Cada cierto tiempo, los investigadores de seguridad tienen ideas y llama la atención que a nadie se le hubieran ocurrido antes.
Si existiese un premio para este tipo de descubrimientos, un firme candidato para el de este año sería la herramienta de detección temprana de filtraciones de datos Tripwire, creada por ingenieros de la Universidad de California San Diego (UCSD).
En test reales, Tripwire no solo detectó una serie de filtraciones de datos desconocidas o de las que no se informó públicamente, si no que sus creadores piensan que se puede utilizar para detectar filtraciones mucho antes de que las empresas las conozcan o que encuentren su información a la venta en la Dark Web.
Cualquiera que estudie las filtraciones de datos sabe que lo primero que hacen los cibercriminales al robar una serie de credenciales es testearlas en un gran número de webs, especialmente las correspondientes a los sitios de correo electrónico que son los que apuntalan la identidad de las personas online.
Por ejemplo, los datos obtenidos de hackear una pequeña web se usarán para atacar otros más grandes y valiosos (por ejemplo Gmail) con la esperanza de que las víctimas utilizasen las mismas credenciales.
Como se ha podido demostrar en una serie de incidentes, es una estrategia habitual de los cibercriminales para amplificar el efecto de prácticamente cada filtración de datos.
La idea de este equipo de ingenieros es detectar cuándo surgen estos ataques de re-uso creando multitud de cuentas cebo en 2.302 organizaciones online, cada una enlazada con una única cuenta de correo electrónico de un proveedor que aceptó colaborar con el equipo.
Si se filtra una cuenta cebo, se supone que los atacantes probarían la misma contraseña para acceder a esa cuenta de correo electrónico, de manera que se pueden monitorizar efectivamente las webs y no pueden surgir falsos positivos, presumiendo que el proveedor de correo no esté comprometido.
Lo importante de la idea es que ha funcionado.
19 webs han sido filtradas y sus contraseñas reutilizadas en los nueves meses que ha durado el experimento, incluida una conocida startup americana con más de 45 millones de cuentas de usuario.
16 de ellas eran filtraciones desconocidas, ya sea porque la organización afectada lo mantuvo en secreto o muy posiblemente porque desconocieran lo ocurrido.
Las otras tres, incluida la web con los 45 millones de usuarios, habían realizado declaraciones sobre incidentes menores, pero no habían confirmado ninguna filtración.
Para comprobar si las webs almacenaban las contraseñas correctamente, los investigadores crearon las cuentas cebo con una contraseña sencilla de 8 caracteres que incluían una palabra del diccionario y otra con una contraseña robusta con diez caracteres alfanuméricos y empleando mayúsculas y minúsculas.
Por lo tanto, si Tripwire detectaba un ataque podía inferir el nivel de seguridad usado para almacenar las contraseñas ya que si era una difícil y la acertaban podía significar que había sido guardada sin ningún tipo de cifrado.
Este sistema solo deja a los ciberdelincuentes la posibilidad de no reutilizar las cuentas robadas si no quieren ser detectados. Sin embargo, como dicen sus creadores, el principal problema puede ser el convencer a los proveedores afectados por las filtraciones que se lo tomen en serio.
A muchos no les importa o no quieren ni oír hablar del tema, considerándolo como un asunto privado. Hasta que esto cambie, o los gobiernos produzcan el cambio, puede que Tripwire se encuentre con mucho trabajo por delante.
Para manteneros al día de las últimas amenazas haceros fans de nuestra página de Facebook o síguenos en Twitter para intercambiar experiencias en torno al mundo de la seguridad. Si deseas recibir nuestro boletín de seguridad en tu correo electrónico, suscríbete en la siguiente aplicación:
Dejar un comentario