Cinco métodos de los ciberdelincuentes para robar contraseñas

El phishing es la forma de ingeniería social más conocida. Mediante este tipo de ataques los cibercriminales fingen ser amigos, familiares, organizaciones públicas y empresas conocidas por el usuario. El correo electrónico o mensaje de texto que recibe la víctima se ve como auténtico, pero incluye un enlace malicioso o un archivo adjunto. En caso de hacer clic en él, descargará un malware o llevará al usuario a una página que solicitará los datos personales.    

Otra forma popular de obtener contraseñas es a través de un malware o software malicioso. Los correos electrónicos de phishing son el vector principal para este tipo de ataque, aunque también se puede ser víctima al hacer clic en un anuncio malicio (publicidad maliciosa) o incluso al visitar un sitio web previamente comprometido. Además, el malware se oculta en una aplicación móvil de apariencia legítima, que a menudo se encuentra en tiendas de aplicaciones de terceros. ESET explica que existen múltiples variedades de malware que roban información, pero algunos de los más comunes están diseñados para registrar las pulsaciones de teclas o tomar capturas de pantalla del dispositivo y enviarlas a los atacantes. 

La mayoría de las personas utiliza contraseñas fáciles de recordar y comete el error de utilizar las mismas contraseñas para acceder a múltiples sitios y servicios. Pero estas contraseñas débiles pueden abrir la puerta a las denominadas técnicas de fuerza bruta. Uno de los tipos de fuerza bruta más comunes es el credential stuffing. Los atacantes vuelcan grandes volúmenes de combinaciones de nombres de usuarios y contraseñas, previamente comprometidas en un software automatizado. Luego, la herramienta prueba las credenciales en un gran número de sitios para encontrar una coincidencia. De esta manera, los cibercriminales desbloquean varias de las cuentas con una sola contraseña.  

Aunque los cibercriminales cuentan con herramientas automatizadas para realizar los ataques de fuerza bruta y descubrir contraseñas, a veces ni siquiera las necesitan. La contraseña más común de 2021 fue "123456", seguida de "123456789", por tal motivo la deducción y "la suerte" juegan a favor de los delincuentes.  

Las opciones anteriores para comprometer contraseñas han sido virtuales. Pero algunas técnicas presenciales representan un riesgo. Jake Moore, especialista de ESET, realizó un experimento y demostró lo fácil que es comprometer una cuenta de Snapchat mirando por encima del hombro de alguien. Una versión más tecnológica, conocida como man in the middle (hombre en el medio) involucra escuchas de Wifi. Es decir, que los criminales pueden espiar las contraseñas mientras se ingresa a una red pública.