Qué supone para tu ciberseguridad que te roben las cookies y cómo se hace

Fuenlabrada

El ataque de Pass-the-Cookie es una técnica que los ciberdelincuentes utilizan para infiltrarse en los sistemas corporativos o para suplantar también la identidad de un usuario particular. Todos nos hemos encontrado las famosas cookies al navegar por Internet, pero ¿sabemos realmente qué estamos aceptando cuando damos nuestro consentimiento?

Estas cookies contienen información que la web utiliza para fines diferentes, por ejemplo para recordar las preferencias de los usuarios, mejorando su experiencia en línea o para ofrecer un servicio más personalizado. También están las cookies de sesión, que permiten a los sitios web reconocer a los usuarios y recordar su información de conexión, para no preguntarla continuamente durante la sesión, o su preferencias. Éstas son las que más interesan a los ciberdelincuentes y las que suelen sustraer, según explica Iván Mateos, Ingeniero Preventas de Sophos, empresa líder en Ciberseguridad.

¿Cómo ser roban las cookies?

Entre las diferentes técnicas que se utilizan para el robo de cookies se encuentran los conocidos ataques de phishing o la introducción de malware en un equipo, incluso la compra de esas cookies en la Dark Web. Con ellas, los ciberdelincuentes se hacen pasar por el usuario legítimo, con lo que consiguen acceso a cuentas y sistemas, poniendo en riesgo la seguridad y la privacidad de la empresa o del particular en cuestión.

Estos robos provocan, según Mateos, en el caso de una empresa, pérdida de datos confidenciales, posibles fraudes financieros y extorsiones a cambio de la información robada, además del daño reputacional para el negocio o los costes económicos derivados de la recuperación del incidente, entre otras cosas.

Mateos indica que la prevención de estos robos pasa por medidas de seguridad sólidas y por adoptar buenas prácticas, tanto las personas individuales como las corporaciones. Entre las medidas destaca:

- Visitar siempre web bajo el protocolo https que asegura la comunicación cifrada entre el navegador y el usuario, dificultando la identificación de datos.

- Gestión de sesiones segura, utilizando políticas de expiración de cookies adecuadas para que caduquen cada cierto tiempo y así evitar dejar sesiones abiertas

- Educación básica en ciberseguridad y concienciación del personal de la empresa y de cada usuario de Internet. Así se evitan los riesgos causados por malas prácticas, acceso a enlaces sospechosos o la comunicación de información confidencial en sitios no fiables.

- Fundamental el uso del doble factor de identificación para crear una capa extra de seguridad, tanto en empresas como en particulares.

- Realizar un monitoreo y auditorías periódicas para detectar actividades anormales o inicios de sesión sospechosos.

La ciberdelincuencia avanza: nuevas estafas bancarias

Y si el Pass-the-Cookie es uno de los ataques que usan los ciberdelincuentes, sobre todo dirigido a empresas, éstos no dejan de idear nuevas fórmulas fraudulentas. Así lo cuenta Adrián Mateos, quien relata un intento de fraude utilizando la aplicación bancaria del teléfono móvil que él mismo sufrió en persona y su banco le confirmó que estaba siendo muy habitual últimamente.

El engaño comienza con una llamada telefónica de una persona que se hacía pasar por un empleado del banco donde tenía su cuenta, alertándole de que su tarjeta de crédito había sido clonada y se estaban haciendo operaciones extrañas, algo que despierta nuestra alerta y la urgencia de actuar.

El falso empleado de banca le dijo que le enviaría a su aplicación bancaria del móvil un mensaje para que autorizara el bloqueo de la tarjeta y evitar males mayores. “Según hablaba con él, me llegó el mensaje con dos botones de aceptar y rechazar, pero antes de pulsar empecé a leer el mensaje y un poco más abajo descubrí que para lo que me pedía autorización, no era para bloquear tarjeta, sino para autorizar una comprar de 500 euros”.

Mateos rechazó y cortó la comunicación con su interlocutor, sin más explicaciones y comprobó como debajo del mensaje le llegaba otro de su banco en el que le recordaban que nunca le pedirían datos personales por teléfono. Inmediatamente llamó a su banco, donde le indicaron que efectivamente era una estafa que estaban comunicando muchos clientes. La entidad activó el protocolo en estos casos bloqueando tarjeta y cuentas y revisando las misma, para evitar daños. “En estos casos, hay que tener tranquilidad y no hacer nada antes de hablar con nuestro banco. Además, muy importante saber que el banco nunca nos va a pedir contraseñas o datos nuestros por teléfono”.