¿Qué es un ataque de intermediario? Consejos y guía de prevención

Un ataque de intermediario (ataque MITM), a veces conocido como ataque de persona en el medio, es un ataque cibernético en el que un atacante transmite y posiblemente altera la comunicación entre dos partes que creen que se están comunicando directamente. Esto permite al atacante interceptar la comunicación, escuchar e incluso modificar lo que dice cada parte.

Los ataques de intermediario permiten el espionaje entre personas, clientes y servidores, como las conexiones del navegador a sitios web, otras conexiones de servicios web de máquina a máquina, conexiones de redes Wi-Fi y más.

Ejemplo de ataque Man-in-the-Middle

Imagínese iniciar sesión en un sitio web para descargar un estado de cuenta. Un atacante desea interceptar la conversación con la intención de hacerse pasar por usted en un momento posterior.

Primero escribe la URL del sitio web en su navegador, luego su navegador usa DNS para buscar la dirección IP del sitio web. Un atacante devuelve un resultado de DNS falso con la dirección IP de una máquina que controla. No está seguro de cómo el atacante manejó este ataque. Tal vez estaban en la misma red que su máquina, o tal vez piratearon físicamente el cable Ethernet conectado a su proveedor de servicios de Internet.

En este punto, comienza el ataque. Todo lo que envía su navegador se comunica a la máquina del atacante, que luego se transmite al servidor real. Cada respuesta del servidor real se le envía de vuelta. Imitar un sitio web con HTTPS es difícil sin el certificado en la mano, por lo que el atacante puede enviar una respuesta de redireccionamiento para enviarlo a un sitio web propiedad del atacante con su propio certificado. O pueden usar el dominio original bajo el HTTP inseguro con una dirección IP falsa.

El atacante captura su nombre de usuario y contraseña, para iniciar sesión más tarde como usted para poder realizar transacciones no autorizadas desde su cuenta. Si un sitio está protegido por autenticación multifactor, el atacante podría capturar su token de sesión. Con su token de sesión, bloquearían su acción de cierre de sesión para poder continuar la sesión actual cuando cierre su navegador.

Este ejemplo pone de manifiesto cómo se pueden interceptar las comunicaciones digitales. Protocolos como HTTPS y DNSSec mitigan los riesgos de un ataque MITM. Estos protocolos alertan a los usuarios cuando algo está mal y no permiten la conexión si no está protegida.

¿Son peligrosos los ataques de intermediario?

Los ataques de hombre en el medio son peligrosos y generalmente tienen dos objetivos:

1. Obtenga acceso a datos confidenciales e información personal.
2. Manipular el contenido de un mensaje transmitido.

En la práctica, esto significa tener acceso a:

• Información de identificación personal (PII) y otra información confidencial para el robo de identidad
• Credenciales de inicio de sesión en una red Wi-Fi pública para obtener acceso no autorizado a las cuentas
• Números de tarjetas de crédito en un sitio de comercio electrónico
• Tráfico en puntos de acceso Wi-Fi públicos que se pueden redirigir desde sitios web legítimos a sitios que alojan malware

Los objetivos comunes de los ataques MITM son los sitios web y los correos electrónicos. El correo electrónico, de forma predeterminada, no utiliza el cifrado, lo que permite a un atacante interceptar y falsificar correos electrónicos del remitente solo con sus credenciales de inicio de sesión.

¿Cuál es la diferencia entre un ataque de intermediario y el olfateo?

Debido a la naturaleza de los protocolos de Internet, gran parte de la información que se envía a Internet es de acceso público. Cuando se conecta a una red de área local (LAN), todos los demás equipos pueden ver sus paquetes de datos.

Cuando un atacante está en la misma red que usted, puede usar un rastreador para leer los datos, lo que le permite escuchar su comunicación si puede acceder a cualquier computadora entre su cliente y el servidor (incluidos su cliente y el servidor).

En un ataque de intermediario, el atacante le engaña a usted o a su equipo para que se conecte con su equipo. Este ataque te hace creer que la oferta del atacante es el lugar al que querías conectarte. Luego se conectan a su destino real y fingen ser usted, transmitiendo y modificando información en ambos sentidos si lo desean. Este es un riesgo de ciberseguridad mucho mayor porque la información puede ser modificada.

A medida que la ciberseguridad tiende hacia el cifrado de forma predeterminada, el rastreo y los ataques de intermediario se vuelven más difíciles, pero no imposibles. Los atacantes pueden usar varias técnicas para engañar a los usuarios o explotar las debilidades de los protocolos criptográficos para convertirse en un intermediario.

¿Dónde se producen los ataques de intermediario?

Hay muchos tipos de ataques de intermediario, pero en general se producen de cuatro maneras:

1. Redes públicas: Corre el mayor riesgo cuando se conecta a cualquier red pública. Esto significa conexiones Wi-Fi públicas en aeropuertos o cafeterías, cualquier red sin restricciones de acceso. Es más fácil para un atacante convertirse en un intermediario porque muchas técnicas funcionan mejor en redes de área local y redes Wi-Fi.
2. En su computadora: Podría instalar malware que monitoree y modifique su conexión a Internet (como un hombre en el navegador) o sufrir un ataque de phishing que secuestre su conexión atrayéndolo a sitios que actúan como el intermediario.
3. Router: Los routers suelen ser suministrados por su proveedor de servicios de Internet y tienen una configuración de seguridad predeterminada, lo que significa que muchos routers tienen credenciales de inicio de sesión predeterminadas (como admin/password) o firmware obsoleto que podría tener una vulnerabilidad conocida.
4. Servidor web: el atacante obtiene acceso al servidor web genuino con el que pretendía comunicarse.

¿Cómo funcionan los ataques de intermediario?

Un ataque de intermediario se puede dividir en tres etapas:

1. Primera etapa: Obtener acceso a una ubicación para realizar el ataque.
2. Etapa dos: Conviértete en el hombre del medio.
3. Tercera etapa: Supere el cifrado si es necesario.

Una vez que el atacante es capaz de interponerse entre usted y su destino deseado, se convierte en el intermediario. Para que esto tenga éxito, intentarán engañar a su computadora con una o varias técnicas de ataque de suplantación de identidad diferentes.

¿Qué es la suplantación de ARP (envenenamiento de caché ARP)?

ARP (o Protocolo de resolución de direcciones) traduce la dirección física de un dispositivo (su dirección MAC o dirección de control de acceso a medios) y la dirección IP asignada a él en la red de área local. Un atacante que utiliza la suplantación de ARP tiene como objetivo inyectar información falsa en la red de área local para redirigir las conexiones a su dispositivo.

Imagina que la dirección IP de tu router es [.rt-script]192.169.2.1[.rt-script]. Para conectarse a Internet, su computadora portátil envía paquetes IP (Protocolo de Internet) a [.rt-script]192.169.2.1[.rt-script]. Para hacer esto, su máquina debe saber qué dispositivo físico tiene esta dirección. Para este ejemplo, el router tiene una dirección MAC de [.rt-script]00:0a:95:9d:68:16[.rt-script].

Así es como se produce la suplantación de ARP:

1. El atacante inyecta paquetes ARP falsos en su red.
2. Los paquetes ARP dicen que la dirección [.rt-script]192.169.2.1[.rt-script] pertenece al dispositivo del atacante con la siguiente dirección MAC [.rt-script]11:0a:91:9d:96:10[.rt-script] y no a su enrutador.
3. La caché ARP almacena información falsa asociando la IP [.rt-script]192.169.2.1[.rt-script] con MAC [.rt-script]11:0a:91:9d:96:10[.rt-script].
4. Su computadora portátil ahora tiene como objetivo conectarse a Internet, pero se conecta a la máquina del atacante en lugar de a su enrutador.
5. A continuación, el equipo del atacante se conecta a su router y le conecta a Internet, lo que permite que el ataque escuche y modifique su conexión a Internet.

¿Qué es la suplantación de IP (IP Address Spoofing)?

La suplantación de IP es cuando una máquina finge tener una dirección IP diferente, generalmente la misma dirección que otra máquina. Por sí solo, la suplantación de IP no es un ataque de intermediario, pero se convierte en uno cuando se combina con la predicción de secuencias TCP.

Generalmente, las conexiones a Internet se establecen con TCP/IP (Transmission Control Protocol/Internet Protocol):

1. Cuando dos dispositivos se conectan entre sí en una red de área local, utilizan TCP/IP.
2. Para establecer una sesión, realizan un apretón de manos de tres vías.
3. Durante un apretón de manos de tres vías, intercambian números de secuencia.
4. Los números de secuencia permiten a los destinatarios reconocer más paquetes del otro dispositivo diciéndoles el orden en que deben juntar los paquetes recibidos.

En un ataque de suplantación de IP, el atacante primero rastrea la conexión. En una red local, todos los paquetes IP entran en la red y son legibles por los dispositivos de la red. El atacante aprende los números de secuencia, predice el siguiente y envía un paquete haciéndose pasar por el remitente original. Si el paquete llega primero al destino, el ataque puede interceptar la conexión.

Imagine que un atacante se une a su red de área local con el objetivo de suplantar IP:

1. El atacante se une a su red de área local con la dirección IP [.rt-script]192.100.2.1[.rt-script] y ejecuta un rastreador que le permite ver todos los paquetes IP de la red.
2. El atacante quiere interceptar su conexión a la dirección IP del router [.rt-script]192.169.2.1[.rt-script], por lo que busca paquetes entre usted y el router para predecir el número de secuencia.
3. En el momento adecuado, el ataque envía un paquete desde su computadora portátil con la dirección de origen del enrutador ([.rt-script]192.169.2.1 [.rt-script]) y el número de secuencia correcto, engañando a su computadora portátil.
4. Al mismo tiempo, el atacante inunda el router real con un ataque de denegación de servicio (DoS), ralentizándolo o desactivándolo por un momento, permitiendo que sus paquetes lleguen a usted antes que los del router.
5. Su computadora portátil ahora está convencida de que la computadora portátil del atacante es el enrutador, completando el ataque de intermediario.

¿Qué es la suplantación de DNS (envenenamiento de caché de DNS)?

Tanto la suplantación de ARP como la suplantación de IP dependen de que el ataque esté conectado a la misma red de área local que usted. Con la suplantación de DNS, un ataque puede provenir de cualquier lugar. La suplantación de DNS es más difícil porque se basa en una caché de DNS vulnerable, pero puede afectar a un gran número de personas si tiene éxito.

DNS (Sistema de nombres de dominio) es el sistema utilizado para traducir direcciones IP y nombres de dominio, como dirigir desde una dirección IP a [.rt-script]example.com[.rt-script]. El sistema tiene dos elementos principales:

1. Servidores de nombres (servidores DNS): Los servidores de nombres son la fuente de información autorizada y generalmente se almacenan en dos o tres servidores para cada dominio. Por ejemplo, la dirección IP de [.rt-script]example.com[.rt-script] se almacena en [.rt-script]a.iana-servers.net[.rt-script] y [.rt-script]b.iana-servers.net[.rt-script]. Si todos los clientes que quisieran conectarse a [.rt-script]example.com[.rt-script] se conectaran a [.rt-script]a.iana-servers.net[.rt-script] y [.rt-script]b.iana-servers.net[.rt-script] para llegar a [.rt-script]example.com[.rt-script], los servidores estarían sobrecargados. Solucionadores locales para almacenar información en caché y evitar sobrecargas en el servidor. Si el solucionador no tiene la dirección IP almacenada en caché, se pondrá en contacto con los servidores de nombres y guardará la dirección IP.
2. Resolvers (cachés de DNS): Una base de datos temporal mantenida por el sistema operativo de una computadora que contiene registros de todas las visitas recientes e intentos de visitas a sitios web y otros dominios de Internet.

A continuación, se muestra un ejemplo de suplantación de DNS:

1. El atacante sabe que usas [.rt-script]192.0.111.255[.rt-script] como tu resolución (caché de DNS).
2. El ataque también sabe que este resolutor es vulnerable al envenenamiento.
3. El atacante envenena el resolver y almacena información del sitio web de su banco en la dirección IP de un sitio web falso.
4. Cuando escribes el sitio web de tu banco en el navegador, ves el sitio del atacante.
5. El atacante se conecta al sitio original y completa el ataque.

¿Qué es la suplantación de HTTPS (ataques de homógrafos de IDN o suplantación de la barra del navegador web)?

La suplantación de navegador web es una forma de typosquatting en la que un atacante registra un nombre de dominio que se parece mucho al dominio al que desea conectarse. A continuación, entregan la URL falsa para utilizar otras técnicas como el phishing.

El equipo de seguridad de Google cree que la barra de direcciones es el indicador de seguridad más importante en los navegadores modernos. Proporciona la verdadera identidad de un sitio web y la verificación de que se encuentra en el sitio web correcto.

Un ejemplo de suplantación de la barra de direcciones fue la vulnerabilidad Homograph que tuvo lugar en 2017. Aprovechó la función de Nombre de Dominio Internacional (IDN) que permite que los nombres de dominio se escriban en caracteres extranjeros utilizando caracteres de varios alfabetos para engañar a los usuarios.

Por ejemplo, [.rt-script]xn--80ak6aa92e.com[.rt-script] se mostraría como [.rt-script]аррӏе.com[.rt-script] debido al IDN, que es prácticamente indistinguible de [.rt-script]apple.com[.rt-script]. Desde entonces, esto se ha parcheado mostrando las direcciones IDN en formato ASCII.

¿Qué es el secuestro de correo electrónico?

El secuestro de correo electrónico se produce cuando un atacante compromete una cuenta de correo electrónico y recopila información de forma silenciosa mediante el espionaje de las conversaciones de correo electrónico. El secuestro de correo electrónico puede hacer que los ataques de ingeniería social sean muy efectivos al hacerse pasar por la persona propietaria del correo electrónico. Este enfoque se utiliza a menudo para el spearphishing.

¿Qué es un ataque Man-in-the-Browser?

Un ataque man-in-the-browser explota vulnerabilidades en navegadores web como Google Chrome o Firefox. Los troyanos, los gusanos, los exploits, las inyecciones SQL y los complementos del navegador pueden ser vectores de ataque.

El objetivo suele ser capturar las credenciales de inicio de sesión, especialmente las empresas de servicios financieros, como la compañía de su tarjeta de crédito o su cuenta bancaria. Cuando inicia sesión en el sitio, el hombre en el navegador captura sus credenciales para transferir fondos y modificar lo que ve para ocultar la transacción.

¿Qué es el espionaje de Wi-Fi?

Si alguna vez ha iniciado sesión en un punto de acceso Wi-Fi público en una cafetería o aeropuerto, es posible que haya visto una ventana emergente que dice Esta red no es segura.

Las conexiones Wi-Fi no cifradas son fáciles de espiar. Es como tener una conversación en un lugar público donde cualquiera puede escuchar. Puede limitar su exposición configurando su red como pública, lo que deshabilita la detección de redes y evita que otros usuarios de la red accedan a su dispositivo.

Otro ejemplo de espionaje de Wi-Fi es cuando un atacante crea su propio punto de acceso Wi-Fi, llamado Gemelo Malvado. Hacen que la conexión parezca idéntica a la auténtica, hasta el ID de red y la contraseña. Los usuarios pueden conectarse accidental o automáticamente al Gemelo Malvado, lo que permite al atacante espiar su actividad.

¿Qué es el secuestro de SSL?

El secuestro de SSL se produce cuando un atacante intercepta una conexión y genera certificados SSL/TLS para todos los dominios que visitas. Le presentan el certificado falso, establecen una conexión con el servidor original y luego retransmiten el tráfico.

Este ataque solo funciona si el atacante es capaz de hacer creer a su navegador que el certificado está firmado por una Autoridad de Certificación (CA) de confianza. De lo contrario, su navegador mostrará una advertencia o se negará a abrir la página.

Así es como funciona el secuestro de SSL:

1. El atacante utiliza un ataque cibernético independiente para que descargue e instale su CA.
2. Cuando visitas un sitio seguro, como tu banco, el atacante intercepta tu conexión.
3. El atacante genera un certificado para su banco, lo firma con su CA y le devuelve el sitio.
4. Su navegador cree que el certificado es real porque el ataque ha engañado a su computadora para que piense que la CA es una fuente confiable.
5. El atacante establece una conexión con su banco y transmite todo el tráfico SSL a través de ellos.

El secuestro de SSL se puede utilizar con fines legítimos. Por ejemplo, el software de control parental a menudo utiliza el secuestro de SSL para bloquear sitios.

¿Qué es la eliminación de SSL?

La eliminación de SSL o un ataque de degradación de SSL es un ataque utilizado para eludir la seguridad impuesta por los certificados SSL en sitios web habilitados para HTTPS.

Cuando va al sitio web, su navegador se conecta al sitio inseguro (HTTP) y luego generalmente se redirige al sitio seguro (HTTPS). Si el sitio web está disponible sin cifrado, un atacante puede interceptar sus paquetes y forzar una conexión HTTP que podría exponer las credenciales de inicio de sesión u otra información confidencial al atacante.

El riesgo de este tipo de ataque se reduce a medida que más sitios web utilizan HTTP Strict Transport Security (HSTS), lo que significa que el servidor se niega a conectarse a través de una conexión insegura, aunque todavía hay algunos factores de riesgo que enfrenta la configuración de HSTS.

Vulnerabilidades SSL/TSL

Las versiones anteriores de SSL y TLS son vulnerables a los exploits, pero puede fortalecer el SSL débil.

¿Qué es un secuestro de sesión?

El secuestro de sesión es un tipo de ataque que suele comprometer las cuentas de las redes sociales. La mayoría de los sitios de redes sociales almacenan una cookie de navegador de sesión en su máquina. Esta cookie se invalida cuando se cierra la sesión. Pero mientras la sesión está activa, la cookie proporciona información de identidad, acceso y seguimiento.

Cuando un atacante roba una cookie de sesión a través de malware, secuestro del navegador o un ataque de secuencias de comandos entre sitios (XSS) en una aplicación web popular con JavaScript malicioso, puede iniciar sesión en su cuenta para escuchar conversaciones o hacerse pasar por usted.

Otros métodos para los ataques de intermediario

Hay más métodos para que los atacantes se interpongan entre usted y su destino final. Estos métodos generalmente se dividen en una de tres categorías:

1. Compromiso del servidor: el atacante obtiene el control del servidor al que desea conectarse y coloca su propio software en el servidor para interceptar las conexiones.
2. Compromiso del cliente: el atacante obtiene acceso a su máquina e instala un troyano u otra forma de malware que le permite escuchar todas sus conexiones.
3. Compromiso de la comunicación: el atacante se apodera de una máquina que enruta información entre usted y el servidor.

Detección y prevención de ataques de intermediario

Hay muchos tipos de ataques de intermediario y algunos son difíciles de detectar. La mejor contramedida contra los ataques de intermediario es prevenirlos. Si bien es difícil evitar que un atacante intercepte su conexión si tiene acceso a su red, puede asegurarse de que su comunicación esté fuertemente encriptada.

Estos son algunos consejos generales que puedes seguir:

• Red privada virtual (VPN): configure una VPN para cifrar su tráfico web y limitar la capacidad de un atacante para leer o modificar la comunicación.
• Sistema de detección de intrusos en la red (NIDS): Los NIDS se colocan en puntos estratégicos dentro de una red para monitorear el tráfico hacia y desde todos los dispositivos de la red. Realiza un análisis del tráfico que pasa en toda la subred y hace coincidir el tráfico que se pasa en las subredes con la biblioteca de ataques conocidos. Una vez que se identifica un ataque o se encuentra un comportamiento anormal, se puede enviar una alerta a un profesional de la ciberseguridad.
• Cortafuegos: Un cortafuegos potente puede evitar el acceso no autorizado.
• Antivirus y antimalware: instale un paquete de software antivirus y antimalware que incluya un escáner que se ejecute en el arranque del sistema para evitar ataques de intermediario que dependan de malware.
• Autenticación de dos factores: utilice la autenticación de dos factores que requiere un vector adicional de autenticación más allá de su contraseña para evitar el secuestro de correo electrónico.
• Comprenda las estafas de phishing comunes: Los correos electrónicos de phishing son un vector de ataque común. Solo descarga archivos adjuntos de correo electrónico cuando sepas que provienen de un contacto de confianza.
• Cerrar sesión: cierre la sesión de las cuentas no utilizadas para invalidar las cookies de sesión y evitar el secuestro de la sesión.
• Piensa en lo que instalas: solo instala complementos y software del navegador que sepas que provienen de una fuente confiable.
• Forzar cifrado: Evite compartir información confidencial en sitios sin HTTPS.
• Instale HTTPS Everywhere: fuerce las conexiones SSL siempre que sea posible.
• Use un administrador de contraseñas: Evite completar automáticamente las contraseñas en sitios nefastos.
• Evite las redes Wi-Fi públicas: Si debe usar Wi-Fi públicas, configure su dispositivo para que requiera una conexión manual.
• Aplique parches de software y hardware: Mantenga sus herramientas actualizadas para evitar ataques de intermediario que exploten vulnerabilidades conocidas.
• Utilice servidores DNS seguros (caché DNS): asegúrese de que los servidores DNS (caché DNS) que utilice sean seguros.
• Seguridad de las aplicaciones: si tiene un sitio web o una aplicación, analice regularmente las vulnerabilidades y resuelva los problemas.

Ataques Man-in-the-Middle notables

El complot de Babington: En 1586 hubo un plan para asesinar a la reina Isabel I y poner a María, reina de Escocia, en el trono inglés. Las comunicaciones entre María, reina de Escocia y sus cómplices fueron interceptadas, decodificadas y modificadas por Robert Poley, Gilbert Gifford y Thomas Phelippes, lo que condujo a la ejecución de la reina de Escocia.

Belkin: En 2003, un ataque no criptográfico fue perpetrado por un router de red inalámbrica de Belkin. Periódicamente, se haría cargo de la conexión HTTP que se enruta a través de él, no podría pasar el tráfico al destino y respondería como el servidor previsto. En la respuesta que enviaba, reemplazaría la página web que el usuario solicitó con un anuncio de otro producto de Belkin. Este problema se resolvió posteriormente.

DigiNotar: En 2011, una brecha de seguridad de DigiNotar resultó en la emisión fraudulenta de certificados que luego se utilizaron para realizar ataques de intermediario.

Nokia: En 2013, se reveló que el navegador Xpress de Nokia descifraba el tráfico HTTPS, lo que daba acceso a texto sin cifrar al tráfico cifrado de sus clientes.

Equifax: En 2017, Equifax retiró sus aplicaciones para teléfonos móviles debido a preocupaciones de vulnerabilidad de intermediario.

La plataforma de UpGuard puede ayudarlo a comprender cuáles de sus sitios son susceptibles a ataques de intermediario y cómo solucionar sus vulnerabilidades. UpGuard BreachSight puede ayudar a combatir el typosquatting, prevenir las violaciones de datos y las fugas de datos, para que pueda evitar multas reglamentarias y proteger la confianza de sus clientes a través de calificaciones de seguridad cibernética y detección continua de exposición.

También podemos ayudarlo a monitorear, calificar y enviar cuestionarios de seguridad continuos a sus proveedores para controlar el riesgo de terceros y cuartos y mejorar su postura de seguridad, así como crear automáticamente un inventario, aplicar políticas y detectar cambios inesperados en su infraestructura de TI. Le ayudamos a escalar sus procesos de gestión de riesgos de proveedores, gestión de riesgos de terceros y evaluación de riesgos de ciberseguridad.