¿Hasta que punto nuestro bank está seguro?

El jugador de póquer, Corbein, sufre el robo de sus cuentas neteller, pokerstars y 770, por parte de un hacker

Muchas líneas de tinta se han derramado tras el Black Friday acerca de la seguridad y las garantías que tenemos los jugadores de póquer, respecto al dinero que tenemos depositado en las salas. Sin embargo, a veces obviamos que nosotros de manera personal también podemos ser objeto de estafas, robos y engaños.

Como se destaca en el subtitulo de esta noticia, uno de los jugadores con mayor número de seguidores del panorama poquerístico español sufre una de las atrocidades más vorágines para un jugadores profesional de poker, el robo su bank.

Según la información que ha publicado el propio Corbein en su blog, el hacker ha limpiado los 15.000$ que el jugador poseía en su cuenta de neteller¡¡¡. Además la cosa no quedó ahí, sino que el hacker realizó unas pequeñas compras por valor de 2300€ (casi 3000$), busteó 9.000$ de la cuenta del jugador en pokerstars y otros 2.200€ en la sala que le patrocina 770.

Por increíble que parezca, es un hecho del que no estamos exentos, más bien nos puede ocurrir a cualquiera de nosotros y en cualquier momento. No se trata de alarmar a la comunidad pokeril, sino de prevenirla para que se tomen las medidas de seguridad que cada uno estime oportunas, para que hechos como el que ha acaecido a Corbein no vuelvan a repetirse y que todos disfrutemos de este deporte con la misma intensidad que siempre

A continuación lo que Corbein escribe en su blog

lunes 5 de septiembre de 2011

Me roban 15K$ por fallo en la seguridad de Pokerstars

Lo cierto es que espero que con lo que voy a contar ahora entendáis mi ausencia por las mesas, por este blog y por el EPT de Barcelona.
He intentado poder llegar a un entendimiento con la sala Pokerstars, y por ello me he reservado de contar nada al respecto. Pensé que una sala como Pokerstars, que se supone la más segura de todas las salas habidas en estos momentos, sería capaz de asumir la culpa cuando “mete la pata”y de saber actuar en consecuencia. Anteponiendo siempre al usuario por encima de los intereses personales.
Mi caso, puede no llegar a ser alarmante por la cantidad sustraída. Pensad que 15K$ es una cantidad pequeña si lo comparamos con lo que algunos jugadores tienen en sus cajeros, pero lo mismo que me ha podido pasar a mi, le puede pasar al que tiene 25K o 100K.
Los que vais a empezar a leer esto, debéis entender que quiero explicar todo bien, y por ello la entrada se extiende mas de lo normal . A pesar de todo creo que es interesante que todos podáis ser conscientes de lo vulnerable que podemos llegar a ser como usuarios incluso en salas grandes como esta.
He visto en los twitts que me preguntáis si tenía llave RSA y la repuesta es que la tuve y ya no.
Hace casi un año me robaron en la furgoneta el portátil y tenía la llave dentro. Por ello, Pokerstars me obligo a crearme un numero PIN para poder acceder a ella. Para entonces si mal no recuerdo, se me envió un número PIN por correo ordinario y para activarlo tuve que enviar documentación como fotocopia de DNI y demás. Ahora he visto que no parece necesario, pero ya os digo que esto no es 100% seguro porque lo recuerdo vagamente.Hasta los sucesos yo disponía de contraseña, y adicionalmente numero de seguridad PIN.
El caso es que como ya todos sabéis, el día 18 alguien accedió a mis cuentas de correo, a una de las salas, en concreto Poker770 de la que espero noticias para ver si me recuperan algo o se hacen cargo de los 2200€ que se jugó el individuo en las mesas (Además de eso, intento un retiro para vaciar el cajero).En mi cuenta de Neteller también consiguió acceder y vaciarla, al igual que consiguió hacer compras con mi tarjeta de la Caixa por valor de 2300€. Afortunadamente la entidad manda SMS con los movimientos sospechoso, y tras 14 compras pude cancelarla a tiempo, sino me vacía la cuenta corriente. Como nota decir que yo nunca pago con esta tarjeta por internet.
Los 3K de Neteller ya los he recuperado y lo del Banco también aunque lo tengo bloqueada bajo investigación de VISA.
El caso es que ante esto, decidí ponerme en contacto con las salas lo antes posible. Con la mayoría fue instantáneo llamando a su número de atención al cliente, en el caso de Pokerstars que aunque parezca mentira no tiene Telf., fue a través de correo.
Una vez me llaman al telf., la sala decide cerrarme la cuenta por seguridad y para revisar los últimos movimientos, por precaucion. Además de ello me piden que me cree una cuenta de correo para poder mantener conversaciones ya que como repito, no tienen telf. para poder llamarles (cosa que habría eliminado este problema).
Me creo una nueva cuenta. Para entonces yo ya me estoy blindando el equipo más aun, comprando licencias de todos los programas y así poder acceder a todas las funciones de los mismo. Antivirus , antispyreware y demas. Formateo todo el equipo por si acaso.
En la cuenta de PS , he cambiado contraseñas, email, numero PIN y demas.
Dias posteriores, me envían los ultimos movimientos de la cuenta de stars y no parece haber nada raro. Esta dirección de correo nueva solo la uso con Stars y en un principio para hablar.
Pasado varios días, decido activar mi cuenta para lo que pido que me digan cómo debo hacerlo. Para ello solo me indican que debo mandar copia de tarjeta y DNI a la dirección de soporte. Lo hago ese mismo día. Al día siguiente, me responde pidiendo de nuevo las fotocopias de DNI. Al parecer los DNI no se ven bien así que me piden que me haga foto manteniendo la documentación en la mano y así lo hago
Todos estos email que mando a través del correo, los borro automáticamente por si acaso. Los ataques de hackers no suelen ser casos aislados y por mi parte tomo las medidas necesarias para mantener a salvo mi cuenta.
Sigo esperando respuesta por parte de Stars y pasan unos días sin noticias hasta el domingo, día en el que me llama Javier Tazón (Muckedboy) por telf. para decirme que hay alguien que se ha jugado más de 9K$ en las mesas de Limit entre 50-100 y 200-400$ (podéis ver en PTR) con mi cuenta.
Mando instantáneamente un email al soporte y me comunican que mi cuenta hace 2 días que esta activada, que me han enviado una nueva contraseña y un nuevo número PIN a mi correo (emails borrados por una tercera persona), todo esto sin avisarme y teniendo en cuenta que mis cuentas han sido hackeadas hace 1 semana. Algo así a como si el banco te envía a tu email, tu número de tarjeta y el PIN para que lo vea cualquiera.
Cuando me revisan mi cuenta, efectivamente alguien ha entrado, jugado en los niveles altos de Limit dejandose más de 9K y encima me han cambiado la cuenta de Neteller y se han sacado el resto, 5K$. Stars revisa que no hay chipdumping asi que el dinero se ha ganado limpiamente por otros jugadores y no se les puede quitar. He de decir que los numeros de las cuentas de Neteller no se pueden cambiar, ni incluso cuando te las han limpiado como en mi caso, solamente permitiendo el cambio de ID de seguridad.
Alguien entró, cambio el número de una cuenta que llevaba 3 años sin moverse, más que nada porque no se puede, accediendo desde una IP extranjera (han usado IP de India, Países bajos y Luxemburgo para todo esto) y tras revisar el proceso (2 días tardaron) le permiten sacar todo lo que queda sin ver nada sospechoso. ¿Cómo?
El departamento de seguridad de PS, me hace responsable de la seguridad de mis cuentas desde el principio y he de decir que con puntualizaciones eso es cierto, pero en este caso hay matizaciones.
La cuenta de correo, se creó únicamente para la comunicación entre la sala y yo, no para que se me enviara nada, ya que la sala en ningún momento me comunico que me fuese a cambiar ninguna cosa (sino para que vale cambiar contraseña y PIN justo antes de que me bloqueen la cuenta?)
En conversaciones mantenidos repetidas veces por email y telf., ellos afirman que la sala ha actuado de buena fe y que pensaban que como yo había enviado documentación, la cuenta era totalmente segura. Que el departamento de seguridad, me diga que una cuenta es segura al 100% cuando hay gente que me acaba de entrar hace 1 semana, tiene cojones.
La activación de cuentas, me comunican, es según este proceso (como si yo fuese adivino) y nunca ha dado problemas (después de mi caso van a revisar el proceso de activación del que hablo) y ateniéndose a los puntos que hay en Términos y condiciones, me hacen responsable de todo lo que ocurra con mi cuenta, a pesar de que únicamente ellos son los que han puesto en peligro mis fondos al mandar todos los datos de acceso conjuntamente a una cuenta de email que según el criterio de una persona del departamento de seguridad (algo subjetivo), era 100% fiable. Eso sí, con buena Fe.
En estos momentos es posible que penséis que tienen razón, pero leed hasta el final que ya veréis.
He mandado más de una veintena de emails pidiendo la revisión de mi caso, recibiendo negativas en todos ellos, incluso con la parte de Neteller.
He mantenido conversaciones telefónicas, solicitadas a través de email, explicando el tema y siempre con evasivas y con contestaciones que obviamente carecían de contenido. Más de 3 horas por teléfono que no han valido para nadan y en donde el departamento se pasaba la pelota unos a otros.
He de agradecer que Muckedboy me ha movido el tema para que gente más cercanas a la sala, me pudiesen mover un poco el asunto. No voy a dar nombres porque aunque les estoy profundamente agradecido, no creo que sea de interés.
Esta semana es la 4ª o 5ª vez que revisan mi caso, y hoy mismo me han dado una respuesta. Depues de más de una veintena de email, 3 h de llamadas telefónicas y que gente importante intervinieran en mi caso, han admitido parte de culpa únicamente en lo referente a la cuenta de Neteller. Obviamente, es que ya era de flipar que me dijeran que la culpa era mía en esa parte. De 15K$ he recuperado solo 5K, y del resto me han dicho que me den, de buenas maneras.
La idea de hacer público esto, no es de ninguna forma, conseguir que la gente deje de jugar en su sala. Eso es algo imposible y lógico. La idea es haceros ver que nadie está libre de los abusos por partes de las salas, que se escudan en su "alegalidad" para deshacerse de cualquier tipo de responsabilidad.
Pensad que si esto le pasa al jugador X, que no conoce a nadie que pueda interceder en su caso de una forma más contundente, como en mi caso, y que tiene en su cuenta 100K$, le habrían dado largas por siempre y se habría tenido que poner a jugar NL25 porque Pokerstars no se hace responsable de nada.
En Neteller, me han recuperado todo, en el banco tienen seguro y siempre te lo devuelven, Pokerstars no es un banco pero guarda dinero de la gente de igual manera y debería actuar como tal. La seguridad recae en el usuario en gran medida, lavándose las manos en la mayoría de los casos.
Lo que tambien quiero hacer saber con todo esto, es que el dinero en los cajeros de PS, está bastante menos seguro que sitios como vuestro banco o que en vuestras cuentas de Neteller y Moneybookers. Lo mejor es dejar lo justo para jugar y hacer ingreso si os hace falta (que son instantáneos en esta sala), en vez de guardarlo donde si por algún casual os acceden, nadie responderá por vosotros.
¿Es cierto que todo esto se podría haber evitado? Seguro. Si hubiese tenido llave RSA tal vez hubiera sido más difícil acceder, si el correo hubiera sido en gmail.com también, si viviese en Isla de Man y me puedo acercar a su sede a que me den el PIN en mano también, pero no el caso es que si no se juntan contraseña y PIN en este caso, o numero de cuenta y PIN en otros casos, esto de seguro no habria ocurrido.
La gente que trabaja robando de esta manera es profesional y como tal, saben sortear la seguridad de muchas maneras que desconocemos. Lo de las cuentas de correo es mas facil de lo que pensamos, pero acceder a mi cuenta Neteller, acceder a mis datos de tarjeta del banco que no uso nunca por internet, ya que pago con PayPal donde uso la neteller, no es cosa fácil. Lo de la llave RSA es seguro 100%, quién sabe. De lo que estoy 100% es que si la sala te manda a la mierda, no puedes hacer nada.

Para finalizar quería hablaros del aviso que os hacia mas arriba, y que dejaba una puerta abierta para aquellos que creen que la culpa recae en mi persona.
Para activar mi cuenta hoy mismo, alguien del departamento de seguridad, me ha llamado al teléfono para darme la contraseña y posteriormente mandado el PIN al correo. Proceso más coherente con lo que se supone una activación segura, al no juntar los dos partes necesarias para el acceso y que no se si será asi de ahora en adelante.
Quién sabe si lo que me ha ocurrido a mi marcara un antes y un después en la forma de actuar de la sala en este apartado, pero lo que si sé, es que para ello hace falta un "cabeza de turco", y en este caso me ha tocado a mí al modico precio de 9K$.