Saltear al contenido principal
1-800-987-654 admin@totalwptheme.com
La Delegación De Seguridad Absolutista Conlleva Sus Riesgos

La delegación de seguridad absolutista conlleva sus riesgos

Esta semana algunos usuarios de Gmail recibían una serie de emails, provenientes de distintas campañas de phishing, que claramente deberían haber sido considerados SPAM, en su bandeja de entrada.

Google asegura ser capaz de bloquear el 99% de emails fraudulentos que pululan por la red en base a una serie de filtros de seguridad considerados de los más avanzados de la industria.

Esto, que no debería ser más que la anécdota del día, cobra relevancia en el momento en el que somos conscientes de que el remitente, como se puede ver en la imagen, es el propio usuario.

¿Que cómo es esto posible? Mediante la modificación de las cabeceras header de un email. Algo que está en la mano de cualquier persona con conocimientos mínimos en HTML. Se fija mediante HTML que el remitente sea el mismo que el destinatario, y de esta manera, aunque en la práctica el envío se haga desde otro lugar, un servidor de correo no correctamente filtrado podría caer en el engaño.

Un recurso muy pero que muy básico. Tanto como para que incluso cuando la víctima revisaba la bandeja de enviados, aparecían dichos correos allí, lo que llevó a que muchos consideraran que su cuenta había sido comprometida.

Sin embargo, Google salió a las pocas horas asegurando que en ninguno de los casos mencionados estábamos ante un hackeo de cuentas. Si no que las campañas habían conseguido bypasear los filtros de seguridad de Gmail, haciendo presumiblemente de éstas unas de las más rentables del año.

Google ya es consciente del problema y lo ha parcheado (EN). Pero la noticia me ha parecido lo suficientemente interesante como para aprovecharla a la hora de señalar la importancia de no delegar absolutamente la seguridad en la tecnología.

Entiendo que la seguridad no debería ser una preocupación del usuario. Que, dentro de lo posible, debería ser la propia tecnología la encargada de minimizar el riesgo. Pero en última instancia la seguridad depende de las personas, que son a fin de cuentas los objetivos finales de la amplia mayoría de ataques, y que además tienden a ser el eslabón más débil de la cadena de suministro.

Y en este caso no es diferente. Está claro que ninguno de nosotros habríamos enviado esos emails, por lo que antes de abrirlos, y por supuesto, antes de clickar en los enlaces y adjuntos que llevan, deberíamos presuponer que en efecto se ha sufrido algún tipo de ataque a nuestra cuenta, cambiando las contraseñas, activando un doble factor de autenticación, y revisando la configuración de seguridad en aplicaciones de terceros.

Porque si algo ha hecho de estas campañas unas de las más exitosas del año ha sido precisamente la confianza ciega en el papel de Google como garante de la seguridad de lo que nos entra en la bandeja de entrada.

La compañía hace todo lo que puede, pero no hay que olvidar que incluso aunque sus algoritmos de heurística sean de los más avanzados, por la propia ideosincrasia del sector, la defensa siempre va a ir uno o dos pasos por detrás de los atacantes (primero es necesario analizar los ataques para crear una defensa efectiva).

Y que por tanto es el usuario quien debe ser capaz de identificar qué está bien y qué tiene pinta de estar podrido.

Pablo F. Iglesias

Consultor de Presencia Digital y Reputación Online, aportando masa gris como Ejecutivo de Tecnología y Seguridad en SocialBrains, que no es poco :).

Uso de cookies

Este sitio web utiliza cookies para que usted tenga la mejor experiencia de usuario. Si continúa navegando está dando su consentimiento para la aceptación de las mencionadas cookies y la aceptación de nuestra política de cookies

ACEPTAR
Volver arriba