Sobre la seguridad en ING

[Pulchjam]

Buenas, acabo de abrir una cuenta naranja después de mucho leeros por aquí y me llaman la atención varias cosas.

La primera que cuando solicité la cuenta a través de su web el formulario no estaba encriptado. Los datos personales ya casi son lo de menos, pero me pedía que seleccionara mi contraseña. Ni pizca de gracia me hizo claro. Luego me llega al correo una nueva contraseña, que se supone invalida la otra ¿Qué objeto tenía pues la primera? ¿O es que pq yo seleccioné que me enviaran la documentación y si la hubiera impreso no recibiría una nueva contraseña? ¿Si este supuesto fuera cierto entonces mi clave válida había viajado sin encriptar por la red¿ Perfecto pues.

Luego me entero que si quiero cambiar dicha clave tengo que hacerlo por teléfono con un operador. No puedo hacerlo desde la web, encriptada o no encriptada. Con uno de esos operadores que te piden tu DNI pese a que ya lo has introducido en el teclado numérico. No me parece normal que a un operador le tenga que decir mi DNI y mi contraseña. ¿qué más datos necesita para acceder a mi cuenta? ¿Mi fecha de nacimiento? Si no la ve en pantalla ya seguro que con mi DNI será muy fácil de obtener, y a ello ayuda precisamente ING gracias a lo que ya comenté del formulario de alta.

Y la última duda que me asalta es lo fácil que le resulta a un cualquiera crear una cuenta naranja asociada a una de nuestras cuentas bancarias. Mucha gente tiene acceso a mis datos, a una fotocopia de mi DNI y mi número de cuenta bancaria (cualquier persona de RRHH de una empresa en la que hayamos trabajado tiene lo necesario), no necesita más para crearse una cuenta asociada a la mía y yo ni me entero. Incluso es bastante fácil conocer cuál es el saldo actual de una cuenta de cualquier a de nosotros.
Tengo entendió que desde una cuenta naranja sólo se pueden ordenar OTEs y no transferencias, por lo que aunque pudiera traspasar mi dinero a ING luego no podría transferirlo pero ¿Se puede crear con la misma impunidad una cuenta nómina?

Mal empezamos con ING

Gracias por la ayuda.

 

[tucapital.es]

Con las cuentas Naranja no suelen tener problemas de seguridad, porque no te permite nada más que transferencias de dinero entre la cuenta Naranja y las cuentas asociadas, y para que se pueda realizar transferencias entre la cuenta Naranja y la cuenta asociada, necesariamente deben de tener un titular en común. Por lo tanto, si te pillan tus claves, lo único que pueden hacer es mover dinero entre tus propias cuentas.

Otra cosa son las cuentas nómina, que pueden realizar transferencias a cualquier cuenta bancaria, pero igualmente tiene un sistema de seguridad mejor, que consiste en una tarjeta de coordenadas que te proporcinan cuando abre dicha cuenta.

Dicho esto, también quiero darte la razón que debería de estar encriptado el formulario de alta puesto que va información confidencial.

Salu2

 

[Pulchjam]

Ya, pero lo que vengo a decir es que cualquier puede crear una cuenta con ING dando mi nombre y asociarla a una cuenta mia. De esta manera en realidad soy titular de las 2 cuentas pero yo desconozco la existencia de la de ING hasta que me entero de que el dinero ha desparecido de mi cuenta no-ING (via OTE) y si el dinero ha ido a una cuenta nómina, la cual también es muy fácil de falsificar, transferencia y bye bye caudales.
Ya digo, para una cuenta naranja no creo q exista problemas, no se pueden realizar transferencias, y desconozco los requisitos para solicitar una cuenta nómina pero visto lo visto no creo que presente mayores dificultades.
Y si me apuras igual existe la posibilidad de asociar una tercera cuenta que permita transferenicas, tipo unoe, a la cuenta naranja y pedir 2 OTEs en cadena.

 

[federicoterron]

Ya, pero lo que vengo a decir es que cualquier puede crear una cuenta con ING dando mi nombre y asociarla a una cuenta mia. De esta manera en realidad soy titular de las 2 cuentas pero yo desconozco la existencia de la de ING hasta que me entero de que el dinero ha desparecido de mi cuenta no-ING (via OTE) y si el dinero ha ido a una cuenta nómina, la cual también es muy fácil de falsificar, transferencia y bye bye caudales.
Ya digo, para una cuenta naranja no creo q exista problemas, no se pueden realizar transferencias, y desconozco los requisitos para solicitar una cuenta nómina pero visto lo visto no creo que presente mayores dificultades.
Y si me apuras igual existe la posibilidad de asociar una tercera cuenta que permita transferenicas, tipo unoe, a la cuenta naranja y pedir 2 OTEs en cadena.

Y de donde sacas la fotocopia del DNI?
Se pueden tener varias cuentas naranjas?

 

[Aguilucho]

Cada OTE tarda entre 4 y 5 dias en hacerse efectiva. Y la primera de cada mes se retiene durante 30 dias.
Aparte la mayor parte de los bancos cuando ven una OTE por primera vez suelen llamarte para comprobar que todo es correcto y a la mímina la deniegan (no les suele gustar que les quiten dinero así que hacen lo que sea).
Para falsificar todo eso y abrir varias cuentas tendrías que tener copias de los DNIs, que te envien los documentos a algún sitio que tú lo recibas pero no te puedan relacionar (porque si lo intentas recibir en tu casa muchas luces no tienes), etc... vamos, que realmente no cualquiera lo puede hacer.


Ah, para la cuenta nómina, hasta el ingreso de la primera nómina no puedes usar ni la cuenta ni las tarjetas (bueno, las tarjetas seguro que no y la cuenta creo recordar que tampoco).

Sinceramente, veo más fácil que un camarero te duplique una tarjeta a escondidas o que te roben datos por phising.

Finalmente, ¿cuanta gente hay que la han timado así? No conozco ninguna y si hay, seguro que se puede contar con los dedos.
Insisto, hay formas más fáciles de hacer un embeleco, como ya he dicho con la tarjeta o con el phising...

 

[paco jones]

No os quejéis tanto por la seguridad. A mi late el corazón a 160 algún día que no consigo conectar a la primera... y empiezo a pensar... ¿no me habrán hecho un corralito sin oficina? Afortunadamente a la segunda suele funcionar.

 

[Pulchjam]

Bueno, lo de las fotocopias del DNI no es tan dificil. Yo no estoy pensando en un auténtico desconocido, pero por ejemplo he trabajado en una empresa cuyo dueño tiene más de engañador que de empresario. Tranquilamanete tiene los datos encesarios de más de 100 personas. No me extrañaría que cualquier día hiciera la jugada y saliera por patas 😛

No se vosotros pero yo no entro a mi banco cada 3 o 4 días y lo de la primera OTE del mes pues lo sabeis vosotros mejor que yo: una de 10 € y luego ancha es castilla.


Los documentos los puedes imprimir y enviar tu mismo ¿no?, vamos, al menos a mi me dieron esa opción.


El tener una "primera nómina" ingresada también se puede apañar. En ese hipotético ejemplo de engañador S.L. bien uede hacer una transferencia desde una de las cuentas de la empresa y cuela como nómina sin problemas.


En fin, yo no digo que sea fácil, sólo faltaría, ni que no entrañe un riesto de uno o dos añitos en la carcel para el "listo" si lo pillan, pero veo que es posible, demasiado asequible. y que no haya pasado aún, o no lo sepamos, no impide que cualquier día nos demos el susto. Sinceramente, la simple hecho de que sea posible y tan posible sin necesidad de ser un figura, ni de necesitar conocimientos de informática para explotar ninguna vulnerabilidad ni nada por el estilo me ha acorazonado bastante.
Si le sumanos lo del formulario web, que no tengan reparos en que los operadores te pregunten hasta la talla de zapatos, que no hayan contemplado la posibilidad de cambiar de contraseña con facilidad y privacidad ¿Acaso cambiar frecuentemente de contraseña no es una de las primeritas recomendaciones de seguridad?, etc...


Me da a mi que esto es casi como lo de las altas de ADSL antiguamente que casi con contestar una llamada de un conercial ya te estaban apuntando a su operadora. Muchas facilidades dan los de ING para que abras una cuenta con ellos, demasiadas me aprece a mi, para lo bueno y para lo malo.

 

[rosonero]

Joooooooeeeeeerrrrrrrrrrr!!!!!!!!!! No teníamos suficiente con los corralitos, que si las subprime y ahora otra vez con el temita de la seguridad.

Me he leído cientos de post en diversos foros y webs sobre ING y no hay ni uno, ni uno, que comente un duplicado de cuenta o como le quieras llamar.

Ya solo queda que postee él que nos avise que ING es un engaña piramidal como la de los sellos. Que ganas de echar guano donde no la hay.

 

[ST77XX_borrado]

Joooooooeeeeeerrrrrrrrrrr!!!!!!!!!! No teníamos suficiente con los corralitos, que si las subprime y ahora otra vez con el temita de la seguridad.

Me he leído cientos de post en diversos foros y webs sobre ING y no hay ni uno, ni uno, que comente un duplicado de cuenta o como le quieras llamar.

Ya solo queda que postee él que nos avise que ING es un engaña piramidal como la de los sellos. Que ganas de echar guano donde no la hay.

totalmente de acuerdo

🙂

 

[pyn]

¿Formulario encryptado? será formulario CIFRADO y ¿Quién te ha dicho que no va cifrado?

 

[oscahie]

¿Formulario encryptado? será formulario CIFRADO y ¿Quién te ha dicho que no va cifrado?

Ya puestos a ser exactos, el formulario no va encriptado (cifrado para los puristas del lenguaje) si no en texto plano probablemente o como mucho codificado en base64. Es el protocolo HTTP el que se establece sobre una conexión encriptada SSL.

Pedantería aparte, sorry, sí, el frame del formulario de registro va por HTTPS, aunque no sea obvio a primera vista.

Tienes que estar registrado para ver este contenido

Ah, y además de con la tarjeta de coordenadas también se puede realizar todo tipo de operaciones con una firma digital.

 

[kalapa]

Ya puestos a ser exactos, el formulario no va encriptado (cifrado para los puristas del lenguaje) si no en texto plano probablemente o como mucho codificado en base64. Es el protocolo HTTP el que se establece sobre una conexión encriptada SSL.

Pedantería aparte, sorry, sí, el frame del formulario de registro va por HTTPS, aunque no sea obvio a primera vista.

Tienes que estar registrado para ver este contenido

Ah, y además de con la tarjeta de coordenadas también se puede realizar todo tipo de operaciones con una firma digital.

Ciertamente:

 

[Tezifon]

0wned tecnico, ing es seguro

jorobes

 

[tucapital.es]

Ya, pero lo que vengo a decir es que cualquier puede crear una cuenta con ING dando mi nombre y asociarla a una cuenta mia. De esta manera en realidad soy titular de las 2 cuentas pero yo desconozco la existencia de la de ING hasta que me entero de que el dinero ha desparecido de mi cuenta no-ING (via OTE) y si el dinero ha ido a una cuenta nómina, la cual también es muy fácil de falsificar, transferencia y bye bye caudales.
Ya digo, para una cuenta naranja no creo q exista problemas, no se pueden realizar transferencias, y desconozco los requisitos para solicitar una cuenta nómina pero visto lo visto no creo que presente mayores dificultades.
Y si me apuras igual existe la posibilidad de asociar una tercera cuenta que permita transferenicas, tipo unoe, a la cuenta naranja y pedir 2 OTEs en cadena.

Aunque te abran otra cuenta en ING, cuando accedas a ING automáticamente verás que tienes 2 cuentas.

Igualmente, supongo que ING verificará las firmas de los contratos e igualmente te envian la información al domicilio que tienes dado de alto actualmente en ING, y para realizar el combio de domicilio te piden la contraseña.

En definitiva, si alguien intenta abrir otra cuenta a tu nombre, de una u otra forma, te vas a enterar antes de que nadie realice una transferencia. ING lleva funcionando unos cuántos años y hasta el momento nadie que yo sepa se haya quejado de algo similar a lo que comentas.

Salu2.

 

[Pulchjam]

Olvidando a toda esta panda tan bien socializada por parte de ING (espero que os paguen bien)....@tucapital, vuelve a leer mi "idea" pq no me has entendido.
El principal problema que veo sobre lo de crear una cuenta no es que me creen una segunda cuenta ING sino que perfectamente "cualquiera" podría crearle una cuenta a, digamos mi abuela, sin que ella tenga constancia y realizar una OTE desde la cuenta de toda-la-vida de mi abuela a una cuenta nómina de ING, de la que mi abuela también sería titular pq sino no hay OTE que valga, pero que no controla, no sabe que existe, no tiene contraseña alguna, ni ha recibido correspondencia..... Espero haberme explicado mejor a la tercera.

No me digáis que soy el primero al que se le ocurre la engaña esta.


Sobre lo del formulario de marras kalapa ha dado la info necesaria, para eso mismo abrí el hilo, para preguntar no para mancillar la bien amada, por parte de varios, imagen de ING. Ojeando con calma la el código de la web he visto que el frame que contiene el formulario si va encriptado, upsss, quería decir....cifrado. (Ya sólo me queda una vida, a la próxima..game over). Gracias kalapa.


Un saludo.

 

[roebek]

"cualquiera" podría crearle una cuenta a, digamos mi abuela, sin que ella tenga constancia y realizar una OTE desde la cuenta de toda-la-vida de mi abuela a una cuenta nómina de ING, de la que mi abuela también sería titular pq sino no hay OTE que valga, pero que no controla, no sabe que existe, no tiene contraseña alguna, ni ha recibido correspondencia..... Espero haberme explicado mejor a la tercera.

Para que tu abuela sea titular de una cuenta nómina han de cumplirse una serie de condiciones: tu abuela ha de tener nómina, y en la empresa que paga la nómina han de recibir un papelito autorizándolo. Si el engañador es el empresario más le vale que tu abuela sea la Duquesa de Alba o no le saldrá a cuenta en cuanto descubran el tinglado (en caso de que llegase a colar).

Por cierto, cuando abres una cuenta con ING (y con otros bancos también), el cartero está obligado a pedirte que muestres el DNI antes de hacer la entrega. Si no lo hace el puro le cae a Correos o la compañía de transporte, no a ING. No es tan simple como fotocopiar un DNI de tapadillo y ya está.

Y no, a mí ING no me paga nada. La seguridad me parece razonable, aunque podrían esmerarse un poco más (por ejemplo verificando a través del móvil).

No me digáis que soy el primero al que se le ocurre la engaña esta.

Si verdaderamente fuese tan fácil ya lo habrían hecho en lugar de romperse la cabeza con sistemas complejos de phising.

 

[Monsterspeculator]

Bueno machotes...¿Cómo va el plan renove?

Yo estoy en ello poco a poco.

 

[najmah]

Para que tu abuela sea titular de una cuenta nómina han de cumplirse una serie de condiciones: tu abuela ha de tener nómina, y en la empresa que paga la nómina han de recibir un papelito autorizándolo. Si el engañador es el empresario más le vale que tu abuela sea la Duquesa de Alba o no le saldrá a cuenta en cuanto descubran el tinglado (en caso de que llegase a colar).

Por cierto, cuando abres una cuenta con ING (y con otros bancos también), el cartero está obligado a pedirte que muestres el DNI antes de hacer la entrega. Si no lo hace el puro le cae a Correos o la compañía de transporte, no a ING. No es tan simple como fotocopiar un DNI de tapadillo y ya está.

Y no, a mí ING no me paga nada. La seguridad me parece razonable, aunque podrían esmerarse un poco más (por ejemplo verificando a través del móvil).



Si verdaderamente fuese tan fácil ya lo habrían hecho en lugar de romperse la cabeza con sistemas complejos de phising.

Eso es cierto, cuando te entregan la documentación tienes que cogerla personalmente y con el dni en la mano, si no no te dan nada, ni siquiera te dejan autorizar a otra persona. Supongo que por eso no habrá problemas de suplantación.

 

[pyn]

Olvidando a toda esta panda tan bien socializada por parte de ING (espero que os paguen bien)....@tucapital, vuelve a leer mi "idea" pq no me has entendido.
El principal problema que veo sobre lo de crear una cuenta no es que me creen una segunda cuenta ING sino que perfectamente "cualquiera" podría crearle una cuenta a, digamos mi abuela, sin que ella tenga constancia y realizar una OTE desde la cuenta de toda-la-vida de mi abuela a una cuenta nómina de ING, de la que mi abuela también sería titular pq sino no hay OTE que valga, pero que no controla, no sabe que existe, no tiene contraseña alguna, ni ha recibido correspondencia..... Espero haberme explicado mejor a la tercera.

No me digáis que soy el primero al que se le ocurre la engaña esta.

1º: A mi ING no me paga nada, me paga una empresa de seguridad informática (quizás por eso sepa un poco de lo que hablo).

2º: Sobre la "engaña" que planteas, no se dónde está la engaña porque según los argumentos que has escrito, la única beneficiaria sería tu abuela, o sea, se "robaría" a sí misma.

Sobre lo del formulario de marras kalapa ha dado la info necesaria, para eso mismo abrí el hilo, para preguntar no para mancillar la bien amada, por parte de varios, imagen de ING. Ojeando con calma la el código de la web he visto que el frame que contiene el formulario si va encriptado, upsss, quería decir....cifrado. (Ya sólo me queda una vida, a la próxima..game over). Gracias kalapa.

Un saludo.

Pero ¿no has entendido que lo que va cifrado no es el formulario, si no el protocolo? ¿Cómo has podido ver que el formulario está cifrado?Tú (en tu navegador) vas a ver el formulario son sus letritas y sus numeritos normales y corrientes, pero cuando pulses el botón "Enviar" esos datos irán cifrados para que gente mala que anda por el mundo y no tiene nada que hacer no te robe "los dineros".

 

[Pulchjam]

Para que tu abuela sea titular de una cuenta nómina han de cumplirse una serie de condiciones: tu abuela ha de tener nómina, y en la empresa que paga la nómina han de recibir un papelito autorizándolo. Si el engañador es el empresario más le vale que tu abuela sea la Duquesa de Alba o no le saldrá a cuenta en cuanto descubran el tinglado (en caso de que llegase a colar).

Todos los días, junto a mi trabaja una abuela, y juraría que le pagan una nómina. ¿quizá las abuelas tienen prohibido tener nómina? Y te recuerdo que se trata de FALSIFICAR una nómina, algo bastante fácil por otra parte, ya que conozco de primera mano varios casos de financieras que se han comido nóminas falsas presentadas por clientes de la empresa para la que trabajo.

Por cierto, cuando abres una cuenta con ING (y con otros bancos también), el cartero está obligado a pedirte que muestres el DNI antes de hacer la entrega. Si no lo hace el puro le cae a Correos o la compañía de transporte, no a ING. No es tan simple como fotocopiar un DNI de tapadillo y ya está.

Eso es cierto, cuando te entregan la documentación tienes que cogerla personalmente y con el dni en la mano, si no no te dan nada, ni siquiera te dejan autorizar a otra persona. Supongo que por eso no habrá problemas de suplantación.

Mira por dónde a mi me la han dejado en el buzón sin más. Que cosas.


En fin, no se pq queréis negar la mayor, el tema está claro y quien tenga sus reservas pues ya sabe mi opinión. Y ojo, que no voy contra ING en particular, igual en el resto de banca online el despropósito es similar, pero yo, por el momento sólo he tratado con ING así que del resto no puedo opinar.

...
2º: Sobre la "engaña" que planteas, no se dónde está la engaña porque según los argumentos que has escrito, la única beneficiaria sería tu abuela, o sea, se "robaría" a sí misma.

Pa´nota esto que has dicho eh. 😀 Te has lucido pero bien y ni colorao te habrás puesto, seguro.

Pero ¿no has entendido que lo que va cifrado no es el formulario, si no el protocolo?

Otra que tal... Evidentemente.
Es una forma de hablar. Lógicamente el formulario no "va y viene". Lo que se cifra es la información que se envía desde tu navegador a la DB del server del hosting.
Ya son ganas de buscarle las cosquillas a alguien que simplemente ha hecho una consulta. Yo juraría que no he mentado a ninguno de vuestros familiares...¿o quizá si? :/


En fin, lo dejo, muy clarificador el hilo. Gracias.

 

[Akita]

Mira por dónde a mi me la han dejado en el buzón sin más. Que cosas.

El procedimiento es el de entrega en mano tras comprobación de DNI y firma, y resulta que a ti te lo han dejado en el buzón sin más... qué casualidad.

Buen intento.

 

[rosonero]

Bueno, ya está bien, dejar al xaval tranquilo que ahora ya debe estar preparando su próximo gran golpe.

Por cierto, a ver si dejamos caer el temita que el forero ya se responde solo.

 

[federicoterron]

Todos los días, junto a mi trabaja una abuela, y juraría que le pagan una nómina. ¿quizá las abuelas tienen prohibido tener nómina? Y te recuerdo que se trata de FALSIFICAR una nómina, algo bastante fácil por otra parte, ya que conozco de primera mano varios casos de financieras que se han comido nóminas falsas presentadas por clientes de la empresa para la que trabajo.





Mira por dónde a mi me la han dejado en el buzón sin más. Que cosas.


En fin, no se pq queréis negar la mayor, el tema está claro y quien tenga sus reservas pues ya sabe mi opinión. Y ojo, que no voy contra ING en particular, igual en el resto de banca online el despropósito es similar, pero yo, por el momento sólo he tratado con ING así que del resto no puedo opinar.




Pa´nota esto que has dicho eh. 😀 Te has lucido pero bien y ni colorao te habrás puesto, seguro.



Otra que tal... Evidentemente.
Es una forma de hablar. Lógicamente el formulario no "va y viene". Lo que se cifra es la información que se envía desde tu navegador a la DB del server del hosting.
Ya son ganas de buscarle las cosquillas a alguien que simplemente ha hecho una consulta. Yo juraría que no he mentado a ninguno de vuestros familiares...¿o quizá si? :/


En fin, lo dejo, muy clarificador el hilo. Gracias.

Para que Caja o Banco trabajas??
Se ve a kilometros que trabajas en la competencia de ING y entras en el foro para asustar al personal.

 

[Pulchjam]

El procedimiento es el de entrega en mano tras comprobación de DNI y firma, y resulta que a ti te lo han dejado en el buzón sin más... qué casualidad.

Buen intento.

Sólo una cosa, y ya lo dejamos, de verdad. Sobre eso es tu palabra contra la mia. No vamos a llegar a ninguna conclusión. Pero te recuerdo que puedes seleccionar la opión de imprimir en tu casa la documentación y enviarsela a ING en vez de que te la envíen ellos. Así que el procedimiento ese de "comprobación de DNI y firma" aunque se respetara pues da absolutamente igual. No quedan excusas pues.

Agurrrrr

 

[roebek]

Sólo una cosa, y ya lo dejamos, de verdad. Sobre eso es tu palabra contra la mia. No vamos a llegar a ninguna conclusión. Pero te recuerdo que puedes seleccionar la opión de imprimir en tu casa la documentación y enviarsela a ING en vez de que te la envíen ellos. Así que el procedimiento ese de "comprobación de DNI y firma" aunque se respetara pues da absolutamente igual. No quedan excusas pues.

Agurrrrr

El procedimiento de "comprobación de DNI y firma" no es para recibir la documentación que es algo carente de todo interés, sino para recibir las claves de acceso a la banca electrónica. O sea, lo que tu jefe necesita sí o sí para engañarle los ahorros a tu abuela.