Views
1 week ago

La red oscura - Eduardo Casas Herrer

¿Qué es la web profunda (deep web) o red oscura (dark net)? ¿Hay que tenerles miedo? ¿Es, acaso, como pasear por los bajos fondos de una ciudad? ¿Hemos de cuidar nuestra confianza en la red? No solemos pararnos a pensar cómo funciona un motor de búsqueda de Internet y, precisamente, en su manera de actuar se encuentra su punto débil: la araña. Por mucho que se esfuerce el robot, hay lugares a los que no es capaz de llegar porque no está diseñado para ello. Y de esa red oscura a la que no puede acceder solo es visible el uno por ciento, el resto está escondido, como si de un iceberg se tratara. Negocios ilegales, tráfico de armas y de productos, muertes retransmitidas, pornografía infantil… conforman el lado negativo de Internet; un pozo sin fondo que se abre desde nuestras pantallas. El autor de este libro, miembro del Cuerpo Nacional de Policía, que lleva desde 2004 trabajando en la Unidad de Investigación Tecnológica (UIT), nos explica con notable claridad cómo persiguen sin tregua y sacan a la luz los delitos de ese universo desconocido de la red.

llevar a cabo al invadir

llevar a cabo al invadir ordenadores de uno en uno. Por ello, una vez detectada una vulnerabilidad en cualquier programa, idean una herramienta que les pueda servir para sus propósitos, de una complejidad muy variable. Algunos de ellos no difieren demasiado del phishing que vimos en el capítulo seis. En 2012 la empresa de seguridad Eset detectó un código malicioso en hasta veintidós aplicaciones Android, llamado Boxer, que infectaba el teléfono y suscribía a sus víctimas, sin que ellas lo detectasen, a un servicio SMS Premium. Este tipo de mensajes telefónicos tienen la característica de que la empresa emisora cobra a quien los recibe; es el receptor quien paga por ellos. Aunque su uso es legal —por ejemplo para obtener consultas de astrología solicitadas de antemano—, es utilizado con asiduidad por los delincuentes. Boxer era capaz de detectar el país en que se encontraba y redirigir los SMS a una u otra empresa. En España el número en cuestión era el 35969, de la empresa World Premium Rates, cuyo principal contratista legal era un número de tarot de Tenerife. Como los teléfonos Android no pueden infectarse sin la colaboración activa de su dueño, el gancho que utilizaban era el de aplicaciones con apariencia de juegos o sobre salud que el incauto instalaba sin saber que, desde ese momento, cada vez que la ejecutaba, hacía que le enviasen tres SMS de alto coste, engordando de manera notable la factura a fin de mes. Dos años después, el antivirus español Panda Security avisaba de cuatro aplicaciones que se habían colado durante un tiempo en la tienda de Google —hasta que fueron detectadas y eliminadas— con una forma de funcionamiento muy similar, aunque todavía un poco más intrincada. Sus nombres eran «Dietas para reducir abdomen» y «Peinados Fáciles» de Clark Beggage por un lado y «Cupcakes recetas» y «Rutinas y ejercicios para el gym» de CanarApp por otro. Una vez instalada, mostraba un aviso en segundo plano y tamaño ilegible sobre lo que nos iban a cobrar por el mero hecho de usarla, para darle una apariencia de legalidad que, de hecho, no tenía. A partir de ahí, la programación era más sofisticada que los anteriores. Los servicios SMS Premium, para evitar estos abusos, exigen introducir un código de seguridad que envían al usuario, también mediante mensaje de texto. Pues bien, este virus capturaba el número de teléfono del usuario —que, por diseño de los terminales, suele ser invisible para las aplicaciones—, que es obligatorio proporcionar para acceder a la mensajería instantánea de WhatsApp. Una vez que lo tenía, se suscribía al servicio y, sin que el usuario lo viese, recibía el mensaje de confirmación y validaba el código. Después eliminaba los SMS recibidos y enviados. De esta forma, hasta la primera factura la víctima no era consciente de que estaba infectada. El año anterior, la Brigada de Investigación Tecnológica de la Policía Nacional detuvo a un ingeniero murciano de veintitrés años que había estafado, en tan solo dos meses, a más de once mil personas, lo que le proporcionó un beneficio de cuarenta mil euros, gracias en parte a una intensa campaña de publicidad online. Usaba uno de los ganchos más populares entre aquellos con menos cultura informática: WhatsApp www.lectulandia.com - Página 158

Spy, un programa que prometía espiar las conversaciones a través del servicio de mensajería instantánea de aquel usuario que se desease. Eso, de ser cierto, constituiría un delito grave, descubrimiento y revelación de secretos, dado que la privacidad de las comunicaciones está garantizada en la Constitución. Pero no lo hacía. Era tan solo una simple estafa, mucho más fácil de programar que las dos vistas en párrafos anteriores. Tan solo era una página web en la que los incautos proporcionaban su número telefónico y empezaban a recibir mensajes que llegaban a costarles algo más de siete euros en algunas ocasiones. Además, había creado otro sitio que simulaba la presentación de Facebook. Los incautos que querían comprar su aplicación volvían a ingresar sus datos pensando que, por algún motivo, habían sido desconectados. En realidad, los datos aportados quedaban almacenados en un servidor externo del que sus programas los cogían para hacerse pasar por aquellos usuarios y enviar mensajes masivos a todos sus contactos hablando de las bondades del inexistente programa espía. La forma de actuar no es nueva. En la primera década de este siglo eran muchos los timadores que, anunciándose a sí mismos como hackers, prometían averiguar las contraseñas de los programas de mensajería instantánea, como el que entonces triunfaba, MSN Messenger. Para ello solo exigían que el que quería obtener esa información les enviase un correo con su propia contraseña. A cambio, prometían dar las de su objetivo. El truco era tan burdo que sorprendía la cantidad de incautos que caían. Por supuesto, lo único que conseguían aquellos era perder su cuenta de correo, que pasaba a manos del embaucador. Tampoco los usuarios de Apple están más a salvo. A finales de 2015 se descubrió que durante meses, decenas de aplicaciones presentes en la App Store, en la que los poseedores de un iPhone deben descargar los programas que quieren utilizar, habían sido programadas con una versión pirata de XCode, el lenguaje en que se escriben. Esta, apodada XCodeGhost, envía datos muy relevantes de aquellos que se la bajaban, como su identificador único o IP de acceso. El motivo de un agujero de seguridad tan grande es tan trivial como absurdo. Algunas grandes empresas chinas se descargaban XCode de una web llamada Baidu Pan, muy popular en China y parecida a otros servicios de almacenamiento en la nube a los que estamos más acostumbrados en España, como Dropbox, donde alguien había reemplazado la original por la maliciosa. Podían bajarse el lenguaje de programación del propio sitio de Apple, pero sus servidores eran más lentos. Así, la versión maligna fue utilizada por decenas de programadores causando un daño cuyo coste todavía se está analizando. Las vulnerabilidades lo son hasta que alguien las empieza a usar de esta forma masiva. En ese momento no tardan en ser descubiertas por las empresas de seguridad, que comienzan a diseñar soluciones lo antes posible. Por eso, un antivirus actualizado y un cortafuegos que bloquee las señales entrantes y salientes no autorizadas es efectivo en un porcentaje que se acerca a la totalidad, puesto que no es el empeño de www.lectulandia.com - Página 159

la red oscura