Los sucesos de este trimestre—el accidente de Air France, las elecciones en Irán, los fallecimientos de Farrah Fawcett y Michael Jackson— han puesto de manifiesto que el mundo está preparado para la Web 2.0. La duda ahora es si la Web 2.0 está realmente preparada para el mundo. Tras conocerse la noticia de la muerte del Rey del Pop, tanto Facebook como Twitter experimentaron una frenética actividad. Por una vez, esta actividad ha eclipsado los riesgos asociados al suceso.
A medida que el mundo avanza hacia esta nueva forma de comunicación, los creadores de malware y timadores no pierden el paso.
Existen algunos riesgos de seguridad propios de los sitios de redes sociales. Muchos de ellos son resultado de la gran cantidad de funciones y aplicaciones que mucha gente ejecuta sin pensárselo dos veces. Esta despreocupación general ha permitido la entrada en escena de varios gusanos, ataques de phishing y otros tipos de actividades maliciosas relacionadas. Por ejemplo, hay muchas herramientas de redes sociales que son capaces de hacer todo tipo de actividades; desde supervisar cuentas bancarias hasta bloquear a otros usuarios o esconderse de ellos. La clave está en que muchas de esas “herramientas” requieren que los usuarios introduzcan nombres de usuarios y contraseñas. Por desgracia, mucha gente se siente tan cómoda en la Web 2.0 interactiva que se olvidan de las normas de seguridad básicas en Internet. Una vez que los atacantes consiguen las credenciales de las cuentas, tienen acceso total a los amigos de las víctimas y pueden causar todo tipo de daños. Este fenómeno da un nuevo significado al término “fuego amigo”.
Desde su creación en 2006, Twitter ha adquirido una enorme popularidad en todo el mundo. En la actualidad, es una de las aplicaciones más utilizadas en Internet y, según el ranking Alexa, ha alcanzado nada menos que el puesto 27 en cuanto a tráfico de Internet. Era sólo cuestión de tiempo que el malware, el phishing y otros timos que utilizan la red Twitter y la tienen en su punto de mira, a ella y a sus usuarios, hicieran su aparición. Además, Twitter se ha convertido en una herramienta habitual tanto para uso empresarial como privado y esa exposición ofrece a los atacantes los medios para dirigir a los usuarios a distintas URL. Debido al limitado espacio asociado al uso de Twitter, mucho métodos para maximizar el espacio, en especial TinyURL, gozan de gran popularidad. (TinyURL es un servicio Web que sustituye URL largas por alias cortos que redirigen los navegadores a la dirección completa).
Aunque TinyURL es un servicio útil, los usuarios no tienen ni idea de a dónde les están redigiriendo, hasta que intentan acceder a la página. Por lo tanto, las precauciones que toman los usuarios normalmente cuando ven resultados de búsquedas y nuevos vínculos desaparecen tras una dirección oculta, dejándolos al amparo de la seguridad que les pueda ofrecer su puerta de enlace y sus equipos de sobremesa.
En abril, la plataforma de microblogs se enfrentó a varios ataques de gusanos JavaScript que aprovechaban una vulnerabilidad de secuencias de comandos entre sitios (XSS) para infectar otros perfiles de usuarios.
La primera alerta se produjo cuando los perfiles de Twitter comenzaron a publicar mensajes que animaban a la gente a visitar StalkDaily.com, un competidor de Twitter.
Mikeyy Mooney, de 17 años, asumió la responsabilidad de ser el creador de este clon de Twitter: “Yo fui quien codificó el XSS que después actuó como gusano al actualizar automáticamente el perfil y el estado de un usuario, y que acabó infectando a otros usuarios que visualizaron su perfil. Para ser sincero, lo hice por aburrimiento. Me lo paso bien buscando vulnerabilidades en sitios Web y no intento causar demasiados daños, sino más bien crear un gusano o cualquier cosa que dé a los desarrolladores una buena idea del problema y, al mismo tiempo, darme publicidad a mí mismo o a mi sitio Web”.5
Horas más tarde, cuando Twitter comunicó que había resuelto el problema, un gusano similar hizo su aparición en la comunidad. De nuevo, una vez que se visualizaba un perfil infectado, se ejecutaba e inyectaba un código en el perfil del usuario que lo veía y éste transmitía la infección. Al día siguiente
se produjeron dos ataques más, lo que obligó al personal de Twitter a eliminar casi 10.000 perfiles que propagaban el gusano.
Unos días más tarde, Travis Rowland, fundador y Director Ejecutivo de exqSoft Solutions, una empresa de desarrollo de aplicaciones Web personalizadas, confirmó que había ofrecido a Mooney un puesto en su empresa y que éste había aceptado. Este anuncio es a la vez sorprendente y lamentable, ya que la creación de código malicioso ni debería ser un medio para solicitar un trabajo ni servir como referencia positiva para conseguirlo.
Mientras tanto, han aparecido nuevos imitadores que hacían referencia a famosos. 5 BNOnews, “17-year-old claims responsibility for Twitter worm” (Un chico de 17 años dice ser el responsable del gusano de Twitter).
Twitter pirateada
Por segunda vez este año, un pirata informático dice haber conseguido acceso administrativo a la cuenta de un empleado de Twitter.6
En abril, un pirata informático anónimo francés llamado Hacker Croll publicó capturas de pantalla en un foro de debate online francés. Aparentemente, las imágenes fueron capturadas mientras el pirata informático utilizaba la cuenta de Twitter de Jason Goldman, un Director de Administración de Productos de Twitter.
McAfee
