Chema Alonso: del lado del mal a ‘El Hormiguero’
Ayer, Chema Alonso (conocido como Maligno) apareció, para sorpresa de los que le seguimos hace años, en el programa ‘El Hormiguero‘ de Antena 3 explicando una de las técnicas que diversos hackers habían utilizado para hacerse con las fotografías de desnudos de famosas en el conocido como Celebgate (bautizado así por las entrañas más irreverentes de 4chan). Chema, para el que aún no le conozca, es Ingeniero Informático, Ingeniero Informático de Sistemas y Doctor en Seguridad Informática, casi nada. CEO en Eleven Paths, uno de los artífices de 0xWORD, Director del Master de Seguridad de Información en la Universidad Europea de Madrid, colaborador en programas radio, autor de libros de hacking y seguridad informática, conferenciante y un largo etcétera de los que quita el hipo sólo con hacerse una idea siquiera. Ah, por cierto, y Productor Ejecutivo en Cálico Electrónico (¿a que esto no te lo esperabas?) y, como no, editor del blog Un informático en el lado del mal.
Antes de seguir, vamos a ver el vídeo del fragmento en el que Chema reproduce un ataque a iCloud, concretamente a una cuenta falsa creada para el evento y que simula pertenecer al mismísimo Pablo Motos, conductor del programa.
Como se puede observar, el ataque es de lo más tontuno del universo; es un viejo phishing de manual de instrucciones alimentado por características de seguridad muy poco fiables del cliente de correo de Gmail para iPhone y de la propia Apple. Él, en su blog, lo explica técnicamente a las mil maravillas, por lo que sólo vamos a hacer un repaso somero para primerizos.
Apple no se empeña mucho en evitar el spoofing de sus direcciones IP, por lo que cualquiera puede enviar un correo electrónico en nombre de la compañía sin que se levante demasiado revuelo. Por su lado, Gmail no se empeña demasiado en hacernos ver que la procedencia no es la registrada para Apple; quizás por desidia, quizás por «la culpa es tuya, arréglalo tú». Asimismo, el cliente de Google para dispositivos iPhone es bastante difuso escupiendo alertas de navegación externa y, además, lanza dicha navegación en objetos Web View que ocultan la barra de direcciones y, por tanto, la URL (falsa) en la que nos encontramos.
Vamos, un cúmulo de despropósitos que puede hacer que un usuario poco experimentado (o, incluso, uno más o menos experto) caiga como un panchito en la trampa, enviando su cuenta de usuario y su contraseña al atacante sin percatarse del engaño. ¡Y cómo funciona el cerebro humano, señores!, que tras el robo de nuestros datos, la falsa web nos tira un error y nos redirige a la web buena, la real, en la que volvemos a escribir nuestros datos y pasamos a la primera. Nuestra cabeza nos dice «habré introducido algo mal la primera vez», nunca nos sugiere «me acaban de robar todo lo robable«.
Lo que eché de menos ayer en ‘El Hormiguero’, quizá por falta de tiempo y por las prisas televisivas, fue una aclaración de la solución a este problema, es decir, algo tan sencillo como explicar cómo desactivar los respaldos y las sincronizaciones en la nube Apple, así como eliminar las copias de seguridad que allí ya se encuentren. Algo sencillo de realizar y que termina con el problema de raíz.
En fin, Chema Alonso, aferrado a su inseparable rayado gorro de lana, estuvo como pez en el agua exponiendo un tema que se ha puesto de moda a cuenta de las últimas filtraciones, pero que es tan viejo como la Red misma. El tío en un crack del asunto y vale su peso en bitcoins, por lo que aconsejo a cualquiera que se interese un mínimo por su seguridad digital que le siga en su blog, su cuenta de Twitter, su perfil en Facebook o donde quiera que sea, pero que esté al tanto de lo que cuenta este hombre, que no tiene desperdicio alguno.
Conocí a Chema mientras se daba una charla en una Ekoparty (acá en Argentina). Ni bien lo vi, me acerqué y le dije «Chema, soy un gran seguidor tuyo, te leo a diario» y estuvimos hablando un rato, además de ser uno de los mejores expertos en seguridad de habla hispana, es un tipo muy cálido y agradable.
Un abrazo Jonathan, el blog, genial como siempre 🙂
22 octubre, 2012 a las 19:34Uso Debian GNU/linux, bfque aruviints me recomienda? y sobre todo, bfpara que?. bfNo tendre1 que ver nada su opinif3n con el hecho de trabajar para Microsoft, de cuyo OS esta es justo a principal debilidad?. Yo uso clamav en mi Debian, pero para escanear discos duros de gente que usa winbugs Por cierto tengo servidores en los que uso CentOS, Red Hat y Debian. Por su nota me quedf3 claro que al no usar aruviints no se9 nada de informe1tica bfque debereda usar?
That is a very good tip especially to those fresh to the blogosphere.Brief but very accurate informationÂ… Many thanks for sharing this one.A must read post!
Hello,I just stopped by to say I loved my free online reading and the cards are so beautiful. I have been practicing my readings, done several free ones for friends and family as well as co/workers and amazed them with bow accurate I was! I pray your migrans pass and all pain leaves you, as for the noise that like the migrains is a gradual departure! again u are in my prayers and thank you for having such a lovely siteBlessings <3Amberly