Internet esta llena de trampas para incautos, pero ¿como defenderse contra ellas?

 Ciberseguridad

 

Por Luis Domenech

Ayer escribía en uno de mis blogs sobre la Guerra Cognitiva, una técnica que busca influir y manipular las percepciones, emociones, creencias y comportamientos de personas, grupos o sociedades, utilizando estrategias de información, tecnología y psicología para alterar la forma en que se interpreta la realidad y se toman las decisiones. Esta guerra se promueve mediante herramientas como la propaganda, la desinformación, campañas en redes sociales, el control de narrativas y el uso de tecnologías digitales para amplificar divisiones y manipular opiniones públicas. La parte tecnológica del asunto comprende estos centros o granjas de producción masiva de mensajes que se reparten masivamente y de manera indiscriminada con el fin de manipular a la opinión pública.

Pero hay otras formas de intromisión y de manipulación masiva que nos afecta, como la ingeniería social, el vishing y el phising. Es raro que pase una semana sin que una filtración de datos llegue a las noticias, o sin que alguien que conoces te comente que una de sus cuentas ha sido tomada por hackers, y es que el robo de datos es algo que está a la orden del día, y es que la red está llena de trampas para incautos.

Cuando esto ocurre, es natural preguntarse: ¿Por qué sigue sucediendo? ¿Qué técnicas utilizan los delincuentes para robar las credenciales de las cuentas? ¿Qué puedo hacer para protegerme contra las contraseñas comprometidas?

Comencemos con las dos primeras preguntas. Estas son las técnicas más comunes que utilizan los hackers: 

Ingeniería social y phishing

La ingeniería social es un intento de manipularte para que compartas datos personales, como tus contraseñas o tu número de teléfono. El atacante intentará engañarte haciéndose pasar por alguien que conoces o en quien confías —podría ser tu jefe, tu banco o un antiguo compañero de universidad— y te dará una razón creíble para que compartas la información con él.

Cada vez que un hacker hace esto, está intentando obtener información mediante «phishing». La ingeniería social puede adoptar la forma de un correo electrónico, un mensaje de texto o una llamada telefónica (conocida como «vishing»). Los atacantes suelen lanzar una red masiva y enviar ataques de phishing a cientos o miles de personas, con la esperanza de que alguien caiga en la trampa.

Fugas de contraseñas y relleno de credenciales

Los hackers rara vez se sientan frente a su ordenador a probar diferentes contraseñas para acceder a tus cuentas. Les lleva demasiado tiempo y probablemente se queden sin acceso tras unos cuantos intentos fallidos. En cambio, prueban con credenciales que se han filtrado en brechas de seguridad anteriores.

Los atacantes saben que la persona promedio rara vez usa contraseñas diferentes. Por lo tanto, si conocen el nombre de usuario y la contraseña de una cuenta antigua de Microsoft, es muy probable que las mismas credenciales funcionen para la cuenta de correo electrónico del propietario. En la práctica, los hackers utilizan software especializado para probar credenciales robadas a gran escala en la web. Este tipo de ataque se conoce como relleno de credenciales.

Ataques de diccionario y descifrado de contraseñas cifradas

Imaginemos que un atacante descubre una base de datos de contraseñas. El problema es que todas las credenciales han sido cifradas mediante un algoritmo hash para su protección. El atacante podría probar todas las contraseñas posibles con algoritmos hash comunes y comprobar si el resultado coincide con alguna de la base de datos. Pero eso no es nada eficiente.

En cambio, los atacantes probarán palabras comunes, frases o contraseñas filtradas previamente de una lista predefinida. Una vez que el hacker encuentre una coincidencia, puede intentar usar la contraseña descifrada para acceder a la cuenta asociada o comprobar si funciona en alguna de las otras cuentas en línea del propietario.

Bien, ya hemos visto cómo los hackers roban contraseñas, pero ¿qué se puede hacer para protegernos de estas tácticas y de las filtraciones de datos en general?

Protéjase con una contraseña única para cada servicio.

La mejor manera de protegerte en línea es usar contraseñas seguras y únicas para cada cuenta. Así, incluso si tus datos en un sitio se ven comprometidos, los demás permanecerán a salvo. No puedes crear ni recordar cientos de contraseñas diferentes, pero un gestor de contraseñas sí. Ahorra tiempo usando el generador de contraseñas integrado de 1Password para crear contraseñas seguras para cada sitio web y servicio, incluyendo Amazon, Instagram y Gmail.

Habilitar la autenticación multifactor

La autenticación multifactor añade una capa adicional de seguridad a tus cuentas en línea. Una vez activada, se requiere un segundo factor —normalmente un código que solo se puede usar una vez— además de tu nombre de usuario y contraseña para iniciar sesión. 1Password te indicará qué sitios web admiten la autenticación multifactor y actuará como autenticador, copiando y autocompletando tus códigos únicos.

Manténgase al tanto de las amenazas de seguridad con Watchtower.

Watchtower te avisa sobre filtraciones de datos y otros problemas de seguridad relacionados con tus datos guardados en 1Password. Esto incluye sitios web donde actualmente usas contraseñas débiles o reutilizadas, así como servicios donde aún no has utilizado contraseñas. Seguir las notificaciones de Watchtower es una forma segura de reforzar tu seguridad y reducir la probabilidad de que tu información personal aparezca en la dark web.