How a Payment Lookup Oracle Confirms Predictable Identifiers
Este artículo demuestra que los oráculos de resolución de pagos nacionales, como el PromptPay de Tailandia, permiten la confirmación determinista de identificadores nacionales predichos al permitir que los atacantes verifiquen conjeturas contra datos públicos y registros filtrados, una vulnerabilidad exacerbada por el hecho de que los nombres de los destinatarios se devuelven sin enmascarar a pesar de los esfuerzos de enmascaramiento parcial de nombres.
Artículo original bajo licencia CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo
En el mundo moderno de las transferencias de dinero instantáneas, un simple control de seguridad se ha convertido en una poderosa herramienta para la invasión de la privacidad. Cuando envías dinero a un amigo utilizando un número de teléfono o un código de identificación nacional en lugar de un largo número de cuenta bancaria, tu aplicación bancaria realiza una búsqueda rápida. Pregunta a un sistema central: "¿A quién pertenece este número?" y muestra el nombre en tu pantalla para que puedas estar seguro de que estás enviando el dinero a la persona correcta. Esta función, conocida como oráculo de resolución, está diseñada para prevenir errores y fraudes. Sin embargo, los investigadores han descubierto que este mismo mecanismo, que tiene como fin confirmar una identidad conocida, también puede utilizarse para descubrir la identidad de un extraño. El problema surge cuando este sistema de búsqueda abierto se combina con el hecho de que muchos números de identificación nacional no son aleatorios; siguen un patrón predecible basado en fechas de nacimiento y ubicaciones. En el pasado, los expertos en seguridad sabían que estos números podían ser adivinados, pero creían que no había forma de saber si una suposición era correcta. El nuevo hallazgo es que el propio sistema de pagos proporciona la respuesta, convirtiendo una conjetura vaga en un hecho confirmado.
Dos investigadores de la Universidad Tecnológica de King Mongkut de Thonburi, en Tailandia, se propusieron medir exactamente cuánto peligro crea esta combinación. Se centraron en el sistema PromptPay de Tailandia, una red de pagos instantáneos ampliamente utilizada donde las personas registran sus números de móvil o sus tarjetas de identificación nacional para recibir dinero. Los investigadores no intentaron robar dinero ni hackear los sistemas informáticos de ningún banco. En su lugar, trataron la aplicación de pago como una herramienta para hacer preguntas y analizaron las respuestas que estas daban. Comenzaron analizando la estructura de la tarjeta de identificación nacional tailandesa. Es un número de trece dígitos donde los primeros dígitos indican la provincia y el distrito donde la persona fue registrada, y el último dígito es un control matemático que asegura que el número sea válido. Debido a esta estructura, el número total de posibles números de identificación válidos es mucho menor de lo que parece. Los investigadores calcularon que las reglas del sistema reducen el grupo de candidatos potenciales por un factor de ciento treinta y cinco antes de que se conozca siquiera cualquier información específica sobre una persona.
El estudio examinó entonces qué sucede cuando un atacante ya posee una lista de números de identificación filtrados, lo cual es una realidad conocida en el mundo digital. Una filtración pública reciente expuso más de 1,2 millones de números de identificación nacional tailandesos. En el pasado, tener tal lista era solo la mitad de la batalla; un atacante tendría un número pero no tendría forma de saber el nombre vinculado a él. Los investigadores demostraron que el sistema de búsqueda de pagos resuelve esta pieza faltante. Al introducir un número de identificación filtrado en una aplicación bancaria, el sistema devuelve inmediatamente el nombre completo del titular de la cuenta. Esto convierte una lista estática de números en un directorio de nombres vivo y verificado. Los investigadores demostraron que incluso si algunos dígitos de un número de identificación están ocultos o redactados en un documento, las reglas matemáticas de la tarjeta de identificación limitan el número de posibles combinaciones faltantes a un conjunto muy pequeño. Un usuario podría simplemente probar cada una de estas pocas posibilidades en la aplicación de pago, y el sistema confirmaría la correcta al mostrar el nombre, mientras rechaza las incorrectas.
Para entender qué tan bien funcionan las medidas de privacidad actuales, los investigadores también analizaron una nueva política adoptada en Singapur, donde las aplicaciones de pago ahora ocultan partes del nombre de una persona en la pantalla para evitar que observadores casuales lo lean. Probaron esta idea utilizando una base de datos de miles de nombres tailandeses. Encontraron que el método singapurense, que oculta solo la segunda mitad de cada nombre, es sorprendentemente débil. Debido a que los apellidos tailandeses suelen ser únicos para una sola familia, y debido a que la primera mitad de un nombre suele ser suficiente para identificar a una persona, la máscara deja el nombre efectivamente visible en más de la mitad de todos los casos. Los investigadores descubrieron que, para una gran parte de la población, el nombre enmascarado es lo suficientemente único como para que una persona pueda identificar al individuo. Más importante aún, demostraron que este tipo de enmascaramiento no detiene a un atacante decidido que ya tiene un nombre candidato para probar. Si un atacante sospecha que un nombre pertenece a un número de identificación específico, simplemente puede comprobar si la versión enmascarada coincide con su suposición, haciendo que la protección de visualización sea inútil contra un ataque dirigido.
Los investigadores acudieron entonces a los propios bancos para ver qué sucede realmente en Tailandia. Utilizaron sus propias cuentas bancarias y teléfonos móviles para probar el sistema en siete bancos diferentes, incluyendo instituciones estatales, privadas, extranjeras e islámicas. En cada caso, sin excepción, las aplicaciones mostraban el nombre completo y sin enmascarar del titular de la cuenta. No hubo redacción, ni ocultación de letras, ni variación entre los distintos bancos. Esto confirmó que el sistema es uniforme en todo el país y que las protecciones de privacidad actuales son inexistentes. Los investigadores también observaron que el sistema no se ralentizó ni los detuvo cuando preguntaron repetidamente por el mismo nombre, lo que sugiere que no existen límites estrictos sobre cuántas veces se puede buscar un número de identificación en un periodo corto de tiempo.
La conclusión central del trabajo es que el peligro no reside en la visualización del nombre, sino en la capacidad de hacer la pregunta. Los investigadores argumentan que simplemente ocultar el nombre en la pantalla es la solución equivocada porque no detiene el proceso de confirmación subyacente. Si un atacante tiene una lista de números filtrados, el sistema de pago actúa como una máquina que confirma qué números son reales y quiénes son sus propietarios. Los investigadores sugieren que la solución debe ser controlar las preguntas, no las respuestas. Esto significa que el sistema debería limitar cuántas veces un solo usuario puede buscar diferentes números en un día, o señalar patrones de búsqueda inusuales. Enfatizan que esto no es un error de software que pueda parchearse, sino una característica de diseño del sistema de pago que sirve a un propósito útil para los usuarios honestos mientras crea un riesgo para la privacidad. El estudio concl이가 que, para que los sistemas de pago instantáneos sean seguros, los operadores deben implementar límites estrictos sobre la frecuencia con la que se pueden realizar estas búsquedas, asegurando que el sistema siga siendo una herramienta para confirmar a un destinatario conocido en lugar de un directorio para descubrir a extraños.
¿Ahogado en artículos de tu campo?
Recibe resúmenes diarios de los artículos más novedosos que coincidan con tus palabras clave de investigación — con resúmenes técnicos, en tu idioma.