Cualquiera que estudie las filtraciones de datos sabe que lo primero
que hacen los cibercriminales al robar una serie de credenciales es
testearlas en un gran número de webs, especialmente las correspondientes
a los sitios de correo electrónico que son los que apuntalan la
identidad de las personas online.
Por ejemplo, los datos obtenidos de hackear una pequeña web se usarán
para atacar otros más grandes y valiosos (por ejemplo Gmail) con la
esperanza de que las víctimas utilizasen las mismas credenciales.
Cada cierto tiempo, los investigadores de seguridad tienen ideas y llama la atención que a nadie se le hubieran ocurrido antes.
Si existiese un premio para este tipo de descubrimientos, un firme
candidato para el de este año sería la herramienta de detección temprana
de filtraciones de datos Tripwire, creada por ingenieros de la
Universidad de California San Diego (UCSD).
En test reales, Tripwire no solo detectó una serie de filtraciones de
datos desconocidas o de las que no se informó públicamente, si no que
sus creadores piensan que se puede utilizar para detectar filtraciones
mucho antes de que las empresas las conozcan o que encuentren su
información a la venta en la Dark Web.
Como se ha podido demostrar en una serie de incidentes, es una
estrategia habitual de los cibercriminales para amplificar el efecto de
prácticamente cada filtración de datos.
La idea de este equipo de ingenieros es detectar cuándo surgen estos
ataques de re-uso creando multitud de cuentas cebo en 2.302
organizaciones online, cada una enlazada con una única cuenta de correo
electrónico de un proveedor que aceptó colaborar con el equipo.
Si se filtra una cuenta cebo, se supone que los atacantes probarían
la misma contraseña para acceder a esa cuenta de correo electrónico, de
manera que se pueden monitorizar efectivamente las webs y no pueden
surgir falsos positivos, presumiendo que el proveedor de correo no esté
comprometido.
Lo importante de la idea es que ha funcionado.
19 webs han sido filtradas y sus contraseñas reutilizadas en los
nueves meses que ha durado el experimento, incluida una conocida startup
americana con más de 45 millones de cuentas de usuario.
16 de ellas eran filtraciones desconocidas, ya sea porque la
organización afectada lo mantuvo en secreto o muy posiblemente porque
desconocieran lo ocurrido.
Las otras tres, incluida la web con los 45 millones de usuarios,
habían realizado declaraciones sobre incidentes menores, pero no habían
confirmado ninguna filtración.
Para comprobar si las webs almacenaban las contraseñas correctamente,
los investigadores crearon las cuentas cebo con una contraseña sencilla
de 8 caracteres que incluían una palabra del diccionario y otra con una
contraseña robusta con diez caracteres alfanuméricos y empleando
mayúsculas y minúsculas.
Por lo tanto, si Tripwire detectaba un ataque podía inferir el nivel
de seguridad usado para almacenar las contraseñas ya que si era una
difícil y la acertaban podía significar que había sido guardada sin
ningún tipo de cifrado.
Este sistema solo deja a los ciberdelincuentes la posibilidad de no
reutilizar las cuentas robadas si no quieren ser detectados. Sin
embargo, como dicen sus creadores, el principal problema puede ser el
convencer a los proveedores afectados por las filtraciones que se lo
tomen en serio.
A muchos no les importa o no quieren ni oír hablar del tema,
considerándolo como un asunto privado. Hasta que esto cambie, o los
gobiernos produzcan el cambio, puede que Tripwire se encuentre con mucho
trabajo por delante.
Comentarios
Publicar un comentario