Mercado negro en internet
En internet existe un mercado negro, un lugar
oscuro donde se
comercia con diferentes productos y servicios de dudosa legalidad. En
este mercado se compran y venden armas, drogas, falsificaciones, objetos
robados, etc.
Eso es muy interesante, pero... ¿qué tiene esto que ver con mi contraseña?
En el mercado negro de internet también se comercia con productos que
atentan contra la seguridad informática: se ofrecen kits de malware
para crear tu propia
botnet,
se alquilan redes de ordenadores infectados, y se venden paquetes de
contraseñas de diferentes servicios (correo electrónico, tarjetas de
crédito, etc.) de miles de usuarios.
Pero, de nuevo, ¿quién pagaría por un conjunto de contraseñas?
Claramente, alguien que espere conseguir algún tipo de beneficio de esa compra, que generalmente será económico.
¿Cómo se puede conseguir un beneficio económico a partir de la compra de contraseñas?
El comprador de una lista de credenciales bancarias o claves de
tarjetas de crédito en el mercado negro pretende, lógicamente, obtener
un beneficio económico.
Resultaría muy sencillo utilizar estas contraseñas para hacer compras
u ordenar transferencias a sus propias cuentas, pero en este caso el
rastro que dejan estas operaciones (la dirección de entrega de la
mercancía o la titularidad de la cuenta de destino, por ejemplo) es tan
evidente que las Fuerzas y Fuerpos de Seguridad del Estado (
FCSE) no tendrían problemas en descubrir al ciberdelincuente.
No olvidemos que estos tipos operan en el mercado negro. La forma en
la que hacen efectivo el beneficio económico suele ser bastante
sofisticada, con el objetivo de convertir el dinero defraudado en dinero
en efectivo eliminando el rastreo. Una de las técnicas más
frecuentemente utilizada para ello es el uso de
muleros.
Un mulero es una persona que accede a recibir en su cuenta bancaria
cantidades de dinero y lo transfiere a través de empresas no-bancarias
(moneygram, etc.), servicios que no permiten el rastreo. El dinero que
recibe en su cuenta procede, obviamente, de las operaciones realizadas
con las credenciales bancarias "robadas". De esta manera, en caso de que
la policía realice un rastreo de la operación, las pesquisas le van a
llevar al
mulero, que al mismo tiempo se ha convertido en víctima y delincuente.
Otras técnicas utilizadas para robar el dinero de las cuentas
bancarias sin que se pueda seguir el rastro es la compra de bitcoins
(una moneda virtual utilizada en internet y que dificulta el rastreo de
sus poseedores) y el uso de sistemas de juego online, póquer y
similares. En este caso, el delincuente abre dos (o más) cuentas y juega
contra sí mismo, haciendo que pierda el supuesto jugador al que ha
asociado la cuenta bancaria robada y que gane un jugador con otra cuenta
bancaria, desde donde podrá
obtener el dinero robado sin problemas.
¿Pero qué ocurre cuando las contraseñas que se roban no son las de una cuenta bancaria?
No utilizar la banca electrónica ni tener asociada ninguna cuenta bancaria a nuestros servicios online
no es motivo por el que nuestras contraseñas no puedan tener ningún valor.
Teniendo por ejemplo acceso a nuestro correo y a nuestra información se
puede acceder a otras potenciales víctimas: nuestros amigos y
contactos. Por ejemplo, podrían mandarles correos electrónicos en
nuestro nombre con un
troyano (tipo de virus)
adjunto para que infecten sus equipos y de esta manera
acaban siendo ellos las nuevas víctimas. Estos troyanos podrían, a su
vez, conseguir nuevas contraseñas, sean bancarias en este caso o no.
En general, todas las claves de acceso son de interés para los delincuentes porque tienen diferentes utilidades, por ejemplo:
-
Correo: Permiten utilizar la cuenta comprometida para el envío de correo no deseado y spam,
para robar las listas de contactos, para obtener información del correo
electrónico enviado/recibido y para enviar correos con malware a los
contactos.
-
Bancarias: Permiten acceder a la cuenta bancaria y robar dinero, siempre que se obtengan todas las credenciales necesarias.
-
Redes Sociales: Permiten al atacante conocer cómo es
la vida de la víctima, su casa, sus amigos, si es una persona muy
tecnológica o no (y por tanto qué dispositivos se pueden
atacar/infectar) y saber cómo y dónde atacar sus cuentas. Cualquier
información sobre una persona facilita que se le pueda enviar un correo
en el que se le trate de engañar para que descargue un troyano que
infecte su equipo o para que nos facilite sus datos y contraseñas.
Además, siempre es posible que la víctima haya publicado (como hacen
algunos incautos) una foto de tu tarjeta de crédito/debito, abriendo las
puertas a ataques.
-
Cualquier otra: algunos usuarios cometen la imprudencia de utilizar la misma contraseña para diferentes servicios.
Por ello, los atacantes que consiguen una contraseña de un usuario
suelen tratar de utilizarla en otros servicios, ya que en muchas
ocasiones logran su objetivo gracias a la imprudencia del usuario.
En resumen, el ciberdelincuente trata de localizar contraseñas que
faciliten el robo o la infección con malware. En última instancia, el
fin es siempre económico, ya que las infecciones por malware suelen
derivar (o al menos intentarlo) en beneficios monetarios.
¿Y qué se puede hacer para evitar todo esto?
Lamentablemente las FCSE de los diferentes estados no pueden llegar a
cerrar todos estos mercados negros ni a detener a sus integrantes al
ser capaces de esconderse y ocultar su localización (igual que ocurre en
el mundo fuera de internet). Pero los usuarios siempre podemos tratar
de evitar caer en este tipo de redes, especialmente siguiendo los
consejos que damos desde la OSI:
-
Usar siempre contraseñas robustas y cambiarlas periódicamente
-
Tener instalado un software antivirus actualizado
-
Tener siempre el software de nuestro equipo actualizado
-
Estar un poco al tanto de los avisos de seguridad que ofrece INTECO
-
No visitar páginas web de reputación dudosa
-
No instalarse software de origen dudoso
