Robo de cuentas hotmail

El robo de cuentas de correo electrónico no es algo nuevo, mucho menos si hablamos de servidores como Hotmail. A los foros de la comunidad, han llegado algunos mensajes donde expresan su preocupación, debido a que “alguien” ha robado su cuenta de correo electrónico, cambiándole la contraseña y por ende, haciéndola inaccesible para el verdadero dueño.

¿Pero, acaso es posible esto? Y si lo es, ¿Quién lo hace y como?

Como parte de una mera precaución para aquellas personas que no están muy al tanto en este tipo de asuntos, decidí elaborar este pequeñísimo articulo, donde explico solo una de las formas más comunes en que personas sin oficio ni beneficio (mejor conocido como lamers en el mundo informático) roban cuentas de correo electrónico, al usuario incauto y bien intencionado.

Antes que nada, explico rápidamente lo que es la Ingeniería Social, para después entrar al plato fuerte, que es donde muestro con imágenes como robe la cuenta de correo Hotmail de alguien (me la robe a mi mismo) de una manera fácil y sencilla.

¿Ingeniería Social?… No conocía esa carrera!
No, no se trata de ninguna carrera universitaria que se haya puesto de moda en estos últimos años, para nada, la Ingeniería Social, según la definición proporcionada por wikipedia es:

…la práctica de obtener información confidencial a través de la manipulación de usuarios legítimos. Un ingeniero social usará comúnmente el teléfono o Internet para engañar a la gente y llevarla a revelar información sensible, o bien a violar las políticas de seguridad típicas. Con este método, los ingenieros sociales aprovechan la tendencia natural de la gente a confiar en su palabra, antes que aprovechar agujeros de seguridad en los sistemas informáticos. Generalmente se está de acuerdo en que “los usuarios son el eslabón débil” en seguridad; éste es el principio por el que se rige la ingeniería social.

Y continúa poniendo un ejemplo muy ilustrativo y demasiado común:

Quizá el ataque más simple que aún es efectivo sea engañar a un usuario llevándolo a pensar que uno es un administrador del sistema y solicitando una contraseña para varios propósitos. Los usuarios de sistemas de Internet frecuentemente reciben mensajes que solicitan contraseñas o información de tarjeta de crédito, con el motivo de “crear una cuenta”, “reactivar una configuración”, u otra operación benigna; a este tipo de ataques se los llama phishing (pesca).

Como se puede entender perfectamente, una de las formas más comunes que intenta cualquier persona, antes de usar otros métodos, es mediante la aplicación de una pequeña dosis de Ingeniería Social, la cuál como ya se leyó, consiste en engañar a la gente mediante un buen discurso mareador para que esta acceda a darnos la información solicitada, incluso, en muchos casos, nos la proporcione sin que ellos mismos estén concientes de lo que están haciendo.

Así que ya sabes, si recibes un correo de supuestamente soporte técnico de Microsoft, con la firma de Bill Gates, etc., donde te solicitan tu contraseña de correo electrónico por “equis” motivo, no caigas en esta trampa de Ingeniería Social.

XPLOITS… ¿Qué son?

Llego la hora de ver como robar una cuenta de correo electrónico, pero antes de eso, dicen que una buena teoría siempre ayuda en mucho, sin embargo para no hacer esto más largo, solo me limitare a decir (según la sabia Wikipedia) que un XPLOIT es:

Exploit (del inglés to exploit, explotar, aprovechar) es el nombre con el que se identifica un programa informático malicioso, o parte del programa, que trata de forzar alguna deficiencia o vulnerabilidad de otro programa (llamadas bugs). El fin puede ser la destrucción o inhabilitación del sistema atacado, aunque normalmente se trata de violar las medidas de seguridad para poder acceder al mismo de forma no autorizada y emplearlo en beneficio propio o como origen de otros ataques a terceros.

Para asuntos de Hotmail y robo de cuentas de correo, un Xploit no es más que un pedazo de código html bien presentado, bajo la forma de alguna página importante y reconocida, que te pide ingreses tu correo y contraseña de correo electrónico, para que de esta forma, puedas acceder a cierto contenido que ellos te ofrecen.

Con el ejemplo que verán a continuación, todas las dudas sobre lo que es un xploit quedaran disipadas.

Finalmente, manos a la obra!!

Hace varios meses me tope con una página que ofrece varios programas de “espionaje” y “anti-espionaje”. Me llamo mucho la atención una sección llamada “Contraseñas”. No resistí las ganas y quise saciar mi curiosidad entrando a husmear un poco de lo mucho que había.

Entre y vi que se ofrecían como 5 diferentes xploits creados por el mismo Web master de la página.
Puse manos a la obra y quise probar la funcionalidad de todos esos programas de espionaje y anti-espionaje, y entre ellos algunos de esos xploits.
En este caso yo use un XPLOIT, que se hace pasar por una postal animada de la conocida, tierna, cariñosa y amiga página de postales gusanito.com
Ya que elegí el xploit a utilizar, me pidió el nombre de la victima así como su correo y además el nombre y correo del remitente (la persona quien lo envía). Una vez que llené estos campos se escoge la postal que se desea enviar y listo, oprimí el botón enviar.

Seguidamente apareció…

“mensaje enviado, ahora debes esperar a que la victima ingrese a su correo y revise la postal para buscar en la base de datos su contraseña”…
Sabiendo esto, me dispuse a ir a la bandeja de esa cuenta de correo que puse como victima. Una vez ahí, efectivamente, había un correo supuestamente de gusanito.com, decidí abrirlo y mi sorpresa fue una copia fiel e idéntica a la original que recibes cuando te enviar una postal verdadera de gusanito.com, pero para que vean que yo nunca miento, he aquí una prueba contundente:

Como se puede ver, es prácticamente igual a la interfaz verdadera de gusanito.com
Una vez que leí el contenido del correo, me dispuse a entrar a la dirección que ahí se me indicó y vean lo que me apareció:

Una página muy similar a la que nos aparece en Hotmail cuando deseamos ingresar a nuestro correo electrónico.
El usuario incauto, no tendrá la mínima sospecha de que algo no anda bien, pensara que es normal, que es necesario, parte de la rutina, y accederá a introducir su cuenta de usuario y contraseña.
Lo que no se sabe, es que al momento de presionar el botón de “iniciar sesión” estos datos, irán a dar a la Base de Datos de dicha página donde ofrecen este tipo de cosas.
Por si esto fuera poco, para evitar sospechas, al momento de “iniciar sesión” te mostrara una postal real (algo fea) de gusanito y listo!! Todos felices y contentos, tu porque recibiste una postal de alguien que ni conoces, y ese alguien por que te ha engañado a la perfección y ha conseguido robar tu cuenta de correo electrónico.
Finalmente, para comprobar si estos datos habían sido guardados correctamente, me dirigí nuevamente a esta página x, ingrese a la base de datos de cuentas de correo y vean lo que encontré: