Las técnicas más extendidas de suplantación de sitios Web

La suplantación de sitios web es una de las ciberamenazas más comúnmente identificadas. Las prácticas más empleadas en relación a esta ciberamenaza son el Spoofing y el Pharming. Ambas técnicas son usadas por los ciberdelincuentes que buscan engañar a los usuarios de internet para quedarse con información personal y datos bancarios.

El spoofing, es conocido por ser una falsificación de la página web por medio de diferentes técnicas. Existen numerosos tipos de spoofing, de entre los que se pueden destacar, en primer lugar, aquel donde los atacantes falsifican la ventana donde el usuario tiene que ingresar sus datos personales, para luego quedarse con esa información. En segundo lugar, destaca la falsificación de la dirección de correo del remitente para simular que un mensaje ha sido enviado por alguna cuenta oficial o conocida. Para llevar a cabo este tipo de ataques, se pueden usar distintas técnicas para conseguir atraer la atención del usuario a la web falsa:

• El atacante puede poner un enlace a la web falsa en una web conocida.
• Si conoce el correo electrónico del usuario, es posible enviar un correo que incluya el enlace a la web falsa.
• Técnicas más sofisticadas, como la ejecución de código javascript o la instalación de plug-ins.

Cuando el usuario ha accedido a la web falsa a través de alguna de las opciones anteriores, aparece una ventana del navegador web en la pantalla que simula alguno de los navegadores más conocidos. Después, todo el tráfico de las páginas visitadas que tenga lugar en la ventana infectada se envía a través de un servidor malicioso, permitiendo a este interceptar la información enviada.

La página web falsa actúa a modo de proxy, solicitando la información requerida por la víctima a cada servidor original. Es posible entonces, conseguir contraseñas, nombres de usuarios o cualquier otro tipo de datos sensibles. Mientras el usuario siga usando dicho navegador falso, toda la información pasará a través del servidor malicioso, sin que el usuario atacado sea capaz de identificar que está siendo atacado.

Este tipo de ataque funciona, incluso, cuando el usuario solicita una conexión segura mediante protocolos SSL/TLS, ya que se salta dicha protección. La víctima habrá establecido una conexión segura con el servidor del atacante en vez de con la web deseada, incluso el navegador verificará que dicha conexión es segura (aparecerá el icono del candado).

Las prácticas de suplantación de sitios web para capturar datos personales ha crecido considerablemente en los últimos años. Durante el 2020, se convirtió en el delito más denunciado en Colombia, con más de 5.440 casos, según datos de la Cámara Colombiana de Informática y Telecomunicaciones.

Esto demuestra cómo los atacantes han ido refinando sus técnicas para engañar a los

usuarios y hacerles creer que están en una página confiable. Para esto, han hecho uso de uno de los elementos que los compradores en línea tienen en cuenta para realizar una transacción y es el certificado oficial que se le da a un sitio web y que es representado por el candado de seguridad, que además indica que se está realizando una conexión segura.

No obstante, es importante tener en cuenta que el candado cumple con dos funciones.

Una es darle el certificado a la página, que equivale casi como a una cédula de ciudadanía y el cual es otorgado, únicamente, por certificadoras que hacen la validación e indican si el sitio es el que se menciona en el enlace. Y la otra es que se garantiza que el tráfico entre los servidores esté cifrado y en consecuencia, no esté expuesto a los atacantes.

La estrategia consiste en que los delincuentes crean el dominio de una página web, luego compran un certificado que garantice que el sitio es auténtico. Acceder al certificado es fácil, y hay certificadores que incluso permiten sacarlo de forma gratuita.

Una vez logrado este objetivo, el atacante lo que hace es agregarle al enlace una serie de caracteres y palabras al lado izquierdo de este, en donde utilizan el nombre de plataformas de compra en línea reconocidas, por lo que la URL luce como el de la página oficial.

Por otro lado, el pharming, consiste en un ataque en el que se redirige una página web a una dirección IP distinta de la original. Todo esto con el fin de que el usuario llegue a un sitio falso, pese a ingresar a la URL correcta. Esta modalidad es muy usada por los criminales para poder interceptar los computadores de las empresas y los ciudadanos, lanzando ataques por medio de correo electrónico y las aplicaciones de mensajería.

La redirección de la solicitud del usuario se realiza manipulando el protocolo DNS. El protocolo convierte el nombre de host (dirección URL) en una dirección IP numérica. Este proceso de conversión ofrece a los delincuentes dos puntos de ataque para desviar la asignación.

Ataque al archivo hosts

Al realizar una solicitud a un sitio web, el ordenador llama primero al archivo de host local para comprobar si ya se ha visitado el sitio alguna vez y si ya se conoce la dirección IP correspondiente. Los atacantes usan esta consulta para instalar malware mediante archivos adjuntos de correo electrónico o mediante troyanos en sitios web. Estos manipulan las direcciones IP almacenadas para redirigir las peticiones al sitio fraudulento deseado.

Ataque al servidor DNS

Otro método más elaborado infecta directamente el servidor DNS donde se consulta la dirección IP, después de que un usuario haya introducido una dirección URL. Aunque no se instale malware en el ordenador, técnicamente el ataque tiene lugar a través de la llamada inundación DNS. Aquí se le sugiere al servidor una resolución de dirección, incluso antes de que pueda hacer la asignación correcta.

Recomendaciones

En base a la información anterior, los usuarios deben tener en cuenta lo siguiente:

• Dar clic al certificado. Se desplegará un mensaje en donde el usuario podrá encontrar en detalle la información de este, como cuál fue la compañía que lo emitió, desde que periodos de tiempo es válido y a quién fue emitido. Este es el punto clave, ya que esto le permitirá identificar a la persona el nombre de la URL original.

• Revisar en detalle la URL de la página, que no tenga caracteres distintos o que algunas letras estén cambiadas por números, ya que esta es la forma en la que el atacante intenta engañar y hacer parecer al dominio como la página original. En su defecto, escribir la url de la web por uno mismo.
• No dar clic sobre las URLs y/o descargar archivos adjuntos de correos sospechosos.
• Utilizar software antivirus y antimalware que se actualice diariamente para detectar las amenazas actuales en los correos electrónicos y en los sitios web que podrían infectar el archivo de host.
• Por último, activar el doble factor de autenticación en todos los servicios digitales que sean posibles. Con esto, si un ciberdelincuente accede a los datos de acceso de una cuenta, necesitará un código de seguridad adicional, el cual le llegará al usuario por correo electrónico o mensaje de texto.