Los hackers optan por la sustracción de cuentas de iCloud

El ciber-crimen es un negocio. Los profesionales del chantaje trabajan para mejorar sus métodos, miden el alcance de sus actuaciones y en ocasiones evalúan el retorno en sus inversiones. Cada movimiento contiene una estrategia. Lo hemos sabido tras analizar la plaga de ransomware y todo el panorama de amenazas cibernéticas que existen actualmente.

De hecho, el último informe de Joseph Cox en Motherboad resulta esclarecedor. En él, Joseph explica el caso de uno o varios hacker(s) que se dedican a la extorsión de Apple con la premisa de pagar 100.000 dólares a cambio de recuperar las millones de cuentas iCloud que tienen en su haber.

Los medios de comunicación como arma

Los criminales rehúyen de la prensa. ¿Por qué cometer un crimen y después hacerlo público ante el mundo entero? Hay dos razones: porque el criminal cree que no va a ser atrapado; o, como en este caso, porque trata de presionar a su víctima, forzándole a que actúe.

Sin embargo, en esta ocasión el modo de actuación es diferente. Los hackers han establecido el 7 de abril como fecha límite para que Apple realice los pagos correspondientes a las cuentas que han perdido. Si Apple se niega a hacerlo, el /los criminal(es) amenazan con resetear las cuentas y los dispositivos conectados a ellos. La idea, en este caso, es forzar la decisión de Apple mediante la presión pública generada a través de los medios de comunicación, cuyos resultados serán nefastos por la siguiente razón: Apple es una empresa demasiado potente y cuenta con suficientes recursos como para no sucumbir a la presión externa. Si no han respondido a la gran cantidad de peticiones para recuperar las tomas para los auriculares o las ranuras HDMI en sus dispositivos iOS, es improbable que se someta al fraude cibernético.

Digital, no físico

En el mundo real, el crimen tiene más sentido. Los criminales piden rescates por objetos robados (en el caso de los cuadros, por ejemplo) y si la víctima realiza el pago, el trato se termina. Sin embargo, en el caso de las cuentas digitales, los criminales se jactan de tener acceso a ellas, tratándose de un acto de extorsión, y por tanto, de una demostración de poder y superioridad.

Una vez más, en el mundo real este hecho se equipara a aquellos criminales que exigen una cantidad de dinero mensual a cambio de proteger el negocio o la empresa de la víctima. En el mundo digital, no existen presiones de ningún tipo a la hora de obligar a las víctimas a que paguen el rescate.

Con las cuentas de iCloud, Apple juega con ventaja: controla la gestión integral de las propias cuentas. De esta forma, pueden bloquear los intentos de acceso de los criminales a la mayor parte de los puntos de presión aparentemente más débiles de las cuentas de iCloud.Si esta situación se convierte en una amenaza legítima y es cierto que los hackers tienen en su haber las credenciales de miles de cuentas de iCloud, Apple cuenta con varias opciones de defensa: desde la restricción de nuevos accesos hasta crear nuevos registros únicos para cada cuenta. Cada una de las medidas generará frustración a los usuarios, pero Apple cuenta con un largo recorrido en términos de seguridad y privacidad, derivando a la popularidad que hoy en día le caracteriza.

No podemos olvidar que los criminales pueden obtener hasta una doble o triple comisión por esas cuentas sustraídas a través de su venta en el mercado negro (venta de identidad personal). Es por eso que, actualmente piden 100.000 dólares por su rescate. Desde Trend Micro hemos comprobado que, según el rango de precios en el mercado negro, una cuenta de Spotify puede adquirirse por 2 dólares, mientras que una cuenta de Netflix cuesta 5 dólares. Si los criminales tienen acceso a 300 millones de cuentas (cómo mínimo, según sus propias estimaciones), pueden generar un valor económico de millones de dólares en el mercado negro. En resumen, no les suscita ningún tipo de interés la obtención de una financiación de rescate de 100.000 dólares.

Protégete a ti mismo

La decisión de pagar o  de no hacerlo está en manos de Apple. Deben evaluar el riesgo, decidir si este es real o no y después, actuar en consecuencia.

Como usuario, la única posibilidad de proteger sus cuentas es mediante la activación de varios factores de autenticación para su cuenta de iCloud (y a la vez las de Facebook, Twitter y Google). Es posible hacerlo a través de los pasos que indica este artículo de soporte. Una vez que estén protegidas las cuentas, aunque un atacante consiga el nombre de usuario (como único dato público) y la contraseña (como único dato supuestamente único y privado), no podrán acceder a la cuenta, ya que necesitan un código único y temporal que es generado por dichos factores de autenticación. A continuación, el usuario deberá asegurarse un administrador de contraseñas. Esta herramienta permite establecer una larga frase encriptada (la mejor manera de conseguir una contraseña resistente), mediante la cual desbloqueará el administrador, permitiendo así que gestione todas las contraseñas del usuario. De esta forma, se creará una contraseña única para cada cuenta, sin necesidad de avisos y advertencias que puedan incomodar al usuario.

Este tipo de protección es relevante a la hora de que ocurra la acción fraudulenta, ya que los criminales hackean otras cuentas entrelazadas para conseguir las credenciales privadas, como son el nombre de usuario y la contraseña. Habitualmente, los hackers, cuando consiguen sustraer varias credenciales, prueban con ellas en varias cuentas online para verificarlas. Por esta razón, con una única contraseña manejada por el administrador es posible salvaguardar todo el contenido en lugar seguro, evitando así la sobreexposición del resto de las cuentas personales del usuario.