Un carrito de supermercado se bloquea y desbloquea mediante una sencilla clave que viaja por radiofrecuencia. Esta frecuencia es oíble por las tarjetas de sonido de los ordenadores, que pueden grabarla, convertirla en un tono para móviles en MP3 y ponerla a disposición de todos en Internet. Éste es uno de los inquietantes experimentos que hackers y expertos en seguridad mostraron en la segunda conferencia SOURCE, celebrada el pasado mes en Barcelona.
Philippe Langlois, fundador del primer ISP de Francia, explicó que la prueba del carrito de supermercado puede extrapolarse a cualquier sistema de seguridad con radiofrecuencia, incluidos los sensores para abrir coches y garajes.
Lo aterrador del experimento no es sólo que se pueda romper fácilmente la protección, sino que lo democratiza: con el código descubierto, Langlois creó dos canciones, lock.mp3 y unlock.mp3, para bloquear y desbloquear los carritos. Las canciones se compartieron por Internet como tonos para móviles, de forma que cualquiera podía des
El hacker británico Adam Laurie demostró cómo manipular de forma indetectable la foto y otros datos, incluida la clave criptográfica, de los pasaportes electrónicos.
Brian Honan, editor europeo del boletín NewsBites del SANS Institute explicó a la audiencia que una periodista irlandesa le retó a robar su identidad, a partir sólo de los datos públicos que de ella hubiese en Internet. Uniendo los retazos que encontró en Google, LinkedIn, Flickr, Facebook y Twitter, Honan descubrió los nombres de sus padres, su fecha de nacimiento e incluso su dirección física.
“Con estos datos, en Irlanda podría haber abierto una cuenta bancaria en su nombre, hacerme un pasaporte nuevo o un carné de conducir. Incluso tenía fotos de carné, sacadas de Flickr”, explicó Honan, quien aseguró que el viejo chiste de que en Internet nadie sabe que eres un perro hoy es al contrario: “Nuestra identidad está repartida en miles de sitios que no controlamos”.
“Donde se dan más fugas de información privada”, según Honan, “es en las redes sociales, los robos de bases de datos de servicios de los que somos clientes y la información que nuestros amigos puedan dar de nosotros en Internet”. No sería la primera vez que los criminales empleen estos datos para robar la identidad de personas y chantajearlas.
Otro punto caliente del encuentro SOURCE fue la inseguridad de la banca en Red. Michael Baentsch, de IBM, destacó que algunos juzgados norteamericanos están considerando responsables a los bancos por no hacer todo lo posible para proteger a sus clientes. Una tercera parte de sus ordenadores no están actualizados y sus antivirus detectan como mucho el 4% de los virus.
La lección que han aprendido los expertos es que “para hacer una transacción en red no se puede confiar en lo que se ve o se teclea en el ordenador”, según afirmó Baentsch.
Asimismo, los sistemas de autentificación doble para realizar operaciones bancarias en línea, como las tarjetas de coordenadas o las contraseñas distintas cada vez, “no protegen nada”.
El principal responsable de esta situación es el código malicioso, que sigue su imparable explosión. Según Ero Carrera, de VirusTotal, se recolecta un millón mensual de nuevos virus.
En opinión de Carrera, el código malicioso tradicional se está pareciendo cada vez más a los AAP, los ataques persistentes, usando canales de comunicación que no levanten sospechas, para estar dentro del sistema infectado sin que nadie se dé cuenta.
Sólo basta cargarlas, acercar su móvil a la antena del carrito, hacer sonar la música adecuada y conseguir la acción deseada.
Aguas con lo que suban al Facebook y con sus transacciones bancarias vía web…
Publicado en EL PAÍS