Desde fingir ser un amigo cercano hasta la deducción de contraseñas débiles son algunos de los trucos más comunes de los ciberdelincuentes para robar las claves de acceso.
Las contraseñas son las llaves del mundo digital de cada persona. Proporcionan acceso a servicios de banca en línea, correo electrónico y redes sociales, así como a todos los datos alojados en la nube.
Esta información es una "mina de oro" para los ciberdelincuentes, quienes siempre están a la caza de cualquier descuido para robar dichas credenciales.
Además, según una investigación de NordPass cada persona tiene 100 credenciales de inicio de sesión para recordar.
Pero, ¿Cómo roban las contraseñas los cibercriminales? La empresa de ciberseguridad ESET identificó los cinco métodos más usados:
-
Phishing
El phishing es la forma de ingeniería social más conocida. Mediante este tipo de ataques los cibercriminales fingen ser amigos, familiares, organizaciones públicas y empresas conocidas por el usuario.
El correo electrónico o mensaje de texto que recibe la víctima se ve como auténtico, pero incluye un enlace malicioso o un archivo adjunto. En caso de hacer clic en él, descargará un malware o llevará al usuario a una página que solicitará los datos personales.
-
Malware
Un cibercriminal detrás de un computador que muestra información en códigos. Reuters
Otra forma popular de obtener contraseñas es a través de un malware o software malicioso. Los correos electrónicos de phishing son el vector principal para este tipo de ataque, aunque también se puede ser víctima al hacer clic en un anuncio malicio (publicidad maliciosa) o incluso al visitar un sitio web previamente comprometido.
Además, el malware se oculta en una aplicación móvil de apariencia legítima, que a menudo se encuentra en tiendas de aplicaciones de terceros.
ESET explica que existen múltiples variedades de malware que roban información, pero algunos de los más comunes están diseñados para registrar las pulsaciones de teclas o tomar capturas de pantalla del dispositivo y enviarlas a los atacantes.
-
Ataques de fuerza bruta
La mayoría de las personas utiliza contraseñas fáciles de recordar y comete el error de utilizar las mismas contraseñas para acceder a múltiples sitios y servicios.
Pero estas contraseñas débiles pueden abrir la puerta a las denominadas técnicas de fuerza bruta. Uno de los tipos de fuerza bruta más comunes es el credential stuffing.
Los atacantes vuelcan grandes volúmenes de combinaciones de nombres de usuarios y contraseñas, previamente comprometidas en un software automatizado.
Luego, la herramienta prueba las credenciales en un gran número de sitios para encontrar una coincidencia. De esta manera, los cibercriminales desbloquean varias de las cuentas con una sola contraseña.
-
Por deducción
Imagen muestra las contraseñas más usadas de 2021. Primicias
Aunque los cibercriminales cuentan con herramientas automatizadas para realizar los ataques de fuerza bruta y descubrir contraseñas, a veces ni siquiera las necesitan.
La contraseña más común de 2021 fue "123456", seguida de "123456789", por tal motivo la deducción y "la suerte" juegan a favor de los delincuentes.
-
Técnicas presenciales
Las opciones anteriores para comprometer contraseñas han sido virtuales. Pero algunas técnicas presenciales representan un riesgo.
Jake Moore, especialista de ESET, realizó un experimento y demostró lo fácil que es comprometer una cuenta de Snapchat mirando por encima del hombro de alguien.
Una versión más tecnológica, conocida como man in the middle (hombre en el medio) involucra escuchas de Wifi. Es decir, que los criminales pueden espiar las contraseñas mientras se ingresa a una red pública.
¿Cómo proteger las contraseñas?
ESET explica que se pueden bloquear estos ataques administrando las contraseñas de manera más efectiva. A continuación algunas opciones:
- Crear contraseñas seguras y únicas en todas las cuentas en línea, especialmente en bancarias, de correo electrónico y de redes sociales.
- Evita reutilizar credenciales de inicio de sesión.
- Activar la autenticación de doble factor.
- Cambiar la contraseña inmediatamente si un proveedor advierte que sus datos fueron comprometidos tras un ataque cibernético.
- No dar clic en enlaces, ni abrir archivos adjuntos en correos electrónicos no solicitados.
- Solo descargar aplicaciones de tiendas de aplicaciones oficiales.
- Nunca iniciar sesión en una cuenta si está conectado a una red Wifi pública.
Lo último