InfoSecMan Blog

Siempre comentamos en este foro que los ataques y las amenazas que más nos deben preocupar son aquellas que son dirigidas y con intención. Esto es una realidad puesto que al existir intención se emplean más recursos en la utilización de una técnica más elaborada en el tipo de ataque.

El phishing es un tipo de ataque que últimamente estamos viendo en las noticias y que muy probablemente muchos de nosotros recibimos periódicamente a través de mensajes falsos provenientes de nuestros bancos, servicios on-line como PayPal, etc.

Normalmente este tipo de ataques no tienen una gran complejidad y en la mayoría de los casos pueden ser catalogados incluso como “burdos” (traducciones a nuestro idioma espantosas, datos falsos que llaman mucho la atención, etc.), aunque a veces sí que se pueden ever ejemplos de ataques con cierto grado de elaboración.

Me he encontrado un documento muy interesante elaborado por un grupo de trabajo de la facultad de información de la Universidad de Indiana allá en el 2005 en el que describen un experimento muy interesante. Elaboraron un ataque de phishing dirigido hacia sus propios alumnos, y para su desarrollo utilizaron técnicas de ingeniería social con la información pública que de ellos conseguían en Internet y más concretamente en redes sociales como MySpace, LinkEdin, etc. lo que hizo que los mensajes “falseados” fuesen bastante más “creíbles” (con origen de una persona conocida, sobre temas en común, etc.).

Los resultados son muy interesantes y el análisis que realizan del experimento es muy entretenido: desde cómo lo llevaron a cabo técnicamente, hasta los procentajes de ataques exitosos conseguidos (muy altos), su distribución por año en el que estaban estudiando (los “novatos picaban más”), o incluso por estudios (los estudiantes de IT son lo que menos “picaron”, aún así con más de un 30%). Incluyen también el carácter de los comentarios aparecidos en los foros de la universidad relativos al ataque/experimento, etc.

Un texto muy entretenido, cortito (10 páginas), que aunque data de Diciembre de 2005, permanece totalmente actual….

Podéis descargar el artículo completo aquí.