Conozca a los piratas informáticos que manipulan identificadores de Instagram y criptomonedas robadas en un mercado clandestino oscuro y animado de cuentas y nombres de usuario robados. ¿El punto débil de sus víctimas? Sus números de teléfono.
El secuestro de la tarjeta SIM es una amenaza poco conocida pero en aumento. Para aprender a impedir que los piratas informáticos le roben su número de teléfono, lea nuestra guía sobre cómo protegerse de estos ataques.
Parecía una noche cálida de septiembre cualquiera en las afueras de Salt Lake City. Rachel Ostlund acababa de acostar a sus hijos y se preparaba para irse a dormir. Estaba enviando un mensaje de texto a su hermana cuando, de forma inesperada, su teléfono móvil perdió la señal. El último mensaje que Rachel recibió era de T-Mobile, su operadora. La tarjeta SIM de su número de teléfono, el mensaje leído, había sido «actualizada».
Rachel hizo lo que la mayoría de la gente habría hecho en esa situación: apagó y encendió el teléfono. No sirvió de nada.
Subió las escaleras y le dijo a su marido Adam que su teléfono no funcionaba. Adam intentó llamar al número de Rachel desde su teléfono móvil. Sonó, pero el teléfono en manos de Rachel no se encendió. Nadie contestó. Mientras tanto, Rachel inició sesión en su correo electrónico y notó que alguien estaba restableciendo las contraseñas de varias de sus cuentas. Una hora después, Adam recibió una llamada.
«Pásame a Rachel», pidió una voz al otro lado de la línea. “Ahora mismo.”
Adam dijo que no y preguntó qué estaba pasando.
“Te vamos a joder, te vamos a violar y estamos destruyendo tu vida”, dijo el interlocutor. “Si sabes lo que te conviene, pásame a tu mujer.”
Adam se negó.
«Vamos a destruir tu crédito», continuó la persona, nombrando a miembros de la familia de Rachel y Adam, junto con sus direcciones, datos que la pareja cree haber obtenido de la cuenta de Amazon de Rachel. «¿Qué pasaría si les hiciéramos daño? ¿Qué pasaría si destruyéramos su crédito y luego les dejáramos un mensaje diciendo que era por tu culpa?
“Te la estamos metiendo hasta el fondo, te estamos violando y estamos destruyendo tu vida.”
La pareja aún no lo sabía, pero acababan de convertirse en las últimas víctimas de los piratas informáticos que secuestraban números de teléfono para robar valiosos nombres de usuario de Instagram y venderlos por Bitcoin. Aquella noche de finales de verano de 2017, los Ostlund estaban hablando con dos de esos piratas, que habían tomado el control de la cuenta de Instagram de Rachel, cuyo identificador era @Rainbow. Ahora le pedían a Rachel y Adam que renunciaran a su cuenta de Twitter @Rainbow.
En el próspero mercado clandestino de identificadores robados de juegos y redes sociales, un nombre de usuario único y corto puede costar entre 500 y 5 000 dólares estadounidenses, según las personas implicadas en el comercio y un análisis de los listados de un mercado popular. Varios piratas involucrados en el mercado afirmaron que la cuenta de Instagram @t, por ejemplo, se vendió recientemente por unos 40 000 $ en Bitcoin.
¿Le han hackeado el teléfono o Instagram? Cuéntenos su historia.Puede contactar con este periodista de forma segura a través de Signal en el +1 917 257 1382, por chat OTR en [email protected] o por correo electrónico en [email protected].
Al secuestrar el número de teléfono de Rachel, los piratas no solo se apoderaron de su cuenta de Instagram, sino también de sus cuentas de Amazon, eBay, PayPal, Netflix y Hulu. Ninguna de las medidas de seguridad que Rachel había adoptado para proteger algunas de estas cuentas, incluida la autenticación de dos factores, sirvió de nada una vez que los piratas tomaron el control de su número de teléfono.
«Fue una noche muy tensa», recordó Adam. “No puedo creer que tuvieran la desfachatez de llamarnos.”
IMAGEN: SHUTTERSTOCK
UNA AMENAZA SUBESTIMADA
En febrero, T-Mobile envió un mensaje de texto masivo advirtiendo a los clientes sobre una amenaza «sectorial». Según la compañía, los delincuentes utilizan cada vez más una técnica llamada «estafa del puerto muerto» para atacar y robar los números de teléfono de las personas. La estafa, también conocida como intercambio de SIM o secuestro de la tarjeta SIM , es sencilla pero extremadamente eficaz.
En primer lugar, los delincuentes llaman al número de atención técnica de un operador de telefonía móvil haciéndose pasar por su víctima. Explican al empleado de la empresa que han «perdido» su tarjeta SIM y piden que su número de teléfono sea transferido a una nueva tarjeta SIM que los propios piratas ya poseen. Con un poco de ingeniería social (quizá proporcionando el número de la seguridad social de la víctima o la dirección de su domicilio, datos que a menudo están disponibles gracias a alguna de las numerosas filtraciones de datos de los últimos años), los delincuentes convencen al empleado de que son quienes dicen ser, y este transfiere el número de teléfono a la nueva tarjeta SIM.
Juego terminado.
“Con el número de teléfono de alguien”, me explicó un pirata informático que realiza el intercambio de SIM, “puedes acceder a todas las cuentas que tiene en cuestión de minutos, y no pueden hacer nada al respecto.”
CAPTURA DE PANTALLA DEL MENSAJE DE TEXTO QUE RACHEL OSTLUND RECIBIÓ CUANDO LOS PIRATAS INFORMÁTICOS SE APODERARON DE SU NÚMERO DE TELÉFONO.
A partir de ese momento, la víctima pierde el servicio, ya que solo una tarjeta SIM puede estar conectada a la red móvil con un número determinado a la vez. Además, los piratas pueden restablecer las cuentas de la víctima y eludir a menudo las medidas de seguridad, como la autenticación de dos factores, usando el número de teléfono como método de recuperación.
Algunos servicios, incluido Instagram , exigen que los usuarios proporcionen un número de teléfono al configurar la autenticación de dos factores, una condición que tiene el efecto inesperado de dar a los piratas otro método para acceder a una cuenta. De hecho, si los piratas se apoderan del número de un objetivo, pueden saltarse la verificación en dos pasos e iniciar sesión en su cuenta de Instagram sin siquiera conocer la contraseña. (Consulte nuestra guía sobre cómo proteger su número de teléfono y las cuentas asociadas frente a los piratas .)
Eric Taylor, un pirata informático conocido anteriormente como CosmoTheGod , utilizó esta técnica en algunas de sus hazañas más famosas, como cuando hackeó la cuenta de correo electrónico del director ejecutivo de CloudFlareen 2012. Taylor, que ahora trabaja para la empresa de seguridad Path Network , me dijo que tener un número de teléfono asociado a una de tus cuentas en línea te hace “vulnerable a los niños de 13 a 16 años que toman el control de tus cuentas simplemente cogiendo tu teléfono menos de cinco minutos después de llamar a tu puta compañía telefónica.”
«Pasa todo el tiempo», añadió.
¿Quieres dejar una propina? Puedes contactar con este periodista de forma segura por Signal en el +1 917 257 1382, por chat OTR en [email protected] o por correo electrónico en [email protected].
Roel Schouwenberg, director de inteligencia e investigación de Celsus Advisory Group, ha investigado problemas como el intercambio de tarjetas SIM, la elusión de la autenticación de dos factores y el uso indebido de los mecanismos de recuperación de cuentas. En su opinión, ningún número de teléfono es completamente seguro, y los consumidores deben ser conscientes de ello.
«Cualquier tipo de número puede ser transferido», me dijo Schouwenberg. «Un actor criminal decidido y con recursos podrá obtener al menos un acceso temporal a un número, lo que a menudo basta para llevar a cabo un atraco.»
Es inquietante, porque los números de teléfono móvil se han convertido en las «llaves maestras» de toda nuestra identidad en línea, como lo explicó en una entrada de blog el año pasado.
«La mayoría de los sistemas no están diseñados para hacer frente a atacantes que toman el control de números de teléfono. Esto es realmente muy grave», escribió Schouwenberg. «Nuestro número de teléfono se ha convertido en un identificador casi irrevocable. Nunca se diseñó para ser así, del mismo modo que los números de la seguridad social nunca se diseñaron como credenciales. Hoy en día, un número de teléfono proporciona la llave del reino para la mayoría de servicios y cuentas.”
Lo que hacen los piratas informáticos una vez que controlan tu número de teléfono depende exactamente de lo que busquen.
“Les quito su dinero y sigo con mi vida”
Si te roban la bicicleta, puedes comprobar en Craigslist si alguien la vende en el mercado negro. Si te roban la cuenta de Instagram mediante un intercambio de tarjeta SIM, debes comprobar OGUSERS.
A primera vista, OGUSERS parece cualquier otro foro. Tiene una sección de “spam / bromas” y otra para hablar de temas como la música, el entretenimiento, el anime y los videojuegos. Pero la parte más importante y activa es el mercado, donde los usuarios compran y venden nombres de usuario de juegos y redes sociales, a veces por miles de dólares.
En un mensaje reciente, alguien vendió la cuenta de Instagram @Bitcoin por 20 000 dólares, según uno de los administradores del foro. En una lista que seguía en línea el 13 de junio, un usuario anunciaba la venta de @eternity en Instagram por 1000 dólares.
Estos son solo dos ejemplos del tipo de cuentas que se venden en OGUSERS. El foro se lanzó en abril de 2017 para dar a la gente un lugar donde comprar y vender nombres de usuario «OG». (El foro toma su nombre del término de argot OG, abreviatura de “original gangster”, gánster original.) Un OG en una red social es un nombre de usuario considerado genial, quizá porque es una palabra única como @Sex, @Eternity o @Rainbow. O quizá porque es un nombre muy corto, como @t o @ty. Las celebridades también han sido objetivo.
CAPTURA DE PANTALLA DE LA CUENTA DE INSTAGRAM DE SELENA GOMEZ TRAS SU HACKEO.
En agosto del año pasado, por ejemplo, unos piratas informáticos secuestraron la cuenta de Instagram de Selena Gomez y publicaron fotos desnuda de Justin Bieber. El primer nombre que aparecía en la cuenta de Gomez también fue sustituido por «Islah», idéntico al que usaba entonces una persona de OGUSERS con el nombre de usuario Islah. Según hackers de OGUSERS, quienes afirmaban estar detrás del hackeo de Gomez dijeron haberlo hecho recuperando el número de teléfono móvil asociado a la cuenta de Instagram de la cantante y actriz, que tenía 125 millones de seguidores en el momento de la redacción.
«Dios mío, de verdad han hackeado a la persona más seguida de Instagram», comentó un miembro de OGUSERS en un hilo titulado «RIP SELENA GOMEZ».
Un portavoz de Gomez se negó a hacer comentarios por correo electrónico.
