Hacking indirecto (o como lo quieras llamar)

En este post quiero tratar un tema que normalmente no se controla en las empresas y puede suponer un riesgo grave. Es muy común que la política de contraseñas de una empresa sea como la de BYOD, traete tu contraseña de casa que así te la memorizas y no nos das el coñazo. Pero esto supone un problema y es que según las estadísticas el 75% de las personas utilizan la misma contraseña para todos los servicios.

Supongamos un caso de una empresa con un portal web a través del cual todos los empleados acceden a la intranet y su webmail, un atacante intenta acceder a esta intranet pero no logra ningún acceso directo, dicho atacante antes de plantearse la ingeniería social utiliza la FOCA para extraer nombres de empleados a través de los metadatos de los documentos alojados en el portal web. Una vez con estos nombres extraidos y tras un poco de trabajo de recopilación de información el atacante rastrea un poco el Twitter, Facebook y la información indexada en los buscadores asociada a cada persona pudiendo conocer los hábitos y servicios que ésta utiliza. En este punto el atacante puede buscar una vulnerabilidad en una página usada por uno o varios empleados y hacerse con los credenciales de estos empleados aprovechandose de un incorrecto o nulo cifrado de la página secundaria.

En relación a la anterior otra manera de proceder sería utilizar un dork para rastrear los emails que hay indexados en los buscadores relacionados a un dominio. Por ejemplo podríamos usar intext:"@dominio.com" y nos encontraríamos con una serie de personas que han utilizado su cuenta de correo empresarial para registrarse en diversos servicios en los cuales no está garantizada la seguridad.

Como veis hay varias posibilidades de conseguir unos credenciales básicos para acceder a vuestro objetivo primario sin necesidad de utilizar métodos ruidosos contra él y levantar alarmas antes de tiempo. Los responsables de seguridad de una empresa siempre deben dejar claro que el empleado debe separar sus contraseñas personales de las laborales y nunca registrarse en servicios externos con correos y/o contraseñas  empresariales. Esto no siempre se lleva a cabo y las consecuencias pueden ser muy graves como para no valorarlo.

Metadatos: La fuga de información invisible

Si estáis metidos en el mundo de la seguridad informática probablemente sepáis lo que son los metadatos, sin embargo, a casi toda la gente primeriza en estas cosas que se lo explico suele pasar por diferentes fases que van desde la negación, hasta la incredulidad, y finalmente la aceptación. Los metadatos son esa información a priori no visible que se contiene en diferentes partes de un archivo y que puede ser mirada bien usando programas específicos para ello, o en casi todos los casos, utilizando propiedades avanzadas del software que se utiliza para abrir dichos archivos.

Así, aunque nosotros no hayamos escrito explícitamente por ejemplo, cual ha sido la fecha en la que hemos modificado una fotografía, esto queda registrado en la cabecera del archivo junto a otra infomación de diversa índole, desde qué usuario ha sido el que ha editado o creado dicho documento, hasta cuando ha sido modificado, datos técnicos de como ha sido tomada una foto, o incluso, y cada vez en más casos, la información gps de donde ha sido tomada la instantánea. Esto pasa con casi todos los archivos, incluidos words, pdfs, etc.