¿Qué harías si recibes un correo con tu contraseña en el asunto?
Analizamos dos casos recientes de intentos de «sextorsión» en el que las víctimas reciben un correo con su contraseña en el asunto. A continuación, te contamos de qué se trata.
¿Qué harías si te llega a tu casilla de mail un correo de un remitente desconocido con una de tus contraseñas en el asunto? Sí, leíste bien. Dialogamos con varias víctimas a las que le llegó un correo con su contraseña en el asunto. A continuación, te contamos de qué se trata.
La mayoría de los destinatarios, asustados, abrieron el correo y se encontraron con un mensaje en inglés que traducido decía lo siguiente:
“Vayamos directo al grano. Sé que tu contraseña es ********. Más importante aún, sé tu secreto y tengo pruebas de ello. No me conoces personalmente y nadie me contrató para que te investigue.
Para tu mala fortuna encontré tu desventura. De hecho, instalé un malware en páginas de videos para adultos (material pornográfico) y resulta que visitaste este sitio web para divertirte (ya sabes a qué me refiero). Mientras mirabas los videos, tu navegador de Internet comenzó a funcionar como un RDP (escritorio de control remoto) con un registrador de teclas que me dio acceso a su pantalla y también a tu cámara web. Inmediatamente después, mi programa recopiló todos los contactos de tu Facebook y correo electrónico.
Después de eso, me dediqué a investigar tu vida mucho más tiempo del que debería y creé un video de doble pantalla. La primera parte mostraba el video que estabas mirando y la segunda parte me mostraba lo que registraba tu cámara web (estabas haciendo cosas inapropiadas).
Francamente, estoy listo para olvidarme de todo lo que se sobre ti y permitirte que continúes con tu vida. Y te ofrezco dos opciones para hacer que esto sea así.
La primera opción es ignorar este correo. Si eliges esta opción enviaré la grabación del video que registré desde tu webcam a tus contactos; incluidos los miembros de su familia, colegas, etc. Esta opción no te protegerá de la humillación que sentirán en tu hogar cuando descubran tus videos.
La segunda opción es pagarme $2900. Le llamaremos mi “consejo de privacidad”. Déjame decirte qué pasará si eliges este camino: tu secreto seguirá siendo tu secreto. Borraré el video inmediatamente y mantendrás tu vida como si nunca hubiera pasado nada.
Ahora debes estar pensando: “voy a llamar la policía”. Sin lugar a dudas, he tomado medidas para que este correo no pueda ser rastreado y esto tampoco evitará que la evidencia se destruya. No estoy tratando de ingresar a tu cuenta bancaria. Solo quiero que me paguen por el tiempo que pasé investigando. Esperemos que haya decidido hacer desaparecer todo esto y pagarme por mi confidencialidad. Realizarás el pago a través de Bitcoin (si no sabes cómo hacerlo, busca “cómo comprar bitcoins” en algún motor de búsqueda)”.
Los investigadores observaron que tras contactar con varias víctimas de estas campañas maliciosas, todas manifestaron una enorme preocupación y angustia al sentir que su privacidad había sido violada. Algunas manifestaron que si bien la contraseña que se incluía en el asunto del correo era antigua, a partir de lo que sucedió quisieran salir del mundo digital. Esas y muchas otras reflexiones surgieron de varias víctimas mujeres que se animaron a compartir sus experiencias.
Hay dos preguntas que realmente creo que merecen ser analizadas y están ligadas a cómo obtuvieron la contraseña y por qué las atacaron a ellas.
Veamos la primera, al analizar la dirección de correo de la víctima utilizado en la campaña verifiqué que se filtró en algunas brechas de información que sufrieran algunos servicios a los cuales estaba suscripta ─Si tienes dudas de si tu casilla de correo también fue comprometida puedes corroborarlo aquí.
De este modo verifiqué que la casilla fue expuesta en al menos cinco fugas de información.
¿A que nos referimos? Este correo fue utilizado en servicios como Adobe, Bitly, LinkedIn, Myspace y Tumblr, los cuales fueron comprometidos y criminales terminaron robando información valiosa, como usuarios y contraseñas, que luego fueron publicadas en distintos sitios de Internet.
Conclusión
La realidad es que se trata de una campaña de ingeniería social. Es decir que no existía ningún video, ningún malware y lo único que había por parte del atacante era una contraseña que había obtenido de alguna de las múltiples fugas de información que dejan a millones de usuarios a nivel mundial expuestos diversos tipos de ataques. Pero, ¿son los usuarios conscientes acerca de estas problemáticas?, ¿cuantas veces has cambiado tu contraseña en los diversos sitios que utilizas’, ¿lo haces de modo periódico? Quizá estos casos reales muy presentes en Latinoamérica te hagan reflexionar.
Por supuesto, si recibes un mensaje de estos, aconsejamos no responder y entender que es parte de un engaño. No se trata de ponerse paranoico. Simplemente comienza a cambiar tus contraseñas de forma periódica, utiliza soluciones de seguridad confiables, actualiza el sistema operativo de los dispositivos que utilices y activa el segundo factor de autentificación. Implementando estas acciones podrás disfrutar de la tecnología de forma segura.
Fuente: www.welivesecurity.com
