Grado de dificultad: 2 (Cuando se trata de hacking, todos los detalles cuentan)
Columnista: Roberto
Por cierto, (“spoiler alert”) muy probablemente sí.
El presente artículo será en varias partes, para que las explicaciones sean claras y no técnicas (bueno, lo menos posible).
Un ejemplo de engaño típico
Hace poco, recibí una llamada telefónica. Era desde un celular desconocido a mi línea fija:
Voz distante: Hola tío
Yo: Hola … ¿Con quién habló?
Voz distante: Pues, con tu sobrino (dicho con un tono de sorpresa, tipo “no me reconoces”).
Yo: … ¿Cual sobrino?
Voz distante: Con el más viejo de todos.
Yo: Con quién hablo, si no me contesta, cuelgo.
Voz distante: Con el más viejo de todos.
Y colgué (la transcripción anterior es una fiel reproducción).
Me salve por guache: la inmensa mayoría se auto culpará por no “acordarse”, y se pondrá a ayudar la voz desconocida, entregando elementos.
Otra posibilidad es que la llamada sea recibida por una empleada de servicio, la cual obviamente no se atreverá a despedir el abusivo.
Al contrario, ella revelará inmediatamente el nombre de usted, o, mejor, llamará a alguien de la casa si está presente … A voz alta, teléfono en mano.
Así, el troll distante tendrá una primera información clave, un nombre. Cada intercambio posterior le traerá migas para rastrear quién es usted.
Este método sigue siendo utilizado, simplemente porque es de los que mejor funcionan. El modo “hablado” es un método de comunicación que pocos dominan: requiere una rapidez de pensamiento incompatible con la acción de hablar.
Además, muchas informaciones ya están disponibles: todos entregamos voluntariamente muchos datos sobre nosotros en los centros comerciales, engañados por “participar a un concurso” (cuyo premio es imaginario).
Las listas establecidas para estos “concursos” son largas y muy precisas: Luego, son un producto que se vende a buen precio.
Ahora saben porque piden todos estos datos para un simple concurso. Todos los especialistas en marketing telefónico compran estas listas y se comportan de manera muy similar al “sobrino” del dialogo anterior.
Por esta razón, su n° de teléfono está conocido, así que esta puerta de acceso a su hogar está abierta.
Transposición en el mundo “virtual”
Ingeniería social
En la vida real, lo anterior se llama un “intento de estafa”. En informática, y más exactamente en “hacking”, se llama una “ingeniería social”.
Para los hackers, la ingeniería social es la base de casi todo intento de acceder a las informaciones de uno.
Al contrario de lo que hacen creer, no es nada fácil adivinar una clave de acceso.
Aunque les estén amenazando con una “ataque con fuerza bruta”, es relativamente fácil de tener una clave que no sea rápidamente “crackeada” (el factor tiempo es muy importante en informática).
Sin embargo, la regla universal es “sí uno quiere una información, lo más sencillo es pedirla”.
En el universo informático, el equivalente de la llamada telefónica es más engañoso aun, porque es visual.
No crean que pueden reconocer visualmente un engaño si no están acostumbrados a los detalles técnicos.
En el estado actual de los desarrollos software, un “copiar/pegar” o un “guardar como” permiten una clonación perfecta de un original numérico (página web, por ejemplo).
El correo electrónico
Es la táctica tradicional: uno recibe un correo electrónico con una pieza adjunta.
La pieza tendrá un nombre engañoso, lo suficiente como para desviar la atención del recipiente sobre la extensión de este elemento.
A continuación, está un vínculo hacia una lista de las extensiones potencialmente peligrosas (origen: Symantec),
https://support.symantec.com/us/en/article.info3768.html
En está, varias extensiones son bastante frecuentes (“.csh”, “.js”, “.jse”, “.wsf”).
En realidad, no tienen por qué conocerlas todas. La regla es única en todos los casos: NUNCA ABRIR UN ARCHIVO (dobre clic) DESDE EL CLIENTE DE CORREO.
Aun así, las malas costumbres son persistentes.
Existe una alternativa: hacerse pasar por una entidad financiera, luego dirigir, por hipervínculo (con un texto convencedor), hacia un clon de la pagina de inicio (identificación y clave requeridas).
Otra alternativa es la de crear un sitio independiente, que les pida crear una cuenta nueva, con identificación y clave: La inmensa mayoría usa la misma clave para muchos sitios (acordarse de todo es casi imposible).
Las redes sociales
En la actualidad, las redes sociales traen a los delincuentes una nueva oportunidad para acceder a informaciones.
Usan las mismas tácticas antiguas, de “cadenas” y de historias bien contadas para que uno se conecte a un sitio que contenga uno de los archivos de la lista de Symantec, disimulado detrás de un icono o un botón.
El resto es similar a lo que pasa con un correo electrónico.
Los comentarios bajo artículos web
El sitio web de TMN (donde están en este momento) enfrenta un fenómeno de este tipo: los columnistas suelen dejar un campo, debajo de sus artículos, para que los lectores puedan hacer comentarios.
Muchas veces, son trolls que vienen a pescar, esperando que uno dará un clic en los enlaces que proponen siempre en sus “comentarios”.
A continuación, un ejemplo reciente de estos mensajes de mentira (había 16 casos al momento de la consulta, y cada día se renueven):
Pero no todos los sitios hacen un filtro juicioso. Cuando un sitio recibe muchos comentarios (suspiro), los engaños más sutiles logran pasar el filtro.
Es lo que pasa en periódicos reconocidos.
Este primer capítulo (un tanto aburridor) describió el método para conseguir información. Como lo ¿sugieren las ilustraciones, es como ir a pescar…
Sin embargo, hay lugares en la red donde es más fácil de conseguir informaciones. Lo veremos en el próximo capítulo…
Leave A Comment