Así se burlan los hackers de la autenticación en dos pasos de tus apps y webs

¿Es la autenticación en dos pasos la opción más segura para las apps? Al parecer, los hackers ya han encontrado la fórmula para saltarse la protección contra su actividad. Así lo hacen.

Así se burlan los hackers de la autenticación en dos pasos de tus apps y webs
Leer más
Leer más

Existe un refrán, si puede llamarse así, en el mundo de la ciberseguridad que es clarificador: están las personas/empresas que han sido víctimas de un hackeo y las que lo va a ser.

Una de las señas de identidad del hacker es la creatividad: sabe cómo saltarse los sistemas más bastos de seguridad y los más ingeniosos.

De modo que aunque queramos tener la sensación de seguridad, esta, en Internet, no existe al 100%.

A medida que las empresas que dan soporte en ciberseguridad desarrollan tecnologías para proteger a sus clientes (o más bien la información de estos), los ciberdelincuentes encuentran las denominadas puertas traseras para colarse en su sistema.

Hasta ahora, la autenticación en dos pasos era el mecanismo más popular y confiable. Ojo, que sigue deteniendo más del 99% de los intentos de ataques automatizados.

Pero ya han encontrado varias vías para comprometer su seguridad. ¿Quieres saber cómo para estar precavido y no caer si te ocurre? Toma nota.

Métodos de los hackers para burlar la seguridad de la doble autenticación

La alerta proviene de Panda, una de las empresas de ciberseguridad que trabaja contra los hackers en una batalla silenciosa, ocultada pero intensa.

Como es habitual en estos cracks de la tecnología, utilizan la base de lo que atacan en su beneficio.

La autenticación en dos pasos busca que el usuario confirme doblemente una operación, de modo 'aleatorio' para que ninguna máquina pueda automatizar su ataque y penetrar en el sistema (y la información, sensible o no, que contenga).

Para ello es habitual recibir un SMS con un código o un enlace de confirmación. Los hackers han conseguido interceptar este sistema y crear réplicas que engañan al usuario y lo convierten en una víctima más.

Así, consiguen suplantar tu identidad para con el proveedor de servicios móviles y derivar el número de teléfono a su control. Esto se conoce como SIM Swapping. Pero no es el único método.

Otra vía que se ha detectado para saltarse la autenticación en dos pasos es utilizar un proxy inverso como Modlishka: este servidor recopila recursos suplantando al clientes y se los devuelve simulando ser el servidor habitual.

Una forma silenciosa que funciona sobre todo cuando el usuario víctima desconoce cómo identificar hackeos en la información.

Este método permite, a su vez, utilizar este sistema para reconducir tráfico a páginas de registro o a landings para phishing.

Por último, la App Store de Google también puede ocultar al enemigo. Empleando el mix SMS y robo de credenciales, se puede llegar incluso a controlar un portátil.

Como señala Panda, lo más grave es que estas vulnerabilidades están accesibles para hackers con un mínimo de experiencia.

Así ha cambiado J-Lo en más de dos décadas Así ha cambiado J-Lo en más de dos décadas