Los ministros y altos cargos del Gobierno fueron hackeados con técnicas de ingeniería social
Expertos en ciberseguridad aseguran que se ha tratado de un simple caso de ‘phishing’ a través del móvil utilizando estrategias para manipular psicológicamente al usuario. Se recurre a elementos de “urgencia”, “amenaza” y “premio”
Los ministros de Justicia, Juan Carlos Campo, y de Asuntos Exteriores, Arancha González Laya, así como otros altos cargos del Ejecutivo han sufrido recientemente ataques de hackers en sus teléfonos móviles. Según las primeras pesquisas, el dispositivo de Campo acabó bloqueado tras ser víctima de la técnica conocida como “phishing”.
La vulnerabilidad de los dispositivos que utilizan miembros del Gobierno ha encendido algunas alertas. De hecho, según contó El Confidencial.com, el Centro Criptológico Nacional (dependiente del CNI) y el Departamento de Seguridad Nacional están investigando estos ataques.
Hackeo de baja dificultad técnica
Confidencial Digital ha contactado con la compañía Check Point Software Technologies Ltd, proveedor líder especializado en ciberseguridad a nivel mundial, para conocer con más detalles las claves sobre cómo funciona este tipo de hackeo, a quién suele atacar, por qué y cómo evitarlo.
“El ‘phishing’ consiste en engañar al usuario para que sea él mismo el que se infecte o acceda a sitios potencialmente dañinos. En el caso de los ministros el anzuelo más utilizado fue el de hacerse pasar por una embajada. Bajo esa tapadera los ‘hackers’ enviaron una comunicación con un link. Al pinchar las víctimas en el enlace se infectaron. Descargaron un malware o app, que era la que ponía en manos del hacker el teléfono del atacado” explica Eusebio Nieva, portavoz de la compañía.
No es la técnica más compleja: “Este tipo de hackeo es el de menor intensidad técnica de los que existen, porque no se explota una vulnerabilidad dentro del dispositivo sino que es el propio usuario el que se infecta”.
Eso sí, este portavoz de Check Point Software Technologies explica que para lograr engañar a la víctima, el ‘phishing’ utiliza técnicas de ingeniería social.
Esta forma de hackeo es, en origen, una comunicación fraudulenta. Aunque puede tomar diferentes formas, en general, todas tienen elementos en común: transmiten urgencia o algún tipo de amenaza, o bien ofrecen una recompensa. También contienen cierto grado de falsedad, puesto la comunicación asegura venir de un sitio del que no viene, como en este caso en el que se habría utilizado el señuelo de una embajada.
Un método habitual es falsificar las credenciales de plataformas como Office 365. En muchos casos se puede reconocer porque cambian algún elemento, como poniendo Office 356 o ‘Amzon’ en lugar de Amazon.
Los hackers utilizan nombres similares en sus mensajes “para que nuestro cerebro rellene los huecos sin que nosotros nos demos cuenta. Son trucos psicológicos para engañar a los usuarios. El ‘phishing’ es más sencillo que atacar el dispositivo por otra vía”, resume Nieva.
El caso de Roger Torrent
Los ataques a los móviles de los ministros de Justicia y Asuntos Exteriores difieren sensiblemente del hackeo que sufrió el presidente del Parlament de Cataluña, Roger Torrent. En este último caso “se hizo con una herramienta más profesional, más orientada precisamente al espionaje”, asegura el portavoz de Check Point Software Technologies.
Según se ha publicado, el hackeo al móvil de Torrent se llevó a cabo con un programa espía desarrollado por la compañía israelí NSO llamado Pegasus, que solo puede ser adquirido por gobiernos y fuerzas de seguridad.
“Aunque en España no se han dado tantos, internacionalmente ha habido muchos casos de personalidades a las que se les ha hecho un seguimiento a través de su móvil con programas de espionaje”, afirma Eusebio Nieva.
Hacer seguimientos, robar información...
Con respecto a la seguridad de los ministros Nieva indica que “hay que tener en cuenta que no es solo necesario tener las llamadas cifradas y que nadie pueda interceptarlas porque, aunque es un mínimo casi imprescindible, también es importante que nadie pueda infectar el móvil con una aplicación para hacerle un seguimiento o sustraer información como le ha ocurrido a los ministros”.
Aunque un “hackeo” por sí mismo no es peligroso, es una herramienta más que puede ser utilizada para espiar o realizar un ataque. “Es difícil desestabilizar un gobierno, un partido político o una compañía solo con un hacking, pero puede ser parte de una campaña que incluya otra serie de ataques”, asegura este experto en seguridad.
A forma de ejemplo expone: “Gracias al hackeo puede conseguirse información que, por ejemplo, descubra un escándalo político mayúsculo, y eso es lo que sí puede ser desestabilizante gracias a la mala imagen que puede extender”. Además los datos extraídos pueden utilizarse para pedir un rescate o para atacar a un rival, como ocurrió con el hackeo al Comité Nacional Demócrata que favoreció a Donald Trump frente a Hillary Clinton.
Incluso grupos terroristas pueden servirse del “hacking” como arma. “De hecho, se han detectado diversas accione en esa dirección. Por ejemplo, hubo un ataque contra el ejército israelí en el que intentaron instalar apps maliciosas en los teléfonos de los soldados”, recuerda el portavoz de Check Point Software Technologies
Los teléfonos móviles son los dispositivos más atacados porque son el instrumento perfecto de espionaje a día de hoy. El móvil puede detectar la ubicación de su dueño, también puede filtrar sonidos a través del micrófono, incluso un hacker puede acceder a la cámara si se lo propone.
Paradójicamente, a día de hoy aún no hay una especial seguridad en esos dispositivos. Se podrían evitar muchas incursiones con sencillos cortafuegos y más información al usuario sobre cómo frenar ataques: por ejemplo, “usando distintas contraseñas en las cuentas de internet, no abriendo mensajes de usuarios desconocidos…”, concluye el portavoz de Check Point Software Technologies.
