Pesadillas de Internet

La primera vez que se mencionó el término phishing fue en enero de 1996 debido a las estafas que se presentaron en AOL. Este término, el cuál viene de la palabra inglesa pescar,  fue adoptado por los crakers quienes intentaban obtener los datos de las cuentas de los usuarios mediante señuelos sofisticados y poco usados en su momento. Aunque también hay quienes afirman que phishisg proviene de la contracción de “password harvesting fishing" (cosecha y pesca de contraseñas).

En 1995, AOL descubrió la estafa que estaba llevando a cabo un cracker, quien se hacía pasar por un empleado de la compañía enviando un mensaje instantáneo de confianza a un usuario, de modo tal que la víctima enviaba su contraseña y el criminal tenía acceso a la cuenta del cliente. Por lo anterior la compañía añadió en su sistema de mensajería instantáneo una línea que advertía a los usuarios que ningún trabajador de AOL preguntaría acerca de su contraseña o información de facturación; además desarrolló un sistema que permitía desactivar de forma automática una cuenta involucrada en phishing antes de que el cliente respondiera el mensaje.

Esta modalidad de estafa, diseñada específicamente para robar identidades, se ha potencializado en el mundo desde 2002 debido al alto número de internautas y a la  importancia que la red de redes ha adquirido en los últimos 10 años, también debido a que un alto número de personas realizan la mayoría de sus actividades comerciales y financieras a través de Internet, por no hablar del auge de la Web 2.0 y sus desventajas en cuanto a este fraude.

Robo rápido y sencillo

Como tal este delito consiste en obtener información como números de tarjetas de crédito o débito, contraseñas, información de cuentas bancarias o información personal de los usuarios a través de correos electrónicos o ventanas emergentes.

El cracker envía mensajes falsos que parecen provenir de sitios web reconocidos como un banco o la empresa de la tarjeta de crédito, generalmente el correo alerta sobre una falla en los sistemas de seguridad o sobre la necesidad de actualizar sus datos personales. La gente confiada normalmente responde a estas solicitudes de correo electrónico con sus números de tarjeta de crédito, contraseñas, información de cuentas u otros datos personales. El correo lleva al usuario a una web pirata, una página que luce idéntica a la de la entidad financiera, donde él introduce sus datos o su contraseña y la envía, en ese momento la página falla, y luego lo redirige a la página real, pero en ese momento ya el delincuente posee la información que requería y la utilizará para realizar compras, solicitar una nueva tarjeta de crédito o robar su identidad.

Según Juan Carlos Álvarez, gerente general de Interlan, empresa de ingeniería de redes y sistemas de Colombia, explica que esta página ficticia generalmente está almacenada en un servidor de tipo gratuito y en cualquier lugar del mundo, en especial en aquellos países donde la legislación no es muy fuerte en relación con este tema.

Asimismo, Álvarez asegura que los hackers han cambiado las motivaciones de su accionar, pues han pasado de divertirse y de buscar reconocimiento entre sus amigos a perseguir dinero o números de tarjeta de crédito que pueden comercializar en el mercado negro. Muchos de estos números se obtienen de diferente manera, no sólo por phishing, también se da por fuga de información de las empresas financieras o en las compañías que manejan tarjetas de crédito a través de redes de autorización en tiendas por departamentos que poseen cajas registradoras con sistemas inalámbricos, los cuales pueden ser explotados y vendidos en este oscuro mercado.

De igual forma los hackers están actuando con otras redes criminales como trata de blancas, pornografía, piratería de software y de música. “Por ejemplo una página pornográfica tiene pedazos de código malicioso que interceptan el browser y el navegador, lo contaminan con keylogers los cuales van grabando todo lo que uno va tecleando y lo envían a unos sitios donde capturan la información, entre la que se encuentran las claves personales; o también contaminan el navegador para que se vaya siempre a visitar una página y en esa página hay siempre contadores que le dan dinero” afirma Álvarez.

Grupo de amenazas

Podríamos decir que el crimen cibernético se ha convertido en un crimen organizado, donde ya no sólo se utiliza una modalidad de estafa, sino que múltiples amenazas de la red contribuyen para que el phishing tome forma y pueda actuar.

Generalmente el phishing llega a través del spam, de este modo a un spamer le pagan por enviar cantidades de correos de manera indiscriminada y es imposible detectar de dónde vienen los ataques, ya que hay máquinas especializadas en enviar correos basura en todo el mundo. También existen gusanos que contaminan computadoras caseras para que envíen gran cantidad de spam, de esta forma se configura una red de both que está bajo el control de un cracker. Como dato curioso, Juan Carlos comentó que estas redes de both se alquilan, así que los phishers arriendan la red, envían sus ataques y capturan la información necesaria y luego cambian de red.

Según datos publicados en PCWorld de acuerdo con el informe de 2007 de Kaspersky Labs, hoy en día no sólo el phishing es la amenaza que se utiliza para ganar dinero, ahora el malware se programa con el mismo fin. Además existen otras modalidades de ataque que ponen en riesgo la estabilidad de las computadoras, pues se cuenta con máquinas zombies, ataques de negación de servicio (DDoS) contra sitios web, se propagan virus a través de todos los métodos existentes (blogs, titulares RSS, web 2.0, correo electrónico, mensajería instantánea) y se roba información bancaria por medio de caballos de troya.

Asimismo, uno de los peligros más inminentes y desarrollados del año pasado, del cual se podría decir que es el que más ayuda a la distribución, así como a la ejecución de todas las amenazas cibernéticas, es la red de software robots o botnet, que infecta a un gran número de computadoras para ser controladas en forma remota a través del IRC (Internet Relay Chat, protocolo de comunicación basado en texto, clasificado dentro de la mensajería instantánea).

Pero es que no sólo estas amenazas se limitan a los PCs, los dispositivos móviles también son víctimas de estos peligros y mientras más sofisticados, más posibilitan la reproducción de estos problemas. Álvarez explica que dispositivos como las memorias USB, cámaras digitales, así como aquellos con capacidades inalámbricas y Bluetooth son la principal fuente de fuga de información comprometiendo la confidencialidad de la empresa, además de transmitir infecciones.

En diciembre de 2007 se descubrió un nuevo ataque de pshising que modifica la configuración DNS de algunos modelos de routers ADSL. Este ataque, lanzado a través de spam,  no es detectado por ningún antivirus y debido a esto lleva a los usuarios a una web falsa al introducir la dirección correcta de su entidad bancaria en el navegador. Al hacer click sobre el enlace los usuarios observan en la página una presentación de flash, la cual modifica la configuración de su router de conexión a Internet.

Otra técnica de esta estafa, según ABC.es, se está dando a través del servicio Google Calendar, donde llega un mensaje falso que promete el cobro de una herencia utilizando este servicio. Los crackers llaman la atención con una oferta innegable, piden al usuario que se ponga en contacto con ellos y les facilite los datos bancarios para realizar la transacción, logrando así el acceso a la cuenta del internauta y robándole su dinero.

También se han presentado robos de nombre y contraseña del Messenger en las páginas web como quienteadmite.com y noadmitido.com donde los usuarios de MSN consultan quién los ha bloqueado de su lista de contactos

Ataques para todo el mundo

Esta técnica de ingeniería social, y las demás amenazas virtuales no sólo se dan en Estados Unidos, Europa o Asia, en América Latina estos casos se vienen presentando en gran escala.

En noviembre pasado se presentaron 7.833 incidentes en todo el mundo, un 62 por ciento fue en contra de los bancos de Estados Unidos, un 12 por ciento en el Reino Unido, a Italia le correspondió un seis por ciento, seguida por Australia y Canadá con un cuatro por ciento cada una, el quinto lugar lo ocuparon Colombia, España y Sudáfrica con tres por ciento y México y Perú en el sexto lugar con un uno por ciento. Asimismo la mayoría de ataques provinieron de redes alojadas en Estados Unidos, China, Alemania, Francia, Reino Unido, Corea del Sur, Holanda, Hong Kong, Singapur y España.

Según el informe de Symantec el sector financiero continua siendo el preferido de los phishers ya que acapara el 80% de los ataques, aunque también presenta una disminución en el total de páginas web con prácticas de pshishing, pues la compañía proveedora de software, dispositivos y servicios de seguridad informática, ha identificado 17.471 de estos sitios, lo que demuestra un descenso del 1,8 por ciento en febrero de 2008 con respecto al mes anterior. Asimismo los incidentes se han reducido al compararlos con los dados de enero en un 12,57 por ciento menos.

El informe también destaca que el idioma oficial de los ataques de esta modalidad de estafa es el inglés, seguido por el italiano, el francés y el alemán, aunque se han descubierto 2.641 sitios de phishing en dialectos distintos al inglés, lo que supone un crecimiento del 9,49 por ciento comparado con enero de 2008.

Lo que viene para 2008

Para este año las predicciones no son alentadoras. De acuerdo al reporte de amenazas de 2007 publicado por Trend Micro, los códigos maliciosos seguirán atacando a los sistemas operativos y las vulnerabilidades de aplicaciones populares con el fin de violar la seguridad de las computadoras para robar información.

Los sitios web como las redes sociales, servicios bancarios, juegos en línea, motores de búsqueda, noticias, blogs, sitios de subasta o de empleo, seguirán siendo los medios de los crackers para hospedar los enlaces a sitios de phishing.

De igual forma los dispositivos de almacenamiento portátiles o no administrados como smartphones, reproductores MP3, consolas de juego, memorias, cámaras digitales, entre otros, continuarán permitiendo que los códigos maliciosos puedan traspasar las fronteras de seguridad de una compañía. También los puntos de acceso públicos como cafés Internet, cafeterías, librerías y lobbys de hoteles y aeropuertos seguirán siendo los puntos de distribución de malware o vectores de ataque utilizados por entidades maliciosas. También los servicios de comunicación como correo electrónico, mensajería instantánea e intercambio de archivos serán aprovechados por las amenazas como spams, URLs maliciosos y archivos adjuntos con temas que contengan ingeniería social para que las victimas acepten mientras que los criminales realizan sus acciones.

RECUADRO

¿Cómo protegerse del pishisng?

Juan Carlos Álvarez, al igual que los expertos, considera que tanto las compañías como los usuarios deben protegerse de las amenazas virtuales, especialmente del phishing, contando con herramientas de defensa del correo electrónico y nuevas tecnologías que analizan la dirección a la que se intenta acceder con el fin de no ingresar a un sitio malicioso, tener un antivirus actualizado, educar al usuario final, poseer una red bien administrada, además de controlar los dispositivos extraíbles.

También Panda Labs recomienda los siguientes procedimientos para protegerse del pshishing

* Nunca responda a solicitudes de información personal a través de correo electrónico: las empresas nunca solicitan contraseñas, números de tarjeta de crédito u otro tipo de información personal por mail. Si recibe un mensaje que le solicita este tipo de información, no responda. Si piensa que el mensaje es legítimo, comuníquese con la empresa por teléfono o a través de su sitio web para confirmar la información recibida.
* Para visitar sitios web introduzca la dirección URL en la barra de direcciones: si sospecha de la legitimidad de un mensaje de correo electrónico de la empresa de su tarjeta de crédito, banco o servicio de pagos electrónicos, no siga los enlaces que lo llevarán al sitio Web desde el que se envió el mensaje. Estos enlaces pueden conducirlo a un sitio falso que enviará toda la información ingresada al estafador que lo ha creado. Siempre escriba la dirección de la entidad, pues aunque la barra de direcciones la muestre los piratas conocen muchas formas para mostrar una dirección URL falsa en la barra de direcciones del navegador.
* Asegúrese de que el sitio web utiliza cifrado: antes de ingresar cualquier tipo de información personal, compruebe si el sitio web usa cifrado para transmitir la información personal. En Internet Explorer puede comprobarlo con el icono de color amarillo (candado, el cual si está cerrado indica que el sitio utiliza cifrado); haga doble clic sobre el icono del candado para ver el certificado de seguridad del sitio. El nombre que aparece a continuación del enviado a debe coincidir con el del sitio en el que se encuentra. Si el nombre es diferente, puede que se encuentre en un sitio falso. Si no está seguro de la legitimidad de un certificado, no introduzca ninguna información personal. Sea prudente y abandone la página web.
* Consulte frecuentemente los saldos bancarios y de sus tarjetas de crédito
* Comunique los posibles delitos relacionados con su información personal a las autoridades competentes: informe inmediatamente a la empresa afectada, proporcione detalles del estafador como los mensajes recibidos. Si cree que su información personal ha sido robada o puesta en peligro, también debe comunicarlo a la FTC (Federal Trade Commission).

RECUADRO
Variantes y modalidades de phishing

La mayoría de los métodos de phishing utilizan la ingeniería social para lograr su cometido. Existen algunas variantes de este tipo de estafa como son:
* Smishing: se basa en el uso de mensajes de texto SMS cuya finalidad es obtener por medio de engaños a los usuarios de telefonía móvil, información privada o suscripciones falsas on line y ofertas de trabajo en sitios web, para luego introducir spyware o malware sin el consentimiento del usuario.
* Vishing: consiste en el envío de un correo electrónico en el cual los delincuentes consiguen detalles de datos bancarios mediante un número telefónico gratuito, en la cual una voz computarizada de aspecto profesional les requiere a las víctimas la confirmación de su cuenta bancaria, solicitándoles el número de cuenta, tarjeta, PIN, etc.

Asimismo existen distintas modalidades de ataques “phishing” como las publicadas por Ubilibet  (Consultores en Sociedad de la Información)

* Deceptive Phishing: es la modalidad más común. Consiste en el envío de un correo electrónico engañoso en el que se suplanta a una empresa o institución de confianza.
* Malware-Based Phishing: se refiere a la variante del delito que implica la ejecución de un software malicioso en el ordenador, pero el usuario deberá realizar alguna actuación que permita la ejecución del malware.
* Keyloggers y screenloggers: son una variedad particular de malware. Los Keyloggers son programas que registran las pulsaciones del teclado cuando la máquina en la que están instaladas accede a una web registrada. Los datos son grabados por el programa y enviados al delincuente por Internet. Los Screenloggers tienen la misma función, pero capturan imágenes de la pantalla.
* Session Hacking: describe el ataque que se produce una vez que el usuario ha accedido a alguna web registrada por el software. Estos programas suelen ir disfrazados como un componente del propio navegador.
* Web Trojans: son programas que aparecen en forma de ventanas emergentes sobre las pantallas de validación de páginas web legítimas. El usuario cree que está introduciendo sus datos en la web real, mientras que lo está haciendo en el software malicioso.
* System Reconfiguration Attacks: este ataque se efectúa modificando los parámetros de configuración del ordenador del usuario, por ejemplo modificando el sistema de nombres de dominio.
* Data Theft: se trata de códigos maliciosos que buscan información confidencial almacenada dentro la máquina en la que se instalan
* DNS-Based Phishing (“pharming”): este delito se basa en la interferencia en el proceso de búsqueda de un nombre de dominio, es decir modifica fraudulentamente la resolución del nombre de dominio enviando al usuario a una dirección IP distinta.
* Hosts File Poisoning: es otra forma de llevar a cabo el pharming. En este caso la transformación se lleva a cabo mediante el fichero hosts albergado en los servidores DNS.
* Content-Injection Phishing: esta modalidad consiste en introducir contenido fraudulento dentro de un sitio web legítimo
* Man-in-the-Middle Phishing: en este caso, el delincuente se posiciona entre el ordenador del usuario y el servidor, pudiendo filtrar, leer y modificar información.
* Search Engine Phishing: los phishers crean buscadores y páginas web que ofertan programas o servicios.