Menú Cerrar

Una infiltración es el término que se utiliza para describir un escenario donde un usuario no autorizado tiene acceso a un sistema o a un conjunto de datos confidenciales. La infiltración comúnmente se por atacantes especializados quienes tienen algún interés en los datos que obtienen.

Infiltración a un centro de datos

A continuación vamos a describir algunas infiltraciones más comunes.

Ingeniería social

La ingeniería social es un ataque de acceso que intenta manipular a las personas para que realicen acciones o divulguen información confidencial. Los ingenieros sociales con frecuencia dependen de la disposición de las personas para ayudar, pero también se aprovechan de sus vulnerabilidades. Por ejemplo, un atacante puede llamar a un empleado autorizado con un problema urgente que requiere acceso inmediato a la red. El atacante podría apelar a la vanidad del empleado, invocar a la autoridad usando técnicas de intimidación por nombres o apelar a la codicia del empleado.

Estos son algunos tipos de ataques de ingeniería social:

  • Pretexto: esto es cuando un atacante llama a una persona y miente en el intento de obtener acceso a datos privilegiados. Un ejemplo implica a un atacante que
    pretende necesitar datos personales o financieros para confirmar la identidad del objetivo.
  • Seguimiento: esto es cuando un atacante persigue rápidamente a una persona autorizada a un lugar seguro.
  • Algo por algo (quid pro quo): esto es cuando un atacante solicita información personal de una parte a cambio de algo, por ejemplo, un obsequio.

Decodificación de contraseñas Wi-Fi

Decodificación de contraseñas

La decodificación de contraseñas Wi-Fi es el proceso de detección de la contraseña utilizada para proteger la red inalámbrica. Estas son algunas técnicas utilizadas en la decodificación de contraseñas:

Ingeniería social: el atacante manipula a una persona que conoce la contraseña para que se la proporcione.

Ataques por fuerza bruta: el atacante prueba diversas contraseñas posibles en el intento de adivinar la contraseña. Si la contraseña es un número de 4 dígitos, por ejemplo, el atacante deberá probar cada una de las 10 000 combinaciones. Los ataques por fuerza bruta normalmente involucran un archivo de lista de palabras. Este es un archivo de texto que contiene una lista de palabras tomadas del diccionario. Un programa luego prueba cada palabra y las combinaciones comunes. Debido a que los ataques por fuerza bruta llevan tiempo, las contraseñas complejas llevan mucho más tiempo para descifrar. Es por eso que tu contraseña siempre tiene que cumplir algunos estándares.

Algunas herramientas para forzar las contraseñas incluyen Ophcrack, L0phtCrack, THC Hydra,
RainbowCrack y Medusa.

Monitoreo de la red: mediante la escucha y la captura de paquetes enviados por la red, un atacante puede descubrir la contraseña, si la contraseña se envía sin cifrar (en texto plano). Si la contraseña está cifrada, el atacante aún puede revelarla mediante una herramienta de decodificación de contraseñas.

Suplantación de identidad

La suplantación de identidad es un método de infiltración donde una persona maliciosa envía un correo electrónico fraudulento disfrazado como fuente legítima y confiable. El objetivo de este mensaje es engañar al destinatario para que instale malware en su dispositivo o comparta información personal o financiera.

Suplantación de identidad

Un ejemplo de suplantación de identidad es un correo electrónico falsificado similar al enviado por una tienda de conveniencia que solicita al usuario que haga clic en un enlace para reclamar un premio. El enlace puede ir a un sitio falso que solicita información personal o puede instalar un virus.

La suplantación de identidad focalizada es un ataque de suplantación de identidad
altamente dirigido. Si bien la suplantación de identidad y la suplantación de identidad
focalizada usan correos electrónicos para llegar a las víctimas, los correos electrónicos de
la suplantación de identidad focalizada se personalizan para cada persona específica. El
atacante investiga los intereses del objetivo antes de enviarle el correo electrónico.

Por ejemplo, el atacante descubre que al objetivo le interesan los automóviles y que está
interesado en la compra de un modelo específico. El atacante se une al mismo foro de
debate sobre automóviles donde el objetivo es miembro, publica una oferta de venta del
automóvil y envía un correo electrónico al objetivo. El correo electrónico contiene un
enlace a imágenes del automóvil. Cuando el objetivo hace clic en el enlace, el malware se
instala en la computadora del objetivo.

Aprovechamiento de vulnerabilidades

El aprovechamiento de vulnerabilidades es otro método común de infiltración. En este método de infiltración, los atacantes analizan las computadoras para obtener información.

A continuación encontrará un método común de aprovechamiento de vulnerabilidades:

Paso 1. Recopilación de información sobre el sistema de destino. Esto se puede hacer de
muchas formas diferentes, como con un escáner de puerto o a través de la ingeniería
social. El objetivo es aprender tanto como sea posible acerca de la computadora de
destino.

Paso 2. Parte de la información pertinente aprendida en el Paso 1 puede ser el sistema
operativo, su versión y una lista de los servicios que ejecuta.

Paso 3. Una vez que conoce el sistema operativo y la versión del objetivo, el atacante
busca cualquier vulnerabilidad conocida específica para dicha versión del SO u otros
servicios del sistema operativo.

Paso 4. Cuando encuentra una vulnerabilidad, el atacante busca usar un ataque
desarrollado anteriormente. Si no se ha desarrollado ningún ataque, el atacante puede
considerar desarrollar uno.

Whois, una base de datos de Internet pública que contiene información sobre nombres de
dominio y personas registradas.

Nmap, un escáner popular de puerto. Con un escáner de puerto, un atacante puede
sondear los puertos de la computadora de un objetivo para conocer qué servicios se
ejecutan en la computadora.

¡No olvides mostrar tu apoyo dejando un “Me gusta”!

Acerca del autor

Saintus Zephir

Ingeniero en Sistemas Computacionales y estudiante de Maestría en Ciencias en Ingeniería y Tecnologías Computacionales en el Centro de Investigación y de Estudios Avanzados del IPN (CINVESTAV-IPN).

Comparte el artículo en tus redes sociales

Artículos relacionados

5 comentarios

Deja una respuesta

Tu dirección de correo electrónico no será publicada.

× ¿Cómo puedo ayudarte?