Un desarrollador de software recibió hace poco un mensaje de texto de un número desconocido. El remitente afirmaba pertenecer al servicio de atención al cliente de una entidad bancaria y le solicitaba llamar a un número de teléfono que no figuraba en ningún directorio público. Para verificar su identidad, el operador le pidió leer en voz alta los dígitos de seguridad confidenciales impresos en el reverso de su tarjeta de crédito. Sorprendentemente, el mensaje era auténtico: una notificación legítima de su propio banco. Sin embargo, su operativa era exactamente idéntica a la de una red internacional de fraude telefónico.
Inicios de sesión legítimos que saltan por una docena de dominios
Los expertos en seguridad repiten a diario el mismo mantra al público: nunca hagas clic en enlaces sospechosos. No obstante, en la operativa diaria, las propias empresas han pulverizado por completo esta regla de oro. El desarrollador maurycyz analizó en detalle lo que hoy constituye un flujo de autenticación corporativo habitual: el usuario accede al portal principal de una compañía, pero en lugar de permanecer en su dominio raíz seguro, es redirigido de inmediato a una dirección de inicio de sesión alojada en un proveedor de servicios externo.
Desde allí, el navegador debe atravesar un nodo de autenticación identificado únicamente por una larga cadena hexadecimal UUID, para luego ser transferido a otro proveedor ajeno con el fin de completar la verificación en dos pasos (2FA). Tras este periplo, el tráfico puede ser desviado a un dominio de recopilación de métricas bautizado como «centro de experiencia», antes de regresar por fin, a trompicones, al dominio raíz de la empresa original.
Al concluir este complejo proceso, ninguno de los campos donde el usuario introdujo su nombre de usuario, contraseña o código de verificación por SMS estaba alojado en el dominio oficial de la empresa. Cuando los procesos legítimos parecen una carrera de obstáculos plagada de redirecciones sospechosas, los atacantes ni siquiera necesitan buscar vulnerabilidades complejas de día cero. Les basta con invertir unos pocos dólares en registrar un dominio con una errata tipográfica deliberada, redactar unas líneas de código web con el logotipo corporativo y una caja de contraseña, y cosechar credenciales con total facilidad. En una rutina laboral donde la expiración de tokens provoca ventanas emergentes de acceso a cualquier hora, resulta imposible distinguir qué es legítimo y qué es una trampa de phishing.
Figura: Captura de un SMS oficial enviado por una empresa de mensajería. Fuente: Troy Hunt / troyhunt.com
Cómo las prácticas corporativas destruyeron la confianza en las URL
El sistema jerárquico de nombres de dominio (DNS) de internet fue diseñado originalmente con una estructura clara y predecible. La progresión desde el dominio de nivel superior hasta la entidad operadora y los servidores específicos debía constituir la mayor garantía de autenticidad en el entorno digital. Sin embargo, debido a la proliferación indiscriminada de externalizaciones y servicios en la nube, el segmento con mayor identidad —el dominio de segundo nivel— ha quedado sepultado en medio de caóticas rutas de redirección.
Los usuarios actuales deben completar a diario decenas de autorizaciones y confirmaciones en sus teléfonos móviles. Traspasar al ciudadano común la pesada carga de verificar identidades digitales y certificados en pleno agotamiento cognitivo constituye una elusión flagrante de la responsabilidad técnica. Cuando bancos e instituciones financieras envían de forma habitual mensajes SMS promocionales con enlaces acortados y opacos, y cuando los correos de atención al cliente remiten a plataformas de encuestas de terceros desconocidas, las empresas están entrenando a sus usuarios, día tras día, a ignorar por completo la barra de direcciones.
Figura: Otro SMS enviado al día siguiente por el mismo remitente, igualmente imposible de verificar. Fuente: Troy Hunt / troyhunt.com
Pedir a los usuarios que se protejan de los enlaces peligrosos se ha convertido en una consigna vacía. Los enlaces legítimos de las empresas parecen hoy mucho más sospechosos que los señuelos de phishing meticulosamente diseñados por los ciberdelincuentes. Hay profesionales de seguridad que se ven obligados a clasificar correos oficiales de Microsoft como correo no deseado, ya que esos mensajes repletos de parámetros de rastreo y enlaces externos encajan a la perfección con los patrones de los ataques dirigidos. En foros técnicos, no pocos ingenieros admiten denunciar deliberadamente como phishing los correos legítimos de sus propios bancos, con la única intención de forzar a sus departamentos de seguridad a corregir prácticas operativas insostenibles.
Figura: En el correo de seguimiento tres días después, la frontera entre canal oficial y argot de estafa desaparece por completo. Fuente: Troy Hunt / troyhunt.com
Cuatro principios de ingeniería para reconstruir la confianza del sistema
Hastiada de campañas de concienciación ineficaces, la comunidad de desarrolladores ha propuesto un conjunto de requisitos técnicos ineludibles inspirados en los estándares de los protocolos RFC para restablecer la confianza en el sistema.
La prioridad absoluta es la consolidación del dominio raíz. Las grandes organizaciones DEBEN (MUST) alojar todas sus operaciones esenciales bajo un dominio raíz único y ampliamente reconocido. Cualquier servicio interno que gestione autenticación o datos sensibles DEBE ubicarse en subdominios de dicho dominio raíz. Las denominaciones improvisadas que combinan nombres comerciales con plataformas de alojamiento externas —responsables de normalizar direcciones dudosas— DEBEN quedar desterradas de las normas de arquitectura corporativa.
El rigor debe ser idéntico en los canales de mensajería y correo electrónico. Si un SMS requiere que el usuario introduzca información en un servicio externo, el equipo técnico DEBE habilitar una capa intermedia de redirección en sus propios servidores. El enlace en el que hace clic el destinatario DEBE pertenecer al dominio verificado de la empresa antes de redirigir de forma transparente hacia el proveedor final.
Este principio se traslada de igual manera a las comunicaciones de voz y telefonía. Las organizaciones NO DEBEN (MUST NOT) instar a los clientes, mediante SMS o correos electrónicos, a marcar números de teléfono provisionales y no verificables. Cualquier dato de contacto necesario DEBE mostrarse dentro de una página web oficial a la que se acceda desde el enlace seguro del mensaje original, evitando que quede flotando en el texto plano y vulnerable de un SMS.
La lección de India: poner fin al caos en apenas seis meses
Frente a una espiral de fraude incontrolable, pretender modificar el comportamiento humano mediante lecciones teóricas está condenado al fracaso. La verdadera respuesta exige una segregación física a nivel de infraestructura. India ofreció el año pasado una demostración de enorme valor al imponer una estricta compartimentación de dominios y telefonía en todo su ecosistema financiero.
Bajo el nuevo marco regulatorio, todos los bancos comerciales del país están obligados a operar exclusivamente con dominios de nivel superior (TLD) específicos para el sector bancario, mientras que las entidades financieras no bancarias deben utilizar extensiones financieras dedicadas. Ya sea para ofrecer servicios en portales web, remitir extractos por correo o gestionar saltos de autenticación internos, cualquier interacción debe quedar confinada bajo este espacio de nombres regulado.
La medida fue todavía más contundente en el ámbito de las comunicaciones telefónicas: el regulador de telecomunicaciones restringió las llamadas salientes de atención bancaria y transaccional exclusivamente al prefijo numérico «1600». Administrado directamente por el Ministerio de Telecomunicaciones, este rango está reservado únicamente a bancos, entidades aseguradoras, servicios financieros y ciertos organismos públicos. Su objetivo es diferenciar de manera nítida en la pantalla del móvil las llamadas operativas y de fondos de las llamadas comerciales ordinarias. Ninguna entidad no autorizada tiene acceso a este bloque de numeración. El gobierno fijó un periodo de transición de apenas seis meses, y el sistema bancario nacional completó la migración prácticamente de un día para otro.
Trasladar los fallos del sistema al usuario es una negligencia de seguridad
Este aislamiento impuesto desde las capas troncales de la red resulta infinitamente más eficaz que destinar presupuestos multimillonarios a campañas educativas. Los usuarios no necesitan comprender la jerarquía del DNS, ni auditar complejas cadenas de redirección, ni acumular una dilatada experiencia técnica. Cualquier página web que no termine en la extensión bancaria oficial, o cualquier llamada que no provenga del prefijo regulado, puede considerarse automáticamente un fraude. Usuarios de todo el mundo comparten el mismo dilema diario: las comunicaciones legítimas y los engaños fraudulentos conviven en los mismos canales, y la diferencia suele depender de si un número está registrado en las listas negras de la ciberdelincuencia.
La experta en ingeniería de seguridad Kelly Shortridge ha señalado con acierto que el sector mantiene una obsesión desmedida con la llamada «cultura de seguridad». Esta concepción descarga la responsabilidad sobre las personas, exigiéndoles una atención infalible ante detalles técnicos microscópicos dentro de sistemas propensos al fallo, pretendiendo que no cometan ni un solo error en acciones que repiten cientos de veces cada día.
Exigir a un usuario común que identifique a un proveedor de autenticación legítimo a través de una decena de saltos equivale a pedirle al huésped de un hotel que audite los protocolos criptográficos de la cerradura electrónica de su habitación. La reforma de India confirma una realidad incuestionable: endosar al usuario las deficiencias del diseño de los sistemas es la mayor negligencia de la industria. Mientras las empresas no asuman la tarea elemental de unificar sus accesos de autenticación, la educación contra el fraude no será más que una coartada para el autoengaño.
Referencias:
- Artículo original en maurycyz.com
- Discusión en Lobsters
- Artículo relacionado de Troy Hunt
- Discusión en HN
