Facebook hackeado
La autenticación de dos factores, el paso de seguridad adicional que requiere que las personas introduzcan un código enviado a su teléfono o correo electrónico, ha funcionado tradicionalmente para mantener los nombres de usuario y las contraseñas a salvo de los ataques de phishing.
Sin embargo, los expertos en seguridad han demostrado un ataque de phishing automatizado que puede romper esa capa de seguridad añadida -también llamada 2FA-, engañando potencialmente a los usuarios desprevenidos para que compartan sus credenciales privadas.
El ataque se demostró por primera vez en la Conferencia de Seguridad Hack in the Box celebrada en Ámsterdam el mes pasado. El 2 de junio se colgó en YouTube un vídeo de la presentación, lo que ha vuelto a llamar la atención sobre la forma en que los hackers están mejorando en la penetración de capas adicionales de seguridad, a pesar de que la gente utiliza herramientas más fuertes, como la 2FA.
El hackeo emplea dos herramientas, llamadas Muraena y NecroBrowser, que trabajan en conjunto para automatizar los ataques. Las dos herramientas trabajan juntas como el dúo perfecto del crimen. Piensa en Muraena como el astuto ladrón de bancos, y en NecroBrowser como el conductor de la huida.
Amit Sethi, consultor principal de Synopsys, que no estaba afiliado a la presentación, dice que, aunque ya se han demostrado ataques contra la 2FA en el pasado, estas herramientas «hacen que uno de estos ataques sea más fácil de ejecutar para los atacantes menos cualificados».
Cuenta de Facebook hackeada correo electrónico cambiado
Puede que hayan adivinado tu contraseña o que hayan creado un punto de acceso Wi-Fi Evil Twin en una cafetería y hayan robado tus credenciales mediante un ataque man-in-the-middle. Tal vez dejaste tu cuenta conectada en un laboratorio de computación en tu escuela o biblioteca, o los hackers podrían estar usando tu cuenta desde una tableta o teléfono robado.
También en la página de aplicaciones y sitios web hay pestañas adicionales en la parte superior donde puedes encontrar aplicaciones caducadas (aplicaciones que tuvieron acceso en un momento dado, pero cuyos permisos han caducado) y aplicaciones pasadas (que han sido eliminadas de tu cuenta).
La activación de esta función requiere una forma adicional de autenticación más allá de tu contraseña cuando alguien intente acceder a tu cuenta. La segunda forma de autenticación puede ser un código numérico enviado por mensaje de texto a tu teléfono o un código generado por una aplicación de autenticación independiente en tu teléfono, o una llave inteligente insertada en la unidad USB de tu ordenador.
Desconfía de confiar únicamente en las soluciones de mensajes de texto para la autenticación de dos factores. Además de la suplantación de la SIM (en la que alguien consigue que la compañía telefónica reasigne tu número a un dispositivo diferente), si pierdes el acceso a tu teléfono o cambias de número de teléfono, necesitarás ayuda para recuperar el acceso.
Hackeo de la autenticación de 2 factores de Facebook
Uno de los métodos 2FA más sencillos es utilizar una aplicación generadora de códigos como Authy. Estas aplicaciones proporcionan un conjunto aleatorio de códigos de seis dígitos que permiten el acceso a cientos, si no miles, de sitios web. Esta es una de las formas más sencillas de activar la 2FA, pero requiere que tengas acceso a tu teléfono o tableta.
¿Qué ocurre si pierdes tu teléfono y no puedes acceder a tu aplicación generadora de códigos? Lo mejor que puedes hacer es iniciar el proceso de 2FA, y cuando llegues a la pantalla que te pide el código de seis dígitos, haz clic en «¿Necesitas otra forma de autenticación?»
Cuando configures tu autenticación de dos factores, tienes la posibilidad de recibir un conjunto de códigos de recuperación. Estos códigos de recuperación pueden ser una forma inestimable de acceder a tu cuenta en caso de que no puedas utilizar el generador de códigos. Para configurar los códigos de recuperación:
2. Selecciona «Seguridad e inicio de sesión», luego localiza la sección «Autenticación de dos factores» y haz clic en «Usar autenticación de dos factores». Si ya tiene configurado el doble factor, tendrá que utilizar su generador de códigos si está configurando los códigos de recuperación por primera vez. Si no tienes configurado el 2FA, sólo tendrás que introducir tu contraseña.
Correo electrónico hackeado de Facebook
El sitio ofrece un proceso automatizado para intentar recuperar la cuenta, pero no sirve de nada si los atacantes ya han cambiado otros datos de la cuenta, como la dirección de correo electrónico asociada. El proceso automatizado no funcionó en el caso de Ángela, que se quedó sin acceso a sus propios recuerdos, fotos e interacciones sociales. Entonces, ¿qué hizo? Bueno, encontró una solución, pero no era muy práctica.
Configura ahora mismo el 2FA en tu cuenta, para que los hackers no secuestren tu perfil y utilicen tu propia seguridad en tu contra, como le ocurrió a Ángela. Las contraseñas no son suficientes para protegerte: pueden ser descubiertas en las filtraciones de datos o mediante ataques de fuerza bruta. La 2FA requiere dos pruebas que demuestren que eres tú. Una es tu contraseña, y la otra es un método de tu elección: el uso de códigos enviados a una aplicación de terceros, el uso de una llave de seguridad física o el uso de códigos enviados por mensaje de texto a tu teléfono móvil.
Bien. Ahora estás protegido. Esto hace que sea tremendamente más difícil para los atacantes hackear tu cuenta. Y lo mejor es que el 2FA sólo entra en juego cuando alguien intenta acceder a tu cuenta desde un dispositivo no reconocido. Sólo tendrás que lidiar con ello cuando, por ejemplo, te conectes usando el ordenador de mamá y papá durante las vacaciones.