empresas y sectores, como ponen de manifiesto las fuerzas de seguridad o las instituciones de ciberseguridad, y que también sucede en otros países.

Unicaja Banco !viene realizando una labor constante y reiterada de alerta y de concienciación mediante la publicación de información referente a nuevas modalidades de fraude online, tanto en redes sociales como en otros soportes, en la que se refuerzan una serie de pautas para evitar ser víctimas de los ciberdelincuentes!.

Como es habitual, y para cualquier ámbito, Unicaja Banco atiende a sus clientes por los distintos canales establecidos, siendo consciente de la importancia y alcance del fenómeno de las ciberestafas en la sociedad, y del efecto que pueda tener en sus clientes, y por ello, presta toda la colaboración posible en esta materia

Asufin explica que el modus operandi de esta ciberestafa es altamente inquietante dado que, como explica el texto, “debe existir una brecha de seguridad en la custodia de los datos de sus clientes por parte de Unicaja, toda vez que en la llamada se usa el DNI de los clientes para inspirar confianza y así lograr obtener el acceso a sus cuentas. Parece que dicha brecha se produjo en el proceso de fusión con Liberbank, en el mes de junio”.

Además, los ciberdelincuentes han podido suplantar los sms de Univía, la banca digital de Unicaja, desde los que redirigir a la víctima para solicitar el resto de credenciales. Y lo que es peor, acceder a la numeración telefónica legítima de Unicaja para poder realizar llamadas desde ese número y terminar de dar la apariencia de verosimilitud.

Según la asociación de usuarios, un cliente recibió un mensaje de la banca digital con un enlace al que accedió y fue objetivo de suplantación. Al llamar al servicio de atención al cliente de Unicaja no le respondieron y a los pocos minutos recibió una llamada de ese servicio que supuestamente había detectado el ataque y querían impedirlo. La persona de la llamada identifica el DNI del cliente y le solicita las claves para bloquear las operaciones, pero lo que estaban haciendo los estafadores era pedirle información para hacer transferencias

Asufin denuncia que “la entidad incurrió en un incumplimiento de sus deberes de diligencia en la prevención del fraude mediante phising, que le hace ser responsable del perjuicio total pues no podía Unicaja ignorar el uso fraudulento de estos sms, ni de su número de atención al cliente. No consta tampoco que hubiera avisado y prevenido de ello a sus clientes, ni que hubiera implementado mecanismos antiphishing de protección de los usuarios de los instrumentos de pago por ella emitidos frente al uso fraudulento”.