En enero, los investigadores de ciberseguridad de HackerOne advirtieron sobre una vulnerabilidad en Twitter que podría permitir que un atacante adquiriera el número de teléfono y/o la dirección de correo electrónico asociados con las cuentas de los usuarios, incluso si el usuario hubiera ocultado esos campos en la configuración de privacidad de la plataforma.
Este mes se informó que la base de datos ahora se vende en Breach Forums, un popular foro de piratería en la infame Dark Web. Según HackerOne, la base de datos supuestamente constaba de 5,4 millones de usuarios e incluía información de celebridades, políticos y empresas. Según los informes, el propietario de Breach Forums verificó la autenticidad de los datos filtrados.
"Esta es solo una confirmación más de que la privacidad es una ilusión en su mayor parte", advirtió Timothy Morris, estratega de tecnología de la firma de seguridad cibernética Tanium, a través de un correo electrónico.
“Es preocupante, especialmente para quienes se encuentran en situaciones delicadas, como víctimas de delitos, activistas políticos/disidentes y quienes están bajo el yugo de regímenes opresores. Si bien en este caso, el descubrimiento se divulgó y abordó de manera responsable, esta clase de información es un producto codiciado que puede usarse para comprometer otros sistemas o causar estragos en la vida personal de alguien”, completa Morris.
Y para el experto, esto sólo está comenzando. “Es probable que haya otras vulnerabilidades aún por exponer que generarán un acceso similar, por lo que es razonable esperar que esta tendencia continúe”, subraya.
Mira también
Facebook también fue objeto de un ataque
No es solo Twitter el que está en las noticias esta semana por un problema relacionado con la ciberseguridad. Los investigadores también anunciaron que una nueva operación de malware denominada "Ducktail" ha estado dirigida a personas y empleados que tienen acceso a una cuenta comercial de Facebook.
Este malware en particular es bastante insidioso ya que roba las cookies del navegador y aprovecha las sesiones autenticadas de Facebook para robar información de la cuenta de la víctima. En última instancia, puede secuestrar cualquier cuenta comercial de Facebook.
"A medida que las empresas se vuelvan más conscientes y resistentes a los ataques de ransomware tradicionales, los ciberdelincuentes buscarán nuevas formas de convertir los ciberataques exitosos en ganancias financieras mal habidas", dijo Chris Clements, vicepresidente de arquitectura de soluciones de la firma de seguridad cibernética Cerberus Sentinel.
"Históricamente, hemos visto ataques similares en cuentas de redes sociales, como el hackeo de Twitter en julio de 2020 que incluyó a Elon Musk entre más de 100 otras celebridades. Pero el enfoque dirigido de apuntar a Facebook cuentas comerciales es un ángulo nuevo e interesante", continuó Clements. "En contraste con el secuestro de redes sociales anterior que se hace evidente muy rápidamente al publicar enlaces a estafas o malware, esta campaña es más sigilosa y busca modificar los gastos publicitarios o introducir fraudes publicitarios".
Los expertos sugieren que las empresas que buscan protegerse deben adoptar una verdadera cultura de seguridad que considere todas las amenazas potenciales como parte de su estrategia general de gestión de riesgos de ciberseguridad, incluidas las cuentas de redes sociales.
"A menudo, las cuentas de redes sociales son administradas por equipos de relaciones públicas o marketing sin aportes ni supervisión de los equipos de seguridad cibernética para garantizar que las mejores prácticas para esas cuentas incluyan contraseñas seguras, autenticación multifactor y capacidades de monitoreo en tiempo real para detectar posibles compromisos", explicó Clements. "Aún así, es importante que las empresas entiendan que el riesgo de esta última amenaza va más allá de las cuentas de redes sociales como Facebook. El malware Ducktail roba más información de sus víctimas que solo el acceso a Facebook que podría usarse para lanzar más ataques dirigidos tanto a la persona y empresa".
Ingeniería social
Al usar las redes sociales, es posible que muchos usuarios no estén pensando en las implicaciones de ingeniería social que pueden surgir con el intercambio excesivo de información personal. Sin embargo, lo que la gente comparte en las publicaciones puede pintar una imagen muy vívida de una persona, que luego puede ser explotada por piratas informáticos.
"Esta historia es solo un ejemplo más del éxito de la ingeniería social utilizada por los piratas informáticos. La ingeniería social es la causa número uno de la mayoría de las violaciones de datos maliciosas", dijo Roger Grimes, evangelista de defensa basada en datos de la firma de seguridad cibernética KnowBe4.
"Nada más está ni siquiera cerca, en términos porcentuales", advirtió Grimes. "
Los expertos en seguridad advierten que incluso en el contexto de las "redes sociales", los usuarios no deben bajar la guardia. De hecho, acá es donde los usuarios deberían adoptar una postura más segura.
"Para evitar ser victimizado, es mejor operar bajo la mentalidad de que las huellas digitales existen en todas partes y nunca se pueden erradicar por completo y, por lo tanto, el anonimato en el ámbito digital es una falacia", dijo Morris. "Para los desarrolladores, esta vulnerabilidad también muestra que todavía existe la necesidad de una validación de entrada adecuada y garantizar que cualquier solicitud esté autorizada o autenticada. La raíz de esta vulnerabilidad específica es el control de acceso inadecuado".
Estos ataques también muestran que todos deberían emplear mejores herramientas de autenticación.
"Como individuos, somos conscientes de las amenazas personales que plantean los ciberataques dirigidos contra nosotros", sugirió Erfan Shadabi, experto en ciberseguridad de los especialistas en seguridad de datos de Comforte AG.
"Como miembros de empresas y organizaciones, sabemos que los datos empresariales, que son el alma de la corporación, siempre son un objetivo tentador para los piratas informáticos", continuó Shadabi. "El reciente ataque contra Twitter debería subrayar la necesidad de que la seguridad centrada en los datos, como la tokenización o el cifrado que conserva el formato, se aplique a los datos confidenciales dondequiera que residan para hacer que esos datos sean incomprensibles y, por lo tanto, inútiles para la explotación. Prevenir ataques e infracciones es no es 100 por ciento infalible, por lo que solo podemos esperar que las grandes tecnologías hayan instituido las medidas de mitigación de la seguridad centrada en los datos aplicadas directamente a los datos en caso de que la información confidencial caiga en las manos equivocadas".
*Con información de Forbes US.
