Hasta ahora hemos hablado mucho de la crisis económica, pero en este comienzo de año 2010, la estamos viviendo en sus distintas manifestaciones o caras. "La necesidad agudiza el ingenio" y nuevas técnicas masivas de captación ilícita de datos confidenciales son realizadas por nuevos “genios” sobre los usuarios de Internet.
Entre ellas, pueden destacarse el phishing, que en sus distintas variedades se puede calificar como una estafa cometida mediante «ingeniería social», ya que manipula personas y necesita del concurso engañoso sobre un ser humano para que surja la equivocación o el error que lleva a la cesión «no querida e inconsentida» de datos confidenciales que pueden poner al “ingenioso” en condiciones de poder apoderarse del patrimonio de la víctima.
El phishing suele instrumentarse a través de correos electrónicos (engañosos) que, a la par que imitan el lenguaje, formato e imagen de las Entidades bancarias o financieras por las que se hacen pasar, solicitan del usuario sus datos personales alegando, entre otros, motivos como:
— cambios en la política de seguridad,
— problemas técnicos supuestamente concurrentes en la víctima,
— la promoción de nuevos productos o servicios,
— la participación en concursos, premios o regalos,
— o la propia detección de posibles fraudes,
e incluyen enlaces que aparentemente conducen a las web oficiales de la Entidad que suplantan, pero que realmente remiten a páginas web piratas (web réplica) que copian o imitan a la perfección, que es donde el usuario engañado escribe sus datos confidenciales y de donde los lee el atacante para, una vez en su posesión, realizar cualquiera de las operaciones fraudulentas en la Red indicadas.
Desde 1996, en que empezaron a detectarse las primeras modalidades de phishing, constantemente surgen transformaciones y variantes de fraudes informáticos en la Red. Así, le llaman «phishing-car» a la variante de obtención de los datos bancarios a través de simuladas ventas de coches, generalmente de segunda mano. Igualmente, se han detectado otras variantes de obtención de datos bancarios, esta vez mediante mensajes de voz sobre telefonía IP, en los que, como en el informático, el mensaje enlatado simula disculpas de seguridad informática o entrega de premios, para que el usuario ceda sus datos bancarios, y recibe entonces el nombre de «vishing»
Pero además de las diferentes variantes y evoluciones del phishing puedo destacar como víctima, el haber sufrido una modalidad de fraude informático con singularidad propia, el fraude del pharming, que a diferencia del phishing, es una estafa cometida mediante ingeniería técnica y no social, pues la vía hacia la cesión inconsentida de los datos sensibles y confidenciales de la víctima no es el engaño humano, sino una mera manipulación técnica que enclava este fraude entre las llamadas «estafas maquinales». Mientras el phishing precisa de la ingeniería social, y en cada intento se debe dirigir a un único tipo de servicio bancario, el pharming no se lleva a cabo en un momento concreto, ya que la manipulación del ordenador (alojamiento de un troyano) se hace de forma latente, a la espera de que el usuario acceda a su servicio bancario, quedando el atacante únicamente al acecho, sin tener que estar pendiente de una respuesta concreta para su ataque puntual.
El pharming aparece en abril de 2005 como consecuencia de fallos de seguridad que se detectaron por aquellas fechas en los servidores de Microsoft. Mediante el pharming se realizan manipulaciones técnicas en las direcciones DNS (Domain Name Server) que utiliza el usuario,
· de modo que (mecánicamente) conducen a éste, cuando las escribe en el navegador de Internet, a páginas que no son la deseada, aunque aparentemente presentan un aspecto idéntico,
· y que han sido creadas por los delincuentes informáticos para conseguir la cesión inconsentida de los datos confidenciales e información sensible y personal de la entidad de confianza de que se trate (bancaria, financiera, de venta de segunda mano, de subastas por Internet, de envío o intercambio de dinero al extranjero, etc.).
· y, una vez en su poder, los atacantes quedan en condiciones de realizar los ilícitos e inconsentidos apoderamientos patrimoniales sobre sus víctimas.
Cuando tecleamos una dirección web determinada (URL) en el navegador de Internet, ésta se transforma y convierte en una secuencia de formato 000.000.000.000, que conforma la dirección IP de la página a visitar, esto es, en una secuencia numérica, generalmente más difícil de recordar que las señas alfabéticas. El navegador no puede realizar por sí mismo la conversión de las señas en una secuencia numérica, ya que para ello necesita del servidor DNS que es quien realmente realiza esa conversión, ya que posee un registro que administra los nombres y les otorga la correspondiente seña IP numérica, que lleva finalmente al usuario a la página deseada.
El pharming ataca directamente a los servidores DNS, y cambia la secuencia numérica tecleada por el usuario víctima, llevándole a una página web que es de aspecto idéntico a la original (deseada), pero que es la web delincuente donde, confiado, el usuario realiza sus movimientos con total tranquilidad en la errónea esperanza de estar en la página original, y donde deja al descubierto claves y datos personales, que luego de conocidos usa el delincuente para estafarle.
Existe una segunda modalidad de pharming que ataca a los equipos individuales que en vez de manipular el servidor DNS. Lo que hace es modificar el archivo hosts (que se utiliza con Windows e Internet Explorer y que almacena en cada PC una pequeña tabla con las direcciones de servidores e IPs que más suele visitar el usuario) de modo que, manipulándolo, y sin necesidad de salir al servidor DNS, se consigue que llegue, no a la página real, sino a la simulada delictiva. Igual que en el phishing, la entrada del código manipulado en el sistema de la víctima suele ser a través de Internet, introduciendo virus «troyanos» que descargan programas:
·bien mediante correo-e,
·bien mediante alguna descarga de Internet,
·bien al copiar algún CD
En mi caso, ya me veo envuelto en toda una peripecia de denuncias y reclamaciones sobre mi pharming, tanto a nivel penal, como civil. Así que como "no hay mejor letra, que la que con sangre entra"; ni mayor "bienaventurado que el que enseña al que no sabe"... To be continued.
Entre ellas, pueden destacarse el phishing, que en sus distintas variedades se puede calificar como una estafa cometida mediante «ingeniería social», ya que manipula personas y necesita del concurso engañoso sobre un ser humano para que surja la equivocación o el error que lleva a la cesión «no querida e inconsentida» de datos confidenciales que pueden poner al “ingenioso” en condiciones de poder apoderarse del patrimonio de la víctima.
El phishing suele instrumentarse a través de correos electrónicos (engañosos) que, a la par que imitan el lenguaje, formato e imagen de las Entidades bancarias o financieras por las que se hacen pasar, solicitan del usuario sus datos personales alegando, entre otros, motivos como:
— cambios en la política de seguridad,
— problemas técnicos supuestamente concurrentes en la víctima,
— la promoción de nuevos productos o servicios,
— la participación en concursos, premios o regalos,
— o la propia detección de posibles fraudes,
e incluyen enlaces que aparentemente conducen a las web oficiales de la Entidad que suplantan, pero que realmente remiten a páginas web piratas (web réplica) que copian o imitan a la perfección, que es donde el usuario engañado escribe sus datos confidenciales y de donde los lee el atacante para, una vez en su posesión, realizar cualquiera de las operaciones fraudulentas en la Red indicadas.
Desde 1996, en que empezaron a detectarse las primeras modalidades de phishing, constantemente surgen transformaciones y variantes de fraudes informáticos en la Red. Así, le llaman «phishing-car» a la variante de obtención de los datos bancarios a través de simuladas ventas de coches, generalmente de segunda mano. Igualmente, se han detectado otras variantes de obtención de datos bancarios, esta vez mediante mensajes de voz sobre telefonía IP, en los que, como en el informático, el mensaje enlatado simula disculpas de seguridad informática o entrega de premios, para que el usuario ceda sus datos bancarios, y recibe entonces el nombre de «vishing»
Pero además de las diferentes variantes y evoluciones del phishing puedo destacar como víctima, el haber sufrido una modalidad de fraude informático con singularidad propia, el fraude del pharming, que a diferencia del phishing, es una estafa cometida mediante ingeniería técnica y no social, pues la vía hacia la cesión inconsentida de los datos sensibles y confidenciales de la víctima no es el engaño humano, sino una mera manipulación técnica que enclava este fraude entre las llamadas «estafas maquinales». Mientras el phishing precisa de la ingeniería social, y en cada intento se debe dirigir a un único tipo de servicio bancario, el pharming no se lleva a cabo en un momento concreto, ya que la manipulación del ordenador (alojamiento de un troyano) se hace de forma latente, a la espera de que el usuario acceda a su servicio bancario, quedando el atacante únicamente al acecho, sin tener que estar pendiente de una respuesta concreta para su ataque puntual.
El pharming aparece en abril de 2005 como consecuencia de fallos de seguridad que se detectaron por aquellas fechas en los servidores de Microsoft. Mediante el pharming se realizan manipulaciones técnicas en las direcciones DNS (Domain Name Server) que utiliza el usuario,
· de modo que (mecánicamente) conducen a éste, cuando las escribe en el navegador de Internet, a páginas que no son la deseada, aunque aparentemente presentan un aspecto idéntico,
· y que han sido creadas por los delincuentes informáticos para conseguir la cesión inconsentida de los datos confidenciales e información sensible y personal de la entidad de confianza de que se trate (bancaria, financiera, de venta de segunda mano, de subastas por Internet, de envío o intercambio de dinero al extranjero, etc.).
· y, una vez en su poder, los atacantes quedan en condiciones de realizar los ilícitos e inconsentidos apoderamientos patrimoniales sobre sus víctimas.
Cuando tecleamos una dirección web determinada (URL) en el navegador de Internet, ésta se transforma y convierte en una secuencia de formato 000.000.000.000, que conforma la dirección IP de la página a visitar, esto es, en una secuencia numérica, generalmente más difícil de recordar que las señas alfabéticas. El navegador no puede realizar por sí mismo la conversión de las señas en una secuencia numérica, ya que para ello necesita del servidor DNS que es quien realmente realiza esa conversión, ya que posee un registro que administra los nombres y les otorga la correspondiente seña IP numérica, que lleva finalmente al usuario a la página deseada.
El pharming ataca directamente a los servidores DNS, y cambia la secuencia numérica tecleada por el usuario víctima, llevándole a una página web que es de aspecto idéntico a la original (deseada), pero que es la web delincuente donde, confiado, el usuario realiza sus movimientos con total tranquilidad en la errónea esperanza de estar en la página original, y donde deja al descubierto claves y datos personales, que luego de conocidos usa el delincuente para estafarle.
Existe una segunda modalidad de pharming que ataca a los equipos individuales que en vez de manipular el servidor DNS. Lo que hace es modificar el archivo hosts (que se utiliza con Windows e Internet Explorer y que almacena en cada PC una pequeña tabla con las direcciones de servidores e IPs que más suele visitar el usuario) de modo que, manipulándolo, y sin necesidad de salir al servidor DNS, se consigue que llegue, no a la página real, sino a la simulada delictiva. Igual que en el phishing, la entrada del código manipulado en el sistema de la víctima suele ser a través de Internet, introduciendo virus «troyanos» que descargan programas:
·bien mediante correo-e,
·bien mediante alguna descarga de Internet,
·bien al copiar algún CD
En mi caso, ya me veo envuelto en toda una peripecia de denuncias y reclamaciones sobre mi pharming, tanto a nivel penal, como civil. Así que como "no hay mejor letra, que la que con sangre entra"; ni mayor "bienaventurado que el que enseña al que no sabe"... To be continued.
.JPG)