Una falla de seguridad en los servicios de correo electrónico está facilitando a los cibercriminales vulnerar cuentas de correo electrónico para robar la identidad y cometer extorsiones.
“En un viaje a Milán, Italia, fui asaltada y me robaron todas mis pertenencias, efectivo, celular y tarjetas de crédito. Fue una experiencia traumática, por favor, ayúdenme con dinero para regresar a casa”, rezaba el correo que llegó a los jefes de “Irma”, firmado con nombre, teléfonos y direcciones personales.
A simpe vista el correo parecía legítimo; sin embargo, es uno más de miles enviados por ciberdelincuentes para infiltrarse en sistemas de empresas o personas y robar la identidad virtual del propietario para, como en el caso antes relatado, estafar a quien lo recibe haciéndole pensar que su conocido está en problemas graves e indefenso.
“Atacan directamente los servidores del proveedor, encuentran al menos una vulnerabilidad y acceden al email de la víctima”, comentó Dmitry Bestuzhev, director de Investigación y Análisis en América Latina de Kaspersky Lab.
El hoyo de seguridad está en el código de autenticación del dominio de internet del cual proviene el email, conocido entre los estudiosos de tecnología como Domain Key Identified Mail (DKIM), que puede ir de 384 bits hasta más de dos mil, y es el equivalente a la contraseña del servidor de correo.
Se ingresa a éste a través de las configuraciones DNS, es decir, el registro público de IP’s que tienen todas las páginas web.
A través de este se puede identificar de dónde sale el correo y si la contraseña (DKIM) no es muy robusta se hackea, lo que da acceso a la cuenta y toda su información personal.
“Esta modalidad puede ser eficiente cuando una organización provee a sus empleados de forma personal las cuentas de correo, es decir, cuando el servidor de correo es mantenido por la propia empresa”, comentó el analista.
Pocos escapan
Zachary Harris, matemático estadunidense, se topó con esta falla al recibir un correo aparentemente legítimo de reclutadores de Google.
Rastreó su origen y halló que el DKIM del mail era muy débil para provenir de una firma de ese calibre.
Al notar que el correo tenía un código de 512 bites, uno de los más bajos, Harris verificó los de Google y descubrió que el correo que recibió no provenía de la empresa de California, la identidad digital de la firma había sido suplantada por tener un bajo estándar de seguridad.
Lo mismo encontró en otras empresas como Pay Pal, Yahoo!, Amazon, e-Bay, Apple y Dell relató a la revista Wired. Betuzhev comentó que todos los usuarios de email usan este mecanismo de autenticación, por lo que para alguien con conocimientos técnicos avanzados no es difícil quebrar el código.
Advirtió que el auge de la banca electrónica y las compras web han hecho a la información que pasa por el email atractiva para los cibercriminales. “Nuestro correo tiene mucha información importante y hasta crítica, como fecha de nacimiento, lugar, dirección, pregunta y respuesta secretas, etc.
También en nuestro buzón hay información bancaria como los recibos de pagos donde constan nuestros números de las cuentas y hasta montos que manejamos”, advirtió Bestushev.
De acuerdo con los hallazgos de Harris, incluso gigantes de internet como Google tienen fallas de seguridad en sus sistemas, lo que hace vulnerables a sus direcciones de correo al abrir puertas para recibir spam y ataques dirigidos de phising, que de acuerdo con la firma Symantec, de mayo de 2011 a mayo de 2012 , han cobrado alrededor de 100 mil millones de dólares en pérdidas, ya que muchos van dirigidos a empresas.
Los riesgos
Pero la extorsión no es el único peligro que engendra el robo de identidad digital. El hallazgo de Harris demuestra que si el correo electrónico de una firma como Google pudo ser vulnerado, lo mismo puede ocurrir por ejemplo en el caso de un banco en el que se tiene, por ejemplo, una cuenta bancaria, de inversión o se recibe el sueldo mensual.
Es por ello que las empresas de seguridad informática, como Symantec y Kaspersky, recomiendan jamas proporcionar información sobre números de cuenta, de tarjetas de crédito o datos personales por medio del correo electrónico, y si se recibe una solicitud en ese sentido, es mejor llamar por teléfono para verificar su autenticidad.