Quién te caza y para qué
Lección 2 de 16 del curso «Ciberseguridad desde cero». Gratis, con animaciones y un test.
No te atacan en persona, sino al por mayor
A una persona normal casi nunca la eligen a propósito. Funciona como una red: bases de contraseñas robadas de sitios hackeados hace tiempo, bots que prueban esos pares correo+contraseña en cientos de servicios, millones de SMS de phishing y virus escondidos en juegos y programas pirateados. Cae quien tiene un agujero.
Tres puertas
Casi cualquier hackeo a una persona normal entra por una de tres puertas. La cuenta: adivinaron la contraseña, la sacaron de una filtración o interceptaron el código SMS. El dispositivo: tiene un virus, lo robaron o no tiene bloqueo. Y tú: te convencieron de dar un código, instalar un programa o firmar una transferencia. En Binance, según la primera versión, fue la segunda puerta: un portátil infectado. El curso cierra las tres por turnos.
Qué quieren de ti
El dinero es lo obvio: banco, tarjeta, cripto. Pero tu Instagram o Telegram también vale dinero: en tu nombre escriben a tus amigos “urgente, pásame algo hasta mañana”, y te creen. Las fotos del documento y los selfis sirven para pedir préstamos y para chantajear. Y tu portátil puede usarse en silencio para enviar spam y atacar a otros. Así que “no tengo nada que robar” no vale: todos tienen algo.
Tres llaves para todo
Hay tres cosas que abren todo lo demás. El correo: con él se restablecen contraseñas casi en todas partes. Tu número: recibe los códigos y las llamadas “del banco”. Tu dispositivo principal: guarda sesiones, contraseñas y monederos. Si cae uno de los tres, prácticamente caes entero. Por eso protegemos en este orden: primero estos tres, luego el resto.
Tres mitos con los que pillan a la gente
“No tengo nada que robar”: ya lo vimos, tus cuentas y datos valen dinero. “Tengo iPhone, no hay virus”: el phishing no necesita virus, tú mismo escribes la contraseña en una página falsa. “Detectaría un engaño al momento”: las buenas estafas parecen un mensaje normal del banco y meten prisa para que no pienses. El exceso de confianza también es un agujero.
Los agujeros de Dan, por orden
Miremos a Dan como lo haría un atacante. Agujero uno: correo sin 2FA; tómalo y puedes restablecer la contraseña del exchange. Dos: una contraseña en nueve sitios; si se filtra de uno, se abren todos. Tres: el exchange solo con SMS. Cuatro: software pirata en el portátil donde tiene abierto el exchange. Los arreglaremos justo en este orden. En el entrenador, reparte las amenazas de Dan entre las tres puertas.
Ponte a prueba
- Dan piensa: “No le intereso a nadie, no me van a hackear”. ¿Qué falla?
Respuesta correcta: Los ataques son al por mayor: bots y envíos masivos buscan cualquier agujero, no a Dan. A los bots les da igual quién eres: prueban contraseñas filtradas y envían phishing por millones. Cae cualquiera con un agujero. - ¿Cuál de las tres “llaves maestras” debería proteger Dan primero?
Respuesta correcta: El correo: con él se restablecen la contraseña del exchange y todo lo demás. El correo es la llave de las llaves. Quien lo controla pulsa “¿olvidaste la contraseña?” en el exchange y recibe el enlace. - Un amigo de Dan escribe en Telegram: “Urgente, pásame 50 $, mañana te los devuelvo”, aunque nunca escribe así. ¿Qué puerta usaron probablemente?
Respuesta correcta: Hackearon la cuenta del amigo y escriben en su nombre. Un clásico de cuenta robada: urgencia, petición de dinero, tono raro. Compruébalo llamándole a un número que ya conoces.
← Cómo un portátil costó 6300 millones Contraseñas que nadie adivina →