La contraseña suele ser lo único que se interpone entre un ciberdelincuente y los datos personales y financieros de las personas, por lo que descifrar o robar esos datos suele ser muy atractivo para los delincuentes.
Una persona promedio tiene 100 credenciales de inicio de sesión para recordar.
La contraseña suele ser lo único que se interpone entre un ciberdelincuente y los datos personales y financieros de las personas, por lo que descifrar o robar esos datos suele ser muy atractivo para los delincuentes.
Una persona promedio tiene 100 credenciales de inicio de sesión para recordar, y ha ido en aumento en los últimos años. Por lo tanto, no es de extrañar que se elija acortar caminos y, como resultado, la seguridad sufra las consecuencias. Por estas razones, desde la compañía de ciberseguridad ESET estudiaron y relevaron las 5 formas más comunes en que los cibercriminales roban contraseñas y, en consecuencia, estar mejor preparados para minimizar los riesgos de convertirse en víctima.
Las contraseñas son las llaves virtuales del mundo digital, ya que proporcionan acceso a servicios de banca en línea, correo electrónico y redes sociales, cuentas como Netflix o Uber, así como a todos los datos alojados en el almacenamiento en la nube. Al obtener los inicios de sesión, un cibercriminal podría:
Por eso los especialistas en ciberseguridad dedican sus recursos para conocer los mecanismos que usan los delincuentes para lograr sus objetivos. A continuación, se presentan las 5 técnicas más utilizadas por los ciberdelincuentes para robar contraseñas y algunas recomendaciones para protegerse.
La ingeniería social es un truco psicológico diseñado para convencer a alguien de hacer algo que no debería, y el phishing es la forma más conocida.
Mediante este tipo de ataques los cibercriminales se hacen pasar por entidades legítimas como amigos, familiares, organizaciones públicas y empresas conocidas, etc. El correo electrónico o texto que se reciba se verá auténtico, pero incluirá un enlace malicioso o un archivo adjunto que, en caso de hacer clic en él, descargará malware o llevará a una página que solicitará que ingreses datos personales.
Los estafadores incluso utilizan llamadas telefónicas para obtener directamente inicios de sesión y otra información personal de sus víctimas, a menudo fingiendo ser ingenieros de soporte técnico. Esto se conoce como vishing (phishing basado en voz).
Otra forma popular de obtener contraseñas es a través de malware. Los correos electrónicos de phishing son el vector principal para este tipo de ataque, aunque también se puede ser víctima de malware al hacer clic en un anuncio malicio (publicidad maliciosa o malvertising) o incluso al visitar un sitio web previamente comprometido (drive-by-download).
Como ha demostrado muchas veces el investigador de ESET, Lukas Stefanko, el malware podría incluso ocultarse en una aplicación móvil de apariencia legítima, que a menudo se encuentra en tiendas de aplicaciones de terceros.
Existen múltiples variedades de malware que roban información, pero algunos de los más comunes están diseñados para registrar las pulsaciones de teclas o tomar capturas de pantalla de un dispositivo y enviarlas a los atacantes. Entre ellos, los keyloggers.
El número promedio de contraseñas que una persona tiene que administrar aumentó en un estimado del 25% interanual en 2020. Esto trae como consecuencia que la mayoría de las personas se incline por utilizar contraseñas fáciles de recordar (y de adivinar), y que cometa el error de utilizar las mismas contraseñas para acceder a múltiples sitios y servicios.
Sin embargo, lo que muchas veces no se tiene en cuenta es que las contraseñas débiles pueden abrir la puerta a las denominadas técnicas de fuerza bruta para descubrir contraseñas.
Uno de los tipos de fuerza bruta más comunes es el credential stuffing. En este caso, los atacantes vuelcan grandes volúmenes de combinaciones de nombre de usuario/contraseñas previamente comprometidas en un software automatizado. Luego, la herramienta prueba las credenciales en un gran número de sitios con la esperanza de encontrar una coincidencia. De esta manera, los cibercriminales podrían desbloquear varias cuentas con una sola contraseña.
El año pasado hubo aproximadamente 193 billones de intentos de este tipo en todo el mundo, según una estimación. Recientemente, el gobierno canadiense, por ejemplo, fue víctima de este ataque.
Otra técnica de fuerza bruta es el password spraying. En este caso, los criminales utilizan software automatizado para probar una lista de contraseñas de uso común contra una cuenta.
Aunque los cibercriminales cuentan con herramientas automatizadas para realizar los ataques de fuerza bruta y descubrir contraseñas, a veces ni siquiera las necesitan: incluso las conjeturas simples, a diferencia del enfoque más sistemático utilizado en los ataques de fuerza bruta, pueden servir para hacer el trabajo.
La contraseña más común de 2021 fue “123456”, seguida de “123456789”. Y si se recicla la misma contraseña o se usa un derivado cercano para acceder a varias cuentas, entonces se facilita la tarea a los atacantes, sumando un riesgo adicional de robo de identidad y fraude.
Vale la pena recordar que algunas de las técnicas para escuchar de manera oculta, también representan un riesgo. Y esta no es la única razón por la que las miradas indiscretas por encima del hombro de los usuarios (Shoulder surfing) sigue siendo un riesgo.
Una versión más de alta tecnología, conocida como un ataque “man-in-the-middle” (hombre en el medio) involucra escuchas de WiFi y puede permitir a los criminales informáticos dentro de conexiones WiFi públicas espiar la contraseña mientras se la ingresa, si está conectado a la misma red.
Hay muchas maneras de bloquear estas técnicas, ya sea agregando una segunda forma de autenticación, administrando las contraseñas de manera más efectiva o tomando medidas para detener el robo en primer lugar.
“Los usuarios deben tomar el asunto en sus propias manos. Mantenerse alerta y cuidar la seguridad de las credenciales de inicio de sesión es el primer paso para proteger la información personal”, comenta Camilo Gutiérrez Amaya, jefe del Laboratorio de Investigación de ESET Latinoamérica.
Además, desde la compañía proponen los siguientes consejos para proteger las credenciales de inicio de sesión: