La Policía detiene en Madrid a un hombre al que atribuye más de un millón de euros en fraudes mediante 'parameter tampering', manipulando datos entre webs y pasarelas de pago.
El fraude funciona cuando una web acepta como verdadero un dato económico que debería volver a comprobar. La defensa es que precio, pago y autorización se validen siempre en el servidor y contra el proveedor de pagos. La Policía atribuye a un detenido fraudes superiores al millón de euros manipulando parámetros entre webs y pasarelas de pago. El caso muestra un fallo clásico: confiar en datos que el cliente puede alterar sin volver a validarlos en el servidor. La Policía detiene en Madrid a un hombre al que atribuye más de un millón de euros en fraudes mediante 'parameter tampering', manipulando datos entre webs y pasarelas de pago. En la práctica: La Policía Nacional ha detenido en Madrid a un hombre al que atribuye estafas informáticas a grandes empresas por más de un millón de euros.
La Policía Nacional ha detenido en Madrid a un hombre al que atribuye un fraude superior al millón de euros contra distintas empresas mediante una técnica conocida como 'parameter tampering'.
La idea técnica es más sencilla de lo que su nombre sugiere. Una compra online mueve datos entre el navegador, la aplicación de la empresa y la pasarela de pago. Si el servidor confía demasiado en parámetros que puede modificar el usuario, un atacante puede intentar alterar importe, identificador de producto, estado de la operación u otros valores.
Según la investigación, el detenido conseguía que algunos sistemas validaran como pagadas operaciones que en realidad no se habían abonado por el importe correspondiente.
Lee también: Igualdad confirma como violencia de género el asesinato de una mujer en Leganés; no constaban denuncias previasDetenido en Alicante en menos de 24 horas el presunto autor de la muerte violenta de su pareja en Leganés
Con ese método habría obtenido entradas para espectáculos, billetes de avión, reservas hoteleras y servicios de restauración, además de acceder a determinadas plataformas internas de compañías para aprovechar beneficios destinados a empleados.
El caso ilustra un principio básico de seguridad web: una aplicación no debe confiar en los datos que llegan desde el cliente simplemente porque la interfaz normal no permita modificarlos.
Los controles críticos —precio, autorización, identidad del producto y confirmación del pago— deben validarse en el servidor y contrastarse directamente con la pasarela o proveedor de pagos.
También explica por qué varias empresas pueden sufrir aparentemente fraudes distintos que terminan conectados: el atacante puede repetir el mismo patrón contra implementaciones que cometen errores parecidos.
La Policía sostiene que el investigado utilizaba múltiples correos, identidades y medios de pago para impedir que los incidentes se relacionaran entre sí.
El detenido ha pasado a disposición judicial como presunto responsable de estafa agravada y acceso ilegal a sistemas informáticos. Eso no equivale a una condena.
La utilidad del caso no está en conocer cómo reproducir el ataque, sino en el fallo defensivo que revela: si una decisión económica crítica depende de un parámetro controlable desde el navegador, el sistema necesita una segunda validación independiente.
La Policía Nacional ha detenido en Madrid a un hombre al que atribuye estafas informáticas a grandes empresas por más de un millón de euros.
El método investigado se basa en 'parameter tampering': manipular parámetros entre una web y su pasarela de pago para que una operación parezca abonada por un importe que no se ha pagado realmente.
Las empresas afectadas incluían servicios de viajes, hoteles, espectáculos, restauración y plataformas internas de empleados.
La investigación conectó denuncias que inicialmente se tramitaban por separado.
El sospechoso utilizaba múltiples identidades, correos y medios de pago, según la Policía.
Fuentes: Europa Press / Policía Nacional — operación en Madrid
Igualdad confirma como violencia de género el asesinato de una mujer en Leganés; no constaban denuncias previas
Por qué importa: Tema compartido: policía nacional.
Detenido en Alicante en menos de 24 horas el presunto autor de la muerte violenta de su pareja en Leganés
Por qué importa: Tema compartido: policía nacional.
El policía de los millones "emparedados" en su propia casa denuncia que la Brigada de Estupefacientes fabrica informes falsos para ocultar sus fuentes a los jueces
Por qué importa: Tema compartido: policía nacional.
Los sindicatos policiales denuncian "graves deficiencias" en el traslado de más de 3.000 migrantes al puerto de Ceuta
Por qué importa: Tema compartido: policía nacional.
Los sindicatos policiales denuncian que Interior niega las dietas a los agentes que combatieron el incendio de Vall d'Uixó
Por qué importa: Tema compartido: policía nacional.
Un resquicio de la ley de amnistía deja a cuatro policías en el banquillo por su actuación en el 1-O
Por qué importa: Tema compartido: policía nacional.
Herido grave un hombre de 30 años tras sufrir una agresión con arma blanca en Carabanchel
Por qué importa: Tema compartido: policía nacional.
Un dispositivo policial interviene tras incidentes junto al puerto de Ceuta
Por qué importa: Tema compartido: policía nacional.
