El sitio de la dark BidenCash, dedicado a la venta de datos de tarjetas de crédito y débito robadas, cumplió un año y lo celebró publicando de forma gratuita una base de datos con 2.165.700 tarjetas de crédito y débito.

Una sorprendente "oferta" de un foro donde  ha filtrado 2 millones de tarjetas de crédito y débito, que ofrece gratis a todos los visitantes, en vez de cobrar por la base de datos. La industria del crimen online es tan grande que hasta organiza promociones para atraer clientes.

Según reveló Cyble, que fueron quienes descubrieron la publicación de esta información, el anuncio de BidenCash tiene como objetivo promocionar el servicio. Los datos filtrados incluyen, además del número de la tarjeta, fecha de expiración (que en algunos casos llega a 2052) y código de seguridad, otra información personal complementaria, como nombre, dirección de correo, número de teléfono y domicilio.

La tienda de BindenCash cumple un año de actividad delictiva a través de la Deep Web,dedicada a vender números robados tarjetas bancarias, junto al código de seguridad CVV que permite emplearlos para hacer compras online. 

Los datos corresponden a tarjetas de crédito y débito de distintos países. Si bien Estados Unidos aparece como el más afectado con 965 mil registros, en segundo lugar aparece México con 97.663 y China en tercer lugar con 97.003.

Según explicó Andrea Draghetti de la firma D3labIT a BleepingComputer, si bien luego de analizar la base se observó que muchos de los datos eran duplicados, más de dos millones eran únicos. Asimismo, la base de datos también incluye 497.000 direcciones de correo electrónico únicas que pueden ser utilizadas para el envío de correos de phishing o realizar otro tipo de fraudes como robo de identidad.

Por otra parte, si bien los investigadores no pudieron confirmar la validez de los datos filtrados, esto no quiere decir que pueden ser desestimados por los bancos ni por los clientes. Más allá de los datos de las tarjetas de crédito y débito, el resto de la información personal también puede ser aprovechada para ataques de phishing y otros fraudes, por lo tanto el riesgo existe.

BidenCash es un sitio que está activo desde el 28 de febrero de 2022 y ya ha utilizado otras veces la filtración de bases de datos como una estrategia para promocionar sus servicios. En octubre hizo lo mismo con una base de datos que contenía más de 1.2 millones de tarjetas de crédito.

La empresa de ciberseguridad Cyble ha detectado una promoción de aniversario inesperada, pues BindenCash permite descargar sin coste una base de datos con 2 millones de tarjetas, incluyendo casi 1 millón de Estados Unidos, pero también de España, México y otros países de Latinoamérica.

No sabemos cuántas de estas tarjetas siguen siendo válidas, pero los datos que BindenCash ofrece son todos los que suelen necesitar los ciberdelincuentes:

1. Números de tarjetas con código CVV y fecha de caducidad.
2. Nombre y apellidos del titular.
3. Dirección física asociada a la tarjeta.
4. Número de teléfono y email del titular.

No hablamos de tarjetas caducadas, aunque sí es posible que muchas estén canceladas. Al final, el foro se dedica a vender este tipo de información ilegal, así que regalar una base de datos tan grande y de alta calidad iría contra sus intereses.

Incluso si las tarjetas de crédito están canceladas por sus propietarios, los datos personales filtrados son muy delicados. Podrían emplearse para un ataque de phishing, en el que se suplante al banco al conocer medios de contacto y detalles de los clientes.

BindenCash solo es accesible a través de la red Tor, así que no es sencillo entrar, pero esta red orientada a la privacidad resulta popular, por lo que pronto la base de datos será de dominio público.

Por ahora no hay manera de saber si nuestra tarjeta se encuentra entre las robadas. Es de imaginar que los departamentos antifraude de los bancos no tardarán en hacerse con la lista, y cancelarán de manera masiva todos los números de tarjeta filtrados, asignando unos nuevos a sus clientes.

Desde luego, debemos ser muy cautos al facilitar los datos de la tarjeta bancaria, analizando si la tienda o app es segura, y valorar alternativas que protejan mejor la información financiera, como PayPal o Bizum, para no ser comprometidos.

Fuentes:

https://www.welivesecurity.com/la-es/2023/03/06/filtran-base-datos-2-millones-tarjetas-credito-debito/

https://www.elgrupoinformatico.com/seguridad/filtran-gratis-mas-millones-tarjetas-credito/

https://www.safetydetectives.com/news/verizon-breach-report/