Artículo BIT
Asalto a la banca en Internet
RINCON DE INTERNET PHISHING Asalto a la banca en Internet Juan José Sánchez Aguila-Collantes Ingeniero de Telecomunicación “Los hombres temen a los mismos dioses que han inventado” Marco Anneo, Lucano Antes de afrontar este espinoso, y por desgracia de actualidad, tema comencemos por definirlo. Cuando hablamos de phishing, nos estamos refiriendo a aquellas estafas llevadas a cabo mediante mecanismos electrónicos (Internet en este caso) en las que el estafador intenta suplantar identidades de organizaciones legítimas, sobre todo bancos, con el fin de engañar a los usuarios para que revelen información sensible, como puede ser sus contraseñas y palabras de acceso a los servicios online. El nombre hace referencia a la pesca -fishing - de contraseñas de forma engañosa. Los ataques de phishing se han popularizado en los últimos meses, presentando un crecimiento exponencial. Según un informe del Anti-Phishing Working Group, encargado de controlar los fraudes en Internet, hasta un 5% de las potenciales víctimas sufren hurtos de identidad y pérdidas financieras, lo cual ha provocado una cierta alarma en el mundo de Internet. El phishing ha afectado en el pasado año a entidades como el Banco de Inglaterra, Citibank, US Bank, eBay o Wells Fargo entre otros. En España, en 2004, se conocieron prácticas de phishing que afectaron a clientes de Banesto, el Banco Popular, el Banco Pastor y otras. En la gran mayoría de los casos el supuesto envío de un correo electrónico a los clientes de la entidad suplantada actúa de señuelo. En el mensaje, con una fuerte carga de ingeniería social, se suele solicitar el acceso a la página web del banco mediante argumentos diversos (problemas técnicos, revisión o verificación de las cuentas de usuario, confirmación de una transacción reciente, protección y mejora de la seguridad de las cuentas, ...), para lo cual se acompaña de un enlace que “facilita” el acceso a la supuesta página web del banco. La experiencia indica que las personas actúan de buena fe revelando sus datos cuando son solicitados, lo que en este caso puede tornarse en desgracia para el usuario. El correo electrónico que actúa de señuelo en algunos casos presenta faltas de ortografía e incoherencias que pueden levantar la sos “Phishing, son estafas por Internet en las que el estafador intenta suplantar identidades de organizaciones legítimas (bancos) para que los usuarios revelen información sobre contraseñas y palabras de acceso a los servicios online” pecha. Sin embargo, ésto no es siempre así y en muchas ocasiones los mensajes incluyen los logotipos de la entidad, así como los tipos de letra y colores corporativos y otros datos fiscales y de identificación verdaderos. En otros casos, los estafadores han llegado incluso a indicar que el banco ha detectado un gran número de ladrones de identidad y que ante el peligro que ello supone, se hace necesario confirmar los datos bancarios como mecanismo de seguridad y protección. En la página web de Mailfrontier se presentan a modo de test 10 mensajes reales que han circulado por Internet, algunos de los cuales son auténticos y otros creados para buscar víctimas. El objetivo es distinguir los legítimos de los fraudulentos. Hacerlo puede ser un buen ejercicio para estar prevenido en el caso de que recibamos mensajes de estas características. Tras el envío de los mensajes señuelo descritos, las técnicas utilizadas a la hora de realizar phishing suelen basarse en la explotación de vulnerabilidades conocidas de los navegadores, aunque en otros casos simplemente hacen gala de una cierta habilidad y picaresca. La técnica básica consiste en que el enlace incluido en el correo electrónico, aunque formalmente pueda parecer el de la entidad bancaria en cuestión, apunta en realidad a otra dirección en la cual se ha realizado una copia idéntica de la página web original del banco. En esta copia figura, por supuesto, el formulario de identificación para el acceso a los servicios online de banca electrónica. Cuando el usuario introduce sus datos para entrar al servicio lo que está haciendo en realidad es enviar su nombre de usuario y palabra de paso a los estafadores que con estos datos pueden proceder a gestionar como les apetezca la cuenta de la víctima. Visto lo anterior puede ser aconsejable tomar algunas medidas preventivas como pueden ser la verificación de cuál es el enlace real que hay tras una etiqueta en la barra de estado (situada en la parte inferior) del navegador antes de hacer click en él o una inspección visual de la dirección en la barra de navegación tras haber accedido a la página destino. En ambos casos se debería poder comprobar si la dirección del enlace destino no se corresponde con la auténtica del banco. Sin embargo dependiendo de la complejidad y el refinamiento de las técnicas empleadas estas medidas pueden no ser tan eficaces. Así y en lo que a la primera medida se refiere, es posible falsear el URL que aparece en la barra de estado, cuando se posiciona el ratón sobre un enlace determinado. Respecto a la se- Y podríamos seguir ad infinitum, pues cuando se logra corregir la supuesta vulnerabilidad que explota una técnica de ataque surgen otras nuevas… Direcciones www.antiphishing.org www.hispasec.com www.alerta-antivirus.es survey.mailfrontier.com/survey/ quiztest.html gunda medida, recientemente se ha logrado llegar a falsear también el URL en la barra de direcciones mediante un sencillo JavaScript, que abre una ventana del tamaño de la barra de direcciones y la superpone sobre la página web del estafador pero con la URL auténtica del banco.1 Otra de las técnicas empleadas consiste en que el falso enlace abre dos ventanas. Una de ellas es la original del banco y la segunda, en la que se oculta el URL, es la empleada para llevar a cabo el robo de los datos. En ocasiones, tras robar el nombre de usuario y clave, el servidor de los estafadores aprovecha para redirigir al usuario de forma segura a su cuenta online en la página web auténtica del banco con lo que éste no tiene porque percatarse de que ha sido objeto de una estafa. Una tercera permite, si se tienen abiertos simultáneamente dos sitios web (el real y el del atacante), que al pinchar el usuario sobre un enlace en la web real, se visualice una ventana abierta desde la web del atacante. ¿Y que se puede hacer entonces? La recomendación fundamental para evitar ser víctima de un ataque phishing, es no acceder a sitios web sensibles, como los de la banca electrónica, pinchando en enlaces que nos hayan llegado por correo electrónico o que estén situados en páginas web de fiabilidad dudosa. La segunda recomendación es que a la hora de introducir datos sensibles para acceder a los servicios online en la web del banco se verifique siempre que hay una conexión segura establecida (lo que se puede comprobar observando que en la barra de direcciones aparece “https” y que el candado o llave situado la parte inferior de la ventana del navegador aparece cerrado). Tras elloÔ 1 Anteriormente este efecto se conseguía mediante la explotación de una vulnerabilidad de Internet Explorer que ya fue corregida, que permitía visualizar una URL concreta en la barra de direcciones del navegador cuando en realidad se estaba visitando un sitio web diferente. RINCON DE INTERNET PHISHING Asalto a la banca en Internet y como medida de precaución adicional, se podría visualizar la información detallada del certificado de seguridad (pinchando sobre el candado), comprobando que coincide con los datos reales de la entidad y que está vigente y es válido. En cualquier caso, cuando se vaya a acceder a un sitio de banca electrónica es recomendable tener abierta únicamente una ventana del navegador y sobre ella teclear manualmente, en la barra de direcciones, el URL de la entidad. Y no estaría de más intentar establecer la conexión segura (tecleando https:// www.elbancoquesea.com ) desde un primer momento.2 La otra serie de recomendaciones esenciales para prevenir ser víctima de este tipo de ataques es mantener el sistema operativo actualizado con los parches que publican las compañías desarrolladoras, pues en ellos se van incluyendo las correcciones a las vulnerabilidades conocidas. Pero de nada sirve todo lo anterior si el usuario se encuentra en un ordenador poco fiable, como por ejemplo en un locutorio o cibercafé que no sean de nuestra confianza. En estos casos y si no existe una necesidad imperiosa, es mejor no introducir datos sensibles. De cara a los bancos sería interesante que diseñaran sus páginas web de forma que permitieran a sus usuarios comprobar de una manera sencilla que no se encuentran ante un ataque phishing. Unas simples medidas en este sentido podrían facilitar esta tarea. Así, por ejemplo, permitir la visualización (en lugar de ocultar como pasa a veces) las URLs de las páginas, informar sobre el conocimiento de los elementos básicos identificativos de una conexión segura (su comienzo por https// yel “candado cerrado” como identificador de un certificado de seguridad 3). Otra medida que podría ayudar sería que las entidades bancarias hicieran saber que, por principio, nunca enviarán a sus clientes mensajes con enlaces activos. “La otra serie de recomendaciones esenciales para prevenir este tipo de ataques es mantener el sistema operativo actualizado con los parches que publican las compañías desarrolladoras” Sin embargo las nuevas técnicas de phishing parece que puedan encaminarse por senderos más tenebrosos, como es el desarrollo y difusión de “malware”. Así, ya se ha detectado en algún caso fuera de España troyanos que tras infectar un PC se quedan latentes en él, en espera de que el usuario decida visitar la web de entidades bancarias determinadas. En ese momento, se activan y obtienen los datos de acceso (e incluso capturas de pantallas mientras el usuario está navegando en la web del banco) para proceder posteriormente a su envío automático al sistema del estafador. En este caso podría enten derse que hay un cambio cualitativo pues se pasa directamente del engaño al hurto. Ante este tipo de ataques el usuario lo que puede hacer es poseer programas actualizados de antivirus y detección de spyware y sobre todo, tener cuidado con los ficheros que ejecuta en su ordenador, pues ha de ser consciente que siempre existe la posibilidad de que oculten algún troyano. Pero en cualquier caso y tras lo visto, hay que decir que no se puede simplificar el problema haciendo que la responsabilidad recaiga exclusivamente en el usuario. Por el contrario, y dada su complejidad, es un deber afrontarlo en todas sus vertientes. Para ello, sería necesario que todos los agentes involucrados, desde los bancos y empresas de servicios financieros, las desarrolladoras de software, antivirus, y consultoras de seguridad hasta la Administración pasando por las asociaciones profesionales y de usuarios lo abordasen dedicando la atención necesaria. Y debería ser obligación de todos ellos contribuir, cada uno en su ámbito de actuación, para tratar de solucionar el problema de forma que los usuarios puedan confiar plenamente en el medio electrónico, sin tener que estar temiendo por la aparición ocasional de eventuales problemas de seguridad. No debemos olvidar que la implantación exitosa de la sociedad de la información dependerá finalmente de los usuarios y por tanto, de su grado de confianza en las tecnologías subyacentes. 2 Hoy por hoy esto último no funciona con todas las entidades, y en algunos casos se nos redirigirá a la página web original (http:// www.elbancoquesea.com ) sin conexión inicial segura, aunque luego a la hora de pasar a la pantalla de login sí se establezca una conexión segura. 3 En el momento en que se escriben estas líneas se ha descubierto una vulnerabilidad de Internet Exlorer que permite a un estafador simular una página web segura de una entidad bancaria sin que se puedan detectar anomalías en la dirección ni en el certificado de seguridad. No obstante confiamos en que para cuando salga a la luz el artículo ya se haya publicado la corrección.
30 oct 2015