Seguretat a BBVA Net Cash

El servei

1. Administració d'usuaris:

BBVA Net Cash és una aplicació multiusuari. Disposa de diferents perfils d'usuari que l'empresa pot assignar als seus empleats en funció de la seva estructura operativa.

Un perfil específic, l'administrador, defineix i administra els usuaris de l'empresa a BBVA Net Cash. Poden haver-hi un o diversos administradors i pot disposar de diferents nivells de delegació (sense poder o amb poder solidari o mancomunat). A cada usuari se li assigna un perfil que es defineix amb el màxim nivell de detall.

En el cas de l'autorització d'operacions, les opcions són:

- Sense poder: no pot autoritzar operacions.

- Apoderat: pot ser solidari o mancomunat.

- Auditor: pot frenar fins i tot les ordres signades totalment fins que no tinguin la seva autorització.

Aquesta estructura permet que el circuit d'usuaris sigui tan restrictiu com vulgui l'empresa, per tal de garantir, en qualsevol moment, que cadascun d'ells:

• Accedeixi només als serveis i comptes que estableix l'administrador.
• Pugui fer només aquelles consultes i operacions a què l'autoritzi l'administrador.
• Tingui o no poders per autoritzar operacions.
• Disposi d'un límit monetari en funció de l'operació i compte, segons defineixi l'administrador.
• Només si sou administrador podeu consultar, a més del vostre perfil, la relació d'usuaris definits a la vostra entitat, els seus perfils, l'accés a serveis i els poders que tenen assignats.

2. Control d'activitat:

Els usuaris poden fer un seguiment de l'operatòria de l'entitat a BBVA Net Cash a través de:

• El mòdul d'"Estadístiques" (Firmes i fitxers: Estadístiques): consulta de les operacions realitzades en un període determinat.
• L'"Auditoria d'ordres" (Firmes i fitxers: Firma i seguiment de fitxers): control de l'activitat d'operacions de cada usuari de l'entitat.
• L'"Auditoria d'usuaris" (Administració: Auditoria): reflecteix quines actuacions ha fet cadascun dels administradors dins el circuit d'usuaris.

3. Credencials d'usuari:

BBVA Net Cash incorpora el doble factor de seguretat que consisteix, bàsicament, en la incorporació d'un dispositiu, token, per a la validació en el circuit d'usuaris i la signatura d'operacions. D'aquesta manera, el sistema us sol·licitarà que introduïu el codi de seguretat de sis dígits (d'ús únic) generat pel dispositiu. Aquest dispositiu pot ser físic o estar instal·lat en el seu telèfon mòbil (mitjançant la baixada de l'app de BBVA Net Cash).

• Encara que les contrasenyes no caduquen, us recomanem modificar-les cada mes.
• La mida de la clau d'accés és de 8 caràcters alfanumèrics per dificultar-ne la deducció per part de tercers mitjançant la prova d'opcions.
• Les contrasenyes s'emmagatzemen xifrades de manera irreversible en sistemes especialitzats de gestió d'usuaris i identitats, de manera que ningú no pot obtenir-les ni deduir-les.

Obligatorietat de modificar la clau d'accés en el primer accés: per prevenir la suplantació de l'usuari, en la seva primera connexió a BBVA Net Cash, se li requereix que modifiqui la seva clau d'accés.

Bloqueig d'usuaris:

• L'error en la introducció de l'usuari o la clau d'activació cinc vegades seguides, provoca el bloqueig de la referència a BBVA Net Cash que no podrà ser activada fins que BBVA no generi una nova clau d'activació.
• En el cas de la clau d'accés, després de tres intents fallits, l'usuari queda bloquejat.
• L'error en la introducció del codi de seguretat generat pel seu dispositiu de seguretat cinc vegades seguides, provoca el bloqueig de l'usuari a BBVA Net Cash.
• L'administrador d'usuaris té autonomia per bloquejar l'accés a usuaris de la seva entitat, de manera que, davant de qualsevol baixa d'un empleat, l'accés pot ser immediatament revocat.

4. Identificació i autenticació:

Traçabilitat de les transaccions: els accessos i les transaccions efectuades queden reflectides en registres d'operacions automatitzats que recullen l'operació efectuada, la data i l'hora d'aquesta i l'usuari que la va executar, permetent determinar la validesa de les operacions registrades.

Informació de l'última connexió:

• Si l'usuari entra per primera vegada, BBVA Net Cash li ho indicarà.
• En successius accessos, BBVA Net Cash mostrarà a l'usuari la data i hora de la seva última connexió.

Galetes només actives durant la sessió: les cookies que es col·loquen en el sistema operatiu de l'usuari, necessàries per a la navegació de manera assegurança per qualsevol pàgina web, estan actives només durant la connexió a BBVA Net Cash i són esborrades quan l'usuari es desconnecta de l'aplicació.

Desconnexió automàtica de la sessió: com a mesura addicional de seguretat, als 10 minuts d'inactivitat a BBVA Net Cash, es procedeix a finalitzar la sessió de l'usuari i desconnectar-ho del sistema.

5. Compliment normatiu de regulacions nacionals i internacionals:

BBVA compleix, en tots els seus serveis, les normes i regulacions dels països en què opera. El compromís de BBVA amb aquestes regulacions es recull al Codi de Conducta, de compliment obligat per a tots els empleats.

La tecnologia

1. Confidencialitat i integritat

De totes les credencials d'usuari:

• Totes les claus operatives d'usuaris s'emmagatzemen xifrades de manera irreversible en sistemes especialitzats de gestió d'usuaris i identitats, de manera que ningú no pot obtenir-les o deduir-les.
• Els procediments operatius de BBVA no requereixen que ningú del banc disposi de les claus operatives dels seus clients, per la qual cosa ningú no les coneix ni els les sol·licitarà personalment.

• De les comunicacions:

• Les comunicacions dels serveis transaccionals i de banca a distància de BBVA es xifren mitjançant protocol SSL per preservar la confidencialitat i integritat de les comunicacions per Internet.
• Els certificats utilitzats per BBVA per proporcionar aquest servei són generats per Verisign Inc.
• Addicionalment, les comunicacions sensibles que tenen lloc a les xarxes internes de BBVA es troben adequadament protegides segons l'entorn operatiu i el protocol utilitzat.

• De la informació:

• La informació emmagatzemada en els sistemes i bases de dades internes es troba protegida mitjançant diferents sistemes de seguretat que permeten l'accés únicament als empleats autoritzats.
• BBVA disposa d'un sistema automatitzat de gestió de privilegis d'accés a la informació que garanteix l'accés controlat i restringit al personal autoritzat.

2. Seguretat física dels centres de processament de dades

Els centres de processament de dades de BBVA estan dotats d'àmplies mesures de seguretat física per a la protecció dels sistemes de processament de dades, d'entre les quals destaquen les següents:

• CPD Tier IV Gold en sostenibilitat operativa.
• Control d'accessos individualitzat al recinte i a les diferents sales tècniques, dotats de sistemes de detecció d'elements perillosos.
• Equips humans de vigilància física i videovigilància del perímetre i l'interior de les instal·lacions en règim de 24x7.
• Sistemes de detecció i protecció específics davant d'intrusió, incendi, inundació, tall de subministraments i altres esdeveniments catastròfics.

A més, en disposar de dos centres de processament de dades plenament operatius, BBVA garanteix la salvaguarda i recuperació de la informació, si calgués.

3. Arquitectura de seguretat:

Per tal d'aconseguir la màxima seguretat en el disseny dels seus sistemes, BBVA ha disposat una arquitectura de seguretat específica especialment per a aquells que donen servei als seus clients a través d'Internet.

En concret, i per minimitzar el nivell d'exposició cap a Internet, només es manté exposada la capa de presentació (que fa les funcions d'autenticació d'usuari, autorització d'accés a aplicacions web i control segur de sessió) mitjançant servidor intermediari invers de seguretat.

4. Sistemes específics de protecció:

Tallafocs i sistemes antivirus i antiintrusos permanentment actualitzats:

• BBVA fa una segregació de les seves xarxes i sistemes amb diversos nivells de tallafocs.
• A més, els sistemes interns de BBVA es troben permanentment protegits mitjançant sistemes antimalware i de detecció d'intrusió.
• Ambdós tipus de sistemes es gestionen en règim de 24x7 i es troben permanentment actualitzats, fet que permet prevenir l'acció de noves amenaces de manera permanent.
• Tots els sistemes de vigilància, alerta i resposta de seguretat davant de possibles fraus són monitorats i supervisats per un equip d'especialistes en règim de 24x7x365 a les instal·lacions del centre de processament de dades.

Registres d'activitat de tots els components: BBVA disposa, en els seus sistemes i aplicacions de banca a distància, de registres d'activitat (logs) de tots els components crítics, que donen suport als serveis de detecció d'intents de frau i anàlisi forense d'activitats o operacions sospitoses o reportades com a fraudulentes.

Revisió periòdica del servei aplicant les últimes tècniques d'atac: els sistemes que donen suport als serveis de banca a distància es revisen periòdicament mitjançant eines d'anàlisi de vulnerabilitats.

Auditories internes i externes: els sistemes i processos de BBVA són objecte d'auditories de seguretat periòdiques tant per part del departament independent d'auditoria com per part d'auditories externes específiques o associades amb auditories financeres o de compliment.

Protecció de les credencials d'usuari

• Feu servir contrasenyes complexes i de difícil deducció, que continguin majúscules, minúscules i números intercalats.
• No compartiu amb ningú les contrasenyes. Les contrasenyes són secretes i només el seu propietari les ha de conèixer per fer-les servir.
• No anoteu les contrasenyes en notes adhesives o quaderns; memoritzeu-la o feu servir gestors de contrasenyes especialitzats. Podeu trobar programes gratuïts d'aquest tipus a www.osi.es.
• Desactiveu l'opció de guardar contrasenya del navegador. És més segur inserir-la cada vegada que hi accediu.
• Canvieu les contrasenyes periòdicament. Si sospiteu que algú ha pogut esbrinar la vostra clau d'accés, heu de modificar-la com més aviat millor.
• No feu servir la mateixa contrasenya en diferents serveis (correu electrònic, evernote, altres bancs…).
• El dispositiu físic de seguretat és personal i intransferible.
• En cas de rebre un missatge sol·licitant-li les seves claus personals, no faciliti cap dada i posi's immediatament en contacte amb el servei d'atenció al client de BBVA Net Cash: 91 224 98 02 / 902 33 53 73.

Protecció de l'ordinador

• Mantingueu permanentment actualitzats el sistema operatiu i la versió del navegador amb els pedaços corresponents, per protegir-lo de possibles forats o errors detectats.
• Configureu l'equip i tots els programes amb els nivells més alts de seguretat.
• Instal·leu, mantingueu actiu i sempre al dia un tallafoc o tallafocs.
• Instal·leu, mantingueu actiu i sempre al dia els seus programes antimalware. Verifiqueu els documents rebuts des de l'exterior amb l'antivirus.
• Feu periòdicament còpies de seguretat (backup) dels arxius.
• Eviteu baixades des de pàgines web desconegudes, ja que poden contenir virus o components espia.
• No connecteu cap dispositiu extern d'origen dubtós, com USB, discos durs i mòbils de desconeguts als vostres dispositius.
• Netegeu periòdicament les cookies i els arxius temporals.
• Baixeu programes i aplicacions únicament de llocs oficials.
• Configureu un patró de desbloqueig als telèfons mòbils i tauletes, perquè no hi pugui accedir un tercer.

Pràctiques segures d'accés i navegació per internet

• En ordinadors comuns o si està connectat a wifis públiques, no accediu a pàgines en què us calgui fer servir usuari i contrasenya. Tampoc no faciliteu dades personals com adreça postal, telèfon, etc.
• Eviteu connectar-vos a pàgines de contingut privat des d'ordinadors públics.
• Si heu d'introduir les credencials, comproveu que l'adreça (URL) del servidor comença per https, això significa que esteu accedint a un servidor segur.
• Una altra indicació que el servidor és segur és la presència d'un cadenat tancat (en comptes d'obert com en qualsevol servidor no segur) a la dreta o a l'esquerra de l'adreça (URL).
• Comproveu els certificats de seguretat de la pàgina en què sou clicant la icona del cadenat que apareix en accedir a una zona segura, o bé al certificat des de la barra de navegació, i verifiqueu que la data de caducitat i el domini del certificat estan vigents. A la informació de detall apareix l'emissor (Verisgn), el període de validesa i per a qui s'ha emès el certificat (BBVA).
• No feu servir l'opció d'“autoemplenar contrasenyes” del navegador. Si està habilitada, les contrasenyes que introdueix a la pàgina web queden emmagatzemades a l'ordinador i, quan torneu a introduir l'usuari, el camp de clau s'emplena automàticament. Aquesta opció en un ordinador d'ús compartit pot provocar que algú faci servir les vostres claus personals.
• Comproveu la data i hora de l'última connexió.
• Per finalitzar amb seguretat la seva sessió de BBVA Net Cash, utilitzi el botó "Sortir" que apareix a la part superior dreta.

Els virus informàtics són programes que tenen com a objectiu instal·lar-se a l'ordinador d'un usuari sense el seu permís ni coneixement. Hi ha diversos tipus de virus, però tots solen tenir en comú la propietat de propagar-se i difondre's dins el mateix equip i a través de la xarxa.

És fàcil contribuir sense saber-ho a la difusió de virus mitjançant el reenviament de correus electrònics amb arxius adjunts infectats. És fonamental la col·laboració de tots els usuaris d'internet per evitar-ne la propagació.

Hi ha diversos tipus de virus, entre ells destaquem:

Phishing:

Consisteix en l'enviament d'un correu electrònic en què se suplanta la identitat d'una organització molt coneguda, i a través del qual se sol·liciten les dades de l'usuari (adreça, dades bancàries, contrasenyes…). Perquè l'usuari proporcioni aquestes dades, en la majoria dels casos, cal que segueixi un enllaç que apareix al correu electrònic i, una vegada en aquesta falsa pàgina, introdueixi la informació sol·licitada.

L'esquema bàsic de funcionament és el següent:

• 1. Es difon de forma massiva un missatge (spam) en què s'informa que els usuaris de BBVA Net Cash han de confirmar les seves dades d'accés.
• 2. El missatge inclou un enllaç a una pàgina des de la qual ha de fer la confirmació de les dades. A vegades, l'enllaç inicia la baixada de programa maliciós.
• 3. L'usuari accedeix a l'enllaç que porta a una pàgina “similar” a l'autèntica BBVA Net Cash i, amb tota confiança, introdueix en ella les seves dades.
• 4. Com que la pàgina és falsa i està controlada pels estafadors, són ells els que realment reben les dades de l'usuari, i amb elles tenen lliure accés al compte real de l'usuari afectat.

Encara que BBVA mai no li sol·licitarà les seves claus d'accés i signatura de BBVA Net Cash per correu electrònic, aquí els incloem algunes pistes per reconèixer aquest tipus d'atacs:

- A vegades, el logotip sembla distorsionat o estirat. A més solen presentar faltes d'ortografia o expressions en desús.

- Se us adrecen com a “client estimat” o “usuari estimat” en comptes d'incloure el vostre nom real.

- Us adverteixen que el compte/servei de banca electrònica es tancarà llevat que reconfirmi la informació d'accés immediatament.

- El to del correu és amenaçador.

- El text fa referència a “compromisos de seguretat” o “amenaces de la seguretat” i requereix efecte immediat.

- L'URL no és https:// i no apareix el cadenat de seguretat a la barra inferior del navegador. Els enllaços falsos inclouen aquesta icona dins la finestra per enganyar-vos.

Ransomware:

Es tracta d'un lucratiu mètode de delinqüència tecnològica. Habitualment encoberts com a “serveis d'entrega de paqueteria” o qualsevol altra excusa creïble, es propaguen a través del correu electrònic amb enllaços que faciliten la instal·lació de programes o la baixada d'arxius infectats. Aquest virus bloqueja l'accés a la informació de l'ordinador i demana un rescat econòmic que suposadament facilitarà la clau per desxifrar la informació.

A continuació, incloem una sèrie d'indicacions per protegir-se del ransomware:

• No seguiu enllaços ni baixeu arxius adjunts de correus que cregueu que són sospitosos.
• Feu servir només programa legal i mantingueu-lo permanentment actualitzat.
• Tingueu sempre instal·lat i actualitzat un antivirus.
• Feu còpies de seguretat freqüentment. En cas que sigui infectat, podreu recuperar la informació sense pagar el rescat.

Troians:

S'introdueixen en un ordinador personal, emmascarats dins un programa. Transformen el comportament de l'ordinador de manera que tot el que s'hi faci pugui ser vist des de l'ordinador del delinqüent. Per prevenir la infecció per un troià, heu de seguir les mateixes indicacions que hem comentat anteriorment amb el ransomware:

• No seguiu enllaços ni baixeu arxius adjunts de correus que cregueu que són sospitosos.
• Feu servir només programa legal i mantingueu-lo permanentment actualitzat.
• Tingueu sempre instal·lat i actualitzat un antivirus.

Missatges enganyosos (hoax):

Són correus electrònics que comuniquen certs rumors falsos amb l'únic objectiu de transmetre i augmentar la informació de baixa qualitat que circula per internet.

Generalment, no són massa perjudicials i són fàcils d'eliminar.

Per prevenir aquests atacs, seguiu les recomanacions que us indiquem i comuniqueu-nos qualsevol situació o comunicació sospitosa que rebeu: 91 224 98 02 / 902 33 53 73.

A partir d'aquesta comunicació, el servei d'atenció al client de BBVA Net Cash posarà en marxa el protocol d'actuació davant el frau establert: un equip d'especialistes s'encarregarà d'analitzar el cas.

Si es confirma la sospita, se us recomanarà:

• Formatar el disc dur.
• Instal·lar un antimalware actualitzat.
• Mantenir actualitzat el programa del vostre equip.

En tots els casos confirmats, es procedirà al canvi de la clau d'accés de l'usuari afectat.