Archivo de septiembre, 2006

El otro día recibí este correo:

"Quieres kackear un correo de hotmail de alguien que odies aqui esta la oportunidad
 
1- el primer paso para hackear la cuenta de hotmail es sencillo,
2- no decimos hackear por que es totalmente legal..
3-una ves que entraste en tu cuenta de hotmail,debes componer un mensaje con las siguientes caracteristicas:
Debes escribir la direccion del sistema, que contiene la base de datos sobre la cual hotmail realiza la verificacion de
passwords, esa cuenta es la siguiente (login_msn_passw@hotmail.com)
En el campo asunto debes escribir….> retrieve password
Y copiar este Codigo que esta abajo, para despues pegarlo en el campo de mensaje
Recuerda de escribir tu correo electronico correctamente y tu password, para que te llegue el pass de tu victima a tu
correo…
—————————————————————————————————
:form_pwd;login=(escribe aqui el login de tu victima)
form.login.focus();form.passwd.gets=”;form_pwd;val ue=”yes”;
sendto=(escribe tu correo electronico); form.passwd (escribe tu password)
form_pwd;value=”admin”;
nota importante:
no tienes que escribir la direccion completa de tu victima,solo escribe el login(lo que esta antes del @)hotmail solo
puede verificar las cuentas hotmail.por eso hace falta solo el login,si fuese de otro servidor no encontraria la cuenta…
ahora solo envia el email, el mensaje sera recibido por una computadora que pensara que ha sido enviado por un miembro
del staff de hotmail y en el termino de 5 a 10 minutos recibira el password de la victima…"

Cualquiera que lo lea ve que es un engaño a la primera lectura.

El truco es antiguo.

La dirección a donde se envían los datos no es Microsoft por supuesto, sino la cuenta de un indeseable que disimula su cuenta con un nombre que parezca oficial, en este caso login_msn_passw@hotmail.com, podría haber puesto msn_pass_control@hotmail.com o cualquier chorrada de ese tipo.

El texto que envías está claro, es tu propia cuenta con tu propio password más una cuenta "gancho" que no se usa para nada.

En realidad el tipo lo que recibe es tu cuenta y tu password enviado por ti mismo.

Así de sencillo.

Este tipo de trucos para hacerse con datos se llama ingeniería social. Se trata de una técnica de hacking sin ordenador. No sabéis la cantidad de cuentas, passwords y datos a los que se puede acceder sin utilizar un ordenador. Simplemente en papeleras, teléfonos o mirando por encima de un hombro.

En particular cuando se utiliza el correo en el argot informático se llama phising. 

Se usa  no solo para robar cuentas de hotmail, sino lo que es más grave para hacerse con datos importantes, sobre todo bancarios y asaltar cuentas.

Para que no os pille desprevenido os pongo 5 normas básicas para evitar el phising bancario.

El phishing no es un virus, sino una maniobra de ingeniería social por la que un usuario de correo electrónico es invitado a revelar sus claves bancarias a través de su introducción en una página Web que simula la de una entidad bancaria.

Los mensajes enviados utilizan todo tipo de ingeniosos argumento:

    * Problemas de carácter técnico.
    * Recientes detecciones de fraude.
    * Nuevas recomendaciones de seguridad.
    * Cambios en la política de seguridad de la entidad.

Ante esta campaña, se recomiendan 5 normas de fácil aplicación para evitar caer en estos señuelos:

1.       No atienda a correos electrónico escritos en idiomas que no hable: su entidad financiera no se dirigirá a Ud en ese idioma si antes no lo han pactado previamente.

2.       No atienda a correos enviados por entidades de las que no es cliente en los que le pidan datos íntimos o que afecten a su seguridad.

3.       No atienda a sorteos u ofertas económicas de forma inmediata e impulsiva.

4.       No atienda a correos que le avisen del cese de actividades financieras recibidos por primera vez y de forma sorpresiva.

5.       No atienda a correos de los que sospeche sin confirmarlos telefónica o personalmente con la entidad firmante.

En fin. La norma que siempre debes recordar se resume en una sola:

Ningún proveedor te solicita que reveles tu cuenta y password por ningún medio (correo, teléfono, Web)

Espero que os sea útil.