El mundo real nunca dejará de existir, sin embargo, su difuminación en el mundo virtual avanza a pasos agigantados y no da señales de parar. Casi todas las actividades de ese mundo físico ya se están llevando a cabo en el otro, con una convincente veracidad. Por supuesto, la apropiación indebida de bienes no podía faltar y también ha incursionado en él. Los procedimientos para que esta clase de eventos se efectúe, hoy recibe el nombre genérico de Técnicas de Web Hacking.
El acto de intervenir en el traspaso de información o en los propios ordenadores de otros, es posible por la interconexión mundial de las computadoras. Es posible por la existencia de Internet, ese maravilloso recurso que suministra información a millones y millones de personas en todo el planeta. El pirateo de esa información y los ordenadores de las personas genera beneficios enormes a los hackers y es necesario saber defenderse de sus ataques.
El oficio de la ciberdelincuencia está enfocado en el robo tanto de dinero como de datos que son vitales para personas y empresas. Un ejemplo extremadamente interesante, peligroso y sensible de esto, es el acceso no autorizado a los sistemas de seguridad de entidades bancarias o gobiernos. Ese acceso deja en un estado vulnerable a la confidencialidad de la información que es de supremo interés preservar, de estas entidades.
Los piratas informáticos, los hackers, se han convertido en una amenaza real y enorme para la protección desde bienes hasta planes de defensa nacional. La WWW (world wide web) ha sido un apoyo para las comunicaciones, pero al mismo tiempo han puesto en peligro absolutamente todo en el planeta.
El personaje y la acción de la piratería web
Hay un“personaje” y una acción que son los protagonistas del trabajo de las Técnicas de Web Hacking En primer lugar veamos ¿qué es un pirata informático?
Este es una persona que posee conocimientos suficientes en el manejo de las redes y los ordenadores. Su propósito es apropiarse de información ajena burlando todos los muros de protección que una web tiene implantados para su seguridad. No es un bisoño, es un experto y dirige su atención a empresas, entidades bancarias, usuarios inexpertos. Su propósito es sencillamente apropiarse de lo ajeno.
Esto que le interesa y de lo que puede sacar un beneficio pecuniario es tanto dinero específicamente, como datos o información comprometedora.
Veamos ahora ¿qué es el Hacking? o propiamente dicho, la piratería informática.
Se trata del proceso de encontrar debilidades en algún sitio o plataforma web que sea de interés para el hacker y a partir de ellas hacer uso de la información obtenida para conseguir algún tipo de beneficio.
Tanto el hacker como el hacking tienen todavía mucha vida por delante, ¿la razón? todavía no existe un esquema totalmente seguro de funcionamiento de la red. Sin embargo, existe una buena cantidad de personas tratando de hacer que esto sea posible.
¿Cómo opera la ciberdelincuencia con las técnicas del web hacking?
Al día de hoy existe una multitud de Técnicas de Web Hacking con las que los hackers se apropian de la información que es de su interés. Sin embargo, todo comienza con la introducción de un virus (troyano) en el sistema a través de un enlace que ha sido intervenido con anterioridad. En lo que un usuario cliquea en dicho enlace el virus se activa y franquea el acceso al equipo y la información que el hacker persigue.
Inyección SQL, uno de los procedimientos más conocidos
- La “inyección SQL”: es la forma de intervención más usada. SQL quiere decir: lenguaje de consulta estructurado y es el medio que se emplea en la interacción con bases de datos. Este lenguaje es el vehículo con el que puedes forjar, recobrar, actualizar y descartar referencias de acceso a una base de datos. Este lenguaje se utiliza en muchas operaciones, desde registros en una plataforma hasta los detalles de una transacción comercial.
Esta clase de intervención consiste en introducir una fórmula SQL en algún registro web a la espera de que una aplicación lo active (ejecute). Al activarse el comando, el pirata informático consigue acceso a una plataforma web y podrá hacer lo que le apetezca. Esto le permite modificar de muchas maneras el contenido (agregar o eliminar datos) del sitio que ha intervenido.
Esta práctica se potencia cuando el hacker tiene la habilidad de usar herramientas automáticas para insertar su propia fórmula SQL. Una práctica muy utilizada es probar una multitud de registros SQL (escanear) hasta comprobar que en algún sitio, alguno funciona.
Otros medios o técnicas de uso regular
Aparte del procedimiento descrito, existen otros de igual o mayor peligrosidad para los usuarios de la red:
- La denegación de servicio (DoS/DDoS): el hacker usa esta técnica para tratar de hacer colapsar un sitio web dirigiendo hacia él una inmanejable cantidad de información (tráfico). En esa situación los servidores quedan sobrepasados y se cierran a toda nueva consulta. Esta técnica se apoya en ordenadores a los que ya se les ha inoculado un virus o malware. Sus dueños ni siquiera se percatan de que están siendo usados con este fin.
Este tipo de ataques se puede evitar utilizando diferentes recursos:
- Trazando un límite a la velocidad del router que enlaza a tu servidor web.
- Incorporando filtros para evitar recibir paquetes de información de fuentes desconocidas.
- Evitando usar paquetes de datos que sean sospechosos.
- Limitando los tiempos de espera de respuesta al hacer una solicitud en la web.
- La forma más obvia es incluir cortafuegos que contengan protección DDoS.
- El cross-site scripting (XSS): aunque se trata de una debilidad de seguridad muy “normal” en los sitios web, también es una debilidad de consideración. Deja abierta la posibilidad de una intervención maliciosa por un hacker. Consiste en la introducción de códigos JavaScript o similares, desde un correo electrónico o un sitio creado por terceros. Es tan poderoso que ha servido para hackear sitios como Google o Microsoft.
Aquellos códigos JavaScript por lo general van incluidos en los llamados hipervínculos, enlaces a terceras páginas que los usuarios suelen usar con frecuencia. Con esta técnica, el pirata se puede apropiar de una sesión en la red y robar información crucial de un usuario. Estos virus por lo general se insertan en foros públicos y redes sociales.
El CSRF
Uno de los modos de superar este ataque consiste en que las páginas web verifiquen los datos de las cabeceras HTTP. Esto les permite que tengan la certeza de la procedencia de la petición. Una verificación de este tipo, permite certificar que las peticiones provienen de una página ubicada dentro de la web y no de un lugar desconocido y ajeno.
Por sus siglas en inglés esta clase de ataque se conoce como Cross Site Request Forgery (Falsificación de petición entre sitios). Obliga al buscador en uso a mandar una solicitud a alguna aplicación que sea vulnerable. También es conocida como XSFR y se resume en un ataque agresivo cuando haces clic en un comando. Puede conducir a la pérdida de tu sesión, secuestro de tus datos y puede hacerte perder tu dinero si el pirata tiene éxito en su ataque.
Spoofing o supresión de la identidad
Es también conocido como corrupción del Sistema de Nombres de Dominio o DNS. Consiste en una adulteración del DNS para modificar la dirección hacia dónde se envía el tráfico de una plataforma web. La intención con ella es desviar la ruta de una plataforma genuina hacia otra falsa que además puede contener virus troyanos. Al igual que con otras de las Técnicas de Web Hacking descritas, el modo de frenar su actuación es acortando los tiempos de espera.
Además de esto, es muy conveniente limpiar con alguna frecuencia la información que se va almacenando en la caché de los ordenadores.
El phishing, una manera alterna de suplantación de identidad
Es otra de las técnicas de hackeo más comunes. Consiste en la recepción de e-mails de origen aparentemente fidedigno en los que se te pide la revelación de algún dato clave. Pueden solicitarte la identificación del usuario, la clave de acceso a una determinada cuenta o la indicación de algún tipo de información personal. Desde esa información, el pirata interviene a su antojo el sitio web que le sirve de referencia.
- El pirata crea un facsímil de una página web: en esa página falsa, cuando el usuario ingresa recibe un mensaje que le dice: su sesión ha expirado debe reiniciarla o registrarse de nuevo.
- Previamente el pirata ha introducido un script que hará que el reinicio conduzca al usuario a su página.
- En ese momento, el hacker va a recuperar los datos de ingreso y contraseña del usuario y entonces podrá acceder a un foro o red social, sustituyendo al usuario original
Técnicas asociadas a la llamada Ingeniería Social como técnicas de web hacking
Este procedimiento se apoya en que el eslabón más débil de una cadena de transmisión de información de la web es, generalmente, el mismo usuario. La ingeniería social pretende aprovecharse de esa debilidad. Básicamente consiste en la obtención por alguna vía, de información útil a la intervención de la página que le interesa al hacker. Entre las modalidades de esta técnica se conocen:
- El cebo o la trampa: consiste en abandonar casualmente un dispositivo con una indicación llamativa. Una segunda persona puede pensar en revisar su contenido, lo inserta en su ordenador y lo abre. El dispositivo está arreglado para insertar un virus que se esparcirá por la red y significará un deterioro del sitio en general.
- La excusa o el pretexto: el pirata entra en contacto con una persona vinculada con el sitio (de una empresa tal vez), finge ser otra persona conocida y solicita información delicada que la primera persona tiende a pensar que es confiable. De ahí en adelante, el hacker puede hacer lo que le interesa con el sitio al que intervino.
Piratería de plataformas web no especificadas
Los piratas informáticos no tienen, necesariamente, su ojo puesto en una web determinada. Sin embargo, siguen hurgando en Internet buscando una potencial víctima. En estos casos, están utilizando una técnica de intromisión dirigida a alguna debilidad dentro de alguna página de manejo de contenidos o también, una plantilla. Con esta plantilla se les abre la posibilidad de crear páginas web propias a donde dirigir algunas búsquedas.
Eventualmente, desarrollan procedimientos o técnicas que buscan una debilidad de algún sitio web particular. Al conseguirla, penetran en él y acceden a toda la información con la que puedan extraer el beneficio que necesitan o quieren. Para lograrlo, pueden emplear programas informáticos que de manera automática (bots) realizan actividades repetitivas. Estos buscan hasta encontrar la debilidad que les puede servir de entrada a la página web.
Después de lograr ingresar pueden dedicarse con toda tranquilidad al tema que los condujo hasta allí: apropiarse de información delicada, introducir virus con una función específica y cualquier otra actividad de su interés. La única vía que existe para impedir estos ataques de los piratas informáticos es manteniendo actualizados todos los sistemas y las aplicaciones que agregan funciones nuevas a otras aplicaciones para mejorar su desempeño.
La lucha contra los hackers y las técnicas de web hacking
El combate contra la piratería informática requiere de profesionales bien formados en programación y con suficiente conocimiento del modo cómo funcionan las redes. El curso en hacking ético te dan la oportunidad de formar parte de las fuerzas que combaten los ataques continuos a la red. Se trata de impedir y frustrar el constante asedio a la información personal de empresas y usuarios.
De la lucha contra la ciberdelincuencia, nace este tipo de hacking, llamado ético. Para entenderlo mejor, consiste en que las empresas contratan a profesionales y especialistas en ciberseguridad. Los cuales tienen conocimientos avanzados sobre hacking y la detección de vulnerabilidades en los sistemas. Para evaluar las defensas de las organizaciones, los hackers éticos entran en escena para probar dichas defensas y mejorar las capacidades de detección de amenazas.
En sí, el hacking no se puede ver como una técnica de intenciones perversas de una sola vez. Eso depende de quién o quiénes ejecutan estas técnicas. La lucha contra los hackers malintencionados viene dada por neutralizarlos a través de hackers éticos. Dichos hackers de sombrero blanco utilizan las mismas técnicas de la piratería informática malintencionada para ayudar a las empresas e individuos a fortalecer su seguridad.