Cuidado con los ataques térmicos: así roban contraseñas de cajeros y celulares

Esta imagen se tomó al instante en que la persona digitó la contraseña ¿Cuál creen que fue el resultado? déjenlo en la caja de comentarios.

Foto: Cortesía Kaspersky

¿Puede un delincuente, dotado de una cámara térmica, seguir el rastro de calor que usted deja en el teclado de un cajero automático y descifrar su contraseña? la respuesta corta es, sí. A esto se le conoce como espionaje térmico y sus aplicaciones también pueden poner en riesgo las contraseñas de teléfonos celulares, computadores, correos electrónicos y redes sociales.

Una reciente investigación, adelantada por la firma de seguridad informática Kaspersky, detalla que este tipo de ataques se han presentado desde hace unos 15 años, con la particularidad que, conforme pasa el tiempo, las tecnologías que se emplean para cometerlos se hace más baratas y, por tanto, más asequibles para los atacantes.

Aunque parte de las conclusiones a las que llega esta investigación, luego de realizar diversos experimentos, es que es poco probable que un delincuente logre robar una contraseña empleando este método (pues hay una serie de variables que le juegan en contra), de todas formas es una amenaza que se debe reconocer para tomar las medidas de seguridad que mitigan el riesgo de convertirnos en víctimas.

Así podrían robar su contraseña de cajero automático

Si se piensa bien, las contraseñas de cajeros automáticos pueden ser bastante vulnerables ante este método, pues son de tan solo cuatro dígitos, los cuales pueden ser revelados al usar un sensor térmico después de que la víctima retira su dinero.

Sin embargo, no es tan sencillo como parece. Como lo detalla Kaspersky en su informe, el rastro de calor que una persona deja sobre las teclas desaparece en segundos, por lo que el éxito del ataque dependerá de la agilidad con la que tome la captura del teclado.

Con 30 segundos de diferencia, por ejemplo, la probabilidad de recuperar la secuencia es de un 50 %, los cuales se reducen drásticamente conforme pasan los segundos. Según esta investigación, el delincuente tendría una ventana de tiempo de hasta 90 segundos para que el dispositivo empleado capte ese rastro térmico, aún así, las probabilidades de éxito son prácticamente nulas.

“Los investigadores llevaron a cabo un total de 54 experimentos en los que apenas variaron los parámetros. Las huellas térmicas se analizaron de forma manual y con sistemas automatizados (estos últimos con resultados ligeramente superiores). En aproximadamente la mitad de los casos se consiguieron desvelar los botones presionados, pero no la secuencia correcta; de hecho, el código PIN exacto solo se pudo recuperar en menos del 10 % de los casos. Un código de 4 dígitos de cualquiera de los 11 dígitos disponibles da lugar a 10000 posibles combinaciones. Si conocemos los 4 números, pero no la secuencia, las combinaciones se reducen a 24. Pero hay que tener en cuenta el número de intentos permitido: como regla general, los bancos bloquean la tarjeta después del tercer intento sin éxito”, precisa Kaspersky.

Paso Estafadores se hacen pasar por la DIAN para alertar sobre “anomalías en la renta”

Esto es algo positivo para las eventuales víctimas, si se tiene en cuenta el tiempo que transcurre entre que se digita la contraseña, se extrae el dinero y se cuenta. No obstante, sigue siendo una posibilidad y por tanto es recomendable tomar medidas de seguridad para mitigar al máximo el riesgo.

Una recomendación es usar guantes al momento de insertar el código, pues estos no dejan rastros de calor. Tener un número repetido también podría dificultar el proceso para descifrar el orden de la contraseña. Pero, la que pareciera ser la mejor medida de seguridad ante este vector de ataque es presionar otras teclas, para generar ruido al atacante.

Tenga en cuenta que estas recomendaciones solo aplican para este tipo de amenaza, por lo que su uso podría ser ineficiente ante otros métodos. También puede valerse de herramientas adicionales que emplean actualmente los bancos, como verificaciones de dos pasos al momento de hacer retiros, es decir, que no solo sea necesaria la contraseña del cajero sino además un código de seguridad que es enviado a su teléfono celular por mensaje de tiempo, el cual tiene una validez de unos cuantos minutos. Para más información sobre este punto en específico, lo invitamos a consultar con su entidad bancaria.

Así podrían robar la contraseña de su celular

No importa si usa un PIN con número o letras, o si emplea el dibujo de un patrón, los ataques térmicos también podrían ser empleados para decifrarlos. También, como con el caso de los cajeros, las probabilidades de éxito dependen de la rapidez con la que el atacante realice el registro térmico.

“Tomar una imagen es algo más complicado en este caso, ya que, a diferencia de un cajero automático, la gente lleva consigo sus teléfonos. Sin embargo, no es tan descabellado imaginar una situación en la que sea posible tomar una imagen en el momento adecuado”, precisó Kaspersky, al agregar que estos trazos o marcas también se pueden decifrar viendo las marcas que dejan los dedos en la pantalla del dispositivo (que no se van con el calor).

Lea también: ¿Qué es el doxing y por qué debería cuidar lo que publica en sus redes sociales?

En suma, es potencialmente más probable que un atacante descifre el código mirando las manchas que empleando una cámara térmica (aunque ya hay pantallas y protectores de pantalla con materiales que reducen considerablemente las manchas por huellas).

La recomendación aquí es valerse de la biometría que actualmente emplean la mayoría de los teléfonos celulares, como el reconocimiento facial o el sensor de huellas dactilares. Aunque estos sistemas no son 100 % seguros, pues también tienen sus propias vulnerabilidades, sí se consideran más seguros ante este tipo de amenazas.

Si por alguna razón su dispositivo no le permite un desbloqueo biométrico, aplique las medidas sugeridas para el cajero automático, es decir, borre el rastro de calor generado creando ruido térmico para el atacante.

Así podrían robar la contraseña de su computador, correo y redes sociales

Los rastros térmicos también podrían recuperarse de superficies como teclados de computador, y, por consiguiente, de todos los accesos que nosotros tengamos mediante el mismo como correos electrónicos y redes sociales.

“En la imagen, los puntos brillantes indican las teclas presionadas. Al igual que los otros, este estudio trataba de poner a prueba la eficacia de la recuperación de contraseñas tras cierto tiempo: la imagen térmica se tomó en diferentes intervalos de 20, 30 y 60 segundos. Eso sí, aquí entraba en juego una nueva variable: la extensión de la contraseña, totalmente arbitraria. Lo más importante es que los investigadores aplicaron algoritmos de aprendizaje automático, indispensable en los experimentos para la extracción de datos útiles del ruido”, explica Kaspersky, al precisar que en el 50 % de los casos se logró recuperar contraseñas desde hasta 16 caracteres.

Este sí que es un dato sorprendente, pues por lo general (como lo reveló el informe de las contraseñas más usadas en 2022) las personas suelen usar contraseñas cortas (de no más de 6 u 8 caracteres) y fáciles de interpretar, como secuencias de números, letras o datos personales (nombres, fechas y hasta aficiones por equipos de fútbol y películas).

Una vez más, en temas de seguridad informática el tamaño sí importa, por lo que la recomendación sigue siendo el de tener contraseñas largas que mezclen mayúsculas, minúsculas, números y caracteres especiales. En la medida de lo posible, use los bancos de contraseñas que incorporan sus teléfonos celulares (como el que traen los dispositivos Apple y que se activan con reconocimiento facial).

Aunque como lo hemos visto el espionaje térmico no es el mejor de los métodos que puede emplear un atacante para robar las contraseñas de sus víctimas, sí es una amenaza a la que hay que prestarle atención, así como a otras que suelen abundar por estos tiempos, como el phishing. En suma, la mejor defensa contra los cibercriminales es mantenerse bien informado (lo invitamos a consultar los diversos artículos que desde El Espectador hemos realizado sobre este tema).

💰📈💱 ¿Ya te enteraste de las últimas noticias económicas? Te invitamos a verlas en El Espectador.