Actualidad y Perspectivas
La ciberextorsión es una nueva modalidad delictiva, encuadrada dentro de lo que se denomina cibercrimen, que tiene un objetivo similar al de la extorsión o chantaje tradicional, salvo que se encuentra facilitada por el uso de computadoras e Internet, lo que le otorga al atacante un enorme abanico de posibilidades donde se pueden destacar principalmente dos: el anonimato y la masividad.
Éstos ataques se desarrollan utilizando diferentes herramientas que van desde un tipo especial de malware hasta la ingeniería social, que no es otra cosa que el famoso “cuento del tío” pero digital y mucho más peligroso.
La extorsión vía internet a empresas es la última versión de un fenómeno más extendido que es el chantaje a particulares a través de la red. Los chantajistas utilizan todos los medios que internet pone a su alcance, desde mensajes instantáneos hasta los blogs.
Todos aquellos que usamos Internet podemos ser víctimas; para una mejor comprensión del tema podemos clasificar a los afectados en dos categorías, situación que determinará tipos diferentes de técnicas:
Particulares
Empresas
Los ataques a particulares son más simples y por lo tanto generan menos dinero para los delincuentes, pero a su vez tienen mayor alcance.
Por su parte las acciones cometidas sobre las empresas son más sofisticadas y de esta manera les representa un botín más interesante.
Podemos afirmar que las técnicas que estos delincuentes cibernéticos emplean son variadas y como decíamos anteriormente, tienen que ver con que tipo de objetivo van a atacan.
Si hablamos de particulares lo más frecuente es el secuestro virtual de archivos por medio de la utilización de un malware específico denominado “criptovirus” que actúa encriptando los archivos de la PC de la víctima ofreciéndole la desencriptación de los mismos luego del depósito de una suma de dinero mediante pago vía EGold, Webmoney u otro medio de pago muy difícil de rastrear.
Dentro de ésta categoría se ubican una serie de virus como el famoso GpCode, el Krotten; o los más recientes Cryzip.a, que es un troyano, o el Skowor.b que es un gusano. A todos estos también se los llama Ransomware, y la modalidad de trabajo es esta: el código malicioso infecta la computadora de la víctima por los medios usuales que utiliza cualquier malware y a partir de ahí procede a cifrar los documentos que encuentre (generalmente archivos de Office), eliminando la información original y dejando un archivo de texto con las instrucciones del rescate.
Existe conocimiento de casos fuera de la Argentina, donde los montos solicitados fueron desde los u$s 50.- hasta los u$s 2.000.-, dependiendo fundamentalmente de los datos que obtuvieron de la víctima.
Una vez depositado el dinero en una cuenta determinada por el creador del código malicioso, se le entrega al usuario la clave para descifrar los archivos.
El primer caso mundialmente descripto data del año 1989.
El otro modo de ataque al que están expuestos los usuarios es el de las amenazas de secuestro de familiares a través de celulares; según reportes oficiales de México, entre el 2001 y este año, se obtuvieron por lo menos 14 millones de dólares por ésta modalidad delictiva.
En estos casos los atacantes son pacientes analizadores de la información que millones de usuarios vuelcan día a día en las llamadas “redes sociales” de la Web 2.0; en sitios como MySpace, Orkut, Friendster, Linkedin, y los millones de blogs; y en base a todos esos datos generan este tipo de ataques.
También recientemente varios usuarios españoles de Hotmail vieron cómo todos sus mensajes recibidos y enviados y sus contactos desaparecían sin dejar rastro. Todos menos uno, el de un chantajista que les pedía dinero si quieren recuperar la información.
La voz de alarma la dio la empresa de seguridad Websense hace pocos días atrás. En la bandeja de entrada sólo quedaba un solitario mensaje del chantajista. Con un texto mal redactado y lleno de errores exigía dinero: «Quieres saber dónde están tus contactos y tus emails deves de pagar o prefieres perderlo todo espero que escribas pronto». El remitente se hace llamar Asesino de correos XXX y el mensaje de extorsión lleva el encabezado de «Importante».
El alto riesgo de la alerta lanzada por Websense no se debió a un fallo en la seguridad de Hotmail o en lo sofisticado del ataque. Según han podido averiguar, los datos no fueron encriptados sino simplemente eliminados por alguien que entró en las cuentas afectadas.
Las víctimas analizadas tenían dos cosas en común, todas eran usuarias del correo de Hotmail y habían estado recientemente en un cibercafé. Lo más probable es que el dueño del ciber o algún otro usuario usó algún sistema o programa para captar el usuario y la contraseña de los afectados.
Por el lado de las empresas, detallamos a continuación los tipos de ataques más frecuentes:
Secuestro virtual de archivos: tiene una modalidad similar que el de los usuarios comunes y principalmente busca como víctimas a los empleados de las compañías afectadas, para que mediante el pago del rescate no tengan problemas de índole laboral.
Ataque Man-in-the-Middle o intermediario: esta tipología permite que el enemigo adquiera la capacidad de leer, insertar y modificar a voluntad, los mensajes entre dos partes sin que ninguna de ellas sepa que el enlace entre ellos ha sido violado. El atacante debe ser capaz de observar e interceptar mensajes entre las dos víctimas o los dos puntos de la comunicación. Es frecuentemente utilizado para lograr la intercepción de la comunicación (eavesdropping), incluyendo análisis del tráfico, para de ésta manera poder “leer” información confidencial de la compañía y así planear un chantaje para no revelar datos confidenciales de información corporativa También es muy utilizado para lograr un ataque por denegación de servicio (denial of service) o DoS y así poder entre otras cosas bloquear las comunicaciones antes de atacar una de las partes.
Ataque de Denegación de Servicio Distribuido: un ataque DDOS (Distributed Denial Of Service Attack) o es un tipo especial de DoS que consiste en realizar un ataque conjunto y coordinado entre varios equipos (pueden llegar a ser cientos o miles) hacia una empresa víctima o host. Esto se produce por un tipo de malware que permite obtener el control de esas máquinas y que un atacante ha instalado previamente en ellas, ya sea por intrusión directa o mediante algún virus del tipo de los gusanos. De esta manera los delincuentes consiguen consumir el ancho de banda de la compañía y sobrepasan la capacidad de procesamiento de los routers, consiguiendo que los equipos de la empresa atacada no puedan prestar servicio y por ejemplo su sitio deje de funcionar hasta pagar la suma pretendida por los delincuentes. A las máquinas infectadas por ese tipo de malware se las denomina máquinas zombie y el conjunto de todas las que están bajo el control del atacante es conocido como botnet o red de bots.
Infección de contenidos ilícitos: es la manera de ataque mediante la cual se satura la red de la empresa con descargas de material de pornografía infantil, que en la mayoría de los países se corresponde con un delito penal y además existen redes muy sensibles para la detección de éste tipo de tráfico de archivos, por lo que la compañía víctima en muy poco tiempo estaría siendo investigada por fuerzas de seguridad nacionales e internacionales y la misma sufriría un gran desprestigio.
Para llevar adelante estos hechos son dos tipos diferentes de vulnerabilidades las que los chantajistas digitales explotan: una las de tipo de código, y son las que se aprovechan básicamente de las de los productos de Microsoft, dado que dicha empresa tiene su software, ya sea tanto como versión original o como versión pirata en más del 90 % de las PC que hoy operan en todo el planeta.
Este escenario promovió, el surgimiento de una organización comercial dedicada a la venta de vulnerabilidades de programas que se venden en eBay por ejemplo; y también hay empresas que pagan hasta u$s 15.000.- de recompensa por encontrar fallas en las aplicaciones, para después revenderlas en el mercado negro estos agujeros de seguridad.
Las otras están vinculadas con las de tipo humano, y éstas se relacionan con el exceso de confianza y la abundancia de datos personales sensibles que se vuelcan a la red cuando se completan perfiles o fichas personales en muchos sitios de divulgación masiva. También hay que tener en cuenta los errores más comunes que los empleados suelen cometer en sus compañías; éstos son:
abrir archivos no solicitados.
no instalar parches de seguridad a las herramientas de escritorio utilizadas.
instalar protectores de pantalla o juegos sin conocer su origen.
no efectuar respaldos de información ni verificar la integridad de los existentes
Es a partir de estos errores que la red de una empresa puede sufrir una intrusión y de ésta forma dar lugar al ataque.
En cuento a nuestro país, hasta la fecha hubo todo tipo de casos tanto de ataques a particulares como a empresas, pero son escasas las denuncias. Hay pocos datos disponibles, ya que la mayoría de las firmas no hace público el chantaje ni acude a la policía por miedo a la publicidad negativa.
Además, al no estar definida ninguna tipología específica en el Código Penal Argentino se hace más difícil perseguirlos, pero ya tiene media sanción del Senado el proyecto denominado de Delitos Informáticos que esperamos sirva para penalizar este tipo de hechos.
Para terminar, creo que es importante dejar una serie de consejos tan útiles como sencillos para ayudar a prevenir éste tipo de delitos.
Por ejemplo, es bueno utilizar un nombre de usuario de dirección de correo electrónico con género neutral, adonde no sea fácilmente descifrar si el titular es un hombre o una mujer.
También es más seguro usar una cuenta de correo electrónico gratuita como Hotmail, o Gmail o Yahoo por ejemplo para incorporarse a listas, newsgroups, salas de Chat, clientes de Mensajería Instantánea (MSN, ICQ, etc), completar formularios o cualquier otra actividad online.
Nunca hay que dar el correo electrónico principal a quien no se conozca o en quien no se confíe.
No es bueno poner mucha información personal en sus perfiles, sobretodo en sitios de redes sociales como Myspace, Orkut, etc; y hay que tener especial cuidado con lo que postee en su blog, recuerden que de manera predeterminada cualquiera puede ver su perfil si no se opta por la opción de marcar que esa información es privada.
En síntesis, no hay que hacer mucho más de lo que uno esta acostumbrado diariamente a realizar en su vida real, salvo que su deporte preferido sea dar la dirección de su domicilio, a que hora usted no está en ella o cuál es la contraseña de la alarma de su casa a la primera persona que se cruce en la calle.
Y en el caso en que se le presente un problema de estos, no se olvide de almacenar y guardar todo, muchas veces uno de los primeros impulsos es el de borrar todo lo que lo pudiera involucrar a usted, y es ahí donde cometió el primer error: es imprescindible preservar la prueba.
A manera de comentario final; en estos casos siempre hay que tener presente lo siguiente, sólo hay tres conductas a seguir:
*Contraatacar
*Pagar
*Denunciar rápidamente a las autoridades
No es muy aconsejable la primera porque enfrente tenemos delincuentes muy sofisticados que tienen conocimientos muy avanzados y nos meteríamos en una guerra sin fin con pocas probabilidades de triunfar.
Si pagamos, sería sencillo porque seguiría sentado con mi computadora trabajando, nadie se enteraría pero…tampoco nadie me garantizaría que eso no volviera a ocurrir, hay que tener bien presente que estamos frente a criminales cuya motivación es el dinero.
Y si tomamos la última opción como la correcta, estaremos contribuyendo a tener más datos a mano y poder avanzar sobre la prevención de éstos problemas poniendo a trabajar a las autoridades competentes.
Marcelo Telez
