Si usas la red social LinkedIn, probablemente has dicho en qué lugar trabajas, a qué te dedicas y con quiénes laboras. Esa información es una mina de oro para los hackers, cada vez más sagaces en el uso de esos datos públicos (pero personales) para dirigir sus ataques.
El método, conocido como “spear phishing” (pesca con arpón) provocó dos violaciones de seguridad en empresas de alto perfil: un ataque a Gmail que afectó a varios altos funcionarios del Gobierno estadounidense y un ataque a la empresa RSA, cuyos tokens de autenticación SecurID son usados por millones de personas. En ambos casos, los atacantes engañaron a las víctimas para que abrieran archivos adjuntos en correos que parecían provenir de fuentes confiables o colegas.
Los investigadores no han revelado cómo fue que loshackers reunieron información de sus víctimas, pero en la conferencia de seguridad RSA del mes pasado, los peligros de las redes sociales -y de LinkedIn en particular- fueron un tema recurrente. Docenas de conferencistas dijeron que dicho sitio de contactos profesionales podría ser una potente arma para los delincuentes cibernéticos.
“Los empresarios usan LinkedIn para fines de investigación, los cazatalentos los usan para reclutar. ¿Por qué no habrían de usarlo también los agentes de inteligencia chinos para la pesca con arpón?”, se pregunta el experto en seguridad Ira Winkler, autor del libro “Spies Among Us”.
Gran parte del debate sobre los riesgos de LinkedIn fue teorético, pero en un estudio de caso, el hacker Ryan O’Horo demostró cómo usó esa red social para irrumpir en la red corporativa de uno de sus clientes.
O’Horo es asesor de seguridad de IOActive, una firma que ofrece servicios para evaluar la vulnerabilidad informática de quienes la contratan. Su cliente, “una compañía importante con decenas de miles de empleados,” contaba con protecciones técnicas de primera categoría. “Así que tuvimos que llevarlo al siguiente nivel”, narra O’Horo al referir sus esfuerzos para violar la red.
El experto creó una cuenta falsa en LinkedIn, fingiendo ser un empleado de la compañía. Atiborró el perfil con detalles realistas (una historia laboral creíble y una lista de sus aptitudes) agregando otros datos plausibles, como una membrecía en la liga local de hockey. Desde esta cuenta falsa, O’Horo envió 300 solicitudes de contacto a empleados reales de la compañía, 66 de ellas fueron aceptadas.
Lo siguiente que hizo O’Horo fue pedir acceso a un foro privado de discusión en LinkedIn creado por los trabajadores de la compañía. El moderador del grupo le concedió la entrada sin siquiera revisar un directorio de la empresa para confirmar su identidad. “Ahora tenía una audiencia de 1,000 empleados de la compañía. En el muro del grupo publiqué un enlace que pretendía ser una página de registro en versión beta para un nuevo proyecto. En dos días obtuve 87 hits – 40% de ellos desde dentro de la red corporativa,” cuenta.
O’Horo fue desenmascarado tres días después de su ataque en LinkedIn: un empleado avispado descubrió que él no trabajaba en la empresa y dio la voz de alarma. Pero el daño ya había sido expuesto.
“Les sorprendió que ese grupo existiera”, comenta O’Horo sobre la respuesta de su clienta al reporte de vulnerabilidad. “No se trataba de un grupo formal de la compañía, nadie lo supervisaba ni había políticas que cubrieran ese aspecto de su presencia social. La gente a cargo de la seguridad de la información no sabía que existía”.
Los hackers, sin embargo, ni siquiera tienen que esforzarse tanto para aprovechar la mina que les ofrece LinkedIn. Los usuarios del sitio muestran abiertamente muchos datos valiosos.
En la conferencia de seguridad DefCon celebrada el verano pasado, un grupo de hackers de “ingeniería social” organizó un juego en el cual los participantes tenían que engañar a los empleados de más de una docena de compañías importantes (entre ellas Apple, AT&T, Calmar y United Airlines) para que revelaran información corporativa confidencial. El recurso más usado, aparte de Google, fue LinkedIn.
Algunas personas divulgaron en sus perfiles información técnica específica sobre la infraestructura de su empleador, mientras que otros ofrecían detalles que podían ser utilizados para ataques furtivos. Por ejemplo: si sabes los nombres de los colegas de tu víctima, puedes fácilmente falsear un email para que parezca que lo envía uno de ellos.
LinkedIn, por su parte, dice que exhorta a los usuarios para que piensen con cuidado la información que eligen publicar. “Les recomendamos a los miembros conectar sólo con las personas que conocen y confían. Por supuesto, todos los internautas deberían estar conscientes del hecho de que hay personas malas que desafortunadamente recurren a cosas como los ataques phishing, y las personas deberían aplicar el sentido común y las herramientas disponibles para asegurarse de no caer presas”, explica el portavoz de la compañía, Richard George.
Empero, la vulnerabilidad de LinkedIn está indisociablemente unida a su crecimiento. Al presente, el sitio tiene 150 millones de usuarios (casi el doble de los que tenía hace un año). Y conforme su base de datos es más rica, su valor crece tanto para los miembros como para quienes quieren embaucarlos.
El experto en seguridad Rob Rachwald monitorea con regularidad las conversaciones en los sitios y foros donde se reúnen los hackers para intercambiar tips. Y la relevancia de LinkedIn es cada vez mayor, dice. Para ilustrar el punto, recolectó una serie de mensajes publicados en el sitio HackForums.net. Una persona pedía que alguien penetrara en una cuenta LinkedIn específica, mientras que otros anunciaban que tenían “verdaderas conexiones LinkedIn” a la venta.
“Los hackers van a donde va la gente. Cuando Facebook crecía, allí iban. A medida que LinkedIn crece, allí es a donde van”.
Fuente:
cnnexpansion.com
