Algunos nos pedisteis que publicáramos algo de las presentaciones sobre phishing. Vamos a ver a un troyano representativo, más que por lo que pueda tener de innovador, porque lleva varios meses infectando a usuarios españoles y continúan apareciendo versiones periódicas. No se trata pues de algo teórico que pudiera ocurrir o una prueba de concepto de laboratorio, por desgracia es algo común.
Lo curioso es que cuando lo enseñamos no deja de sorprender, lo que viene a evidenciar de que existe una importante área de oportunidad en la (in)formación sobre este tipo de amenazas que son menos perceptibles y pasan más desapercibidas que el típico ataque de phishing.
Sin ánimo de crear alarmismo, es importante que informemos y eduquemos a los usuarios de una forma más genérica en la cultura de la seguridad, ya que las recomendaciones concretas y recetarios dados hasta ahora no son suficientes debido a la evolución en las técnicas de fraude.
El no hacer caso a los correos de phishing, teclear la URL directamente en el navegador, comprobar que la dirección pertenece realmente a nuestro banco, asegurarse de que la URL comienza por https, o que el icono del candado aparece en la parte inferior de nuestro navegador, son recomendaciones útiles para el phishing tradicional, pero no contra los troyanos.
También hay una clara necesidad de (in)formación a nivel profesional. A juzgar por la continua implantación de teclados virtuales cualquiera diría que las entidades financieras creen que la técnica keylogger es la más utilizada por los troyanos, cuando en realidad está en plena decadencia.
Queda también evidenciado que no se puede dejar caer el peso de la responsabilidad en los usuarios. Las técnicas avanzadas que, repito, se están empleando a día de hoy, pueden pasar totalmente desapercibidas para un usuario avanzado, hay ocasiones (no es el caso de este troyano) en que no hay ningún signo visible que pueda alertar sobre que se está siendo víctima de un ataque.
Que las entidades pueden/deben establecer mecanismos de autenticación más robustos es una necesidad que no tiene discusión, otra cosa son los múltiples condicionantes que hacen que no sea fácil llevarlo a cabo. También hay que mencionar que es un problema global, aunque a día de hoy les haya tocado sufrirlo a las entidades financieras por ser el camino más directo al dinero para los atacantes.
En cualquier caso el phishing no acabara ahí, y de nuevo no hablamos de teorías de laboratorio o pruebas de concepto, hace apenas unos días se detectó un ataque contra Citibank, sus tokens y el famoso sistema de doble factor de autenticación.
El phishing y técnicas similares, en definitiva el fraude por Internet, es un tema complejo, una carrera de fondo, que va a requerir la cooperación de muchas partes. De momento los "buenos" ni siquiera hemos aprendido a colaborar, estamos demasiado ocupados defendiendo intereses particulares y echando balones fueras, mientras tanto los "malos" no dejan de correr... nos llevan una buena ventaja.
Casi se me olvida... aquí teneis el enlace al vídeo-flash sobre el troyano que comentaba al inicio:
Pincha aqui para ver el video del troyano a Banesto
pd: disculpas adelantadas a Banesto si es que les molesta servir de ejemplo, van dos seguidas, pero es puramente circunstancial. Para la próxima nos aseguraremos de que no les toque.
