Desde hace un tiempo para acá las estafas informáticas se han vuelto de cada vez más sofisticados; por lo mismo, parte del proceso de prevención consiste en conocer los riesgos para estar siempre alerta, ya que los delincuentes suelen utilizar diferentes disfraces y métodos para hacer que el usuario proporcione sus datos personales. Tal como lo decía en un artículo anterior, ya no es sólo un problema de tecnología; es algo que aplica a todo nivel, puesto que muchas veces los intrusos entran usando la ingeniería social (engaños en donde el hacker se vale de llamadas telefónicas, falsos perfiles en redes sociales, ofertas tentativas y otros recursos, para obtener la información necesaria que les sirva para suplantar a la víctima de la estafa o a uno de sus familiares y, así, obtener acceso a la información necesaria para sus fechorías).
Hace poco se descubrió una nueva estafa, enfocada a los amantes del Streaming y más exactamente de Netflix! El señuelo es una suscripción gratuita de 3 o más meses a Netflix. Y el procedimiento para el usuario es bastante simple y sin dolor (en apariencia). El ciberdelicuente sólo pide a su presa completar el registro siguiendo un link proporcionado dentro de un correo apócrifo, con el cual pretende obtener el acceso a información de la cuenta de correo (Outlook, Hotmail y otros) de la víctima.
Tal como se decía anteriormente, con este tipo de ataques no se pretende robar nombres de usuario, contraseñas ni otros datos: simplemente es un ataque del tipo criptográfico. Realmente lo que el atacante utiliza es una aplicación que implementa una API OAuth para abusar de los servicios de autenticación, autorización centralizada y abierta de los protocolos OpenID/OAuth de aplicaciones, como Outlook, sitios como Google, LinkedIn y otros. De esta forma el perpetrador sólo necesita hacer que la presa siga estos tres pasos para conseguir la información deseada:
1. Al hacer clic en el link del correo, el usuario es dirigido al sitio auténtico del proveedor (no a un sitio falso).
2. Introducir sus credenciales. Es en ese momento cuando aparecerá una pantalla con el resumen de los accesos a los cuales la supuesta aplicación va a generar el preciado código (de los 3 o más meses gratuitos) de Netflix, para que usuario de su autorización.
3. Una vez se cuenta con la aprobación por parte del usuario, se envía la información con los privilegios otorgados y con el código de inicio de sesión de la víctima, hacia la dirección URI del sitio malicioso que va a robarla, permitiendo el acceso a su información privada, en cualquier momento, desde la aplicación en cuestión.
De tal forma que si es un usuario de Netflix que está familiarizado con este proceso, el criminal puede robarse los datos en “un abrir y cerrar de ojos”, sin que nadie note nada extraño en el proceso. Más información en el blog de Kaspersky.
Debido a lo anterior, las recomendaciones son:
- No seguir enlaces recibidos a través de correos electrónicos o mediante mensajes privados, en sitios de redes sociales.
- No conceder el acceso a sus datos personales a aplicaciones desconocidas.
- No andar como turista en vacaciones, instalando aplicaciones de fuentes dudosas y dando clic en la opción de “aceptar” a todo lo que aparece en pantalla, con la finalidad de cerrar las alertas sin ni siquiera leer sus contenidos. Como dicen por ahí “hay que leer”; es menester asegúrarse de entender completamente los derechos de acceso que se le está concediendo a cada aplicación.
- Denunciar! Si descubre que una aplicación está haciendo algo indebido en su nombre, puede enviar una queja a la administración del sitio de Netflix. No es bueno quedarse callado!
- Mantener actualizadas las bases de datos de su antivirus, así como la de protección integrada anti-phishing.
