Ataque de intermediario en el navegador (MITB)
¿Qué es un ataque MITB?
Un ataque MITB, abreviatura de «Man-In-The-Browser» (hombre en el navegador), es una modalidad avanzada del ataque MITM («Man-In-The-Middle» o intermediario). Mientras que los ataques MITM consisten en que un atacante intercepta las comunicaciones entre las partes para espiar o manipular datos, los MITB se centran específicamente en comprometer el navegador web del usuario. Al tomar el control del navegador, el atacante intercepta y manipula la comunicación entre este y el servidor web para robar datos o realizar solicitudes no autorizadas. En Japón, comenzaron a registrarse ataques MITB alrededor de 2012 y adquirieron gran notoriedad en mayo de 2014, tras utilizarse en un destacado caso de fraude bancario en línea.
Los ataques MITB se desencadenan al infectar el navegador web con un troyano que se aloja en él. En primer lugar, el malware se pone en contacto con el servidor de mando y control (C&C) del atacante para obtener información, como una lista de sitios web de banca en línea objetivo. A continuación, supervisa la actividad del usuario y detecta automáticamente cuándo accede a uno de esos sitios. Se muestra al usuario una interfaz de inicio de sesión falsa para engañarlo y conseguir que introduzca sus credenciales. El atacante utiliza esta información para llevar a cabo acciones no autorizadas, como transferencias de dinero fraudulentas, sin que el usuario sea consciente de ello.
A diferencia de los ataques MITM, en los escenarios MITB los usuarios acceden realmente al sitio legítimo, por lo que los certificados del servidor y la verificación de la identidad del sitio resultan ineficaces. Además, dado que las acciones no autorizadas se producen después de que el usuario inicie sesión, ni siquiera los métodos de autenticación avanzados, como las contraseñas de un solo uso, pueden impedir el ataque. Las herramientas para llevar a cabo ataques MITB están fácilmente disponibles y sus objetivos se han ampliado más allá de la banca en línea para abarcar una gran variedad de servicios.
