Phishing y responsabilidades

Que los casos de phishing bancario están creciendo no es ninguna novedad. El problema es que sus dimensiones y sus consecuencias están alcanzando tales niveles que hemos llegado a un punto en el que desde distintos ámbitos parece que se considera necesario delimitar las responsabilidades asociadas. Y claro, aquí es donde los distintos interesados no se ponen de acuerdo.

Por una parte, tenemos el caso de los bancos británicos, que quieren que los usuarios de sistemas inseguros asuman su responsabilidad. De acuerdo con el código que han publicado, parece ser que los bancos no asumirán aquellas pérdidas en las que se pueda alegar incumplimiento, por parte de los usuarios, de medidas como tener un antivirus y antispyware actualizado.

Por otra parte, tenemos la postura que expone Julián Inza, que refleja que desde distintos ámbitos se acusa a las entidades financieras de lavarse las manos ante los casos de fraudes electrónicos. Este post afirma que la principal responsabilidad en relación al phishing bancario (y otros delitos electrónicos parecidos) debería quedar en manos de las entidades financieras por no utilizar sistemas de autenticación suficientemente fiables (no sólo técnicamente sino también en relación a su utilización práctica).

Desde mi punto de vista ambas posturas tienen su parte de razón. Es cierto que los bancos deberían desarrollar mejores soluciones de seguridad, y sobre todo hacer un especial esfuerzo en desplegar soluciones utilizables por clientes con muy poco conocimiento informático (y previsiblemente nulo en materia de seguridad informática), pero también es cierto que si no se hace nada por evitar que los equipos de este tipo de clientes se expongan a los principales riesgos automatizados que pululan hoy en día por Internet es casi seguro que tarde o temprano esos equipos acabarán bajo el control absoluto de los "malos" de Internet, y por consiguiente también sus cuentas bancarias. Es por eso que en distintos post he abogado tanto por un mayor esfuerzo en la concienciación pública en torno a la seguridad informática como por el desarrollo de soluciones de seguridad centradas en extremo del usuario, con el fin de potenciar el ya conocido eslabón más débil de la cadena.

Y en relación a estas reflexiones siempre se me plantea una duda. ¿Sería posible aunar una solución para el usuario final proporcionada por la propia entidad bancaria? ¿Sería posible desarrollar un "entorno de trabajo" tipo sandbox, por ejemplo, que se tuviera que descargar el usuario para poder acceder a la banca electrónica, y dentro del cual se pudiera certificar la seguridad de todas las operaciones desarrolladas? Sería una forma de que los bancos no sólo fueran capaces de garantizar la seguridad de las operaciones, sino de que también pudieran asumir las responsabilidades asociadas, ya que el entorno de operación de los clientes sería seguro y más allá sólo quedaría el propio usuario, de cuyas acciones siempre sería responsable. ¿Existen soluciones de este tipo? ¿Hay alguna en desarrollo? Si alguien tiene alguna respuesta para mis preguntas, tiene a su disposición los comentarios.