10 m??todos para hackear cuentas de usuario
Keyloggers
El keylogging se basa en un peque??o programa o dispositivo de hardware que graba todo aquello que se tipea en el ordenador y solo requiere de una instalaci??n simple que puede hacerse incluso remotamente si las circunstancias lo permiten. Este sistema es efectivo aunque bastante trabajoso a la hora de recopilar la informaci??n rescatada, pero en lo que hace a redes sociales y direcciones de correo electr??nico, sesiones de cuentas bancarias, etc. una simple b??squeda con t??rminos ???@ + .??? podr??a devolverte los correos introducidos y, en general, la contrase??a como la siguiente palabra despu??s de estos.
C??mo evitarlo: Revisa tu bandeja de sistema y el Administrador de tareas en la pesta??aProcesos o Servicios. Si ves algo sospechoso, prueba con una b??squeda web sobre el proceso en cuesti??n para informarte de qu?? se trata. Otra cosa que puedes hacer es buscar aplicaciones como esta, que generan un teclado virtual que puedes ???tipear??? con el rat??n sin dejar nada grabado.
Keyloggers: Graban lo que se tipea y pueden venir en forma de teclado, fichas para teclado o como software.
Hackeo mediante tel??fonos
Con la llegada de las billeteras virtuales a los smartphones millones saltaron de la alegr??a. Dentro de ellos est??n tambi??n los que roban tel??fonos, los que desde los servicios t??cnicos se quedan con tu informaci??n y los que utilizan sistemas esp??as para m??viles como Mobile Spy o Spy Phone Gold, entre otros. Este tipo de software de terror para la privacidad (y para el mantenimiento de las tasas de parejas estables) puede, como si fuera un keylogger, grabar toda la informaci??n que se escribe en un m??vil, incluida tu contrase??a de Facebook, correo, etc.
C??mo evitarlo: En caso de robo o env??o a servicio t??cnico, cambiar inmediatamente todas las contrase??as de tus servicios. Y para evitar aplicaciones esp??as, fijarse si las tienes instaladas con regularidad y evitar que tu m??vil caiga en manos ajenas mientras no le prestas atenci??n. Consejo extra: Evita novias/os celosas.
Aplicaciones para espiar tel??fonos.
Phishing
El phishing es tal vez la t??cnica de robo de identidad virtual m??s popular que existe en la red dada su efectividad, pero gran parte de este honor viene en base su creaci??n y procedimiento, que puede que sean de los m??s f??ciles y econ??micos de llevar a cabo. Lo que en general sucede es que el perpetrador crea una falsa aplicaci??n, mensaje, correo o cualquier medio que tenga el objetivo de llevar al usuario a iniciar sesi??n en su cuenta, por ejemplo, de su banca comercial, para continuar con lo que sea que le interes?? del mensaje. El truco est?? en que cuando el usuario introduce su correo electr??nico y su contrase??a en esa falsa p??gina de inicio de su banco, la informaci??n es enviada a un archivo de texto en el servidor que aloja la p??gina falsa o por correo a quien ataca.
C??mo evitarlo: A la hora de iniciar sesi??n, presta atenci??n a la barra de direcciones y aseg??rate de que tenga la direcci??n formal del banco (o del sitio que sea), o que est?? sin ???errores??? de escritura. Lo mejor es utilizar el protocolo HTTPS para ingresar a estos servicios, y algunos los tienen por defecto y a otros hay que obligarles a utilizarlo a trav??s del navegador.
Qu?? es el Phishing seg??n Symantec.
Stealers
Gran cantidad de usuarios deja almacenadas las contrase??as que utiliza a diario en los navegadores, pero m??s all?? de que cualquiera puede ingresar a estos e ir por las contrase??as manualmente, hay aplicaciones como los stealers que autom??ticamente roban los datos sensibles guardados a trav??s de comandos muy f??ciles de realizar o con interfaces gr??ficas a??n m??s accesibles a cualquier malintencionado. Su uso junto a pendrives autoejecutables (ver m??s abajo) puede ser realmente una combinaci??n poderosa.
C??mo evitarlos: Utiliza sistemas de contrase??as maestras con aplicaciones como Keepass,Loggin Control, JPasswords o memoriza tus contrase??as sin dejarlas a mano ante la presencia de un stealer.
Los stealers roban informaci??n sensibles en un abrir y cerrar de ojos.
Secuestro de sesi??n (hijacking)
Como saben, las cookies sirven para autentificar la identidad de un usuario y recuperar parte de la informaci??n entre el sitio y el. El secuestro de sesi??n o sesi??n hijacking se realiza normalmente en redes LAN (torneos de juegos, cybercafes, redes laborales o institucionales) a trav??s de aplicaciones de sniffing (o t??cnicas de ARP poofing si la red es conmutada) y se buscan referencias de las cookies de acceso a determinados sitios que no utilizan HTTPS y se accede a la cuenta.
C??mo evitarlo: Entre otros recursos, aseg??rate de usar protocolos de protecci??n como el HTTPS cada vez que inicias sesi??n. Llegado el caso de no poder hacerlo, elimina cookies enseguida hayas terminado la sesi??n, aunque la efectividad de esto ??ltimo es m??s ambigua.
Secuestro de sesi??n (hijacking)
Secuestro de sesi??n paralela (Sidejacking)
Similar en funci??n y objetivos que el hijacking, pero con la diferencia de aprovechar esta vez de v??ctimas que est??n conectadas a la misma red WiFi abierta o p??blica que el perpetrador. El sidejacking es b??sicamente un secuestro de sesi??n normal, pero a trav??s de redes WiFi, por lo que el proceso es similar. Aplicaciones que realizan sniffing, se utilizan tanto que hasta Chrome y Firefox tienen a Firesheep, que te muestra las sesiones activas y no protegidas en una red Wifi.
C??mo evitarlo: Evitando conectar se servicios sin HTTPS, evitando las redes p??blicas WiFi o usando la n??mesis de Firesheep: Blacksheep, que te indicar?? si alguien est?? usando Firesheep en la red a la que est??s conectado.
Sidejacking con FireSheep.
Botnets
Usualmente no est??n enfocadas a realizar actividades de secuestro de datos sensibles a particulares y por lo tanto su regularidad entre los 10 m??todos para hackear cuentas de usuario es de las menores. Esto no es por alguna cuesti??n ??tica, sino por el costo/beneficio que implica su instalaci??n. Sin embargo, siempre est?? la posibilidad de que una persona o una peque??a empresa tenga una base de datos prodigiosa, y esto los constituye r??pidamente en un objetivo para las botnets, que se trata de bots que infectan una red o una terminal y que se puede controlar de manera remota por IRC tanto para recopilar informaci??n para generar spam como para hacer ataques de tipo DDoS.
C??mo evitarlo: Para evitar este tipo de ataques hay que tener un sistema de seguridad que sea paralelo al costo de producci??n de estas botnets, adem??s de poner atenci??n sobre las iP din??micas que utilizan algunas, buscar el canal IRC y el servidor de tal de la botnet para dar aviso y adem??s tener un control absoluto sobre los paquetes que se mueven a trav??s del firewall.
Botnets explicadas con dibujos.
DNS Spoofing
Muy similar al phising, pero a nivel local. Es decir, si compartes con alguien la conexi??n a una red local y esta persona quiere saber tu contrase??a de, digamos, Facebook, puede crear una p??gina web r??plica y que mediante redirecci??n se abra cuando introduces la direcci??n real de Facebook. En este caso, estar??s d??ndole directamente los datos a esta persona y probablemente ni te enteres dado que podr??a hacer que luego de enviar la informaci??n, te vuelva a redirigir al inicio de Facebook original simulando una mala introducci??n de la contrase??a o que te redireccione a tu perfil a trav??s de la creaci??n de un proceso en paralelo que toma el primer plano una vez terminada la parte del robo de datos.
C??mo evitarlo: La detecci??n es m??s compleja y depende del nivel de la r??plica creada, pero a veces es muy ??til intentar ingresar por navegadores que no sueles utilizar com??nmente, aunque para hacer esto tendr??as que sospechar de que te est??n vigilando y en ese caso lo mejor es cambiar la contrase??a urgentemente desde otro ordenador y revisar con un administrador de redes las vulnerabilidades de tu sistema.
DNS Spoofing: Esquema
Ataque Man-in-the-middle o Janus
La complejidad de este tipo de ataques se eleva considerablemente al lado de los que venimos presentando, pues necesita de una conexi??n fuerte que irrumpa entre dos partes interconectadas. La idea es posicionarse virtualmente entre dos partes que se comunican e interceptar la informaci??n entre ellas sin que estas detecten su presencia. En el caso de MitM, la regularidad de su uso es m??s activa que pasiva, ya que trasciende la mera ???escucha??? de la informaci??n e interfiere modificando el mensaje entre las partes o incluyendo textos planos con ataques codificados.
C??mo evitarlo: Consiguiendo el acceso y comunicaci??n por v??as seguras que var??an seg??n el tipo de actividad que vayamos a llevar a cabo. Si es comunicaci??n cliente-servidor, buscar protocolos seguros. Si es cliente-cliente, buscar aplicaciones de mensajer??a encriptadas similares a Tor.
Man-in-the-middle: Esquema
Pendrives autoejecutables
No son los m??s usados, pero esos pendrives m??gicos que ves en algunas pel??culas y series policiales se pueden construir con la codificaci??n adecuada (algunos .bat, .ini y alguna configuraci??n de autoejecuci??n) para lanzar aplicaciones del tipo stealers que est??n automatizadas. La automatizaci??n puede ser en base a t??rminos de b??squeda o yendo directamente a los directorios de los navegadores, temporales, cookies y otros programas que conserven informaci??n de este tipo. La informaci??n robada de esta manera puede ser exprimida de forma m??s fuerte por el victimario, con lo que el hallazgo de datos sensibles es casi una seguridad.
C??mo evitarlo: Impidiendo el acceso de terceros a tu ordenador, deshabilitando el inicio autom??tico de dispositivos, solicitando permisos de administraci??n y otros, adem??s de eliminar temporales, cookies e historial frecuentemente.
Esta es la versi??n FAIL de los pendrives autoejecutables.
Estos son los que creemos los 10 m??todos para hackear cuentas de usuario m??s comunes, pero estamos seguros de que conoces otros alternativos que tienen un nivel de complejidad m??s alto o son menos detectables. Lo mismo si se te ocurren otras formas de evitar este tipo de robos de identidad. Esperamos tu colaboraci??n a trav??s de los comentarios. Hasta pronto.
