Cuando el teclado es el ciberdelincuente
Muchos de los avances tecnológicos para luchar contra la ciberdelincuencia se han centrado en aplicaciones, smartphones o dispositivos varios, como los asistentes de voz conectados. Pero ¿qué pasa con los ordenadores que siguen siendo vulnerables a acciones un tanto sofisticadas? ¡Cuidado con el teclado!
Seguramente muchos de vosotros no habéis prestado demasiada atención al teclado que usáis. Quizá, como mucho, os habéis preocupado de que sea ergonómico. Pero nada más. Pues tenéis que saber que el teclado os puede delatar y que los ciberdelincuentes han encontrado un sistema de escuchas a través de las pulsaciones en el teclado.
Hace ya un tiempo publicamos un artículo titulado ¿La ciberseguridad supera a la ciencia ficción? en el que os explicábamos algunas técnicas surrealistas usadas por delincuentes. Entre ellas os hablábamos de un algoritmo capaz de averiguar las palabras escritas por una persona en una videoconferencia, sin verle las manos ni el teclado.
Ahora parece que han dado un paso más, porque la empresa Panda Security ha explicado la posibilidad de robo de contraseñas a través de escuchas en el teclado. Hervé Lambert, gerente de operaciones de consumo global de la empresa, ha explicado que esta nueva técnica se basa en las pulsaciones que realizamos sobre el teclado. Incluso es posible diferenciar tipologías de pirateo informático relacionadas con el teclado.

¡Esos eran totalmente ciberseguros!
Imagen de Valerio Errani en Pixabay
- Keylogger. A través de un malware se monitoriza cada tecla y a través de ello se puede obtener lo que uno escribe de un modo bastante fácil. Así se pueden obtener contraseñas o datos bancarios.
- Acoustic Keyboard Eavesdropping Keylogging attack, o ataques de espionaje a través del teclado acústico. Es un poco más sofisticado que el anterior. Esta técnica reconoce el sonido que produce cada pulsación de las teclas. Para ello se usa un programa que usa un algoritmo al que se le ha “enseñado” a diferenciar pulsaciones mediante diversos escritos. Además se precisa un micrófono que recoja los sonidos y que no interfiera con los ruidos ambientales. Aun así los delincuentes son capaces de obtener información, que, sin ser completa, permite ir probando las opciones que faltan hasta obtener el “¡bingo!”.
Quizá os preguntaréis de dónde sale el micrófono. La respuesta es clara: a través de las escuchas de dispositivos como Alexa, el Asistente de Google, Meta o Siri. No en vano alguna de estas grandes empresas ya han admitido haber grabado escuchas con el desconocimiento de sus propietarios. - Altavoces y ventiladores. Hace ya unos cuantos años de eso, pero hubo escuchas y filtraciones de información a través de los altavoces de los ordenadores de sobremesa, que lograron a distancia cambiar la polaridad de los mismos, y claro, un altavoz… ¡no deja de ser un micro, pero al revés!
También existió el caso de transmisión de datos a través de ultrasonidos, con el mismo sistema.
Y para rizar más el rizo, a través de los ventiladores, como podéis leer AQUÍ. Como ya se sabe, las modas vuelven, así que ¡estad atentos también a estas posibilidades! - Teclados inalámbricos. Panda Security también habla de este tipo de teclados que funcionan a través de una antena conectada al puerto USB. Los delincuentes pueden captar sin demasiados problemas la radiofrecuencia usada, a una distancia de hasta 250 metros.
La empresa desarrolladora de software de seguridad, en su informe, también incluye algunas recomendaciones para evitar que el teclado sea una fuente más de problemas de ciberseguridad.
Podéis leer su artículo AQUÍ.
Si todavía pensáis que todo esto es pura ciencia ficción y no os acabáis de creer lo que puede ocurrir cuando el teclado es el ciberdelincuente, os invitamos a ver uno de los vídeos tutoriales que Marcelo Vázquez, un popular creador de contenido de hacking y ciberseguridad, conocido como @S4vitar, tiene en su canal de YouTube. AQUÍ.
Imagen principal: Gerd Altmann en Pixabay.
- Publicado en Ataques / Incidencias, General, Noticias, Privacidad, Seguridad
La verificación en dos pasos ya tiene un malware
Mucho se ha hablado de la necesidad de tener una verificación en dos pasos (2FA), por ser un plus de seguridad. Y de hecho lo es, hasta el punto que en las aplicaciones bancarias y otras de tipo financiero es obligatoria.
La mala noticia es que ya se ha creado un malware que simula una app de verificación en dos pasos que intenta estafar a los usuarios de servicios bancarios.
El hecho de que las entidades bancarias y financieras lo usen para infinidad de transacciones ha despertado el interés de los ciberdelincuentes que han olido el dinerito calentito que podían ganar. Se pusieron manos a la obra y desarrollaron una apliacación de phishing que simula una app de verificación de dos pasos. Para sus fechorías eligieron la interfaz del BBVA y así tratar de robar el dinero de los usuarios de este banco.
¿Cómo lo hacen?
Como en muchos actos de ciberdelincuencia, todo empieza con una réplica de la web oficial de una entidad. En este caso, de la web del BBVA. Y a partir de ahí se sigue esta sucesión de acciones:
• Réplica de la web del BBVA.
• Aviso a los usuarios de la existencia de una nueva aplicación de verificación que va a ser obligatoria en un futuro inmediato para cualquier gestión de la cuenta.
• Muchos usuarios se descargan la aplicación.
• La falsa aplicación posibilita que un malware (concretamente un troyano, de nombre Revive), infecte el dispositivo del cliente.
• Este troyano tiene la particularidad que captura todo lo que se escribe en el dispositivo en cuestión (keylogger).
• El malware pide al cliente que acepte dos permisos relacionados con los SMS y las llamadas telefónicas.
• Aparece una página que suplanta a la del BBVA y pide al cliente que introduzca los credenciales de acceso. Con ello quedan en poder de los ciberciminales, que podían transferir dinero de la cuenta de las víctimas hacia las suyas.
El descubrimiento de este troyano se lo debemos a los investigadores de la empresa italiana Cleafy, dedicada a la prevención del fraude online. Lo explican detalladamente en este artículo publicado en su web.
También podéis leer el artículo que el INCIBE ha publicado para alertar a los usuarios sobre este troyano bancario AQUÍ.
Un remedio muy asequible
La moraleja es muy clara: a pesar del doble factor de autenticación, nunca podemos estar seguros de nada. Y ante la duda, antes de clicar, molestaros en preguntar.
Hay que actuar con sentido común y no fiarse de nada de lo que recibimos. Pero también hay que proteger los dispositivos y eso no es tan complicado. Con poner una VPN suele bastar.
¿Qué es una VPN o red privada virtual? Seguro que habéis oído hablar de ella. Esta red lo que hace es redirigir el tráfico de un dispositivo hacia un túnel seguro; oculta la dirección IP y encripta los datos. En consecuencia protege frente a los timos como el que describimos.
Con este post os queremos advertir: la verificación en dos pasos ya tiene un malware. Así que agudizad las precauciones cuando os llegue un mensaje de vuestra entidad bancaria.
Imagen principal: mohamed Hassan en Pixabay
- Publicado en Ataques / Incidencias, General, Noticias, Privacidad, Protección de datos, Seguridad