¿Son seguras las tarjetas de regalo de Apple?

• Un usuario canjeó una tarjeta de regalo de Apple manipulada de 500 dólares y luego su cuenta de Apple fue bloqueada y perdió acceso a todo su contenido
• La tarjeta parecía auténtica y había sido comprada en una gran tienda física, pero justo después del canje la cuenta fue desactivada y desaparecieron tanto iCloud como el historial de compras del App Store
• Adam Engst, de TidBITS, afirmó que por este tipo de riesgos “las tarjetas de regalo de Apple deberían tratarse prácticamente como malware digital” y pidió evitar comprarlas y usarlas
• El equipo de Executive Relations de Apple investigó el caso, pero la causa de la desactivación de la cuenta y el proceso de recuperación no quedaron claros; la cuenta fue restaurada una semana después
• Este caso expone preocupaciones sobre la confiabilidad de las tarjetas de regalo de Apple y la falta de transparencia de su sistema de seguridad de cuentas

---

El caso del bloqueo de la cuenta de Apple de Paris Butterfield-Addison

• Butterfield-Addison compró y canjeó una tarjeta de regalo de Apple de 500 dólares en una gran tienda minorista y, acto seguido, su cuenta de Apple quedó bloqueada y perdió el acceso a todas sus compras de medios y a iCloud
  • Publicó el caso en su blog, y varios medios como Daring Fireball, Michael Tsai, Nick Heer, AppleInsider y The Register lo cubrieron
  • El equipo de Executive Relations de Apple investigó el caso, pero al principio no hubo ni recuperación de la cuenta ni explicación de la causa
• Gruber mencionó que la cantidad relativamente alta de 500 dólares podría haber sido parte del problema, aunque no es posible confirmarlo porque Apple no explicó oficialmente la razón
  • Apple limita en Estados Unidos el monto máximo de las tarjetas de regalo a 2,000 dólares, por lo que 500 dólares no es una cifra anormal

La polémica sobre la seguridad de las tarjetas de regalo de Apple

• Adam Engst, de TidBITS, sostuvo que “si se canjea una tarjeta de regalo manipulada, la cuenta puede quedar bloqueada”, y afirmó que hay que evitar comprar tarjetas de regalo de Apple y difundir ampliamente el riesgo
  • Lo comparó con una “ruleta rusa digital” y advirtió que también son riesgosas incluso como regalo
• Después de este caso, Gruber comentó que solo usaría tarjetas de regalo directamente en la Apple Store y no para compras vinculadas a una cuenta de Apple
  • Señaló que los métodos de fraude son cada vez más sofisticados y que incluso una fuente aparentemente confiable no garantiza seguridad total

La falta de transparencia en la desactivación y recuperación de cuentas

• Gruber señaló que no está claro si la decisión de desactivar la cuenta fue tomada por una persona o por un algoritmo automatizado de detección de fraude de Apple
  • Dijo que “parecería que dentro de Apple podrían restaurar una cuenta con solo accionar un interruptor, pero en la práctica parece que no es posible”
• También mencionó que, si la recuperación de la cuenta no fuera posible, Apple podría optar por reembolsar todas las compras del usuario y hacerle crear una cuenta nueva
  • Ese procedimiento implicaría la posibilidad de una pérdida permanente de datos del usuario y del historial de compras

Cómo evolucionó el caso después

• Poco después de que se publicara el artículo, Butterfield-Addison actualizó que su cuenta fue restaurada por una representante del equipo de Executive Relations de Apple
  • Aunque la cuenta fue recuperada, sigue sin resolverse por qué fue bloqueada y por qué tardaron una semana en solucionarlo
• Incluso después de resuelto el caso, Gruber señaló que sigue en pie la pregunta de fondo: “qué tan seguro es canjear una tarjeta de regalo de Apple”

Dudas pendientes e implicaciones

• Este caso revela la fragilidad del sistema de tarjetas de regalo de Apple y la falta de transparencia en sus procedimientos de gestión de cuentas
• Confirma que un bloqueo de cuenta puede ocurrir incluso a través de un canal de compra aparentemente normal, lo que afecta la confianza de los usuarios
• También pone sobre la mesa si los sistemas internos de seguridad y atención al cliente de Apple dependen en exceso de la automatización

[GN⁺]

Opiniones de Hacker News

• Este caso hace pensar en varios temas. En una época en la que una cuenta de Apple/iCloud es esencial para la vida diaria, que la cuenta pueda suspenderse tan fácilmente es un problema grave
  El acceso a mensajes, Apple Wallet, identificaciones digitales, suscripciones y compras de medios puede quedar bloqueado de un momento a otro. Más que decir simplemente “no dependas de la tecnología”, hace falta algún mecanismo para prevenir este tipo de situaciones
  Además, no hay una función para dividir historiales de compra en caso de divorcio o separación, y tampoco es posible independizarse de una cuenta familiar o asignar a un menor a varias familias. Apple debería manejar mejor este tipo de escenarios reales

  • Siento que el nivel de servicio no ha cambiado nada en 25 años. Antes, perder un correo no era gran cosa, pero ahora una sola cuenta está conectada a cientos de servicios importantes
    Sin embargo, el personal de soporte al cliente casi no ha aumentado, y en su mayoría dependen de call centers tercerizados que solo leen el FAQ
  • Las cuentas de Apple y Google son muy importantes, pero los estafadores pueden crear miles al día. Por eso, es probable que una parte considerable de todas las cuentas sean cuentas falsas
    Los usuarios reales no quieren spam, así que Apple tiene que bloquear rápidamente las cuentas fraudulentas. Pero al mismo tiempo también debe proteger las cuentas legítimas, así que hace falta equilibrio
    Si Apple relajara los bloqueos de cuentas, el precio sería una verificación de identidad más fuerte. Es decir, para mantener las cuentas más seguras, el nivel de vigilancia inevitablemente subiría
  • Creo que iCloud es un servicio sobrevalorado. Durante mucho tiempo ni siquiera hubo cifrado de los datos almacenados. Yo uso Time Machine y un administrador de contraseñas, y guardo los respaldos en una caja fuerte
  • Me inquieta que la mayoría de mis fotos estén en Google Photos. Siento que debería tener un respaldo doble en Amazon o iCloud
  • Google igual es ineficiente. No hay forma de bloquear por completo a alguien que está en tus contactos. Después de separarme de un excofundador, tuve problemas al colaborar con un amigo que tenía el mismo nombre, por culpa del autocompletado. En el mundo real, este tipo de función para cortar relaciones es absolutamente necesaria

• Creo que la frontera entre el uso legítimo y el uso fraudulento de las gift cards es muy estrecha. Hace tiempo intenté hacer ‘manufactured spend’ para acumular puntos de tarjeta de crédito, y casi parecía lavado de dinero
  Con ciertas gift cards podía acumular puntos dos veces y luego convertirlas en efectivo de inmediato. Al final, ese loophole se cerró rápidamente

  • Yo también usé algo parecido hace años para acumular millas aéreas y viajar a Europa. Compraba money orders con tarjetas Visa prepagadas y luego las volvía a depositar para reciclar puntos sin fin. Recuerdo que los cajeros me miraban con sospecha
  • En la práctica no es tan distinto del lavado de dinero. La única diferencia es que no se trata de fondos ilegales. La línea entre lo legal y lo ilegal depende de la intención
  • Además, incluso una gift card que parece legítima puede haber estado ligada al fraude en algún punto de la cadena de distribución. Si la víctima la reporta, hasta un usuario completamente inocente puede salir perjudicado

• Qué bueno que el caso se resolvió, pero todavía deja muchas dudas

  1. por qué registrar una gift card defectuosa suspende toda la cuenta
  2. por qué no se puede obtener soporte sin atención mediática
  3. si debería limitarse el crecimiento de las empresas hasta el punto en que ya no puedan dar soporte al cliente
     Los bancos manejan estos problemas por etapas, pero plataformas como Facebook a veces suspenden cuentas de forma permanente en un solo día
  • Legalmente, los bancos no pueden congelar permanentemente el dinero de un cliente, y sus procedimientos de verificación de identidad son claros. En cambio, las cuentas en línea casi no tienen regulación legal y ni siquiera recopilan información de identidad
  • Pero los bancos también a veces congelan cuentas sin motivo. Uno solo ha tenido suerte; le puede pasar a cualquiera
  • Es muy probable que Apple haya confundido al usuario con un criminal. Pero no se entiende por qué sospecharon de la víctima y no del verdadero responsable. Más que el tamaño, el problema me parece una cultura de indiferencia hacia el cliente
  • Quizá el nombre incluía una palabra como ‘Butt’ y cayó en un algoritmo automático de filtrado. Aun así, sigue sin haber una respuesta de fondo

• Artículo relacionado: Apple has locked my Apple ID, and I have no recourse — 1730 puntos, 1045 comentarios

• El punto central es la ilusión de propiedad. La gente cree que es dueña de sus cuentas y de sus datos, pero en realidad no lo es. La propia palabra “compra” induce a error. Legalmente, debería decir “arrendamiento” o “licencia de uso limitada”

  • Al crear una cuenta de Apple, ya aceptas en los términos de uso que la cuenta puede cerrarse en cualquier momento. Más que la idea de “propiedad”, hace falta algo como una carta de derechos del consumidor. Los usuarios legítimos deberían tener derecho a apelar el cierre de una cuenta
  • Yo más bien creo que la ley debería garantizar una verdadera ‘compra’. No es correcto ir en una dirección que debilita los derechos de la ciudadanía

• Ahora pienso avisarle a mi familia que las Apple Gift Cards son riesgosas y no deben usarse. Como también es incómodo ponerse a preguntar el origen, lo más seguro es prohibirlas por completo

• Claramente es una gift card insegura. Este caso muestra hasta qué punto estamos atados al ecosistema digital. Antes uno hacía clic en “Login with Google/Apple” sin pensarlo, pero ahora me lo pensaría dos veces

  • Un empleado de Apple aconsejó “comprar las gift cards siempre directamente con Apple”. Esa parece ser la solución más realista
    Al final, las gift cards vendidas en tiendas minoristas no son más que carnada para estafadores. Incluso creo que podría demandarse al minorista que vendió este producto en un juzgado de menor cuantía
  • Yo nunca uso el botón de inicio de sesión social en cuentas importantes. Solo lo uso en cuentas desechables

• Incluso desde el punto de vista del minorista, creo que este problema es difícil. Las gift cards son el medio número uno para el fraude de pagos. Como pueden usarse casi como efectivo con tarjetas robadas, los sistemas de riesgo reaccionan de forma muy sensible
  Pero eso no significa que se pueda ignorar el daño al cliente

  • Entonces simplemente habría que dejar de vender gift cards
  • Algunas tiendas permiten comprar gift cards solo en efectivo. No es una solución total, pero sí una especie de amortiguador
  • No coincido con esa lógica. Como dice Patrick McKenzie, existe la idea de que “el nivel óptimo de fraude no es 0”. Es un error intentar frenar todo el fraude si el daño a los clientes termina siendo mayor
    Las empresas deberían asumir cierto nivel de fraude como costo. Texto relacionado
  • Apple puede rastrear tanto la tarjeta de compra como al usuario. El problema es que el algoritmo de falsos positivos termina bloqueando también a usuarios legítimos

• Esto se resolvió porque la persona era conocida, pero la gente común no tiene forma de resolver algo así. Solo se arregla si se identifica la causa técnica, se escribe al respecto, el tema llega a la prensa y entra PR
  Al final, Apple y Google no son lugares confiables para dejar tus datos

  • Yo pasé por algo parecido en Steam. Me suspendieron la cuenta por un problema de pago y casi pierdo juegos por miles de dólares. La recuperé apenas después de enviar documentos bancarios, pero la actitud fue como de “te lo dejamos pasar por esta vez”
  • En broma, quizá para resolver algo así haya que organizar una conferencia de desarrolladores de Apple uno mismo.
    Técnicamente, el sistema de gift cards podría reducir el fraude si añadiera una función para detectar activaciones duplicadas
  • Viendo estos casos, creo que Apple haría mejor en cerrar el negocio de las gift cards. La mayoría de las cuentas fraudulentas provienen de ese mercado
  • Así como se publica un RCA (análisis de causa raíz) cuando hay una caída grande, Apple también debería emitir un RCA oficial sobre este caso
  • Después de ver esto, pensando en mis fotos guardadas en iCloud, decidí que nunca volveré a usar Apple Gift Cards

• Yo también pasé por algo parecido hace poco. El sistema de gift cards de Apple parece sospechoso. Tal vez estén inflando cifras de ventas, o reforzaron la seguridad por el aumento del fraude
  Mi lección fue esta

  1. gestionar las gift cards para comprar hardware con un Apple ID aparte
  2. guardar todos los recibos — son la única prueba
  3. el equipo de soporte de Apple está listo para tratar al usuario como estafador
  • Últimamente también han aumentado nuevas estafas con gift cards en lugares como Target. Si se puede, conviene usarlas solo directamente en tienda
  • Además, si no tienes influencia como bloguero, a Apple ni le importa. Incluso con pruebas, te ignoran, como pasó con Buttfield-Addison