Recientemente, el grupo ‘Our mine’ (no la empresa, como la citan algunos medios) ha vulnerado la seguridad de las cuentas oficiales de los equipos de fútbol Real Madrid y FC Barcelona.
Para ponernos en antecedentes, el pasado 23 de Septiembre podía leerse en la cuenta del FC Barcelona un tweet anunciando el fichaje de Di María. Posteriormente el grupo ‘Our Mine’, mediante otro tweet, reclamaba la autoría del hackeo y más tarde, en un tercer tweet, hacía un llamamiento a crear el hashtag #FCBHack. En el caso del Real Madrid fue bastante similar: además de su tweet promocional haciendo un llamamiento a su cartera de servicios, el grupo publicó un tweet anunciando el fichaje de Leo Messi.
Cuando leemos en los medios tradicionales sobre tipo de hackeos, están acompañados de titulares como “Hackeada la cuenta del Real Madrid para anunciar el fichaje de Messi” o “‘Hackean’ las redes del Barça y anuncian la llegada de Di María”. El usuario medio que lee este tipo de noticias tiende a pensar que un grupo de hackers habrá llevado a cabo algún ataque o bien contra la empresa Twitter o directamente contra el Real Madrid. El objetivo de este post es aclarar cómo se suelen producir la mayoría de estas intrusiones de seguridad.
No se conoce de manera oficial cuál fue el vector de entrada de los atacantes en estos dos casos, pero según nuestra experiencia y conociendo algunos casos de primera mano, podemos decir que la gran mayoría se produce en alguno de estos dos escenarios:
Ingeniería social
Es común en este tipo de ataques hacerse con el control de la cuenta mediante ataques de ingeniería social que tengan como objetivo al equipo de social media. En estos casos, los atacantes se suelen hacer con el control total de la cuenta. Como en estos casos solo ha habido publicación de tweets nos hace pensar que no haya sido la técnica utilizada.
Relación de password robadas
Esto ocurre cuando algún servicio web es vulnerado y los atacantes tienen acceso a una base de datos que relaciona email y password. Este listado es comprobado contra Twitter, dando como resultado una horda de usuarios que estarán bajo el control de un atacante y las usará para seguir a la gente que pague por comprar seguidores, publicar tweet promocionales, etc..
Acceso a alguna de aplicaciones conectadas
Hoy en día cualquier usuario de redes sociales cuenta con multitud de aplicaciones con determinados permisos sobre su cuenta, y más aún en este tipo de cuentas que son gestionadas por equipos que se encargan de la promoción de las mismas. Esta política facilita enormemente el control de la seguridad, ya que mediante la interfaz somos capaces de tener una visión de todos los permisos que hemos otorgado. Pero por otro lado, si algunas de estas aplicaciones tuviese un problema de seguridad podría afectarnos.
Según alguno de los casos que hemos gestionado desde Hispasec, aplicaciones de terceros que han sido vulneradas han servido como puerta de entrada para atacantes que han utilizado los permisos de publicación para hacer eco de sus esloganes, troleos, o promoción (como en este caso) por lo que nos hace pensar que esta hipótesis sea la que tenga más fuerza.
Para poder evitar estos desagradables escenarios, recomendamos un control sobre el listado de aplicaciones, reduciendo el listado a las imprescindibles y no dando más permisos que los estrictamente necesarios. Manteneos alerta y rehuir de las aplicaciones extrañas sobre todo cuando soliciten más permisos de los que necesitan para llevar a cabo su función.
Fernando Ramírez
framirez@hispasec.com
Deja un comentario