Se nos conoce por la tecnología que utilizamos...
En F5 Networks estoy rodeado de entusiastas de la tecnología; si por casualidad escuchara alguna conversación en el trabajo, lo más probable es que oyera Aplicaciones… Más inteligentes… Más rápidas… Más seguras.
En semejante compañía, a veces me miran con escepticismo cuando menciono que incluso los ojos más entrenados y experimentados pueden caer víctimas del malware. Reto aceptado: idear un plan para demostrar que nuestro deseo de permanecer conectados en todo momento mediante un dispositivo inteligente pero tonto nos convierte en presas fáciles.
Plan de acción
Recurre al truco más viejo del mundo: ataca cuando el oponente sea más vulnerable. En el contexto actual, esto se consigue fácilmente dejando a alguien sin acceso a Internet. Cuando viajar forma parte integral de tu trabajo, te das cuenta de que te encuentras en esta situación de vulnerabilidad mucho más a menudo de lo deseado.
Así que elegí un objetivo y pedí ayuda a un compañero; tras investigar un poco, descubrimos que íbamos a estar en un aeropuerto donde no había internet (ni gratis ni de pago).
Siguiendo las enseñanzas de «El arte de la guerra» de Sun Tzu, llegamos al campo de batalla con antelación y lo dejamos todo preparado: WiFi GRATIS y sin restricciones.
Afortunadamente, el objetivo cae de lleno en la trampa junto con unos cuantos desconocidos. Se conecta al WiFi GRATUITO, acepta los términos y condiciones e instala un programa a cambio de un acceso a internet que no tiene precio.
Así que me propuse dedicar el día a analizar algunas de las otras opciones. Hay WiFi gratis en todas partes: en el centro comercial, en el restaurante, etc. Pero el propio avión sería un terreno realmente fértil para obtener credenciales confidenciales. Este es el vector de ataque que se me ocurrió:
WiFi a bordo
Muchas aerolíneas ofrecen WiFi a bordo para acceder a contenidos multimedia (películas, canciones, etc.) y a internet. Por lo general, solo hay que seguir dos sencillos pasos (la experiencia puede variar según la aerolínea).
Paso 1: Conéctate al WiFi gratuito
Paso 2: Instala una aplicación para ver películas en streaming, etc.
Paso 3: (Opcional) Paga y compra contenido prémium
Para llevar a cabo este ataque solo hace falta una persona con malas intenciones, un portátil y unos cuantos programas para causar daños. Así que, poniéndome en la piel de un hacker, diseñé la ruta de ataque.
- Configurar un punto de acceso WiFi con un nombre que atraiga a la gente (AIRLINENAME_MEMBERSHIP_BETA_FREE_INTERNET). El nombre se confundiría con el de otros puntos de acceso WiFi proporcionados por las aerolíneas.
- El punto de acceso solicitará al usuario que se autentique con los datos de su programa de viajero frecuente.
- Para que el ataque sea más eficaz, el punto de acceso puede pedir al usuario que instale un programa. Con este vector de ataque, se puede engañar fácilmente a los usuarios mediante phishing para que instalen malware desde fuentes externas en dispositivos Android.
- Mostrar un mensaje de error indicando que el punto de acceso WiFi de alta velocidad BETA ha alcanzado el límite de usuarios y que se pruebe con el otro punto de acceso.
La captura del día: Credenciales de viajeros frecuentes, números de tarjetas de crédito y endpoints potencialmente comprometidos para alimentar la economía de los bots
Moraleja de la historia
Ese tuit que quieres publicar, ese selfie increíble que necesitas subir a Instagram o ese importante correo de trabajo que quieres enviar pueden esperar. Evalúa el punto de acceso WiFi gratuito al que tienes previsto conectarte.
Piénsatelo bien antes de proporcionar cualquier tipo de credenciales: los ciberdelincuentes no solo buscan tus datos financieros. Recuerda que tus millas de viajero frecuente pueden convertirse en saldo de Amazon.
Recuerda mantenerte alerta; no instales software eludiendo los procedimientos habituales. Instalar una aplicación desde una fuente externa te expone a muchos riesgos.
Sobre el autor
Shahnawaz Backer fue asesor principal de seguridad en F5 Labs. Con un gran interés por el desarrollo de aplicaciones modernas, la identidad digital y los vectores de fraude, se centra en integrar inteligencia de seguridad en las soluciones y cree firmemente en la defensa proactiva automatizada.
Más artículos de Shahnawaz BackerArtículos relacionados del blog
Cree servicios públicos seguros, resilientes y preparados para la IA con F5 y AWS
Descubre cómo las organizaciones del sector público pueden modernizar de forma segura sus aplicaciones y soluciones de IA, al tiempo que gestionan los sistemas heredados, el cumplimiento normativo y el riesgo operativo.
Protección de los sistemas de IA: por qué la seguridad debe avanzar al ritmo de la innovación
Desde acelerar avances revolucionarios en medicina y educación hasta transformar la vida cotidiana, la IA está cambiando nuestra forma de vivir y trabajar. Pero también ofrece grandes oportunidades a los ciberdelincuentes.
Avanzar hacia la optimización digital tras la transformación
Descubre estrategias de optimización digital para garantizar políticas de seguridad coherentes, impulsar la madurez de la transformación digital y superar los retos de la transformación.
Proyecto de código abierto destacado: mayor observabilidad con F5 Cloud Logger iApp
En el punto de mira del código abierto: cómo aumentar la observabilidad. Lee el blog de F5 para descubrir cómo exportar fácilmente la telemetría de BIG-IP a plataformas modernas de análisis en la nube.
El estado de la entrega de aplicaciones en 2018: la transformación digital impulsa la automatización y la multinube pese a las preocupaciones de seguridad
Descubre las principales conclusiones del cuarto informe anual de F5 sobre el estado de la entrega de aplicaciones.
Estado de la entrega de aplicaciones en 2017: automatización, API y DevOps
Descubre el informe sobre el estado de la entrega de aplicaciones de 2017. Lee el blog retrospectivo de F5 sobre los inicios del auge de las redes declarativas y los flujos de DevOps.