La verificación en dos pasos es una de las medidas de protección más conocidas actualmente para evitar que las credenciales de acceso a cuentas en línea queden expuestas a los cibercriminales. A pesar de que estos mecanismos permiten bloquear cerca del 99,99 % de los ataques automatizados en las cuentas que lo poseen activado, los “hackers” ya encontraron formas de burlarlos, según informó Panda.
Y si bien no es tarea sencilla, algunos cibercriminales lograron interceptar los códigos de un solo uso que se envían en forma de SMS al ‘smartphone’ del usuario. Por ejemplo, se comprobó que mediante estafas de SIM Swapping (intercambio de SIM) es posible saltear la verificación en dos pasos.
Este método implica que un atacante convenza al proveedor de telefonía móvil de que él es la víctima, y luego pida que el número de teléfono del propietario se cambie a otro dispositivo. No se trata del único truco para vulnerar la autenticación de dos pasos, ya que los ciberdelincuentes crearon formas como las herramientas de proxy inverso o ataques mediante Google Play Store.
Los códigos de un solo uso basados en SMS pueden ser comprometidos por medio de herramientas de proxy inverso, como Modlishka. Es un tipo de servidor que recupera recursos en nombre de un cliente desde uno o más servidores distintos.
Algunos ‘hackers’ lo están modificando para reconducir el tráfico a páginas de inicio de sesión y a operaciones de ‘phishing’. Habitualmente, el ‘hacker’ intercepta la comunicación entre un servicio auténtico y una víctima, rastreando y registrando las interacciones de las víctimas con el servicio, incluidas las credenciales del comienzo de la operación.
También, los cibercriminales crearon otras formas para evitar la protección mediante nuevos ataques basados en SMS, como uno que se vale de Google Play para instalar automáticamente apps del sitio la web en celulares Android. Así, el atacante consigue acceso a las credenciales para comenzar sesión en la cuenta de Google Play en un celular, para operar en el teléfono cualquier aplicación.
Otro caso similar requiere del uso de una aplicación específica para sincronizar las notificaciones del usuario en otros dispositivos. Esto permite instalar una aplicación que duplicación mensajes, y luego puede intentar convencer al usuario para que habilite los permisos, y así lograr que la app funcione.
Si bien deben cumplirse varias pasos para que los ataques funcionen, esto evidencia vulnerabilidad en la identificación de dos pasos basados en SMS.
