Caperucita roja y el lobo ciberdelincuente

¿Cómo les explicas a tus hijos los conceptos de la seguridad de la información? Es probable que ni lo hayas intentado, ¿verdad? Algunos padres deciden no hablar sobre la seguridad de la información y prohíben directamente a sus hijos que hagan ciertas cosas online o, incluso, que utilicen Internet en general. Pero impedir algo sin explicación resulta contraproducente, ya que puede incitar a los niños a probar la fruta prohibida.

En respuesta a la pregunta “¿Por qué no hablas con tus hijos sobre las ciberamenazas y el funcionamiento de la seguridad de la información?”, los padres que, para empezar, no suelen conocer el tema a fondo, afirman que se frustran y acaban renunciando, y no tiene por qué ser en ese orden. Pero ya se ha explicado todo. De hecho, puede que no lo sepas, pero muchos de los libros sobre ciberseguridad para niños se escribieron hace cientos de años: los cuentos populares. Solo hay que ajustar un poco el enfoque.

Caperucita roja

Por ejemplo, vamos a centrarnos en Caperucita roja, un cuento muy conocido en Europa que han contado grandes expertos de ciberseguridad como los hermanos Grimm, Charles Perrault y mucho otros. Las diferentes versiones de la historia pueden variar ligeramente, pero el argumento principal es el mismo. Vamos a analizar el cuento y ver qué sucede.

1. Mamá envía a su hija a casa de la abuelita con una cesta con pasteles.
2. Caperucita roja se encuentra con el lobo y este le pregunta: “¿A dónde vas?”.
3. Caperucita contesta: “A casa de mi abuelita, le llevo una cesta con pasteles”.

Las referencias a la ciberseguridad quedan claras desde el principio: aquí puedes explicar el establecimiento de comunicación, en el que se establece la comunicación entre dos partes y juntas observan las amenazas relacionadas.

Ahora Caperucita roja está programada para llamar a la puerta de la abuelita, recibir la consulta “¿Quién es?” y responder con una frase de contraseña que afirma que mamá le envía pasteles para que la abuelita dé la autorización y conceda el acceso a la casa. Pero, por alguna razón, emite la frase de contraseña a otra solicitud, sin haber recibido la consulta “¿Quién es?”. Esto ofrece al ciberdelincuente una opción de ataque.

4. Según la versión del firmware cuento, el lobo puede mandar a Caperucita roja por un desvío o sugerirle que recoja flores para la abuelita.

Sea como sea, se trata de un ataque de denegación de servicio (DoS, por sus siglas en inglés). Si el lobo intenta iniciar sesión en la casa de la abuelita después de la llegada de Caperucita roja, es muy probable que no pueda pasar, ya que el visitante que espera ya está dentro. Por tanto, es importante que deje a Caperucita roja fuera de combate un rato, para que no pueda completar su tarea a tiempo.

5. De cualquier manera, el lobo es el primero que llega a casa de la abuelita e inicia sesión tras responder correctamente a la consulta “¿Quién es?”. Por tanto, la abuelita le concede el acceso a la casa.

Se trata de una versión en libro de un ataque de Man-in-the-Middle (MitM, por sus siglas en inglés) que utiliza el método de ataque de repetición. El lobo accede al canal de comunicación entre las dos partes, descubre el proceso de establecimiento de comunicación y la frase de contraseña del cliente y los reproduce para conseguir el acceso ilegal al servidor.

6. El lobo devora a la abuelita, se pone su camisón y su gorro y se acuesta en la cama bajo la manta.

Es decir, está instalando un sitio de phishing. Todo parece auténtico desde el umbral de la puerta: la cama de la abuelita está en su sitio y hay alguien acostado que se parece a ella.

7. Después de acercarse a la casa y recibir la consulta “¿Quién es?”, Caperucita roja dice la frase de contraseña sobre los pasteles que ha traído.

Esto continúa con el ataque MitM, solo que ahora el lobo, que ha descubierto la segunda parte del proceso de intercambio de información, imita el comportamiento normal del servidor de la abuelita. Caperucita, que no detecta nada sospechoso, inicia sesión.

8. Caperucita entra en la casa y pregunta por qué la abuelita tiene las orejas, los ojos y los dientes tan grandes. Aunque estas preguntas son muy inteligentes, las respuestas del lobo convencen a Caperucita. Entonces, inicia sesión y el lobo se la come.

En la vida real, al igual que en el cuento, los sitios de phishing no convencen por completo y suelen contener elementos sospechosos, como los hipervínculos. Para evitar problemas, conviene prestar atención: por ejemplo, si el nombre de dominio de la abuelita sobresale de su gorro de dormir, abandona el sitio de inmediato.

Caperucita roja aprecia ciertas incoherencias, pero, por desgracia, las ignora. Aquí es donde tendrás que explicar a tu hijo que el comportamiento de Caperucita es muy descuidado y contarle cómo debería haber actuado en su lugar.

9. Afortunadamente, unos leñadores (o cazadores en otras versiones) entran en escena para abrir al lobo en dos y la abuelita y Caperucita reaparecen sanas y salvas.

Es cierto que el paralelismo con la seguridad de la información no es perfecto. No puedes abrir a un cibercriminal es dos y recuperar el dinero, la reputación o la seguridad. Bueno, para ser justos, no lo hemos intentado. Y, para que conste, no tenemos relación con nadie que lo haya hecho.

La ciberseguridad en otros cuentos

Los cuentos populares contienen lecciones de vida y, si lees entre líneas, es muy probable que encuentres referencias a la seguridad de la información en cualquiera, la clave está en saber explicarlo. Por ejemplo, en Los tres cerditos vemos como un script utiliza una herramienta que sopla muy fuerte para realizar ataques de fuerza bruta. La reina de las nieves instala un malware en forma de espejo encantado en Kai y toma el control sobre él, de la misma forma en la que una herramienta de acceso remoto (RAT, por sus siglas en inglés) le concede el nivel de control interno del sistema al delincuente.

A su vez, El gato con botas es un informe detallado de un ataque APT sofisticado, en el que el gato secuestra en primer lugar la infraestructura del ogro y, tras acomodarse allí, logra un acuerdo fraudulento con el gobierno local mediante una estafa compleja que involucra a los servicios de reputación.