¿Por qué los estados de cuenta bancarios tienen contraseña?

Los bancos cifran los PDF de los estados de cuenta con una contraseña construida con tus datos para que el contenido siga ilegible si el correo llega a la persona equivocada.

Los bancos protegen con contraseña los estados de cuenta que envían por correo porque el correo es fácil de dirigir mal, reenviar o vulnerar. El PDF está cifrado, y la contraseña se construye con datos que solo tú y el banco deberían conocer, así que quien reciba el archivo no puede leer tus movimientos, tu saldo ni tu número de cuenta.

Qué hace realmente la contraseña

La contraseña de apertura de un PDF cifra el contenido del documento. Sin la contraseña, un lector de PDF ve datos revueltos, no texto oculto. Eso es distinto de una contraseña de “permisos”, que solo limita imprimir o copiar en los lectores que la respetan (Adobe: Descripción general de la seguridad con contraseña). Los estados de cuenta bancarios usan una contraseña de apertura, porque el objetivo es mantener el contenido en privado.

Los bancos lo describen en términos parecidos. Standard Chartered EAU, por ejemplo, dice que sus estados de cuenta electrónicos están “cifrados con una contraseña única” (Standard Chartered EAU).

De qué protege

• Dirección de correo equivocada. Un error de tecleo al registrar un correo, o una dirección antigua que ahora es de otra persona, podría enviar tu estado de cuenta a un desconocido.
• Bandejas de entrada compartidas o hackeadas. Familiares en un dispositivo compartido, o un atacante que entre a tu correo, no pueden leer el archivo adjunto sin la contraseña.
• Reenvío y almacenamiento. Los estados de cuenta acaban en carpetas de descargas, copias de seguridad en la nube y apps de chat. El cifrado viaja con el archivo.
• Fraude. Un estado de cuenta muestra tu número de cuenta, dirección, saldo y patrones de gasto, material útil para estafas y robo de identidad.

Por qué la contraseña se hace con tus propios datos

Los bancos no pueden enviar una contraseña aleatoria en el mismo correo, porque cualquiera que lea el correo la vería. Por eso la mayoría usa un formato, normalmente alguna combinación de tu nombre, fecha de nacimiento, número de celular, ID de cliente o número de cuenta. Tú puedes deducirla, un desconocido normalmente no, y el banco no necesita enviar un secreto. El formato en sí normalmente se indica en el correo del estado de cuenta o en el sitio web del banco.

La desventaja es que estos datos no son realmente secretos. Alguien cercano a ti puede conocer tu cumpleaños y tu teléfono. Considera la contraseña como protección contra una exposición casual, no como una bóveda.

¿Es un requisito legal?

Depende del país, y las normas rara vez dicen “usa una contraseña de PDF”. En India, el Cyber Security Framework in Banks (Marco de ciberseguridad en bancos) del Banco de la Reserva de la India, del 2 de junio de 2016, indica a los bancos que son responsables de los datos que tienen y que deben preservar su confidencialidad, integridad y disponibilidad, y añade que “la confidencialidad de esa información bajo custodia no debe verse comprometida en ninguna circunstancia” (circular del RBI). La circular no menciona específicamente los estados de cuenta por correo ni las contraseñas de PDF. Los estados de cuenta electrónicos con contraseña son una forma común en que los bancos cumplen ese deber más amplio. No encontramos ninguna norma del RBI que exija contraseñas de PDF para los estados de cuenta.

En otros lugares, las leyes de protección de datos generalmente obligan a las organizaciones a proteger los datos personales. Cifrar los estados de cuenta es una forma común de hacerlo, pero el método exacto suele dejarse a criterio del banco.

Qué significa esto para ti

• No compartas la contraseña en el mismo mensaje que el PDF.
• Si quitas la contraseña por comodidad, guarda la copia desbloqueada en un lugar privado.
• Guarda la contraseña en sí de forma segura, no en una nota normal.
• Si un correo de “estado de cuenta” te pide hacer clic en un enlace e ingresar tus credenciales de banca para abrirlo, trátalo como un posible phishing. Los estados de cuenta reales solo piden la contraseña del PDF.

Si volver a escribir la contraseña cada mes es una molestia, puedes guardar una copia desbloqueada con Vista Previa en un Mac, o con UnKey en iPhone, iPad o Mac (sin conexión, sin subir nada). Hazlo solo en un dispositivo que uses tú solo.

Preguntas

Fuentes

• Reserve Bank of India – Cyber Security Framework in Banks (2 June 2016)
• Standard Chartered UAE – Online eStatements
• Adobe – Password security overview in Acrobat

Los formatos pueden cambiar. Si una contraseña no funciona, revisa el correo con el que llegó el documento o contacta con el emisor. UnKey no está afiliado a ningún banco, empleador ni organismo mencionado aquí.

Traducido del inglés. Si hay alguna diferencia, la página en inglés es la de referencia.