Hay diferentes “herramientas y técnicas” que se crearon no hace mucho y se siguen creando por
Ingenieros Sociales, programadores de malware, estafadores, etc. Algunos con el fin de atraer
usuarios a determinadas paginas donde se les ofrece algún producto lícitamente, otros con el fin
de llevarlos engañados a una página web “idéntica” a la de algún banco, o entidad que permita
hacer pagos por Internet como PayPal, donde se le solicita al usuario el ingreso de sus datos
La Ingeniería Social: “Oportunidades que le brindan las nuevas amenazas“
personales para luego utilizarlos de manera ilegal. Otros recopilan información del usuario sin que
este se de cuenta, etc.
Estas herramientas son algunas de las nuevas amenazas que hoy están “disponibles”. Estas no
siempre van a ser malas, puede haber ocasiones en los que exista una herramienta que sirva para
recopilar información de sospechosos o delincuentes.
Algunas Herramientas:
Phishing
El phishing es un engaño tan dañino y eficaz como se pueda imaginar, utilizado siempre para fines
delictivos. Básicamente consiste en algún e-mail que procede al parecer de un negocio o empresa
legítima y digna de confianza (un banco o compañía de crédito) solicitando “verificación” de los
datos y advirtiendo sobre consecuencias que traerían si no se hiciera dicha verificación.
El mensaje y/o notificación por lo general tiene un enlace que conduce a un sitio web fraudulento
que a simple vista es idéntico al legítimo, incluso con todos los logotipos propios de la empresa,
contenido imágenes, y un formulario que solicita muchos datos (que van desde la dirección hasta
la contraseña de acceso de la tarjeta de crédito o débito) que una vez ingresados estos datos por
el usuario, van directo a las manos del falsificador.
El phishing tiene como gran aliado al spam, ya que este e-mail fraudulento se envía
indiscriminadamente a miles de usuarios tomados de bases de datos, donde siempre alguno (un
poco crédulo) ingresará sus datos en esta falsa página web y probablemente los daños que sufrirá
serán de un alto impacto. Podría perder todo el dinero de su cuenta bancaria o tarjeta de crédito.
Spyware
El spyware (software espía) recopila información desde una computadora sin el conocimiento y
consentimiento del usuario (ya sea particular o en una empresa). Busca información especial del
usuario o la empresa para conocer las actividades que se realizan en Internet (no es su peor
utilización, pero sigue siendo invasión a la privacidad) para luego generar estadísticas. También
con el mismo método se puede usar dicha información para vendérsela a empresas y poder así
ofrecer al usuario productos a medida.
La Ingeniería Social: “Oportunidades que le brindan las nuevas amenazas“
Por otro lado, están los más perjudiciales que capturan, guardan y envían al atacante todo lo que
se ingresa desde el teclado. Incluso los más avanzados pueden hasta vigilar a un usuario con su
propia web-cam o micrófono, sin que el mismo usuario sepa que estos dispositivos se encuentran
activados.
Estos pueden ser instalados en una computadora personalmente, o mediante un virus o un
troyano que se distribuye a través del correo electrónico.
Spam
Spam se dice ser el envío masivo y no solicitado de e-mails, normalmente con contenido
publicitario de productos o servicios dudosos, métodos para hacerse ricos o adelgazar
rápidamente. Si una persona recibe un mail que no solicitó de alguien que no conoce, y que al
mismo tiempo es enviada a muchas personas que tampoco lo solicitaron; eso es spam.
Esta actividad es muy perjudicial, debido a que está causando una molestia al usuario, sin
mencionar el costo de tiempo y dinero que pierde en esa lectura (ya que muchos usuarios aun
tienen una conexión a Internet en la que pagan según al tiempo que esté conectada).
Características más comunes del Spam
•El remitente del mensaje (reply) suele ser una dirección inexistente o ficticia.
•La dirección que ahí figura puede parecer muchas veces la del algún conocido, pero
leyéndola con atención podrá evidenciarse una leve diferencia, lo que dificulta aún mas
para el usuario común no abrir dicho correo.
•El asunto del mensaje suele ser muy llamativo
•El contenido es publicitario en su mayoría (ofertas de comercios, métodos para recibir
grandes cantidades de dinero en poco tiempo, sitios para hacer amigos/as online), pero
también para distribuir malware y amenazas como phishing, spyware, etc.
La Ingeniería Social: “Oportunidades que le brindan las nuevas amenazas“
Otros nombres de Spam dependiendo su forma de distribución
Si bien se conoce al Spam por medio del correo electrónico, no es su única ruta de distribución.
Este fue evolucionando, desde los correos electrónicos, pasando por los programas de mensajería
instantánea hasta los celulares y las conversaciones telefónicas por IP. Cada cual tiene su nombre
y estos son:
•Spam: enviado a través del correo electrónico.
•Spim: Spam sobre mensajería instantánea (MSN Messenger, ICQ, etc).
•Spam SMS: Spam que se difunde por dispositivos celulares mediante la tecnología SMS
(mensajes de texto cortos).
•Spit: Spam sobre telefonía IP también conocida como VoIP (Voice over Internet Protocol,
es la tecnología que permite realizar llamadas telefónicas a un muy bajo costo ya que
envía la voz en forma de datos a direcciones en Internet en vez de hacerlo a un teléfono
fijo).
Cuando alguien recibe un correo spam por lo general tiene una opción de ser removido de la lista
(para no recibir más ese correo) con sólo enviar un e-mail solicitando que lo borren de dichas
listas. Haciendo eso, el usuario no sólo que no conseguirá ser borrado de las listas, sino que
estará confirmando que su dirección de correo efectivamente existe y comenzará a recibir más
mensajes spam aún.
Por lo general, las direcciones son robadas, compradas, recolectadas de la web y/o tomadas de
cadenas de mails.
El spam está siendo utilizado como instrumento para elevar el valor de acciones de bolsa de forma
puntual.
Muchos de estos spammers hacen alusión a una supuesta ley que dice que el mensaje que están
enviando no es spam si posee una forma de ser eliminado.
Hacen referencia al decreto S.1618 Titulo III, el cual no existe hasta la fecha en Argentina.
La Ingeniería Social: “Oportunidades que le brindan las nuevas amenazas“
Este es un real y claro ejemplo de cómo funciona:
Algunos Ejemplos
•En el mes de Septiembre de 2005, un engaño muy ingenioso, fue el de un sitio web
relacionado con la Seguridad Informática (al que se accedía mediante una mail spam u
otros medios) donde se informaba que la computadora estaba infectada con alguna
especie de virus nuevo y a su vez redirigía al usuario a una página que simulaba el sitio de
Windows Security Center de Microsoft y aconsejaba descargar una aplicación Anti-
Spyware que detecta un hipotético malware, para el que sólo ofrecía solución comprando
la licencia del mismo. Si el usuario elegía la opción aceptar (aceptaba que tenía un
malware y accedía a descargar la aplicación) este era dirigido a un sitio donde descargaba
la aplicación SpyTrooper que detectaba un falso Malware y solicitaba que se registre para
eliminar el spyware (donde tenía que pagar por ello). 15
•En enero de 2005, luego de producido el tsunami, aparecieron delincuentes que se
aprovecharon del maremoto, y enviaron e-mails para sacar provecho de la ola de
donaciones, esta vez haciendo uso del phishing. Hicieron campañas de spam, para
atrapar a los ingenuos. Como siempre en estos casos se ofrecen enlaces para que el
usuario desprevenido haga clic y se conecte a páginas web sospechosas y “realice su
donación”.16
•El 9 de octubre de 2006, otro troyano se propaga por Internet y atrae a usuarios a las
páginas infectadas mediante un mensaje masivo en forma de spam utilizando eficientes
técnicas de Ingeniería Social, donde se informa de un supuesto robo millonario en el Reino
Unido por el que ofrecen una recompensa millonaria a cualquiera que aporte un dato
relevante para encerrar a los delincuentes. El usuario es invitado a ver imágenes de los
delincuentes y de esa manera tratar de reconocer alguno, y así el usuario es redirigido a
diferentes sitios (hasta llevar a uno donde efectivamente hay noticias, pero sobre
problemas de EEUU e IRAN, aunque en ningún momento hace mención a tal
recompensa). En cambio, el usuario decide cerrar el navegador y ya es tarde para
entonces, se ejecuta un iframe (Inline Frame) oculto que llama al sitio web
http://www.inthost7.com/counter.php. Este archivo counter.php va direccionando de un
archivo a otro según el navegador que tenga el usuario como así también el Sistema
Operativo que utilice.17
La Ingeniería Social: “Oportunidades que le brindan las nuevas amenazas“
cial: “Oportunidades que le brindan las nuevas amenazas“
Conclusión
Resumiendo todo lo visto hasta ahora, se puede inferir que los programadores de amenazas han
elegido la Ingeniería Social como técnica de infección principal. Valiéndose de la inocencia de las
personas, consiguen sembrar caos por todas partes.
Si bien es de vital importancia la correcta conservación y cuidado de los datos de una empresa,
dentro de ella debe considerarse como factor muy importante al hombre, que es el eslabón más
débil en la cadena de seguridad.
Es increíble que estas cosas sucedan hoy... que nos hemos dedicado con tanto énfasis a avanzar
en la tecnología, y no podamos resolver este eslabón previo: ¡la debilidad del ser humano! Primero
habría que capacitar a quienes estén frente a cualquier sistema o dispositivo electrónico tanto para
poder operarlo como para que valore que la información que ahí se almacena o gestiona, es de
vital importancia para la empresa. Claro está que no somos maquinas, somos seres racionales, y
con muchos sentimientos, y es ahí justamente donde hay que poner énfasis, en preparar al
personal de manera que NO REVELEN ninguna información a nadie por mas que sientan la
necesidad de ayudar. Esta gente (Ingenieros Sociales) son capaces de cualquier cosa, y van a
usar lo que este a su alcance para hacerles creer algo que no es, como hacerse pasar por
personal de sistemas, o un empleado que perdió su clave y necesita que sea reestablecida, etc.
“La verdad es que no hay tecnología en el mundo capaz de prevenir un ataque de Ingeniería
Social”18
Hoy, según análisis revelados19 por un estudio sobre amenazas de seguridad de la información, se
infiere que de 574 organizaciones encuestadas, el 59% de ellas indicó que su última grieta de
seguridad fue por un error humano.
Existen un sinfín de consejos para disminuir estas amenazas. Va a depender de las necesidades y
lo que este dispuesta a invertir una empresa en seguridad. Algunos son:
•A la hora de contratar un nuevo empleado, buscar preferentemente el que tenga
conocimientos de seguridad informática, o en su defecto invertir para capacitar y
concientizar al mismo.
•Asegurarse de concientizar y capacitar también a los empleados antiguos sobre las
nuevas amenazas, los métodos de acceso inseguros a sus computadoras, y también por
supuesto en políticas y procedimientos de seguridad.
•Lograr que los empleados asimilen de que manera son susceptibles ante los métodos de
engaño de los Ingenieros Sociales y mostrarles con ejemplos reales (cuya repercusión
haya sido muy grande) de manera que logren medir el peligro de brindar cualquier
información a un extraño. De esta manera estarán mucho mas preparados ante cualquier
intento de manipulación.
•Usar la tecnología apropiada de seguridad y combinarla con políticas bien definidas sobre
pautas de comportamiento de los empleados. Algunas políticas pueden ser:
o No ejecutar ningún programa sin conocer su origen y sin previa autorización de un
superior
o No informar a nadie por teléfono o correo electrónico, sobre características de la
red, ubicación de las mismas, datos del encargado de la red, etc. Antes corroborar
que esa persona es realmente quién dice ser.
o No tirar información técnica a la basura, sino utilizar los trituradores de papel
correspondientes o destruirlos con cualquier medio.
o No crear contraseñas fáciles de intuir conociendo a la victima. Ej.: nombre de la
esposa o hijos, número de DNI, fechas importantes, etc. Sino contraseñas
combinadas alfanuméricamente, incluso con caracteres especiales. Y a su vez
acostumbrarlos a modificar dicha clave periódicamente.
Es de esperar que en poco tiempo contemos con la legislación que respalden y protejan las
medidas de seguridad informática antes sugeridas y que garanticen la confidencialidad de los
datos. La aplicación de las sanciones desalentaría a jóvenes deseosos de demostrar su supuesta
habilidad y conocimientos técnicos.
Publicado por
www.globaldll.com
IMPLATANCION USANDO FIREWALL
