Hackers Crackers E Ingenieria Social

Citation preview

Contenido

Hackers y Crackers

Las cajas registradoras de las tiendas en sus manos

Chantaje

Obteniendo las contraseñas de Gmail

Las altas esf eras

Asalto al tren del dinero

La mina de oro de las cabinas de teléf onos

Accediendo a smartphones

Espionaje industrial en su propia casa

De carterista a hacker

Los hackers de la nobleza

El espía espiado

Los teléf onos listos no son tan listos

A modo de resumen

Brev e glosario de terminología

Códigos de ejemplo

Direcciones útiles

Aclaraciones f inales

Hackers, Crackers, e ingeniería social Manuel Gris

2012 - Manuel Gris http://ManuelGris.blogspot.com Edición especial Kindle © Reserv ados todos los derechos. © De la presente edición: 2012 Diseño de cubierta: Ref lejo Creativ e Número de registro: 1209302422322 No está permitida la reproducción total o parcial de este libro, ni su tratamiento inf ormático, ni su transmisión íntegra (no se incluy en en este caso sinopsis, resúmenes o menciones) por cualquier medio sin el permiso prev io y por escrito del autor.

Índice Introducción Las cajas registradoras de las tiendas en sus manos Chantaje Obteniendo las contraseñas de Gmail Las altas esf eras

Asalto al tren del dinero La mina de oro de las cabinas de teléf onos Accediendo a smartphones Espionaje industrial en su propia casa De carterista a hacker Los hackers de la nobleza El espía espiado Los teléf onos listos no son tan listos A modo de resumen Brev e glosario de terminología Códigos de ejemplo Direcciones útiles Aclaraciones f inales

Sinopsis Tras el best seller de su libro "Técnicas de seguimiento", Manuel Gris regresa con su esperadísimo libro sobre seguridad inf ormática. En "Hackers, crackers e ingeniería social" conocerás uno de los aspectos menos conocidos de los hackers mediante sorprendentes historias que te abrirán los ojos a una realidad alternativ a, a un mundo en donde nada es lo que parece. Manuel Gris nos descubre las oscuras amenazas a las que se enf rentan no sólo políticos, compañías multinacionales y gobiernos del mundo entero, sino también el ciudadano de a pie. Este libro te abrirá los ojos a la auténtica realidad hacker en el mundo de hoy.

Introducción ¿Cómo v iv en los hackers? ¿Cómo operan para llev ar a cabo sus ardides? En este libro descubrirás la f orma de actuar de muchos de los hackers y crackers, así como su manera de mov erse entre el complejo entramado social, tejiendo sus sutiles redes para lograr sus objetiv os. Mediante historias nov eladas de las operaciones más complejas, Manuel Gris nos enseña cómo af ectan, a día de hoy, las activ idades de hackers a empresas y particulares. Fuera del mov imiento romántico de la cultura hacker, se nos muestra un escenario de artif icios sociales creado para "mantener el rebaño", la masa social, sumisa, y el cual los hackers saben aprov echar muy bien. Al margen de las corrientes políticas, escrutándolo todo, los hackers son capaces de ir más allá de los simples trucos psicológicos y pueden inf iltrarse en las más altas esf eras del poder. No es en v ano que gobiernos de todo el mundo, y destacadas multinacionales, recurran a ellos de manera habitual. Descubre el mundo oculto que respira y se muev e tras tu ordenador. Al f inal de cada capítulo encontrarás un apartado con importantes consejos sobre cómo protegerte o proteger a tu compañía de los ataques e inf iltraciones descritas prev iamente en el texto.

Las cajas registradoras de las tiendas en sus manos La siguiente historia relata muy claramente lo f ácil que es a v eces adentrarse en los sitios más seguros e inv erosímiles de un negocio, y de que, en realidad, hay más peligros de los que a v eces suponen la may oría de personas, prof esionales del comercio o la inf ormación. Éste caso se llev ó a cabo por un grupo de hackers, a los que v amos a llamar RederZ, y que nos cuentan cómo colocaron su sof tware en una gran cantidad de comercios de todo en tipo de v arios países: "Una v ez pusimos el sof tware de gestión en v arias tiendas. Primero lo subimos a un f amoso sitio de indexación de aplicaciones. Normalmente estos sitios f acilitan al internauta programas que son f reeware o shareware, pero prev iamente ellos los suelen probar para conf irmar que, en ef ecto, cumplen lo que dicen y realizan las f unciones para las que supuestamente lo colgó allí el programador (y que se especif ican en la descripción del programa, un apartado de obligado cumplimiento al env iar la aplicación). Obv iamente, nuestro sof tware las cumplía, de modo que las pasó sin problemas. Por regla general no se suelen molestar (ni tienen tiempo material) de probar a f ondo un programa. Además, para que nuestra aplicación llegara a rev elarse como maligna tuv imos la precaución de programar la necesidad de su utilización durante un tiempo, un espacio de tiempo en el que y a podíamos estar seguros de que los testeadores de ese sitio y a la tuv ieran desinstalada". No tuv o que transcurrir mucho tiempo hasta que los miembros de RederZ v iesen los resultados. Las aplicaciones de gestión de

tiendas suelen ser muy populares, de hecho a día de hoy son prácticamente imprescindibles. Pero la may oría son caras y, sobre todo, complejas: se requieren instalar bases de datos y conf iguraciones tan estrictas y prof undas (como creación de elementos y campos clav e dependiendo de los datos a incluir) que muchos tenderos no tienen los suf icientes conocimientos para llev ar a ef ecto una conf iguración adecuada. Ellos habían obv iado todo eso, y habían creado un complejo entramado que desde f uera, de cara al usuario, f uncionaba con las v irtudes de una base de datos, pero que no lo era, por lo que el usuario podía trabajar como si se tratase de una aplicación de base de datos, pero sin la complicación y def ectos de ésta. De hecho era tan f lexible y cómoda que pronto se hizo f amosa: "No tardaron en escribirnos f elicitándonos por la aplicación. Lo utilizaban todo tipo de comercios, pero especialmente medianos y pequeños, de todas partes del mundo". Lo que los usuarios no sabían es que esa aplicación no era más que "malware" (un tipo de sof tware que oculta oscuros propósitos, escondido en una aplicación que, sin embargo, sí hace lo que promete). Los hackers obtenían direcciones IP (direcciones de red) de los usuarios e inf ormación sobre los tipos de conexiones que usaban. Pero eso no era lo más peligroso: "Teníamos listados de toda la mercancía que tenían, lo que v endían, el dinero que entraba en caja, las transacciones que realizaban con tarjetas de crédito... Todo, absolutamente todo." Podían haber hecho mucho daño, haberse apropiado del dinero no sólo de la tienda, sino de todos los clientes que pagasen con tarjeta de crédito, pero no lo hicieron:

"Nos sorprendimos a nosotros mismos de lo f ácil que había sido llegar hasta donde llegamos. No es que tuv iéramos miedo, sino que jamás nos planteamos robar dinero, en realidad nunca pensamos que nuestra aplicación la f uera a instalar más de un par de personas". Finalmente decidieron cortar por lo sano: env iaron a la aplicación una actualización que se auto instalaba y modif icaba el procedimiento de cálculo, de manera que daba siempre error. "Nos escribieron multitud de correos de todas partes, notif icándonos el f allo y rogándonos que lo corrigiéramos, era alucinante: ¡no querían por nada del mundo desprenderse de ella!". El grupo de hackers recuerda aquélla época con una cierta nostalgia, y adv ierte: "hoy en día cualquiera podría hacer lo mismo. De hecho incluso de f orma más f ácil, porque el mercado está copado de complejas aplicaciones de f acturación y gestión de tiendas absurdas y un programa rápido, sencillo y f ácil es aún más dif ícil de encontrar". - Protección. Protegerse de este tipo de amenazas es a v eces complicado, porque las páginas indexadoras de aplicaciones en la may oría de los casos contienen sof tware totalmente legal. Pero mi recomendación es que siempre se descargue la aplicación desde un sitio de conf ianza, a poder ser desde la web del autor. Muchos de esos portales de alojamiento tienen la URL del autor del programa en cuestión: v isítela. Si nota algo raro, no descargue el programa. Si el autor no dispone más que esa aplicación para su descarga, o su página es un simple link sin

más inf ormación, desconf íe. Recuerde siempre que el malware no es detectado por los antiv irus, por lo tanto en éste caso no le protegerán, y a que el programa en sí es totalmente legítimo. De modo que f íese de su instinto y, en último término, consulte en f oros o escribiéndole directamente al autor.

Chantaje Se tiende a pensar que los crackers y hackers pueden llegar a tener dominio casi absoluto en las compañías de telecomunicaciones, en las de gas, electricidad y, en general, en todo tipo de empresas de suministro básico para la v ida diaria de cada persona. Esta es una imagen muy popularizada en películas y nov elas, pero dista bastante de la realidad. De hecho, para que hoy en día un hacker pueda llegar a tener un cierto control en esas redes inf ormáticas de ciertas compañías, necesita saltarse enormes medidas de seguridad, tanto a niv el externo (de la red hacia af uera) como interno (de la red de dentro). Eso sin contar cortaf uegos y otra serie de mecanismos (hardware o sof tware) de lo más v ariado. Todo esto supone la inv ersión de mucho tiempo, y aunque los hackers, en su inmensa may oría, dispongan de ese tiempo -y de mucha paciencia- a v eces la situación requiere medidas mucho más expeditiv as. Éste es el caso de la cracker Nef ty. Esta cracker se había ganado una cierta f ama dentro de la Scene por lograr crackear programas menores de herramientas web shareware, como editores de mapas HTML con zonas activ as y similares. También había logrado modif icar el código de una aplicación de edición de f otos, pero casi al mismo tiempo la compañía lanzó una nuev a v ersión -bastante exitosa- de su programa, que incluía un algoritmo específ ico de v erif icación de clav es a partir de lo que se denomina técnicamente como un hash, para dif icultar el trabajo de los crackers. Pero eso no era lo que ahora le preocupaba a Nef ty : "Estaba obsesionada con una genial aplicación que usábamos la may oría de nosotros en clase, a espaldas de los prof esores. El

problema de ese programa es que era de pago, y cada diez minutos te salía una v entanita recordándotelo, era un incordio." Ella se sentía en deuda con sus compañeros, puede que f uera por generosidad o porque suponía todo un reto como cracker (o, también, y quizá no menos importante, para sentirse halagada por ello): "Yo me sentía un tanto responsable porque se la había instalado al resto de mis compañeros, y ahora casi todos ellos la usaban. Recurrían a ella en los exámenes, cuando había un ejercicio complicado para pasarnos las soluciones unos a otros... En f in, para inf inidad de cosas". No le f ue dif ícil conocer cómo estaba realizado el programa: simplemente por su modo de instalación y las librerías que usaba supo que estaba hecho en Visual Basic. Los cracker suelen trabajar con div ersas herramientas de descompilación, Nef ty lo explica que es como un juego, "como programar al rev és". "El programa usaba un sistema de registro sencillo pero ef icaz: mediante una tabla básica de matrices, generaba todas las contraseñas, tomando como ref erencia el número de instalación que se generaba al instalarla. Dos copias no f uncionaban con el mismo número, existían conf lictos entre sí. Un método simple pero muy bien pensado para una aplicación cuy o cometido era relacionarse unas con otras". El problema es que ésa tabla de matrices la tenía el programador: "Hacerse con esa tabla representaba tener el registro de todos los programas que se instalasen, presentes o f uturos". Una alternativ a era incluir una aplicación crackeada en sus

instalaciones (setup), una v ía que intentó, pero que le dejó en punto muerto: "Por la f orma de trabajar de Visual Basic necesitas sí o sí el instalador, no hay otro modo. Podría modif icar el ejecutable, pero la f unción seguiría allí, y, al generar el número de registro el crackeo del programa no serv iría para nada si había otra f uncionando en red". Es entonces cuando decidió un paso muy agresiv o: hacerse con la tabla completa. "Era algo audaz, pero en aquéllos tiempos no me importaba. Me importaba más llegar un día a clase y comenzar el registro masiv o de todas las copias que teníamos instaladas". No f ue dif ícil dar con el desarrollador de la aplicación: aunque se escondía tras el nombre de lo que parecía una empresa, Nef ty no tardó en av eriguar que detrás estaba una sola persona. "En el código de un f ormulario de solicitud aparecía un destinatario con una dirección de e-mail personal, que simplemente siguiendo el hilo te llev aba a una persona f ísica, con nombres y apellidos". Nef ty le escribió y, con todo el descaro, le pidió la tabla de matrices. Era su primer paso "suav ecito": "Lo hice desde una red wif i anónima, por supuesto, aunque en realidad no creí que f uera a responder". Pero lo hizo: "Se empezó a hacer el despistado, diciéndome que no sabía a qué me ref ería y que, si quería el programa, se lo comprase. Cuando le contesté diciéndole que no me interesaba una licencia, sino casi cuarenta, en lugar de of recerme un descuento

pareció f rotarse las manos". Como ese sistema v io enseguida que no f uncionaba, dio el siguiente paso: conseguir ella misma la tabla. Para hacerlo realizó una serie de pasos bastante inocentes, pero de un resultado prodigioso en aquéllos momentos. Ella misma nos los describe: "Primero v i mediante un whois en su página (af ortunadamente era una página española, y, por obligación, en aquélla época los whois no podían ser anónimos) su nombre y apellidos, su dirección... todos sus datos personales. Gracias a eso, con una simple búsqueda di con su perf il en Facebook. Normalmente suelo mantener v arios perf iles en las redes sociales, simulados, uno de chica y otro de chico, son muy útiles. Pero este tipo de perf iles para que "den el pego" tienen que tener una cierta antigüedad. Eso se consigue de una f orma muy simple: no es muy dif ícil entrar cada semana o cada quince días a cada uno de esos perf iles de redes sociales y subir un link de, por ejemplo, un v ídeo en YouTube. Con sólo ese gesto das la sensación de que tu perf il está "v iv o". Las f otos que colocaba en la imagen principal, por supuesto, no eran mías, sino que las obtenía de sitios de alojamiento de imágenes que se supone priv ados, pero que en la práctica no son tan "priv ados". Las cogía de este tipo de serv icios en países asiáticos o de Estados Unidos. En los lugares de Estados Unidos más prof undos (zonas de Alabama o estados parecidos) la gente no sabe hablar español en su inmensa may oría, y si v en una página en otro idioma que no sea el inglés ni siquiera la miran, por lo que es bastante raro que te adv iertan o se den cuenta de que usas su f oto". Con su nombre y apellidos y su página en redes sociales (en Facebook, en éste caso), supo su número de teléf ono:

"El tipo ni siquiera lo tenía oculto, su número de móv il lo tenía a la v ista de todo el mundo. Seguramente pensaba que así le podrían llamar con alguna of erta de trabajo o ligar más, y o que se...". La cracker también logró av eriguar su f echa de cumpleaños: "En realidad la f echa de cumpleaños no la tenía en público, pero con un poco de paciencia y sabiendo dónde buscar, utilizando cachés y siguiendo sus conv ersaciones, pude encontrar una conv ersación en donde le f elicitaban". De este modo av eriguó el día de su cumpleaños, algo que sería crucial en el proceso de obtener lo que deseaba: "Faltaban sólo un par de meses, ni siquiera, para ése día. Así que ideé un plan. Programé un script y una pequeña aplicación. La aplicación se ejecutaría en segundo plano, totalmente inv isible al usuario". El día de su cumpleaños, el programador encontró en su buzón de correo electrónico una curiosa f elicitación: "¡Hola! Soy Lorena, de Facebook. Como hoy es tu cumpleaños me gustaría f elicitarte, pero hacerlo desde el Facebook me parece muy f río, así que te env ío una f elicitación por aquí especialmente para ti, ¡espero que te guste!". Lógicamente, la tal "Lorena" de Facebook no existía, ni siquiera era uno de los perf iles f alsos de Nef ty : "Jugué con su imaginación. Fácilmente podía eliminar el correo, pero sabía que no lo iba a hacer. Era un hombre, le escribía una chica para f elicitarle, una chica que, se supone, además, la conocía de Facebook... Era demasiado tentador como para al menos no av eriguar de qué iba la cosa. Además, todo eso ocurría el día de su cumpleaños, para f elicitarle, cuando tendría

seguramente la guardia baja". En el correo se adjuntaba un link, que le desv iaba a una página web expresamente creada por la cracker para la ocasión, con todo el diseño de parecer una página web de f elicitaciones "normal": "Incluí v ínculos reales y tomé el diseño de una web real de f elicitaciones, lógicamente, sin el código HTML original, sino uno realizado por mí. La subí a un sitio de alojamiento gratuito [Nef ty nos rogó que no especif icásemos cual] y oculté la URL con un simple f rame sobre un marco de una página "legal", no f ue muy dif ícil, únicamente hay que ser cuidadosa y sutil al realizarlo, y conf irmar que f unciona, nada más. Lo bueno de este método es que puedes probarlo antes tú cuantas v eces quieras, y como y o había tenido casi dos meses para hacerlo, me bastó y me sobró tiempo". La página incluía un complejo script que llamaba a un Activ eX y que instalaba un programa -de f orma oculta- en el ordenador destino: "El script únicamente f uncionaba en Internet Explorer, por lo que incluí una rutina de modo que, si v isitaba la página con otro nav egador, la animación (es decir, la postal de f elicitación) no aparecía y se le adv ertía de tal circunstancia. Conf iaba en que el interés del tipo f uera tal que accediera con el Explorer -si es que no lo había hecho y a en un primer momento-. El Activ eX simulaba ser la animación de la postal, pero en realidad lo que hacía era copiar un pequeño programa y ejecutarlo luego. Para asegurarme de que de v erdad el programa lo hacía, v erif iqué que otra copia se instalase en la carpeta de Inicio de Windows, de manera que se ejecutase al iniciar sesión. El propio programa tenía una simple rutina para, en caso de haberse ejecutado una v ez, que no se v olv iera a ejecutar. En todo éste proceso no

tardaba ni un minuto". Dado que la postal tardaba más que ese minuto, la cracker tenía tiempo suf iciente. Nef ty dejó claro que lo que hacía el mismo programa, podía haberlo programado en Visual Basic Script, pero no quiso arriesgarse a que la v íctima cortase antes la conexión y dejase el trabajo a medio hacer: "Si llego a hacerlo en el script, tardaría bastante tiempo en hacer todas las tareas que y o quería que hiciera, así que pref ería asegurarme con el 'programita' independiente." Obv iamente, había muchas cosas que podrían haber f allado en todo éste plan: el usuario podía cerrar la conexión antes de tiempo, la instalación -a pesar de todas las rutinas de comprobación de Nef ty - podría f allar, o incluso el programa no ejecutarse como debiera. Pero a la cracker no le preocupaba: "Si eso no f uncionaba, y a idearía otro plan, en eso consiste mi trabajo. Vas probando cosas hasta que obtienes lo que quieres, no pasa nada si no sale a la primera". Pero f uncionó. Al día siguiente Nef ty borró la página f alsa de f elicitación y todo rastro de ella, y borró la cuenta que había abierto en el serv idor gratuito para que no se le pudiera seguir la pista hasta allí. En su correo electrónico tenía una serie de puertos de acceso al ordenador de su v íctima, direcciones IP de conexión directa, y ciertas copias de archiv os "interesantes" que le podrían serv ir, como el de registro de contraseñas de Windows. El programa instalaba además una aplicación de escritorio remoto en el ordenador de su v íctima, conf irmando después la correcta instalación. Si ésta no se realizaba bien, el pequeño programa ideado por Nef ty se reiniciaría la próxima v ez y lo

v olv ería a intentar, todo ello de f orma automática: "Podía f allar por miles de motiv os una v ez, dos, cien... pero el programa seguiría intentándolo de nuev o hasta que se instalase bien, o el tipo av eriguase lo que estaba pasando y se lo 'cargase'". La f orma de conf irmación era sencilla: simplemente se aseguraba de que el tamaño del programa de escritorio remoto instalado era el que debía ser, es decir, no tenía un menor tamaño (o no existiese el programa en la ruta). Con la aplicación f uncionando, se conectó a ella a última hora de la tarde: "Ese tipo de tareas es mejor realizarlas cuando la gente está cansada de una jornada delante del ordenador. En esos casos suelen preocuparse menos de lo que ocurre y lo único que quieren es hacer otras cosas, como pasar el rato en redes sociales o jugando, o irse a la cama, en lugar de mirar y remirar qué narices le están haciendo a su computadora una cracker". Delante de las narices del tipo, Nef ty cogió el código f uente del programa, las tablas de registro, y todo lo que necesitaba, y se lo env ió a un FTP anónimo: "Tenía que hacerlo cuando él estaba conectado, es decir, cuando el ordenador estuv iera f uncionando. Podía haber esperado a que saltara el salv apantallas, pero el tipo no paraba de hacer tonterías en el ordenador, y luego lo apagaba, de modo que me cansé de esperar. Además, ¿cómo iba a suponer que era y o?" No podemos saber la expresión que le quedaría en la cara al programador, cuando v io v olar su aplicación ante sus ojos: Nef ty sabía dónde ir y qué hacer, gracias a los comandos que ejecutaba en la consola de PowerShell para v er el directorio y

archiv os de su v íctima: "Al parecer sólo tenía ese ordenador, y era el que usaba para hacer todo lo que hacía en materia de programación, y también para uso personal". No obstante tuv o que ser rápida: el hombre podía desconectar en cualquier momento. "Lo que hice f ue crear un script que me trajese los archiv os, principalmente la tabla, y ejecutarlo en PowerShell. Dicho script también le cambiaba la conf iguración de teclado, de hecho se lo desactiv aba v olv iéndole a cargar el archiv o de conf iguración. Sólo f ue un par de toques rápidos. Mientras tanto al tipo lo tenía entretenido mareándole con el puntero del ratón". Tras ese ataque, desapareció. Y lo hizo porque y a tenía lo que quería. Pero cometió un error absurdo, de principiante, descargándole la tabla de registro delante de él. No f ue dif ícil que la v íctima sumase dos más dos: "Al día siguiente y a tenía un correo electrónico amenazándome con denunciarme. Por supuesto, le respondí como si no sabía de lo que hablaba, y a que si le amenazaba directamente era como conf irmar sus sospechas y ponerme a mí en el disparadero. En lugar de eso le dije que no sabía a qué se ref ería y que me dejase en paz. Pero me respondió con un correo mucho peor, llamándome de todo, y entonces f ue cuando le dije que empezaría a dejarle sin línea móv il, y luego, si seguía con sus amenazas, le dejaría sin electricidad, sin agua, y hasta sin casa. Se rió retándome a que no era capaz de hacerlo". Pero sí lo era: "Cuando llegas a ese niv el de riesgo tienes que tomar medidas. Sólo tenía dos alternativ as: o asustarle tanto como para que me

dejase en paz, o esperar a que llamaran a mi puerta la policía el día menos pensado tras una denuncia del tipo aquél. No era algo banal, aunque él no v iv ía de ese programa, en realidad le iba muy bien con él, y, por lo que había av eriguado, estaba contemplando la idea de hacerse autónomo o crear una compañía teniendo a ése programa como la estrella principal. Si y o tenía la tabla de registro, podía estropearle todos sus planes registrando copias o crackeándolas con dicha tabla, o, directamente, dif undiéndola. Si hacía eso en páginas de 'warez', y a podía irse olv idando de v ender más programas, porque aunque los actualizase y les cambiara el sistema de registro, y a nadie se los compraría". Nef ty consiguió lo que se propuso, y el tipo acabó dejándola por miedo: "Realmente debió recapacitar y darse cuenta de que y o y a no podía v olv erme atrás, y a no había nada que pudiera hacer, porque, aunque le dev olv iese la tabla de registros, él no se f iaría de mí y no se creería que me hubiese quedado sin una copia. En éste punto es cuando una, como cracker, tiene que tener la suf iciente sangre f ría como para conf iar en una misma y seguir adelante". Pero, ¿cómo consiguió acceder a la compañía telef ónica para cumplir su amenaza?: "No lo hice. No tenía tiempo de ir av eriguando cómo acceder a la compañía telef ónica para llev ar a cabo mi amenaza. Pero y o había trabajado en una, y sabía cómo operaban. Tenía el número de móv il del tipo, y, simplemente, les llamé y les dije que me habían robado el móv il, que me bloqueasen la línea para no seguir pagando. Todo esto simulando v oz de hombre, claro. Las compañías telef ónicas tienen como principio -o tenían, cuando y o estaba en ellas- el prev enir antes que curar. De

modo que si alguien te llama diciéndote que le han robado su móv il, primero se lo bloqueas, aunque en las preguntas que le hagas (como f echa de nacimiento o número del documento de identidad) f allen. Y si encima les llama un tipo llorando y nerv ioso, el operador que reciba esa llamada no dudará de que realmente te ocurre algo malo. Lo bueno es que además podía hacer lo mismo las v eces que quisiera, porque como cada v ez te coge el teléf ono un teleoperador nuev o, es muy dif ícil que v ay an ley endo los casos anteriores o los "warnings" que se ponen unos a otros con el ajetreo que tienen. Así que aunque el tipo no hiciera caso y hubiese llamado para reactiv ar su línea, y o podría v olv er a bloqueársela usando el mismo sistema, hasta que se dieran cuenta en la compañía de que realmente pasaba algo. Obv iamente, la llamada la hacía desde una cabina telef ónica, lo más alejada posible de mi ciudad". Muchas molestias, pero mereció la pena: tras haber comprobado la v íctima que realmente Nef ty podía "acceder" a su compañía telef ónica y dejarle sin línea, no v olv ió a saber más de él. Unas semanas más tarde la cracker v olv ió a intentar acceder al ordenador, y comprobó que y a no podía hacerlo. Seguramente había f ormateado y reinstalado todos los sistemas de seguridad. Aún así, Nef ty no está orgullosa de su "trabajo": "Cometí muchos errores, me conf ié en exceso mov ida por la codicia y el saber que tenía muy cerca lo que quería conseguir. Hoy en día no habría cometido tantos. De hecho, una v ez dentro de su ordenador podría haber hecho lo que me diera la gana, no debería haber actuado tan a prisa ni exponerme tanto". No obstante, su consuelo es que simplemente copió un programa de f orma ilegal: "Me adentré en un ordenador de otra persona. Vale, es un delito, pero si lo denunciase seguramente ahora se reirían de él,

porque, aparte de mi intrusión, él no podría demostrar que y o había sido materialmente la persona que robó su tabla de registros, ni que los programas eran míos. Me ocupé muy mucho de ocultar ese tipo de pruebas". Esa es una f orma de explicarlo bastante condescendiente, porque la realidad es que Nef ty sí registró las copias de sus compañeros de clase, y sí colgó a su sitio de warez pref erido la copia crackeada "y libre" del programa, lo que, muy probablemente, llev ó al programador "a la ruina", y a que a día de hoy su programa no ha v uelto a tener actualización. - Protección. Aunque Nef ty conf iesa haber cometido no pocos errores, no como cracker, sino como hacker negra, en su intrusión, lo cierto es que la v íctima tuv o también muchísimos. El primero de ellos es incluir en un f ormulario una dirección personal, dirección que, además, usaba en multitud de cuentas de Internet y que desv elaban su identidad. No es una buena f órmula mezclar direcciones personales con direcciones de empresa. Pero más grav e aún f ue caer en la trampa tan antigua de clickear un enlace dentro de un correo electrónico y ejecutar un complemento Activ eX. En éste sentido, la cracker interpretó muy bien su papel de "seductora estaf adora", incluso podría haber ido más allá si sus intereses f ueran otros, creando un perf il f also para tal persona en su red social pref erida. Otro de los errores de la v íctima f ue no tener un sistema para monitorear sus hilos de ejecución, y no mirar siquiera qué tenía en su carpeta de inicio o qué se ejecutaba automáticamente. Existen muchos programas para poder inf ormarnos f ácilmente de todo ello, pero muy pocos usuarios, realmente, se dan cuenta de su utilidad.

Respecto al Whois en un dominio de Internet... es inexplicable que, con todos los problemas de seguridad que conllev a, los Whois no sean anónimos por def ecto, y sigan dejando a la v ista de cualquier intruso la dirección personal de todo ciudadano que quiera tener su propio dominio. Finalmente, el dejarse ejecutar un script mediante shell (o de f orma autónoma, como podría también hacerlo en Windows, con JScript o VBScript) y no cortar la conexión de f orma inmediata, es algo que roza lo inaudito. Aunque tiene su explicación: ¿cuántos de nosotros, realmente, si v emos que se ejecuta una v entana de script deprisa y aceleradamente, se nos ocurriría como primer mov imiento cerrar nuestra conexión? Muy pocos, de ahí el éxito de programas auto instalables, que no son más que v irus, muy f amosos y extendidos por todo tipo de páginas web. La última idea de amenazar a la cracker podría dar para un extenso debate. ¿Cómo debemos actuar cuando nos sentimos v íctimas de algo así? ¿Debemos acudir directamente a la policía, o ponernos en contacto con el cracker o hacker? En la may oría de las ocasiones, el hacker muy probablemente accedería, si se lo decimos educadamente, a querer llegar a un acuerdo. La may oría de ellos una v ez descubiertos se sienten totalmente desolados, si llamamos a la policía (en caso de tratarse de una gran compañía), probablemente jamás sepamos cómo han accedido al sistema, y los agujeros de seguridad seguirían allí, además de exponernos en gran medida a que dif undan el contenido que han obtenido ilegalmente. El error que cometió la v íctima en éste caso ha sido empezar amenazando a la cracker, imaginándose, erróneamente, que ella se amilanaría. El resultado f ue mucho peor, de hecho, un hacker negro podría

haber llegado incluso a eliminar todo el contenido del ordenador y quién sabe cuántas cosas peores. Además, en éste caso la relación entre la acción y la cracker partía más que nada de una intuición de la v íctima, y aunque es cierto que ante una inv estigación prof unda por parte de inf ormáticos expertos en seguridad les llev aría a ella, no lo es menos que cuando se trata de una ordenador personal y de la intromisión para obtener un programa, algunas v eces la policía es más pragmática. La primera alternativ a de llegar a un acuerdo con la cracker quizá hubiera sido lo mejor, pero a v eces la v íctima se siente tan sorprendida y cabreada, que no se toma tiempo de recapacitar en lo que mejor resultado le daría. Al f in y al cabo, para la v íctima de este caso siempre le habría sido mucho mejor regalarle esas cuarenta licencias a Nef ty, que no v er su aplicación distribuida gratuitamente por todos los rincones, con la consiguiente pérdida, y a irreparable.

Obteniendo las contraseñas de Gmail Darkday es un cracker que conoce prof undamente la programación en dif erentes lenguajes. Su último trabajo en una auditoria le aburría, él lo calif ica como "extraordinariamente monótono y sin incentiv os". Por "incentiv os" no se ref iere al dinero, obv iamente. Si eres muy bueno programando aún hay muchas compañías que se pelearían por ti. Pero los incentiv os que le daban a Darkday en aquélla empresa (una multinacional de muchísimo prestigio, por cierto) no eran nada atractiv os para él: "Te of recían v ales de comida en su caf etería. Para mí era un castigo, era odioso. Pref iero comer a bocadillos que en caf eterías de una compañía donde lo único que te encuentras son las mismas caras hablando de su trabajo, era como seguir trabajando. También tenías transporte subv encionado, si ibas en tren te pagaban el billete (o parte del mismo). Pero y o tenía la estación a casi una hora de mi casa, perdía cada día un tiempo precioso sólo por tenerles contentos con el dinero que me daban por transporte". Para él, usar los incentiv os que la compañía le of recía era más un castigo que otra cosa: "Te decían: ¿por qué no usas nuestros v ales y nuestros descuentos? Y si no lo hacías se enf adaban, era como si les despreciaras o algo parecido". Darkday programaba en muchas ocasiones en Power Builder, un potente lenguaje de bases de datos. Según él tenía un superv isor que desconocía totalmente ese lenguaje: "Nunca entendí cómo había llegado el chav al aquél a ese

puesto. Cuando me hizo la entrev ista para entrar me hablaba de cosas inv erosímiles, no hacía más que insistirme preguntándome cuánto quería ganar. ¿Que cuánto quería ganar? ¡Pues lo máximo posible! La may oría de las personas que trabajan en consultoría son estúpidas, son los restos de empleados de otras empresas que no los quieren en ninguna otra parte, o están allí porque no tienen otro sitio a dónde ir." Darkday recuerda las llamadas que le hacían desde la central: "era absurdo, me llamaban desde la central a cualquier hora y sin av isar, porque allí estaba el único tipo que sabía interpretar lo que y o programaba. ¡Y se supone que esa empresa llev aba el sof tware de muchas de las may ores compañías del mundo!". No tardó en marchar de allí, y conf iesa sentir en aquél momento un gran aliv io: "En pocos momentos me sentí más aliv iado que cuando me largué de aquél sitio, era agobiante. Respiré tranquilo cuando me f ui de allí". Encontró luego algún trabajo limpiando, que le permitió obtener algún dinero, aunque muy poco: "De cobrar un buen montón de dinero al mes, pasé a cobrar una ridiculez. Además, en un entorno en donde nada de lo que sabía v alía ni un centav o. Algunas de mis compañeras se burlaban diciéndome que para qué hablaba de inf ormática si primero tenía que aprender a limpiar. Tenían razón. No eran buenos tiempos, pero me sirv ió para aprender un poco de humildad". Cuando acabó el contrato de limpieza se dedicó a pasarse las horas ante el ordenador: "Ya ni programaba, me pasaba días enteros en Facebook sin hacer nada. Bueno, perdiendo el tiempo, pero nada de

prov echo". Allí conoció a una chica que, aunque ella no estaba muy por la labor de entablar amistad con él, f ue la única que le hizo medianamente caso, quizá por lástima, o simplemente porque necesitaba su ay uda en v arias ocasiones, y a que Darkday le solía ay udar en las dif icultades que tenía con su Mac. Fue entonces cuando se quedó tan prendado de ella que se v io en la necesidad de conseguir el acceso a su cuenta de Gmail. La había seguido los pasos, gracias a sus habilidades, de hecho sabía todos sus mov imientos en la Red: "No es muy dif ícil para alguien con un poco de práctica y paciencia obtener inf ormación, a v eces muy v aliosa, de alguna persona que te interese. Yo llegué a obtener hasta el currículum de esa chica, que había colgado en la red de una compañía y dicha empresa se había despreocupado totalmente de asegurar y priv atizar el acceso a esos archiv os. De hecho, usaban lo que se denomina "seguridad mediante oscuridad": suponían que sólo quienes conocieran la URL directa del PDF (el propio usuario) podría acceder. Pero no me f ue muy dif ícil av eriguarla". Llegó un momento en el que supo que había alguien que también estaba enamorado de la chica, aunque en realidad Darkday cree que era más que un amigo y que estaban en una etapa prev ia de nov iazgo. Celoso por ese descubrimiento, se puso a la tarea de saber más. Nos cuenta cómo lo hizo: "En Gmail puedes hacer que te env íen el restablecimiento de contraseña si la has olv idado. No v oy a dar los pasos que hice para lograrlo, obv iamente, pero la chica me escribió por Facebook que no podía acceder a su correo. Como siempre la ay udaba en esos temas, ella conf iaba totalmente en mí, de modo que le dije que se la restablecería y o y que se la env iaría,

y que, a continuación, ella la cambiara. Aceptó. No tardé ni dos segundos en conf igurar su correo para que reenv iara todos sus mensajes a un buzón que y o manejaba. Aunque si no hubiera aceptado podría haberle env iado un link a una copia de Gmail f alsa para obtener las credenciales. No es dif ícil de hacer y casi todos pican". Con Gmail puedes conf igurar de f orma automática que cualquier correo que llegue a la bandeja de entrada se reenv íe a otro. Esta es una gran f unción, sin duda, pero su peligrosidad (y atractiv o para un hacker) es que no deja huella, simplemente aparece en uno de los apartados de conf iguración que, por cierto, la persona que usa el correo no suele v isitar casi nunca. La acción, al ser totalmente transparente, hace que el auténtico usuario ignore lo que está ocurriendo y no se de cuenta de que tenga su correo "pinchado". No obstante a Darkday no le sentó muy bien esa acción: "Me sentía mal; ella estaba en su derecho de salir o elegir a quien quisiera. Así que no tardé en v olv er a acceder a su correo y eliminarle la redirección, y luego deshabilitarle la contraseña para que el sistema v olv iera a pedirle una nuev a". - Protección. Este es un buen ejemplo de lo mucho que of recen las nuev as tecnologías a los hackers, y lo f ácil que les resulta acceder incluso a lugares en donde supuestamente su seguridad es máxima, como Gmail. También es un buen ejemplo de lo mucho que les af ecta la f alta de expectativ as, la rutina y la desidia que impera en la may oría de consultoras en la actualidad, abocadas a cumplir unos plazos y a contratar a personas a las que, en la may oría de las ocasiones, no saben bien dónde amoldarlas.

También es una adv ertencia para todas las personas en Facebook que dejan su seguridad inf ormática a personas totalmente desconocidas. Aunque pase mucho tiempo con determinada persona en sesiones online, tiene que tener en cuenta que la otra persona puede que no sea quien dice ser. Ciertamente, en el mundo real también se da este tipo de comportamientos, pero es mucho más peligroso cuando dejamos toda nuestra intimidad al aire en f orma de currículums, dándoselos a empresas que, supuestamente, dedican grandes esf uerzos en v igilar la seguridad de sus archiv os. Tenga cuidado a quienes f acilita sus archiv os priv ados, especialmente aquéllos con inf ormación conf idencial, como datos priv ados de los Currículums Vitae.

Las altas esferas Hay otro mundo, otro estilo de v ida lleno de glamour y seducción que el común de los mortales apenas puede llegar a v islumbrar su brillo. Es el mundo del lujo, de las altas f inanzas, de la f ama y el dinero. A Justicer se le podría def inir como un "hacker negro". A él mismo le gusta def inirse y que le def inan así. Según su manera de v er las cosas, "los hacker blancos no existen, es simplemente una estrategia para tener contentos a la policía, a los jueces y a los políticos, pero no son reales. Todos los hackers por def inición somos hackers negros. Porque entrar en un sistema para luego decírselo a la empresa, que no te han pagado ni un centav o y que, encima, te han quitado horas y horas de sueño, y que en agradecimiento la may oría de las v eces lo único que consigues es una denuncia, es de idiotas. De hecho, la prueba más clara de que los hackers blancos son solo una inv ención es que muchos de los que se dicen hackers blancos han acabado con sus huesos en la cárcel. ¿Qué clase de hacker blanco es alguien que acaba entre asesinos? No, los hackers blancos es simple cuento". Bueno, no deja de tener parte de razón, pero es su punto de v ista. Además, es obv io que esa f orma de pensar le sirv e a Justicer para justif icar sus propios actos. Lo que sí es cierto es que la f rontera entre hacker blanco o negro muchas v eces es tan sutil que hasta a muchos de los propios integrantes de la Scene les cuesta dif erenciarla. Pero el relato que nos ocupa no v a de eso. Nos llev a a un mundo de f lashes de luz y peligros (y también de f orma de v ida) ajeno a la realidad de los miles de millones de almas que

pueblan el planeta, para las cuales no deja de ser unos simples ref lejos de sueño que apenas pueden llegar a rozar. El objetiv o de Justicer era una f amosa y acaudalada empresaria, con f ama mundial, a la que llamaremos "Thania": "Elegí a Thania porque es una chica a la que se supone inteligente y guapa. Lógicamente, la elegí también por ser mujer: no me producía el mismo placer y excitación si se tratase de un hombre. Ya que iba a hacerlo, ¿por qué no elegir un objetiv o bonito y lindo? Bueno, en cierta f orma puede que estuv iera algo enamorado de ella, ¿quién no?". Justicer v iv ía con sus padres. Sin trabajo, apenas sin estudios los continuos v iajes de sus padres le habían hecho imposible tener una educación f ormal, y sus padres apenas sabían leer y escribir- aprendió todo lo que sabía de manera autodidacta: "Me pateaba todas las bibliotecas públicas en busca de libros de ordenadores. La may oría de ellas eran un desastre, apenas prestaban atención a los libros de inf ormática, solamente actualizaban secciones de narrativ a. Espero que eso hay a cambiado ahora". Lo que no podía alcanzar ley endo libros de ensamblador o de administración de redes lo hacía con su propia experiencia, practicando y descargando manuales de Internet. Pero, ¿qué es concretamente lo que quería de Thania?: "Simple: quería acceder al contenido de su ordenador personal, saber a dónde iba, v er con quién salía, sus amistades... su f orma de ser y de pensar. En def initiv a: conocerla. Alguien como y o ni en sueños podría aspirar a conocerla en persona, a que me la presentaran o, simplemente, a que me hablase. Alguien como y o tenía que hacer las cosas así si quería

conseguir algo de ese tipo de gente". Pero no era f ácil: "Lo primero hay que entender que ese tipo de personas se muev en mucho. No son los típicos altos directiv os que les hackean todo el día sus cuentas en países como Estados Unidos, que no salen de su despacho y que son adictos al trabajo. No. Este tipo de gente v iaja en jets priv ados, hacen cruceros, tienen contactos alrededor del mundo entero. Un día están aquí y al siguiente en las Malv inas. Pero sabiendo eso, y teniéndolo presente -porque eso explica que un día puedas conectarte por VPN a determinado ordenador y al siguiente no, y eso no quiere decir que te hay an descubierto-, hay que ser paciente". Aunque suene raro, su primera acción f ue bastante "analógica": "Era una manera de incentiv arme a mí mismo. Quería su número de teléf ono personal, y para conseguirlo se me ocurrieron v arias f ormas. La primera era la más f ácil, y f ue, curiosamente, la que f uncionó. Era simple y pura ingeniería social". Justicer buscó en Internet el organigrama de la compañía: "No lo tenían en su web corporativ a, o, más exactamente, no lo tenían como tal. Pero siguiendo el llamado 'mapa del sitio' pude hacerme una idea de cómo estaban estructurados los dif erentes departamentos". El 'mapa del sitio" es una especie de "plano" que sirv e de guía en la may oría de los portales de Internet que son algo complejos, o de contenido dispar. En las compañías y corporaciones los diseñadores del site web suelen seguir los esquemas lógicos de la empresa, div idiéndolos v irtualmente en

secciones, tal y como suele estar la compañía en la realidad. Estudiando el mapa, Justicer pudo completar los espacios que le restaban de las dif erentes secciones de la empresa. Parece algo banal y que la may oría de personas obv iarían, pero eso nos da una idea de lo meticulosos que llegan a ser los hackers. Además, podría serle de mucha utilidad en el f uturo: "Llegué hasta el punto más cercano que pude a Thania en la escala de altos directiv os, concretamente, a su secretaría de dirección". En muchas de las empresas la Secretaría de Dirección suele ser un departamento de apoy o a la alta gerencia. No es la secretaria en sí, sino una sección auxiliar: "Llegar allí supuso obtener unos cuantos rangos de direcciones IP y números de teléf ono, pero ahí se acababa todo, era un callejón sin salida". Con ese rango de teléf onos, el hacker se acercó a un locutorio telef ónico: "Tenían guías de teléf onos de todas partes, algunas un poco antiguas, pero seguían siendo útiles. Normalmente la gente iba allí porque podía hacer llamadas más baratas, pero también para inf ormarse de números de teléf onos, por lo tanto no era raro que alguien llegara tranquilamente y se pusiera a anotar listados enteros de números, no llamabas la atención". Eso hizo él: "Había casi una página llena de números de la compañía. Curiosamente en Internet muchos de ellos no estaban, pero nadie se había preocupado de ocultarlos en la guía en papel". Se hizo con un número de secretaria:

"Y llamé. Yo quería el número de la propia Thania, me imaginé que no se lo darían al primero que llamara... ¿O sí? Si no lo intentaba no lo sabría. Por regla general las altas secretarias tienen una norma básica: ser amables. Están acostumbradas a tratar con millonarios tan excéntricos y a lidiar con personajes de alto standing que tienen que ser gentiles, pero cuidadosas con la inf ormación. Algo muy dif ícil de complementar cuando te llama un hacker que nada tiene que perder". Y ella, obv iamente, podría perder su puesto de trabajo: "O algo peor todav ía: enf adar a su jef a 'jef ísima'. Así que llamé y sin apenas saludarla le dije que quería hablar con Thania. Se quedó a cuadros. No se lo esperaba en absoluto. Me preguntó: '¿A qué Thania se ref iere?' Le dije de inmediato, secamente: 'con Thania, ¿no conoces a tu jef a? Me dio su número pero no sé dónde está ahora, póngame con ella'. Ése 'póngame con ella' es crucial. Era una f orma de decirle que y a teníamos algún negocio juntos, que habíamos hablado en otras ocasiones. Me pidió que esperase unos instantes, y supuse que se estaría comunicando con ella por línea interna. Pocos segundos después me dijo: 'No está en éste momento'. ¡Bingo! Era lo que esperaba. De hecho, es muy probable que si llamas a ese tipo de gente de la f orma que y o lo hice, sin concertar entrev istas ni citas, no esté". "Ahora tenía que dar el paso siguiente, el más dif ícil: tenía que ser conv incente. Para dar presión, había llamado desde la calle, con número priv ado y con ruidos de tráf ico y gente. Estaba en mi ciudad, pero ella no tenía modo de saber si llamaba desde Nuev a York o Tokio: '¿podría darme su número y así la llamo y o? No tengo la agenda aquí. Necesito contactar con ella ahora mismo'. Creo que le di más argumentos, y mucha 'paja', pero en f in, en lo básico es eso lo que le dije. No dudó un instante:

me dio su número priv ado". Justicer había obtenido, con sólo una llamada de teléf ono, sin llegar siquiera ha identif icarse, el número personal de Thania: "Algo increíble, pero aparte de alimentar mi ego, en la práctica no pensaba que me serv iría de mucho. ¿Qué podía hacer con él? ¿Llamarla y decirle que estaba buenísima? Era absurdo. Eso sí, me sirv ió como motiv ación para intentar conseguir mi propósito inicial". Pero para llegar hasta su ordenador aún había un largo camino que recorrer: "Tenían muchos serv icios externalizados, pero había algunos dominios que estaba claro que corrían en sus propias máquinas: serv idor de correo, boletines, y serv icios de suscripción parecidos". Con una herramienta de DNS inv ersa y escáner de puertos, intentó encontrar algún agujero por el que entrar: "Lo que quería era llegar a su VPN móv il, que seguro tenían, una compañía así siempre la tiene. No me interesaba para nada los demás serv idores, a no ser que pudiera usarlos para llegar a ella". Inv estigando los serv idores comprobó que había algunos pequeños f allos de conf iguración, pero nada más: "Una tarde me encontraba y a hastiado. No se me ocurría nada. Jugueteaba y garabateaba con un lápiz sobre el papel, cuando se me ocurrió algo: la red tenía una estructura en anillo, en realidad, el administrador no se había preocupado mucho de su diseño. Simplemente había comenzado con un pequeño anillo y le había ido añadiendo nodos según los necesitase. De esta manera te podías encontrar con nodos antiguos inserv ibles que

y a nadie miraba para ellos". Mediante un portal de archiv os de Internet, Justicer logró "v olv er atrás en el tiempo": "Era como v iajar al pasado. Iba v olv iendo años y años hasta las primeras páginas. Eso me hizo tener una idea más clara de los serv idores y cómo los habían estado estructurando". Muchas de las direcciones de los árboles web y a no existían, pero otras sí: "Soy un experto en sockets. Me f ascinan. Así que en cuanto di con un serv idor que mantenía una v ersión antigua, f ue como recibir un premio de lotería. El serv idor no contenía muchas cosas, por eso precisamente no habría llamado la atención de nadie. Era simplemente algo que se había quedado atrás". Durante bastante tiempo se dedicó a escanear puertos: "Debí llegar hasta el cincuenta y pico mil. Hasta que di con uno abierto. Era un serv icio IRC antiguo, seguramente para alguna sesión que habían usado tiempo atrás con el f in de comunicarse entre ellos. ¿Pero qué narices hacía un serv idor IRC allí? Seguramente el administrador pensó que nadie lo usaría. Fue f ácil 'engancharme' a él y hacer un listado de dónde estaba ubicado y el sof tware que corría". Pero no podía hacer mucho con él: "Un serv idor IRC no es más que algo que enlaza entre dos puntos, pero nada más. Para llegar a él había que estar en la misma máquina que lo ejecutaba, algo impensable para mí". Pero sí podía hacer que hiciera cosas para las que no estaba, en un principio, pensado. De hecho podía hacer que f uncionara como un programa de FTP (transf erencia de f icheros), e incluso

abriendo y cerrando puertos: "En realidad los sockets f uncionan como archiv os. Tú puedes escuchar, escribir, o borrar sobre ellos. Me di cuenta que podía subir al serv idor el programa que quisiera, y abrir y cerrar puertos". Programó un script para que escuchara detrás del cortaf uegos de la empresa: "Ellos tenían el serv icio f uncionando con Oracle bajo Solaris y con NFS y Remote Procedure Call (RPC). Disponían de IP móv il cuy as direcciones auxiliares eran gestionadas por lo que se denomina un Agente Interno. Accediendo a él podías acceder al tráf ico que se conectase y su ubicación". La explicación técnica es f arragosa, pero, básicamente, lo que hizo Justicer f ue una suerte de equilibrios sobre las conexiones: "Me imagino que habrá maneras más f áciles de hacerlo, pero en aquél momento se me ocurrió así. Lo que ideé f ue una especie de 'túnel IP' que redireccionaba todo el tráf ico VPN a un puerto y lo llev aba hacia el f irewall, siguiendo por él. Para las conexiones era algo totalmente transparente. Yo modif icaba luego los registros IP móv iles, para leerlos, y a que por seguridad son transmitidos codif icados y autentif icados con MD5. Tras éste proceso sabía quién y desde qué dirección se conectaban, sabiendo de dónde llegaban los paquetes". Pero eso no suponía tener a Thania. Aún: "Había que armarse de paciencia. El proceso era laborioso, y a v eces había tanto tráf ico que era imposible de seguir o cumplir. Por eso me conectaba a horas dispares. Lo bueno es que Thania no tenía horarios, y podía estar usando su VPN en horario de trabajo, cuando el uso es masiv o, o a media noche, cuando prácticamente nadie lo usaba".

Y por f in, la v ictoria: "Tres meses después me encontré con los datos de una conexión entrante. Era una conexión por Internet con tráf ico de una dirección ubicada en Singapur. Era ella con toda probabilidad. Conseguir su dirección en la red f ue f ácil, pero más dif ícil f ue lograr entrar en su portátil. Tenía un f irewall muy bien conf igurado, pero cuando establecía la conexión y o podía redirigirle los paquetes. El f irewall debía estar dándole la lata sin parar, y debía v olv erla loca, porque acabó desactiv ándolo". "En su ordenador encontré un archiv o de clav es. Era f ácil v er su contenido: solamente tenía que ejecutar un archiv o en modo local de su nav egador web, algo que podía hacer por DCC (conexión directa). Alguien le habría dicho que protegiese sus contraseñas pero ella, simplemente, pasaba de hacerlo. Y esto es así porque encontré sus clav es en un simple archiv o .txt. Ejecuté su cámara web, ¡y la pude v er a ella! Parecía estar en la habitación del hotel, sentada en la cama. Pero la luz de activ ación de la cámara debió asustarla, apagó el ordenador y seguramente llamaría a su administrador de redes para consultarle el problema del f irewall". Pero con las contraseñas, Justicer había conseguido acceso a toda la v ida de Thania: "Podía entrar en sus perf iles sociales, en su correo, leer su agenda... Con una simple aplicación desde mi PC, aunque usaba mi smartphone con una wi-f i crackeada por el tema de los registros". Fue entonces cuando se encontró con la cruda realidad del mundo "del glamour y el éxito": "Era un e-mail que le había escrito a una amiga. Estaba en la

bandeja de elementos env iados. Omitiré la parte más morbosa, pero, básicamente, le contaba los sacrif icios 'que en su posición mujeres como ella tenían que hacer'. En el correo adjuntaba dos f otos donde se la v eía con un señor, muy v iejo, un magnate indio en, digamos, 'posturas comprometedoras'. Busqué más mensajes de ella con ésta amiga, la cual parecía ser su pañuelo de lágrimas, y muchos eran de un estilo parecido. O le conf esaba que habría v endido 'hasta a su madre' por obtener tal operación, o... En f in, como te podrás imaginar, todo el romanticismo que y o llegué a sentir por ella se esf umó en un momento. Parecía una mujer sin dignidad, sin principios". Pero recordemos que al principio decíamos que Justicer era un "hacker negro", así que... ¿Qué hizo después? "Sí, bueno, le instalé un v irus muy bonito en su ordenador, que sobrescribiera su MBR. Luego le f undí v arios de los serv idores de su empresa. El daño podría haber sido may or, pero no quería que me pillasen, así que mi golpe se lo llev aron algunos de los serv icios más alejados al centro neurálgico que f ue mi intrusión. Aún así el daño no debió ser insignif icante. Unos cuantos miles de dólares seguro que les costó repararlo". Justicer no quiere conf irmar si aún posee acceso a esa compañía: "Algo siempre queda, sobre todo cuando has logrado penetrar tan internamente en las redes de una corporación tan grande. Pero y a no me motiv a. Quizá si algún día se dan cuenta de algo de lo que hice y me acusan, v uelv a a recurrir a ello, quién sabe". - Protección Lo que ha hecho Justicer f ue algo tan prof undo y salv aje, que hablar de protegerse ante este tipo de hackers es casi una

temeridad, porque acabarán accediendo de alguna f orma. No obstante siempre es bueno recordar que, cuanto más dif ícil se lo pongamos, más oportunidades tendremos de salv aguardar más partes conf lictiv as de nuestra red. En primer lugar, la secretaria nunca debió f acilitarle dato alguno, debería haber sido inf ormada de un protocolo a seguir ante estos casos. En segundo lugar, el administrador de la red no debería haber consentido que el mapa se estructurase según estaba la compañía, eso le dio pistas sobre a dónde dirigirse para obtener mejores resultados. Un mapa web debe diseñarse siempre de acuerdo a lo que of recemos en cada página, no siguiendo el orden como se erigen los departamentos. Nada que decir sobre el error garraf al y la desidia de dejar zonas abandonadas, e incluso con un serv idor aparentemente inof ensiv o de IRC. Esto es algo intolerable que, desaf ortunadamente, se da con demasiada f recuencia. Sobre la gestión y ejecución de los serv icios de conexión Oracle y VPN, más que def ectos de éstos es un uso equiv ocado. El administrador de sistemas debe pensar cuando los conf igura que pueden usarse de una f orma dif erente "a la of icial", y debe ponerse en ése supuesto para adoptar políticas de seguridad adicionales. Si se hubieran utilizado soluciones ref orzadas (los enlaces inalámbricos admiten medidas accesorias de seguridad que no suelen estar documentadas pero que permiten su uso para aumentar la f iabilidad e integridad del sistema en su proceso de transf erencia de datos) al hacker probablemente no le hubiera sido tan sencillo desv iar los paquetes. Por último, el acceso real al ordenador de la v íctima con la argucia de hacer que su f irewall le resulte molesto parece algo

inocente, pero que a v eces da buen resultado. Siempre se debería insistir que este tipo de acciones suelen darse cuando la conexión está inf estada, y que en ningún supuesto se debería tomar como solución retirar el sof tware que nos protege.

Asalto al tren del dinero Hay una película de Holly wood que llev a ese mismo encabezado, y aunque no puedo decir que sea una de mis f av oritas, su nombre v iene bien para describir la historia que v amos a relatar. Las compañías dedican muchos recursos para intentar ev itar que los hackers hagan estragos en sus redes inf ormáticas, pero ¿qué ocurre cuando el peligro está dentro, cuando un "topo" se encuentra en el interior de la red, o cuando logran colar a uno? No tiene por qué ser una persona malév ola o elegida "ex prof eso", muchas v eces puede conv ertirse en un peligro un trabajador que se sienta despreciado, desprestigiado o, incluso, desmotiv ado. Hasta el trabajador más implicado puede llegar a sentirse f rustrado. Obv iamente, de sentir f rustración a conv ertirse en un hacker dista un mundo, pero por algo se empieza. La compañía de esta historia era una empresa del metal que llegó a perder miles de dólares en proy ectos por culpa de un trabajador de este tipo. Este trabajador no tenía los conocimientos necesarios, ni los recursos, para lograr tales propósitos, pero coincidió con contactos que sí los tenían. El trabajador, al que llamaremos Yerai, había sido despedido durante un ajuste de plantilla. Las compañías europeas y estadounidenses de éstos sectores industriales se v en constantemente obligadas a af rontar etapas de reconv ersión debido a la competencia de la industria coreana y china. Por lo tanto Yerai, como otros tantos de sus compañeros, se v ieron de la noche a la mañana en la calle y rozando los cincuenta años, una edad en la que es prácticamente imposible que nadie te

v uelv a a contratar. Así, se v io prácticamente de improv iso ahogado en deudas y con un ritmo de v ida que no estaba nada acostumbrado a llev ar. Yerai se pasaba la may oría del tiempo en Internet. No era experto en inf ormática y para nada le interesaban esos temas, pero conv ersaba en salas de chat y en redes sociales. Como en esos sitios es de lo más habitual que la gente se cuente sus v idas, su historia enseguida llamó la atención de Ray. Este Ray era considerado por muchos como un "gurú", una especie de prof esor que enseñaba lo que no estaba en los libros a todo un ejército de "newbies" áv idos de conocimiento. Esto lo hacía en f oros o canales de chat reserv ados y específ icamente creados al ef ecto. Ray no tenía muchos "golpes" f amosos, pero sus explicaciones eran gráf icas y didácticas y, lo mejor de todo: f uncionaban. De modo que a nadie le importaba si sus acciones aparecían o no en los periódicos. Aún así, Ray quería realizar una intrusión que le diera aún más f ama y prestigio entre los suy os y que, a la v ez, le reportara un buen puñado de dólares. Él tenía los conocimientos necesarios en ordenadores, y Yerai la suf iciente inf ormación sobre el terreno, f ue sólo cuestión de tiempo que ambas personas se dieran cuenta que podían ganar mucho dinero con ello si se unían. El ex-empleado le dibujó planos precisos sobre las instalaciones más interesantes de los edif icios de la compañía, con indicaciones muy detalladas respecto en dónde se encontraban las zonas de más seguridad, qué había que hacer para acceder a ellas, turnos de los guardias y de los equipos de trabajo, f ormas de operar de los inf ormáticos... Especialmente v alioso

f ue el patrón de contraseñas que descubrieron (aunque Yerai apenas se había percatado de ello). Y es que el administrador tenía una f orma curiosa de codif icar las clav es: simplemente era el nombre de la persona (la inicial del nombre y el apellido completo, sin espacios) seguido del año en que había entrado en la compañía. Era muy f ácil conocer el nombre y los apellidos, sólo había que tener sutileza y una cámara de f otos para captarlo de las identif icaciones que portaba el personal. Y la f echa de entrada con un mínimo de ingeniería social podía obtenerse. No se puede saber si era por desidia o por simple rutina de que "nunca pasa nada" que el administrador realizaba sus passwords así, pero es algo más común de lo que pensamos. De hecho, en algunas de las compañías en las que trabajé y o mismo, el administrador seguía un patrón parecido. Cuando le hice v er lo erróneo de su procedimiento poco menos que me puso el grito en el cielo y me dejó caer que y o hiciera mi trabajo y le dejase a él hacer el suy o. Éste tipo de comportamientos no ay udan en nada a las empresas, y lo peor es que cuando y a es tarde todo el mundo llora y nadie quiere hacerse responsable de nada. Ray probó desde su sistema la f orma de entrar, y aunque se topó con un f irewall bastante burdamente conf igurado y un bouncer, no consiguió ir más allá de los primeros niv eles. Se le ocurrió entonces una manera un tanto absurda de llegar a los niv eles superiores de la red interna de la empresa: le pidió a Yerai su pase de seguridad. El pase era una tarjeta de plástico con banda magnética, muy bien diseñada estéticamente pero con un error garraf al: llev aba el nombre y los apellidos de la persona, junto con un número, ¡pero carecía de f otograf ía! Es decir: cualquiera podría cogerle su tarjeta a uno de los trabajadores y suplantar su identidad. ¿Hay algún guardia de seguridad que sepa los nombres y apellidos de todos los

empleados de una gran o mediana empresa, y que se dedique a leerlos cada v ez que pasan a su lado? Yo creo que ninguno. Es más, sospecho que es materialmente imposible que hagan algo así. Por lo tanto es mucho más inv erosímil que, al despedir a alguien en la compañía, ésta no se preocupe en retirarle su pase. Más aún: ni siquiera en anulárselo. Porque, ef ectiv amente, el pase de Yerai continuaba f uncionando. Cualquier hacker, después de algo así, se habría dirigido a las zonas de acceso de alto niv el o al ordenador f ísico de control de derechos de acceso con el f in de darle a su propio pase v ía libre en todo el complejo, pero a Ray no le hizo f alta: Yerai había trabajado en mantenimiento, por lo que su pase tenía permisos hasta en las partes más restringidas. Podía ser suerte, pero la v erdad es que f ingiendo ser cualquier otro empleado no le habría sido dif ícil darse permisos a sí mismo, o incluso acercarse a una mesa y entretener a un trabajador mientras le robaba su tarjeta, y a que enseguida descubrió que muchos de ellos las dejaban tranquilamente en sus escritorios, o las llev aban en los bolsillos de la camisa. En último término, podía haberse hecho con el bolso de cualquiera de las trabajadoras, y a que algunos estaban en armarios de consignas en el lugar de los celadores, sin llav e y en muchos momentos sin v igilancia. Simplemente acercándose a uno de los teléf onos y marcando la extensión del celador (escrita sobre el propio teléf ono de éste) podría hacerse pasar por un superior y reclamarle para cualquier cosa con el f in de que dejase libre su puesto de trabajo. Como se puede v er, había cientos de maneras de conseguir una identif icación de may or niv el, o de modif icar los derechos de la suy a. Ray no era especialmente hábil con las palabras, ni en las relaciones sociales, lo que le dif icultaba en gran manera lograr

av ances en sus objetiv os utilizando ingeniería social. Él pref ería hacerlo todo delante de un ordenador, ante las máquinas se sentía más a gusto, más "en su mundo". Pero incluso alguien con unas limitaciones como él pudo conseguir inf ormación de mucha utilidad. Lo que hizo f ue dirigirse al departamento de inf ormática. Gracias a las preciadas indicaciones de Yerai, sabía con seguridad dónde estaba. Pero aún así preguntó a un par de trabajadores que encontró en su camino "para aclararse la garganta". El departamento de inf ormática era una sala con v arios escritorios sin div idir entre ellos y sin biombos, casi como si se tratase de un comedor o un call-center (un "centro de llamadas"). Observ ó disimulando con su smartphone, como si llamaba y hablaba con alguien, y luego de un rato se f ue. A la hora del tentempié se acercó a la caf etería y v io en la barra a dos chicos que había v isto con anterioridad en la sala de inf ormática. Se puso a su lado, llev ando consigo su v aso de bebida, disimuladamente, y captó su conv ersación. Estaban hablando de f útbol. Por f ortuna, ése era un tema que él dominaba, y a que también era, en cierta manera, un f orof o. En un momento dado interv ino en la conv ersación, apoy ando un comentario que había hecho uno de ellos. A los dos minutos y a estaban hablando animadamente los tres. Al rato miró la hora y dijo: "¡Tengo que irme! El otro día llegó a nuestra of icina el tipo ese bajito de inf ormática, el jef e... ¿cómo se llama?". Realmente, describió a un hombre pequeño que había v isto en el departamento sólo un rato antes, y que, por su f orma de actuar, parecía uno de los responsables. Uno de los chicos le dijo: - ¡Eduardo! Pero ése no es el jef e...

Ray interv ino: - Uno bajito... ¿El responsable de departamento cómo se llama? Porque si es Eduardo el pequeño... Pero bueno, no era pequeño, es que los nombres no se me quedan grabados, no soy bueno para eso. - No, el bajito es Eduardo, el de sistemas. Pero el de administración es Fran. Al f inal de la conv ersación había obtenido dos nombres y dos descripciones bastante útiles. Se dirigió al ascensor y anotó en su reloj Casio DataBank ambos nombres, y a que es más f ácil recuperarlos así por si se le olv idaban que no rebuscando en su smartphone, lo cual llamaría más la atención y no sería tan rápido. Al día siguiente se f ue hacia las of icinas más alejadas y entró en la sala. En su mano llev aba un cable de red RJ45 que prev iamente tenía guardado en la f unda de su notebook. Saludó a unas auxiliares administrativ as y se f ue a la pared. Lo enchuf ó a su portátil y, extendiendo el cable, se alejó hacia una sala común, diciendo: - Soy Luis, de mantenimiento, tengo que utilizar un momento la red. Abajo tenemos que cambiar las rosetas telef ónicas, y a se sabe, en casa del herrero... Así que Eduardo me pidió que enchuf ara desde aquí. Las chicas sonrieron. Nadie le dijo nada. A nadie le pareció raro que alguien v iniera con un portátil y comenzara a usarlo enganchándolo a una terminal, menos aún les parecía raro si ésa persona nombraba a uno de los responsables del departamento de inf ormática, lo que daba a entender que los conocía. Al menos en apariencia.

Ray no tardó en av eriguar la f orma de diseño y los protocolos de la red. El día anterior había accedido a la sala de serv idores y pudo estar f ísicamente con los dif erentes perif éricos que usaban. En la red tenían conf igurados enrutadores de reenv ío 6to4 de direcciones IP habilitados, a pesar de que no utilizaban IPv 6. Mediante el comando show-link, como administrador, también consiguió saber las interf aces que estaban instaladas. La contraseña de administrador no f ue muy dif ícil de obtener: inicial, apellido y año en el que había entrado a trabajar allí el responsable de sistemas, cuy a descripción y nombre y a había obtenido ay er, y conf irmó luego con Yerai que seguían teniendo a la misma persona. No tuv o que probar muchos passwords, Yerai le indicó una cif ra aproximada en la que había sido contratado. Claro, si ese era un sistema de clav es totalmente seguro -pensaría el administrador- ¿por qué no usarla para sí mismo? En cualquier caso, había un libro de registro para urgencias, en donde estaban escritas las clav es más importantes. El mismo Yerai había tenido en una ocasión acceso a él cuando f ue a repararle alguna cosa en el despacho del director general. Pero no hacía f alta recurrir a ello. Tenían también un serv icio NAT para el personal que se conectaba por red segura desde casa, como ingenieros y diseñadores. Conf iguró y editó la base de datos de hosts para su propio acceso desde el exterior y, al acabar, apagó su portátil, retiró el cable de red y se f ue. Desde el exterior recogió inf ormación de proy ectos y planos de desarrollo de un inmenso v alor, así como base de datos de clientes y cientos de inf ormes conf idenciales.

- Protección Hemos v isto cómo un trabajador que aparentemente nadie le relacionaría con el mundo de la inf ormática, un empleado de mantenimiento en éste caso, consigue conv ertirse en la amenaza más seria que pone en peligro a toda la compañía. He trabajado mucho tiempo en departamentos de mantenimiento, y sé muy bien cómo se comporta, por regla general, el personal. Desde secretarias de alta dirección que se pelean con su ordenador por cualquier error y permiten que cualquiera acceda a él, hasta recintos de serv idores con las puertas abiertas y un cuaderno con las clav es colgado de uno de los armarios, con el f in de que cualquiera de los inf ormáticos que llegara para solv entar alguna cosa pudiera hacerlo con priv ilegios de superusuario, ¡asombroso! Con cosas así, no se acaba de entender cómo luego, cuando algo malo ocurre, muchos se echan las manos a la cabeza, ¡lo raro es que las f iltraciones no ocurran más a menudo! Partiendo de la base de que ninguna contraseña se debería escribir en papel, nadie debería permitir que un extraño con la sola identif icación de una tarjeta sin f oto se conectase a nuestra red. Y, y a que mencionamos la tarjeta de identif icación, es un error que se comete muy a menudo el de no anular las tarjetas de acceso, una v ez que su propietario y a no trabaja allí. Además, en lugar de bandas magnéticas, de f ácil lectura y /o escritura, se deberían sustituir por tarjetas con chips, ligeramente más caras pero más f iables, que pueden incorporar incluso partes criptográf icas. De esta f orma es muy dif ícil que se copie o se acceda a su inf ormación para duplicarla. Se debería organizar la protección de la red por capas, de manera que nadie sin el suf iciente niv el de acceso pudiera

entrar en ella desde determinadas zonas o rangos de direcciones. No obstante, y en la compañía de la historia que precede, sus agujeros de seguridad eran tan grandes en su propio interior (debido a que suponen que todo el que acceda desde allí es usuario legítimo, lo que se conoce como "seguridad mediante oscuridad") que la intrusión podría haber llegado desde cualquier parte. Lamentablemente, ése no es un caso aislado. Conozco personas que hacen auditorías de seguridad para compañías de todo tipo, y ni quieren corregir sus errores ni les interesa, porque la may oría creen que la inv ersión en tiempo y recursos no compensa. Lo único que buscan es obtener determinada certif icación. Como nunca ocurre nada, incluso muchos auditores tienen asumido que esto es así y se lo permiten. Pero ¿realmente su compañía está a salv o? ¿Cómo puede estar seguro de que no está suf riendo y a una f iltración? Lo peor de todo ello es que cuando realmente se conf irmen sus f allos de seguridad, será y a demasiado tarde. Así que no espere a ello, y prev éngase antes.

La mina de oro de las cabinas de teléfonos ZeZ era lo que se podría denominar como un "black hat", un "hacker negro" cuy as andanzas eran seguidas casi con el mismo interés por los miembros de la Scene como por la policía. No tiene aspecto de hacker, es un chico más bien esmirriado que parece mov erse con la mirada perdida, como si todo a su alrededor f uera nuev o para él. Realizó sus primeras intrusiones en la f acultad de Ciencias de la Inf ormación, en donde, comenta, "los manuales de hacking y apuntes de phreaking se mov ían entre nuestras manos más que los libros de estudio". Uno de sus prof esores era f érreo seguidor de estas técnicas: "Casi puedo decir que él nos inculcó la curiosidad y el interés por este tipo de activ idades". No obstante, el prof esor no hacía nada en especial: "Él nos dejaba v islumbrar parte de la metodología, luego cada uno buscábamos pasar al siguiente niv el, o no, según el interés de cada cual. Sólo 'lo dejaba caer'". ZeZ siempre tuv o dudas de que realmente el docente f uera un activ ista: "No creo que f uera realmente un hacker, era simplemente alguien a quien le interesaban estos temas como mero objeto de estudio". ZeZ obtuv o una cierta relev ancia entre el mundillo por haber logrado comprometer una de las aplicaciones que usan las compañías telef ónicas en la gestión de sus teléf onos móv iles, OPSC:

"Podía activ arme minutos gratis en prepago cuando quisiera, solamente incrementando los minutos en las opciones del serv icio y modif icando su consulta en la base de datos. Tenía barra libre absoluta. Era mejor que incrementar el saldo, porque las recargas siempre lev antan sospechas, y de ese otro modo si un FronEnd lo v eía, simplemente pensaría que estaría ese bono activ ado y no se preocuparía de más, no tienen tiempo. Además, tanto los BackOf icce como los FrontEnds no son más que comerciales, simples v endedores. Ninguno tiene ni idea de inf ormática ni de cómo f uncionan las redes en sí. Además, en sus bases de datos de prepago sólo guardaban los registros de los últimos ochenta días, sabiendo que tenías ese plazo, podías aprov echar para espaciar tus llamadas y a partir de ese tiempo tu registro desaparecería. Eso se lo llegué a hacer también a algunos amigos. Mucha gente no sabe que se puede pasar un número de móv il de postpago a prepago, pero sí se puede. Muchos de ellos pasaban sus líneas a prepago para poder hacer esto. Al f inal lo dejé porque estaba empezando a haber demasiado gente implicada y podía meterme en un buen lío". Fue entonces cuando decidió dar el siguiente paso: "La época dorada del hacking telef ónico había pasado. Hubo momentos en que hasta un ciudadano normal y corriente sabía cómo realizar llamadas gratis en las cabinas. Lamentablemente todo eso no duró mucho, más bien era consecuencia de los rápidos cambios que se introducían en el sector, en donde hasta los técnicos estaban perdidos. Los operadores inv irtieron auténticas burradas de dinero en conseguir nuev as cabinas, se puede decir que mataron moscas a cañonazos comprando cabinas que eran como cajas de caudales". Eso f ue lo que le motiv ó a encontrar una manera de burlar esos sistemas:

"En el mundo del phreaking había cierta desgana con ello, la may oría se sentían impotentes y habían bajado los brazos en sus intentos de hackear cabinas". Pero, como suele ocurrir, no suele tardar en aparecer alguien al que le motiv an ese tipo de retos: "Yo cambié la f orma de af rontar el problema. Como las cabinas en sí eran casi inexpugnables, busqué la f orma de inf iltrarme y hackear el sistema de control y comunicación con el que operaban, es decir, la tarjeta. Ya había actuado antes en cabinas telef ónicas, pero cuando los procedimientos de phreaking eran menos sutiles y complejos, introduciendo las populares monedas sujetas por hilos o las cabezas de disquetes de 3 1/2 (la parte metálica) y luego monedas para conf undir al v alidador". Dado que estos procedimientos no f uncionan, v oy a proceder a describirlos aquí, al menos para que se entienda el f uncionamiento básico de una cabina de teléf onos: La cabina está div idida en v arias partes, técnicamente se denomina TM debido a ello (de "Teléf ono Modular"), y se pueden dif erenciar también por códigos que utiliza el operador, dependiendo de dónde esté instalada la propia cabina (en una cabina cerrada, un poste, un poste múltiple, una marquesina... etc.). El TM se supedita a un SETM, que es el Sistema de Explotación de Teléf onos Modulares, y es quien controla la buena marcha y comportamiento del teléf ono. Aunque la red en sí es más compleja (existen las UATM, CVF, CGEC, las conocidas como UVI... etc.) para el objeto de nuestro estudio con la inf ormación de los TM nos es suf iciente. En este entramado existe un programa muy importante, el SGAT, que es el Sistema de Gestión de Av erías por Teleproceso y que se encuentra bajo el SETM. Es un programa inf ormático que se

encargaba de decirle a los técnicos dónde estaban las cabinas (los TM, más bien) av eriadas, y gestionar sus rutas para aprov echar el máximo de tiempo. Hay que tener en consideración que todo el entramado estaba (y está) destinado a ahorrar lo máximo posible, incluso el carro de las monedas posee una rutina que se encarga de dev olv er las monedas más cercanas para ev itar mov imientos innecesarios y consumo eléctrico. Cada TM posee un sistema muy complejo de autodiagnosis. Por ejemplo, le env ía corriente a la bobina del micróf ono para v er si está conectado el auricular (de lo contrario, podría ser que el cable lo hubieran roto), hasta env íos de mensajes de operativ idad (salv ando las distancias, como los ping-pong en una red) cada determinado tiempo. Para ev itar la introducción de monedas con hilos, cada moneda se dirige por unas canalizaciones especiales que detectan con inf inidad de sensores (ópticos y magnéticos) su v eracidad (miden el tamaño, grosor, resistencia magnética...). Además, el v alidador incluso es capaz de saber la v elocidad de la moneda dependiendo de su peso al caer rodando por la rampa de admisión. Si los f otosensores no la aprueban, se env ía de nuev o al cajetín de salida (de ahí que algunas monedas con un peso menor, aunque sean auténticas, no sirv an en muchas cabinas). Una v álv ula especial situada en el canal de entrada se cierra al paso de cada moneda, si ésta se encuentra sujeta por cualquier cosa (por un hilo, por ejemplo), la v álv ula no se cerrará y la moneda no será admitida. La rampa está diseñada también con sistemas anti-atoramiento, en algunas cabinas existían f allos de diseño que hacía que algunas de las monedas se salieran de ellas y pasaran a la circuitería. Cuando el técnico llegaba, podía encontrarse la cabina cargada de monedas.

Como esas monedas no habían pasado por el v alidador, no contaban como dinero f acturado (de hecho, tampoco la cabina f uncionaba). Como las cabinas incluy en un sistema de introducción de monedas para f acturación (de cara a los técnicos, para que puedan introducir las monedas "que hay a por allí" sin realizar llamadas), el procedimiento a seguir era realizar dicha f acturación y que no los técnicos se quedaran con ellas. Supongo que dependiendo del técnico y su honradez, haría esto o no. El siguiente procedimiento era introducir la chapita metálica (lo que ZeZ menciona como "cabeza de disquete") en la ranura de la tarjeta, prev iamente habíamos realizado la llamada e introducido el dinero, pero, antes de que se corte dicha llamada, se introduce la tarjeta de metal. En estas cabinas existía un bug de programación que hacía que el sistema del TM no entendiera qué método tenía que cobrar, y a que se habían usado dos, y nos dev olv ía el dinero. Actualmente esto no f unciona, puesto que se ha optado por una solución sencilla, pero ef icaz: una v ez elegido un método de pago por parte del usuario, los demás se inv alidan. Pero el sistema de ZeZ era más complejo, sutil y sof isticado, acorde con los tiempos: "Estudié las tarjetas de pago y cómo estaban hechas y programadas. Era una EEPROM de 256 bits con memoria permanente, debido a que se f unde uno de los pins de grabación en la zona de grabación para el cliente (existían dos zonas: una de cliente y otra de aplicación). No v oy a explicar el procedimiento de grabación, no porque sea 'materia reserv ada', sino porque es engorroso y no creo que os entretenga mucho. Lo que hice f ue crear un emulador de tarjetas. Copié el procedimiento de una tarjeta prepago de cabina real, y,

simplemente, cuando llegaba al f inal la reseteaba antes de que se acabase el saldo, con el f in de que el número de identif icación (un número único que identif ica a cada tarjeta y del cual no puede haber duplicados) no se inv alidase. Os preguntaréis de dónde narices obtuv e dicho número. Pues muy f ácil: de una tarjeta nuev a, sin usar". "No obstante había que tener ciertas precauciones: debías irte a cabinas donde no hubiera mucho mov imiento ni miradas indiscretas para que no te v ieran utilizar el 'aparatito', y, como en todas estas cosas, no abusar del crédito. Aunque lo podías usar para muchas cosas (y no solo llamadas, las cabinas te permitían acceder a múltiples serv icios incluso conv ertir el dinero en crédito para el móv il)". ¿Y cómo consiguió ZeZ los diagramas y circuitería de la tarjeta? "Hay que entender cómo f uncionan éste tipo de empresas. Aunque la compañía telef ónica ponga todos sus medios y empeño en mantener la máxima seguridad y discreción, no todo depende de ella. En la práctica ella es sólo el eslabón f inal de la cadena. Para que se entienda: imaginemos que la compañía telef ónica Telecop -un nombre inv entado- realiza un contrato con la suministradora, llamemos a esta compañía, Cay man. Con Cay man establece un acuerdo de conf idencialidad, unos cánones de seguridad y un largo etcétera en el protocolo de sus tarjetas. Cay man, a su v ez, lo más seguro es que subcontrate a una compañía china, por ejemplo Tay cards. Con Tay cards la compañía Cay man le pide que f abrique equis unidades de determinados modelos y protocolos. Tay cards, que jamás ha oído hablar de Telecop, y que probablemente subcontrate muchas de las f ases del diseño, le env ía las ref erencias solicitadas a Cay man. En todo ese proceso se sucede una

enorme cantidad de intercambio de inf ormación técnica, la may oría en correos electrónicos. Si sabes qué compañía f abrica la tarjeta, no te será dif ícil f iltrar los correos. Y para saberlo sólo tuv e que mirar la propia tarjeta". "Pero hay todav ía caminos más f áciles y rápidos: la may oría de ingenieros y muchos de los trabajadores tienen acceso a esa inf ormación. En las BBS puedes encontrar diagramas de prácticamente todo lo que quieras. El propios Windows tiene backdoors ('puertas traseras') instaladas de origen para ser utilizadas por gobiernos e instituciones estadounidenses (como la NSA). ¿Cree alguien a día de hoy que la may oría de ordenadores posea el sistema operativ o Windows o Mac, y no Solaris o Linux, por mera casualidad? Hay muchísimos intereses metidos. Muchas de las policías y agencias de espionaje disponen de programas y aplicaciones específ icas realizadas por los mismos que diseñan los sistemas operativ os, para poder colarse en ellos e inf iltrarse. Da igual lo que hagas o lo que intentes protegerte: si usas Windows o Mac tus datos están por toda Internet como un libro abierto. Y toda esa inf ormación de las compañías telef ónicas, como clav es y códigos, también. No tienes ni que lev antarte del sillón para obtenerla". Actualmente las bases de datos de las compañías telef ónicas son más minuciosas, y pueden controlar el dinero que se consume en cada terminal dependiendo del número de tarjeta, al que v a unido su v alor. Si alguien sobrepasase ese límite, esa tarjeta quedaría inv alidada y no f uncionaría de todas f ormas. No obstante el método de ZeZ sí podría seguir f uncionando si el emulador utilizara números de tarjetas aún no usados. En este supuesto, cuando algún cliente comprara una tarjeta legítima con el mismo número, al introducirla en la cabina el TM le

inf ormaría en el display de que su saldo se encuentra agotado ¡aunque acabase de adquirirla! Le preguntamos a ZeZ sobre otros métodos de phreaking con tarjetas en la actualidad: "Lo que se usa muchísimo actualmente son duplicados de tarjetas de crédito, que en teoría son más f áciles de realizar y es un f raude que v a en aumento. Copiar una tarjeta de crédito es muy sencillo, simplemente podemos realizar un lector con los cabezales de un reproductor de casettes antiguo, y luego decodif icar con un programa inf ormático ese archiv o (grabado en f orma de ondas de sonido) desde la banda magnética de la tarjeta. Se llegan a usar duplicados de lectores que engañan a muchísimas personas en los cajeros automáticos: los instalan en el lugar donde v a la ranura, y, al introducir la tarjeta, se quedan grabados los datos. Luego, una pequeña cámara graba el número PIN de la v íctima. Como la ranura f alsa v a a su v ez a la ranura real, la v íctima no sospecha nada. Por eso tenemos que v igilar y "tocar" siempre los cajeros, comprobando que la ranura sea una pieza que no se muev a y esté bien f ija al panel, y también mirar que no hay a ningún elemento accesorio en el cajero. No obstante hay maf ias y delincuentes que llegan a cambiar el f rontal entero del cajero, haciendo una copia igual al original y poniéndolo encima". Ante estos f raudes, ZeZ es radical aconsejándonos para tener nuestro dinero a salv o: "Llev o muchos años en este mundo de la clonación y emulación de tarjetas. Soy uno de los pocos que ha conseguido emular los chips de las cabinas telef ónicas, y casi podría clonar cualquier tarjeta de crédito de la actualidad con métodos muy sencillos. Mi consejo: que no se use dinero de plástico nunca. Ni cheques. Llev a el dinero en metálico para comprar lo que desees y así

podrás controlarlo. En última instancia, puedes perder v arios cientos de dólares o euros si los llev as en el bolsillo, pero con una tarjeta de crédito puedes perder todo lo que tengas en el banco". - Protección Las cabinas telef ónicas en la actualidad se han conv ertido en todo un centro multimedia, de gran atractiv o para los "phreakers". No sólo pueden realizar llamadas como antiguamente, sino conv ertir nuestro dinero "f also" o v irtual, en dinero "real". Actualmente las cabinas f uncionan con teletarjetas (que se v enden en tiendas, estancos y cientos de establecimientos) y tarjetas de crédito, además de tarjetas tipo "rasca" y tarjetas de operador. Por lo tanto, y tal como nos adv ierte ZeZ en su interv ención que acabamos de v er, los delincuentes que obtengan una tarjeta de crédito podrán obtener no sólo dinero metálico en cualquier cajero, sino serv icios en las cabinas. Pueden comprar div ersos contenidos, pero también pueden usarlas para nav egar por Internet de f orma anónima mediante WiFi. Se han quedando y a anticuados los procedimientos de obtención del dinero directo de la cabina (de las monedas,) con procedimientos como el bloqueo (mediante arandelas de un tamaño determinado que se insertaban en el cajetín e impedían la apertura de éste, luego, a las pocas horas, y antes de que la policía f uera adv ertida, el delincuente llegaba y con un simple destornillados o nav aja retiraba la arandela y podía sacar la recaudación -el dinero sobrante o "v ueltas" de las llamadas- de los incautos usuarios de la cabina; a continuación únicamente tenía que desplazarse a otra parte de la ciudad y repetir la

operación; con esta sencilla maniobra podían obtener no poco dinero en una sola jornada) o los f raudes como el f amoso "hilo" o la modif icación de monedas f alsas que se utilizan una y otra v ez. No me v oy a preocupar aquí de aconsejar a los operadores telef ónicos, porque son multinacionales con suf icientes recursos y medios como para no requerir nuestros consejos, pero sí v oy a tratar de que los usuarios se protejan. En primer lugar, el dinero gastado en una cabina es, casi siempre, dinero que el operador consigue de manera "extra". Quiero decir, el redondeo es siempre a su f av or, y en algunos casos puede que tengamos suerte y no redondee nada, pero para una llamada de dos minutos podemos tener tan mala f ortuna que perdamos hasta cuatro céntimos, si usamos una tarjeta o monedas. Esto, multiplicado por miles de cabinas, son muchos euros. Por lo tanto siempre que puedas, usa tu propio teléf ono móv il para llamar: tendrás un mejor y may or control del gasto y, además, podrás elegir operador. Otra de las razones por las que no aconsejo usar cabinas es porque, aunque se ha av anzado mucho en su diseño de cara a la protección y para que no les roben "a ellos", de cara al usuario no se puede decir que sea lo mismo. No son pocas las v eces (por f alta de mantenimiento o por errores puntuales) que te puedes encontrar que no te dev uelv e el dinero o que sus serv icios (como recargas de teléf onos móv iles) se quedan con una parte del dinero (porque el dinero salte del canal de entrada al cuerpo de la TM, o directamente no pase al v alidador y se quede en dicho sitio). En cuanto al carro de dev olución (el carro portamonedas) no f unciona tan bien como debiera casi nunca, y el sof tware de gestión, en lugar de ser el ef iciente ASM (ensamblador) como antes, se ha conv ertido en un

desesperante trasiego de pantallas con indicaciones nada precisas y, las más de las v eces, parecen hechas conf usas a propósito. Por lo tanto, ¿cual es nuestro consejo con las cabinas de teléf onos? Usarlas sólo en casos de urgencia y, siempre, con la menor cantidad de dinero posible. Porque como las probabilidades de f allos son tal altas (de f allos de f uncionamiento, no me estoy ref iriendo al phreaking aquí), si tienes que quedarte sin tu dinero, al menos que sea la menor cantidad posible. Porque el título de "la mina de oro de las cabinas de teléf onos" no podría aplicarse a los hackers simplemente, que obtienen pingües benef icios con ellas, sino a los enormes benef icios -af ortunadamente cada v ez menos- que con técnicas bastante dudosas (algunas v eces por f allos de sof tware o hardware, pero otras simplemente por políticas abusiv as) que obtienen las compañías de teléf onos.

Accediendo a smartphones Los hackers suelen pref erir realizar sus acciones a distancia, a ser posible sin poner las manos f ísicamente en sus objetiv os. Unas v eces es por imposibilidad material de hacerlo (los ordenadores están muy lejos de ellos y /o las medidas f ísicas de seguridad son complejas) y otras por la f alsa sensación de seguridad que les da operar desde f uera. Pero no siempre es así. En muchas ocasiones se v en en la necesidad de usar prácticas que rozan las de los delincuentes, como las de carteristas o estaf adores. En los relatos que siguen nos centraremos en ejemplos de todo ello. Cada mañana, el hacker al que llamaremos "[email protected]" v eía una escena curiosa por su v entana: una atractiv a rubia se acercaba conduciendo su imponente Mercedes-Benz de color negro hacia una caf etería, y se detenía a conv ersar con v arios policías que estaban allí para tomar el primer caf é del día. Esta simple acción despertó la curiosidad de [email protected] El hacker había observ ado cómo habitualmente la chica manejaba un smartphone, concretamente un Android (aunque lo v iera desde la distancia, [email protected] sabía distinguir perf ectamente esos aparatos). Enseguida lo identif icó como su objetiv o. En el mundo moderno hacerse con ésos dispositiv os es como hacerse con buena parte de la v ida de su propietario (o propietaria, en éste caso): todos sabemos que la gente llev a en ellos todo tipo de inf ormación personal y conf idencial. Al día siguiente [email protected] esperó tras su v entana y, cuando la chica terminó de hablar con sus amigos policías y entró en la caf etería, hizo lo mismo. Bajó con su chaqueta en la mano, no

hacía f río, pero el cielo estaba nublado por lo que a nadie llamaba la atención que alguien llegase con su chaqueta colgada del brazo. Pidió un caf é y se sentó en una mesa v acía, a espaldas de la v íctima. Puso su chaqueta en el respaldo de su silla y esperó. En un momento dado sacó su cartera. Tras mirar unos documentos, al girarse para guardarla de nuev o en el bolsillo de su chaqueta, introdujo la mano en el bolso que la chica tenía colocado a un lado de ella. Así de f ácil se hizo con su smartphone. Lo metió en el bolsillo de su chaqueta al mismo tiempo que metía su cartera. Nadie se dio cuenta de nada. Pero eso no era todo. La chica tenía una f ina chaqueta también colgada de su silla. [email protected] se giró, metió la mano en uno de sus bolsillos y extrajo la tarjeta de identif icación, es decir, el pase de acceso, de la compañía donde trabajaba la mujer. Sin pensarlo dos v eces la introdujo en el bolsillo de su pantalón, pagó y se f ue. Podría haberle cogido también la cartera a la chica, pero entonces se daría cuenta al momento de pagar. De esa otra f orma, aunque se diera cuenta por el camino de que no llev aba el móv il, pensaría tal v ez que se lo habría dejado en la of icina. Nadie sospecharía de él. Cuando llegó a su casa cogió el smartphone con mucho cuidado, sujetándolo con delicadeza por sus laterales entre el índice y el pulgar (y a lo había robado antes también así) y miró su pantalla a la luz. Era un smartphone Samsung, con sistema operativ o Android. Este tipo de dispositiv os tienen un sistema de protección básico para impedir el acceso a personas no autorizadas: se trata de un patrón que se ha de seguir uniendo con una línea v arios puntos en la pantalla. Si éste patrón no se

dibuja correctamente un determinado número de v eces, el dispositiv o automáticamente se bloquea. Pero existe una f orma sencilla de av eriguarlo: si se pone a la luz en un determinado ángulo, se pueden v er los trazos que ha dibujado el dedo del propietario para desbloquearlo. Sólo hay que anotar la ruta seguida para unir los puntos, dibujándola por ejemplo en un papel, en orden inv erso, y seguirla (existen otras f ormas de saltar por encima de ese patrón de seguridad para acceder al dispositiv o, algunas requieren que el smartphone o tablet posea el llamado "modo depuración" activ ado, o/y activ ación de root; por ello, es altamente recomendable que no tengamos ninguna de estas dos opciones activ adas -v ienen desactiv adas por def ecto- o, en caso de tenerlas, desactiv arlas cuando no las v ay amos a utilizar). [email protected] dibujó los trazos en el dispositiv o. ¡Eureka, f uncionó a la primera! Dentro se encontró con toda la v ida de la propietaria: acceso a sus cuentas de correo, f otos de ella, de su f amilia y sus amigas, su domicilio y la dirección de su trabajo... [email protected] jamás dev olv ió el dispositiv o a su propietaria, según él, y a se había expuesto robándoselo, así que no se iba a exponer de nuev o dev olv iéndoselo. Aunque le env ió un mensaje desde la cuenta de correo de ella y usando su propia conexión telef ónica, con sólo el texto: "ahora diles a tus amigos policías que te busquen el smartphone". Según comenta f ue algo inf antil hacerlo, pero conf iesa que disf rutó mucho. -Protección [email protected] es un buen ejemplo de ese tipo de hackers negros sin escrúpulos, capaces de utilizar todo tipo de prácticas para conseguir sus objetiv os, y hábiles en dif erentes métodos. Ciertamente la v íctima pecó de incauta, pero esa actitud es

muy habitual en gran may oría de personas. ¿Quienes con un sistema de protección parecido en su smartphone, se preocupan de limpiar la pantalla tras su uso? Prácticamente nadie. El hecho de dejar su bolso en el suelo en una caf etería denota también un cierto grado de conf ianza que acabó pagando muy caro. La tarjeta de acceso que obtuv o [email protected] podría haberle serv ido, asimismo, para entrar en su compañía e instalar dispositiv os inalámbricos de conexión, bien a los puntos telef ónicos de la empresa o mediante Internet por cable eléctrico (conocido como PLC). De haberlo hecho, estaría en la red interna de la empresa, por detrás de los cortaf uegos u otras medidas de seguridad, pudiendo operar como un usuario legítimo más. Todo eso podría haberlo hecho aquella mañana, antes de que anularan la tarjeta, antes incluso de que su v íctima se hubiese dado cuenta. Con éste ejemplo queda bien claro que cualquier medida de protección integral que se adopte por una compañía no debe reducirse únicamente al sistema inf ormático, sino, y muy importante, a lo cuidadosos que han de ser los empleados con todo lo que transportan y llev an consigo, y que puede deriv ar en una amenaza o un riesgo potencial para la compañía.

Espionaje industrial en su propia casa Para este tipo de hackers sirv en todo tipo de argucias. El caso que v amos a relatar aquí relata la intrusión de un hacker f ísicamente en el domicilio de su v íctima, para f acilitar el acceso inmediato y así ev itar la pérdida de tiempo. En realidad, dicho hacker había sido contratado por una empresa de la competencia para robar inf ormación priv ilegiada (secreto industrial), y era muy bueno en lo que hacía. Era conocido como Sect0r. Usó un timo para ello en donde el cliente cree que le están haciendo un f av or, por lo que incluso se siente agradecido. Lo bueno de este timo es que no es necesario que el hacker tenga que disf razarse para acceder ni tenga que f ingir ser de la compañía que tiene la v íctima, puede ser de otra, o incluso decir que es un electricista cualquiera. El procedimiento es el siguiente: el hacker entrará en casa de su v íctima con cualquier excusa. Puede decir que es una rev isión eléctrica de rutina, que v an a instalar algo para el v ecino y tienen que entrar en su v iv ienda para acceder, que es una campaña de rev isión gratuita, que la compañía ha detectado "extraños" picos de tensión y que v an por las casas av eriguando de dónde proceden, que no le v an a cobrar nada y que sólo es para v er las líneas eléctricas... Las excusas pueden ser miles. Irá con una f unda de trabajo, carnés f alsos e incluso documentación con números de teléf onos (números de teléf onos de sus cómplices, claro). Si la v íctima argumenta que esos teléf onos no son los números que publicitan la compañía, dirá que esos son números generales de atención al cliente, mientras que los suy os son del serv icio técnico.

Una v ez dentro de la casa de su v íctima se pondrá a mirar las habitaciones y lugares de la casa con interruptor de luz. Luego, enchuf ará en cualquier enchuf e un aparato y se encenderán todas las luces del mismo (según el número de habitaciones y espacios de la casa) menos una. Entonces le dirá que una conexión f alla porque no se enciende una de las luces LED del aparato. Da igual que su casa tenga otros interruptores y aparatos conectados, él (o ellos, y a que se suele hacer también con dos personas o más) dirán que su aparato analiza el cableado de toda la instalación. En cualquier momento aprov echarán para instalar dispositiv os de conexión inalámbrica, incluso desde su propio router. Pueden también haber preparado otro router idéntico al de su v íctima (tras haber conf irmado, por ejemplo desde el exterior de la v iv ienda, la marca y el modelo), pero "pirateado" por ellos mismos, y cambiárselo en un momento de descuido, o incluso acceder a su ordenador mientras otra persona le entretiene explicándole "la situación". Para hacer toda esa tarea sólo necesitan unos segundos. Entonces les dirán que necesitan rev isar un disruptor, o cambiarlo. También les pueden decir, si les v e muy descreídos, que no existen y a disruptores como el suy o, "de cristal", pero que se lo cambiarán por uno más moderno, o que una de sus instalaciones carece de él. Si insisten en ser descreídos, les mostrarán claramente el aparato, y les dirán: - El escáner no f alla, aquí no alumbra una luz, están teniendo problemas en ése sitio. Ante semejante e irref utable hecho, accederán a arreglárselo "in situ". Sect0r llev ó esta f orma de estaf a tan descaradamente, que incluso asegura que le cobró unos 150 dólares por una

reparación innecesaria a una de las v íctimas. Si se muestran reticentes, explicó, simplemente hay que decirles una explicación que casi nunca f alla: "sólo traer la máquina y conectarla y a les cobran esos cien dólares, luego la reparación. Yo sólo le cobraré la reparación". Tras conv encerle de no dejar pasar ésa gran oportunidad, y dado que no es recomendable que la instalación eléctrica de la casa esté con una parte "caída", el cliente accede. Entonces el hacker procederá a destornillar y quitar cualquier enchuf e o interruptor, lo más alejado posible de la mirada del timado (y prev io corte de la electricidad de la casa, obv iamente). Esto es lo que se llama "la resolución" de la argucia, y pueden darse v arios casos: en uno, el delincuente simplemente quitará y v olv erá a poner el enchuf e. Esto lo hará con los más incautos. Con los más desconf iados, cogerá una pequeñísima pieza de su mano y f ingirá conectarla (o incluso la conectará al plástico o la meterá en el enchuf e). Ése será el disruptor. También puede f ingir cambiar una misma pieza del enchuf e o interruptor usando un juego de manos. Finalmente, v olv erá a conectar la corriente, enchuf ará el aparato "mágico", y ¡v oilá! Todas las luces del aparato se encenderán. La v íctima pagará por los serv icios, el delincuente le hará una f actura f alsa, y se irá habiendo logrado "pinchar" el ordenador y, encima, con dinero extra en sus bolsillos. Aunque descubran la estaf a, nadie sospechará que el objetiv o era el ordenador, sino que pensarán que era el dinero, y de ahí el sentido de todo este "teatro". Los identif icarán como delincuentes comunes, no como hackers, y nadie pondrá sus sospechas en la red de la casa ni

en el ordenador de la v íctima.

- Protección. Lo primero, no existe ningún aparato similar, no hay un "escáner" que nos diga dónde f alla la corriente simplemente enchuf ándolo en un enchuf e cualquiera de la casa. Lo que existen son llamados "tester", y son completamente dif erentes. El aparato "mágico" del hacker era un instrumento prev iamente preparado con LEDs, que tiene v arios interruptores. Aunque la complejidad puede v ariar, básicamente el delincuente enciende todos los LEDs según el número de estancias en la casa, menos uno (que suele ser el segundo, o el tercero). Los interruptores están debidamente "ocultos" en la parte trasera del "inv ento". Una v ez "reparada" la instalación, simplemente, Sect0r encendió todos los LEDs. Si llaman a su casa, compruebe la documentación, especialmente si dice tratarse de un técnico al que no ha llamado. Desconf íe de las of ertas desinteresadas e inesperadas, y de las reparaciones "in extremis". El hacker intentará ponerle tras la espada y la pared, haciéndole v er que si deja pasar esa oportunidad ahora, no la v olv erá a tener y habrá de pagar más. ¡Incluso algunos tienen el descaro de amenazarlos con precintar la instalación! No deje pasar a nadie que no conozca. Pida el número de operario o de identif icación, y consúltelo con la central. Esta argucia f unciona muy bien porque se le pone a la v íctima ante una ev idencia irref utable: el aparato dice que hay una

av ería, y el aparato no f alla. Además, al usar términos que todos más o menos han oído hablar pero desconocidos en su parte técnica, como disruptor o pérdida de tensión, la v íctima se siente perdida. Puede tener enormes conocimientos de inf ormática, pero de electricidad seguro que son nulos. Si a esto se le une la celeridad del momento y of recérsele una oportunidad que no puede dejar escapar o le saldría más caro (le pueden incluso argumentar que si mantiene la instalación con esa av ería se pueden llegar a quemar algunos cables y entonces "hay que perf orar las paredes para cambiarlos"), estamos ante una técnica con un alto porcentaje de buenos resultados. Para el hacker, claro.

De carterista a hacker Dicen que los carteristas tienen los dedos de cirujano y las manos de guante blanco: no es broma, realmente es así. Los mejores carteristas operan con agilidad y astucia, pero también con audacia. Y es que hay que tener mucha audacia para en una décima de segundo meterle la mano en los bolsillos o chaquetas de la gente y sacarles sus carteras, su documentación o sus dispositiv os móv iles. Pero no todo es innato. La técnica se depura ante otros compañeros o, en su caso, maniquíes, y dedicando horas a ensay ar los mejores mov imientos. Al principio irán por las personas que v istan prendas similares con las que ellos han ensay ado, pero, con el paso del tiempo, y, sobre todo, al ir ganando conf ianza, se atrev erán con cualquier prenda que v ista la v íctima. Ser estaf ador y hacker son v ariantes que no están tan alejadas de por sí. Nos estamos ref iriendo, obv iamente, a los llamados "hackers negros". Los lugares más concurridos son los mejores para llev ar a cabo sus delitos, tales como estaciones de bus y metro, semáf oros y, en general, el transporte público a horas punta. Por lo tanto, si necesitan de determinada v íctima algún dispositiv o que llev e, esperarán a que la persona transcurra por esos lugares para aprov echarse de ello. No pocos smartphones se han obtenido así. Para conf irmar dónde tiene la gente sus carteras y su documentación (como pases personales a sus compañías o tarjetas de identif icación) pueden también emplear dif erentes técnicas, muchos simplemente se dejan guiar por su experiencia o por los bultos de los objetos en la ropa de la gente (sobre todo

en v erano), aunque para el común de los mortales eso pase desapercibido. Otros utilizan tácticas más depuradas y psicológicas: ponen ellos mismos carteles a la entrada de grandes concurrencias, adv irtiéndoles a las personas que tengan cuidado con los objetos de v alor que portan. Instintiv amente muchas personas se llev arán la mano al bolsillo donde está su cartera (o lo de más v alor que transporten consigo), para conf irmar que sigue allí. A esto se le llama "automarcarse". El hacker, que en todo momento se hay a v igilando, y a sabe dónde buscar. En otras ocasiones usan a otra persona, a colegas o incluso a amigos, que se acercará pidiéndoles dinero o, con una cartera v acía, les dirá que la han encontrado y si es la suy a. Incluso insistirán diciéndoles si de v erdad están seguros de que llev an la suy a encima. Harán lo mismo con sus smartphones o cualquier otro objeto de v alor que quieran llev arse. Como simple medida de precaución por si algún "listillo" les dice que sí, que esa cartera es suy a, introducirán cualquier cosa personal (como una tarjeta o un poco de dinero) en la cartera de cebo, y si ocurre, un cómplice, o el mismo hacker que siempre está atento, gritará de inmediato que esa cartera es suy a y que contiene determinado objeto, dejando al otro como mentiroso y en una situación bastante comprometida. - Técnicas de distracción usadas por los hackers en interv ención social Si la v íctima permanece muy atenta y alerta para que no le roben, existen inf inidad de técnicas de distracción para hacerle bajar la guardia, no únicamente la archiconocida de f ingir que tropezamos. Pueden operar con un cómplice y, al pasar delante de la v íctima, aquél f ingirá que se le cae el smartphone. Esto

llamará la atención y se armará un pequeño rev uelo, e incluso la propia v íctima se agachará para recogérselo, momento que aprov echará el hacker para, por ejemplo, meterle mano a su bolso o a los bolsillos traseros del pantalón. Esto último lo hará cuando la v íctima se esté agachando o lev antando, nunca cuando esté agachada para que no lo note al tener la prenda más ceñida al cuerpo. Para un hacker que quiere obtener determinado dispositiv o u objeto con estas técnicas, son primordiales tres cosas: ubicación, rapidez e inv isibilidad. Debe aparecer y posicionarse lo más cerca y en la parte del cuerpo donde v a a actuar. Luego, debe actuar sin que nadie se dé cuenta y desaparecer. Como todo esto es muy dif ícil, la may oría de las v eces se trabaja con cómplices, que o bien le ay udan en la f ase de distracción, o sirv en para recoger el botín y desaparecer, de f orma que si alguien, o las cámaras de v igilancia, detectan el robo, no le encuentren y a con lo robado. También pueden utilizarse cómplices para las dos cosas a la v ez, con los que al f inal se repartirán los benef icios. La f ase de desaparición de la "mercancía" suele ser tan sutil como el propio robo, y se realiza casi en el mismo instante de obtener la mercancía o, incluso, con dif erentes técnicas (metiendo la mercancía en un sobre y arrojándolo al primer buzón de correo, env iándoselo a él mismo, por ejemplo), al momento mismo del robo, de f orma que el delincuente casi ni toca el objeto a robar. El caso que v amos a relatar aquí es un ejemplo de lo mucho que se puede obtener en ambos mundos: el de los robos, y el de los hackers.

Geminy es un hacker negro en toda la extensión de la palabra. Nació en los suburbios de Bulgaria, pero pronto comenzó a v iajar por otros países, principalmente Europeos. Aunque menciona que su base está en algún lugar de los Balcanes, lo cierto es que se muev e bien por cualquier lugar. A ello le ay uda el que hable f luidamente inglés con un acento indeterminado, y conoce también el español y el alemán. Consiguió cierta soltura con éste último gracias a unos años que se pasó trabajando para un banco en Zurich, aunque conf iesa que tiene f acilidad para los idiomas. Es importante, porque en su "prof esión" se dicen pocas palabras, pero las pocas que se dicen tienen que ser claras y precisas. Ha sido contratado por organizaciones de todo tipo, incluso conf iesa que le llegaron a contactar de la CIA y del gobierno de Irán. Pero se negó: "y o no trabajo para esos", dice f irme. Le pregunto si alguno de los departamentos de inf ormática de las policías españolas, o el CNI, se puso en contacto con él. Me responde con un rápido "no". Y añade, seguramente notando mi desasosiego: "los españoles creen que lo saben todo y que no necesitan a nadie". Entiendo que no quiere extenderse más sobre el particular, así que no insisto. Geminy aprendió desde muy pequeño a robar a los turistas por las calles: "era eso o quedarte sin comer", asegura, como esgrimiendo la razón de que no le habían dejado alternativ a. "De hecho" -explica- "si soy un hacker negro es porque la sociedad me empujó a ello, no hago esto por placer". Pero al argumentarle que con sus conocimientos podría trabajar en cualquier consultora, me responde: "De ocho de la mañana a diez de la noche, no gracias. No me v a eso de trabajar de sol a sol por mil dólares al mes". Al f inal parece ser que lo que le muev e es el dinero. No obstante no digo nada.

Sus habilidades le han llev ado a ser muy cotizado entre las grandes f irmas: "Muchos hackers contratan a otras personas para hacer el 'trabajo de calle' [se ref iere a carteristas y timadores], pero y o lo hago y o mismo". No obstante colaboran muchas v eces con él v arias personas, especialmente una mujer que luego descubro que es también su nov ia: "Es bueno tener a una chica para casi todas las situaciones: una llamada f alsa, salir de una situación comprometida... Los hombres, ante una chica guapa por lo general bajan la guardia. Aunque no quieran. Está en nuestros genes. Me imagino que tiene algo que v er con el romanticismo o la necesidad de procrear, no me lo preguntes, pero la realidad es esa. Una mujer te f acilita enormemente el trabajo de calle". Lo bueno de su colaboradora es que es, como él, carterista: "Yo mismo le enseñé y la adiestré en 'el of icio'. No me duele conf esar que ella incluso es mejor que y o. Las mujeres son más sutiles. Mientras un hombre puede robar casi cualquier cosa en los bolsillos de otro, ellas pueden robarles también a las mujeres. Pero un hombre haciéndose tropezar con una mujer para 'manosearla'... Mala cosa, enseguida llamaría la atención. No f uncionaría tan bien". Geminy cobra de diez mil hasta cincuenta mil dólares por "operación", incluso más: "Una v ez me llegaron a pagar cien mil. Eran los planos de un sistema electrónico de una compañía riv al. Y no f ue un precio muy caro, ellos ganan millones con esos productos, y se ahorran millones de dólares más en desarrollo".

Asegura que el espionaje industrial y las copias de propiedad intelectual están a la orden del día: "Con la explosión de todo tipo de dispositiv os portátiles y el auge de la inf ormática, los hackers que nos dedicamos a esto no tenemos ni un momento en que nos f alten of ertas. Todo el mundo se copia entre sí: las f armacéuticas, las automov ilísticas, las compañías de sof tware... Todos se copian. Es muy tentador av entajar a tu riv al y lanzar productos que tengan una misma base ahorrándote millones y un montón de tiempo. Mira a cualquier sitio en el mercado: ¿por qué crees que todos los productos parecen homogéneos, que son lo mismo? Pues porque en cierta f orma lo son. Quien saca algo nuev o al día siguiente y a lo tienen los demás". Pero admite también que eso tiene su parte mala: "A v eces eres consciente de que por tu culpa v an a despedir a mucha gente, o v an a tirar millones de dólares en carísimos buf etes de abogados para presentar y pelear por demandas de derechos de patentes... Pero qué quieres, y o no inv enté éste juego, sólo intento sobrev iv ir en él". Por todo ello, Geminy parece una persona sin escrúpulos: "Cuando no tienes qué llev ar a la mesa los escrúpulos hay que meterlos por donde te quepan. Yo he tenido que tragar con muchas cosas, no creas. Pero si me preguntas si me remuerde la conciencia por las noches, te diría que no. Muchos no son capaces de llegar donde estoy, sólo sueñan con ello, pero se quedan en el camino". No obstante, a pesar de todo lo que dice, Geminy no deja de ser un raterillo env uelto por la telaraña de un sistema que dice odiar: "Te obliga a hacer cosas que no quisieras. Cuando de pequeño

te dice tu mamá 'sal ahí af uera para que espabiles', en realidad te está diciendo que serás estaf ado por mucha gente, y que como no aprietes los dientes y apuñales tú también, lo v as a tener muy dif ícil para sobrev iv ir. Esto es como la selv a, pero el hombre, al ser más inteligente, en lugar de cazar cebras pues se cazan unos a otros, pero básicamente es lo mismo, y en esencia, en el f ondo, imperan las mismas reglas. Te dicen: 'sí bueno, pero estamos en un estado de derecho, bajo la ley '. Mentira. Es una completa mentira. La ley está al serv icio de los más poderosos, que son los que las hacen, y son ellos los que muev en los hilos. A la gente les permiten tener una cierta sensación de seguridad, pero sólo es eso: una sensación". Le pregunto si en algún momento estuv o tentado de dejarlo: "Mira, han v enido presidentes de poderosísimas corporaciones a mis pies, diciéndome que ojala ellos pudieran saber lo que y o sé y tener mis dotes. ¿Dejarlo? ¿Estás loco? ¿Has v isto la casa en la que v iv o? ¿Podría tener todo lo que tengo trabajando como un miserable el resto de mi v ida?". Geminy es muy reticente a contar sus casos. Su prof esión se asienta sobre la discreción, cualquier pequeño desliz puede dar al traste con su reputación. A dif erencia de otros hackers y crackers, a mí no me conoce apenas. Pero conf iesa haber utilizado algunas de mis herramientas, y dice sentirse "en parte en deuda conmigo". Tras v arias sesiones de charla, le v eo más conf iable. Me adv ierte que no puede dar detalles, y sin detalles la historia se queda algo coja, pero que tome eso o nada. Por supuesto, lo tomo. En Francia -y y a extendido a casi todas partes desde hace

tiempo- es muy habitual que las compañías se pasen entre sus empleados los plannings mensuales. A dif erencia de otros países, el planning incluy e una cantidad v aliosa de inf ormación sobre la estructura de los proy ectos que están llev ando a cabo: "Una f irma griega quería los planos... Digamos de un 'artef acto'. Para hacerme con ellos no v oy a describir los pasos que di pormenorizadamente, no sólo por seguridad y precaución, sino porque sería eterno. Para acortar digamos que los tenía en su planning mensual uno de los directores de proy ecto". Pero acercarse a él era complicado: "Era una persona muy reserv ada. Tenía cincuenta años, o algo así, y estaba soltera. Su v ida era del trabajo a casa y de casa al trabajo. Desconf iaba de todo el mundo, y apenas hablaba con nadie que no conociera". Geminy ideó un plan para hacerse con el Blackberry activ o del director: "Lo necesitaba activ o para no complicarme la v ida con el acceso. Sí, v ale, puedes leer la memoria, pero también te lo puedes cargar en el proceso. Elaboramos (mi nov ia y y o) un plan para abordarle por la calle. Esperamos pacientemente a un día de donaciones, cuando v an por la calle pidiendo algún donativ o y te ponen una pegatina en la solapa, ¿sabes a qué me ref iero? Pues del tipo éste y a conocíamos su ruta de sobra, era muy meticuloso. Siempre pasaba por los mismos sitios, y a la misma hora". Al f inal resolv ieron que la mejor manera de acercarse a él era en medio de la multitud en un semáf oro: "Al f inal de los Campos Eliseos... No sé si lo conoces... Bueno, hay un semáf oro que cruza v arios carriles. Está lleno a todas horas de gente. Ideamos un doble acercamiento hacia él: mi

nov ia le pediría dinero haciéndose pasar por una de las activ istas de una ONG y, al intentar ponerle la pegatina en la solapa, se haría con la Blackberry. Yo iría por detrás, y f ingiría ser un transeúnte más que tropieza con él al detenerse por mi nov ia, con el f in de rev isarle los bolsillos. Las pegatinas, la hucha... Lo hicimos todo de f orma casi artesanal, pero daba el pego. La hucha tenía un sistema de modo que se sujetaba a la muñeca, y dejaba la mano libre. Af ortunadamente mi nov ia sabe mucho más f rancés que y o, y o únicamente tenía que decir 'pardon', pero ella tenía que soltarle toda la parraf ada de rogarle que le diera una colaboración en su hucha por la causa". Hacerse con la Blackberry no era todo: "Le abordó cruzando el semáf oro, ella iba de f rente hacia él cruzando. Él se f ijó en mi nov ia, pero intentó zaf arse. Yo llegué por detrás y le empujé más hacia ella para que no le f uera tan f ácil escapar, f ingiendo ser un transeúnte más. Fue relativ amente f ácil. Mi nov ia llev aba su bolso abierto y escondió en él la Blackberry. Un 'v isto y no v isto'. Yo me f ui con su cartera, la llev aba en el bolsillo delantero del pantalón. Hacía un día nublado, y la deslicé con suav idad dentro del paraguas que llev aba colgado del brazo. La cartera tenía su pase y datos personales que me sirv ieron poco después para borrar mis huellas del sistema. La policía creería que se trataba de un simple ratero en busca de su dinero, pero lo cierto es que aquélla tarde usé su identif icación personal, y nadie pareció darse cuenta de ello. La v erdad es que el tipo estaba tan seguro de que era metódico y de su sistema de rutina como protección, que debió entrar en shock o algo parecido". - Protección Geminy nos describe claramente el caso de un hacker negro que v iv e para estar en el límite, muy preparado en todos los

sentidos (incluso en el cuerpo a cuerpo para obtener la inf ormación f ísicamente, como acabamos de v er) y que es metódico y ef iciente en sus ardides. Lo primero, debemos dotar a nuestros sistemas portátiles (y a sean smartphones, tablets o cualquier dispositiv o parecido) de sistemas de acceso con seguridad extra. No se f íe de las clav es en las tarjetas de memoria, hay dispositiv os que las borran en un minuto. Ni tampoco de los sistemas de protección por def ecto: y a hemos v isto aquí en otro caso de lo f ácil que es burlarlos. Utilice herramientas de codif icación de niv el alto. Actualmente existen programas que no solo codif ican los datos, sino que, además, les añaden clav es a ellos. La necesidad de un uso constante y de una actualización mensual o semanal del planning no debería ser razón suf iciente para dejar de lado estos procedimientos. Cuando v iaje con su smartphone, o cuando lo llev e consigo, aunque sea hasta el restaurante de la esquina, no lo pierda nunca de v ista. Aunque crea tenerlo seguro en el bolsillo interior de su chaqueta o de su pantalón, hay carteristas muy hábiles que en una f racción de segundo se lo pueden robar, ¡e incluso sustituir por un cartón doblado, de manera que no note su ausencia hasta el momento de sacarlo de su bolsillo! Use bolsillos con cierre, a poder ser no de v elcro, y v ay a con su chaqueta abrochada. Si hace calor y quiere quitársela, manténgala abrochada en la mano, ¡y nunca la pierda de v ista! Por último, debemos contemplar de manera realista que todos podemos ser v íctimas de este tipo de hackers. Debemos responder a preguntas del tipo: ¿Podríamos f raccionar la inf ormación, de manera que quien tenga sólo una parte no pueda hacer nada, y que se necesiten v arios dispositiv os para

unirla? ¿Está nuestro departamento de I+D+i a salv o de intrusiones, y cómo se actuaría en el caso de haber una? ¿Podríamos con una simple llamada aislar las capas o nodos más v aliosos del departamento? Además, no son pocos los hurtos que tienen su raíz en la propia empresa: ¿cómo podríamos mejorar nuestra política de auditoria de seguridad interna, y seguir los mov imientos de los usuarios autorizados de manera transparente? No queremos decir con ello que uno tenga que tomar el papel de policía, pero cuando se llev an inv ertidos miles de dólares (o millones) en el desarrollo de un producto, tal v ez sería conv eniente llev ar a cabo un proceso de control acorde con el presupuesto que manejamos y el f uturo que nos jugamos. Sobre todo, nuestra compañía puede ser muy "golosa" para otras muchas de su mismo sector de activ idad. Debemos ser capaces de implementar unas políticas de seguridad ef icientes y robustas, con una capacidad inmediata de respuesta ante imprev istos que sea capaz de operar con diligencia y ef iciencia en cualquier tipo de situaciones.

Los hackers de la nobleza Keena no era el típico hacker conv encional. Tenía una muy buena posición social, v iv ía en una zona noble en la campiña inglesa, y había estudiado en Oxf ord. Su padre era directiv o de una compañía radicada en Suiza, y su madre era antropóloga para una respetable institución con sede en Londres. Keena lo tenía todo de cara para triunf ar. De hecho triunf ó, pero no en el campo en el que esperaban sus progenitores. Con mucho tiempo libre y mucho dinero a su disposición, tenía los ingredientes justos para meterse en grandes líos: "Empecé como muchos en aquélla época, haciendo incursiones menores en los ordenadores de mis amigos a trav és del IRC". El IRC era (y aún sigue siendo en gran manera, aunque en mucha menor medida) la primera escuela de una cantidad innumerable de hackers y crackers. Hubo una época en donde las charlas para aprender hacking (incluido hacking a móv iles, y o mismo di alguna) atraían a no cientos, sino miles de personas. Había canales en donde se necesitaba recurrir a Bots para duplicar el contenido del canal principal, ante la imposibilidad de manejar el original, totalmente saturado. Algunos se pasaban horas esperando para esas charlas con la sola intención de que no les quitaran el sitio. En esos años las consolas, shells y líneas de comandos no era algo ajeno para la may oría. La gente, por lo general, estaba más predispuesta a asimilar y entender complejos conceptos y órdenes de computación que en la actualidad, donde los sistemas gráf icos (GUIs) inundan y a en su totalidad los ordenadores y dispositiv os domésticos. "En una de esas charlas conocí a Blazek, era un estudiante de

último año en ingeniería de sistemas". Blazek y él estaban seducidos por "el lado oscuro": "Era una manera de reiv indicarnos, de rev elarnos ante un sistema que v eíamos inf lexible y corrupto". ¿Y cómo lo hicieron?: "Bueno, nuestros primeros objetiv os eran los bancos. Allí todo el que quería ser algo en el mundo del hacking tenía dos alternativ as: o bancos o redes gubernamentales". A Keena le parecieron más interesantes los bancos porque eran los sitios donde se guardaba el dinero y, por ello, deberían ser los más seguros: "Era un reto, no nos asustaba la dif icultad, de hecho nos incentiv aba. Cuanta may or dif icultad tuv iéramos más nos interesaba el sitio". Pero, ¿para qué querían unos chicos de buena f amilia y pudientes, perpretar una intrusión de semejante calado? "Teníamos una idea romántica en la cabeza. Supongo que todos los hackers al principio tienen lo mismo: descubriríamos su agujero de seguridad, se lo notif icaríamos y nos conv ertiríamos en héroes". En sus esf uerzos por alcanzar las tripas inf ormáticas de un gran banco suizo, Keena no tuv o reparos en desplazarse incluso personalmente a su sede: "Mi padre v iajaba constantemente a Suiza, no f ue dif ícil que dejase que le acompañase". En Suiza entró en el banco, pero no pudo hacer mucho: "Enseguida supe que sus medidas de seguridad f ísicas no

tenían nada que v er con las medidas online: había que tener pases para todo. Intenté conseguir que me llev aran hasta las cajas de seguridad con la excusa de guardar unos objetos de v alor, pero ni aún así conseguí av anzar mucho". De v uelta a Inglaterra ambos hackers se sentían bastante def raudados: "Pero también éramos conscientes de que sólo había sido una batalla, no la guerra, que aquello era una carrera de f ondo y lo primero era persev erar". Volv ieron al principio, intentando acumular la may or cantidad de inf ormación de quien f uera y de donde f uera, para luego clasif icarla y elegir lo más útil: "Obtuv imos inf ormación de sus sistemas de seguridad, de sus serv idores, de cualquier cosa que cay era en nuestras manos relacionada con el tema. Incluso alguna de esa inf ormación la pedimos a los prov eedores f ingiendo querer instalar un sistema para una compañía nuestra". De hecho, llegaron a crear una compañía f icticia para "dar el pego". Con número de teléf ono y de f ax incluido: "Lógicamente, eso lo hacíamos únicamente para obtener inf ormación, teníamos la precaución de que no pudieran luego desv elar nuestro auténtico cometido". Para ello usaban cuentas f alsas o los datos de sus padres. Nadie iba a v incular lo uno con lo otro: "Lo importante era mantener en el anonimato nuestros mov imientos como hackers, f uera de ahí podíamos mov ernos con total libertad. Imprimimos tarjetas de la empresa, ¡no te podrías creer hasta qué punto son útiles esas tarjetas! Bien como excusa o para dar un toque de prof esionalidad, su ef ecto

es increíble". Pero más aún lo f ue cuando se hicieron pasar por agentes de la autoridad: "La may oría de las personas tienden a obedecer a pies juntillas lo que les ordene un policía, están psicológicamente educados para ello. Por lo tanto, si lo que necesitas es reunir datos personalmente de alguien, f ingir ser policía es una de las mejores soluciones". Con el f in de conseguir sus objetiv os no escatimaron esf uerzos: "Ser hacker es también intentar encontrar los eslabones más débiles del riv al. Y no es ningún secreto para nadie que la parte más débil siempre es el componente humano". Con ay uda de una amiga idearon una operación coordinada que debería f acilitarles el acceso hasta las entrañas del sistema. Keena nos lo explica: "Era una operación en v arias f ases. Fue algo emocionante, una mezcla de ingeniería, astucia y riesgo. Nunca habíamos hecho algo semejante, por lo que ensay amos antes con 'v íctimas al azar' que nos encontramos por ahí para conseguir aparentar soltura y naturalidad". "Teníamos dos objetiv os: por un lado acceder al departamento de inf ormática y, por el otro, conseguir acceso f ísico a la central londinense. Blazek y y o nos disf razamos de policías, bueno, no era un disf raz en sí, simplemente nos pusimos unas chaquetas ref lectantes con la palabra 'police' grabada a la espalda, unos pantalones azules y unas placas que habíamos comprado en una juguetería, pegadas encima de una cartera de mano. Esperamos a uno de los ejecutiv os en una calle sin mucho tránsito, y a sabíamos el recorrido y el horario que tenía

porque lo teníamos bajo v igilancia. Le echamos el alto con la excusa de un control antiterrorista. Le dijimos que estábamos ef ectuando una operación contra terroristas islámicos. Le hablamos de que su tez nos parecía árabe (aunque ni mucho menos se parecía) y le pedimos la documentación. Él se of reció amablemente a colaborar, pero no era eso lo que queríamos, sino su pase. Mientras mi amigo se iba hacia nuestro automóv il con la excusa de conf irmar su identidad con la central, y o le hice salir para cachearle. El ejecutiv o entonces protestó, diciendo que nos denunciaría a nuestros superiores, pero hizo lo que le ordené. Di con su cartera y el pase en el bolsillo interior de su chaqueta. Le dije a mi amigo: 'rev isa esto'. "El otro nos dijo: '¡es sólo mi cartera, ahí no hay nada!'. Terminé de cachearle y le dev olv imos sus objetos personales, agradeciéndole su colaboración. Nos f uimos mientras él se metía de nuev o en su coche". Ésta es una buena muestra de hasta qué punto el papel de la autoridad f unciona. En todo ese mov imiento su amigo había cogido la identif icación y se había ido a la central bancaria: "El guardia de seguridad ni siquiera se f ijó en la f oto, simplemente pasó por la zona de identif icación como uno más. Hay un truco para ello, y es entrar cuando entran otras personas". Pero aún no se había acabado todo: "Una v ez dentro Blazek se dirigió a la sala de conf erencias. Estaba v acía. Enchuf ó su portátil y y a estaba en la intranet". Pero aquélla mañana había ocurrido algo más: "La operación tenía dos partes. Una y a la habíamos llev ado a cabo nosotros, pero antes, a primera hora, una amiga había

obtenido los números de la secretaria de inf ormática y más números personales. Para hacerlo se disf razó de embarazada, y llev ó consigo un carrito de bebé con un muñeco dentro". "Fingió coincidir en el parking con un trabajador, un señor y a may or, y le pidió su móv il para env iar un SMS urgente. Puso la excusa de que el suy o se había quedado sin batería y le mostró un móv il apagado. En su bolsillo llev aba otro, con el Bluetooth activ ado y el modo silencio, además de la v ibración". ¿Qué hombre se negaría a una solicitud prov eniente de una embarazada? Casi ninguno: "Nuestra amiga copió en f ormato v cf las entradas de la agenda que nos interesaban. Así no quedaría rastro de nosotros, sólo un modelo de móv il que, para más precaución, no usábamos". Con esa inf ormación, y a en el edif icio, Blazek llamó a la secretaria para que subiera a una de las plantas. Era una excusa para sacarla de su puesto. La llamó desde otro teléf ono de la sala en el mismo edif icio, por lo que la secretaria no sospechó nada. No tenían la extensión porque, según menciona Keena, no estaba en el listado de teléf onos, por eso les f ue muy útil la inf ormación conseguida por su amiga. Luego Blazek se f ue a su ordenador y le instaló un troy ano y un snif f er, mientras copiaba archiv os que pudieran serles útiles a un pendriv e, como procedimientos y política de transacciones, métodos de transf erencias... En un directorio encontró una mina de oro: eran copias de seguridad, duplicados de los programas de la compañía y manuales. Salió de allí contento pero con mariposas en el estómago por el miedo a que le pillaran con todo el marrón. Cuando llegó a su coche el corazón le iba a mil por hora:

"Cuando v i el rostro de Blazek sabía que no sólo habíamos conseguido lo que queríamos, sino mucho más. Arranqué el coche inmediatamente". No v eían el tiempo de probar sus logros, pero tenían que asegurarse de hacerlo bien: "Primero estudiamos los manuales e instalamos los programas. Luego pirateamos una wif i y nos colamos por ella. A los dos minutos el listado de cuentas comenzó a llenarse de números, ¡era increíble! Podíamos v er las cuentas de quienes quisiéramos, hacer transf erencias, anular tarjetas de crédito...". Pero no se olv idaron de su primera motiv ación, de sus objetiv os: "Descubrimos un bug en el sistema de transf erencias, en la aplicación. Que nos podía haber ahorrado semanas de esf uerzo si lo hubiéramos sabido, claro. Lo presentamos en un simposium de hackers y la consultora que se había encargado de programarlo nos acusó de mentirosos y de que habíamos robado su sof tware con la única intención de crackearlo para meterle un f allo. Era algo kaf kiano. Nos amenazaron con demandarnos. Af ortunadamente sólo sabían lo del sof tware, por precaución nos guardamos de dif undir toda la intrusión. Nos f uimos de allí con sentimientos contradictorios y bastante decepcionados: no había sido como esperábamos. No hubo aplausos ni v ítores ni palmaditas en la espalda ni f elicitaciones. Ignoramos si repararon el agujero de seguridad del programa, porque, lógicamente, no quisimos arriesgarnos a robarlo de nuev o. De hecho no v olv imos a entrar en la red bancaria". - Protección Éste es un golpe muy complejo y trabajado y que posee muchos elementos div ersos, tanto de ingeniería social como de

gestión y administración de redes y de programación. Para llev arlo a cabo se requiere de la participación de v arias personas, práctica más habitual de lo que se piensa la gente. Es llamativ o el robo de identidad f ingiendo ser policías. Mediante ese ardid se han realizado multitud de delitos en todo el mundo, y no sólo relacionados con el mundo del hacking. Pida siempre que se identif iquen los policías que le aborden de esa manera, y si es necesario, llame a la central para conf irmarlo. Aunque en muchas ocasiones la f alsif icación alcanza también a v ehículos de policía y a sus matrículas, dude de aquéllos que dicen ir "de incógnito" y sin coche of icial, especialmente si v an solos. Tenga en cuenta además que cuando la policía realiza operaciones antiterroristas suelen env iar a v arios agentes armados con subf usiles, y establecen en las v ías sistemas de retención o conos de desv iación. No es normal que env íen a dos agentes de incógnito para ese tipo de tareas, y eso debería y a hacernos dudar de la autenticidad de dichos policías. Tampoco deberíamos permitir que cualquier desconocido (o desconocida) use nuestro teléf ono móv il. Por supuesto, trate siempre de ay udar, pero no pierda de v ista lo que escribe o, mejor aún, of rézcase a escribirle el SMS usted mismo. La caballerosidad y la gentileza no está reñida con la precaución y el sentido común. Otro de los puntos llamativ os de ésta historia, y del que debemos sacar una lección, es el de rev isar siempre nuestras tarjetas de identif icación. Probablemente la v ictima que Keena nos cuenta aquí no se diera cuenta de que f altaba su tarjeta de acceso hasta el día siguiente, cuando abriría la cartera para entrar a trabajar. Eso le dio a Blazek horas y horas de margen. Otra regla de oro es nunca abandonar nuestro puesto

inf ormático dejando el ordenador sin protección alguna de acceso. Deberíamos establecer por rutina la conf iguración de que salte el salv apantallas con contraseña, y, si esto nos resulta molesto (el salv apantallas debería saltar a los pocos minutos para ser útil), instalar un programa que con un sólo toque nos bloquee el ordenador. La contraseña que usemos para dicho programa debería ser única, distinta a todas las que usemos y, por supuesto, dif erente a la de nuestro inicio de sesión. Muchas compañías suelen tener como una medida de protección básica la inf ormación de sus líneas internas reserv adas, de modo que se puedan comunicar entre los mismos departamentos, pero no entre dif erentes. Vemos cómo aquí el hacker v iola esta primera def ensa simplemente usando el teléf ono directo, tras haber obtenido esa inf ormación de una persona que sí tiene los números del departamento que interesa. No es cuestión de suerte, nada surge por casualidad, sino de trabajo, v igilancia a conciencia y observ ancia a los detalles. No obstante, otras v ías que podrían haber optado una v ez en el edif icio, podrían haber sido perf ectamente el uso de key loggers con recogida de inf ormación a distancia (incluso sin necesidad de usar Internet, sino v ía radio), o la instalación de programas o rutas f alsif icadas a sus intereses, que simulasen páginas de acceso a, por ejemplo, el correo de Gmail o Hotmail. Este ejemplo, f inalmente, nos describe con claridad que no todos los hackers tienen que ser unos jóv enes indisciplinados con un ordenador "achicharrado" por las horas de uso, sino que también pueden ser personas con muchísimos recursos, potente material inf ormático y mucho tiempo, paciencia y ganas para ingeniar y entretejer un plan de lo más osado.

El espía espiado Ekile es uno de esos hackers a los que podríamos englobar como "hackers blancos", aunque seguramente que para sus v íctimas no les parezca muy correcto. Trabaja en una de las últimas plantas de un edif icio de of icinas, donde se encuentra la sede de una ONG: "Empecé a colaborar con ellos hace muchos años cuando era adolescente. Prácticamente son como mi f amilia". La razón de que expliquemos esto es que sus activ idades como hacker están íntimamente relacionadas con esa ONG: "Yo era 'el chico del ordenador', poco a poco f ui añadiendo mis conocimientos inf ormáticos para tareas puntuales que necesitábamos". Aún así admite que poca gente lo sabe: "Por supuesto no es algo of icial. Ninguna ONG, al igual que ninguna compañía, admitirá en modo alguno que trabaja con hackers, saben a lo que se expondrían, no sólo por los posibles delitos que los hackers pudieran cometer respecto a intrusiones inf ormáticas, sino por la pérdida de prestigio. Los hackers no están bien v istos socialmente, y eso se traduciría seguramente en una escapada de muchos benef actores". Su trabajo, o la parte "oculta" del mismo, sólo lo conoce una persona. Pero Ekile asegura que así es mejor, él se siente más libre y a la ONG la mantiene sin cargos en el caso de que algo salga mal. Pero ¿para qué necesitaría una ONG un hacker?: "Desde que estoy aquí hemos ay udado a legalizar a más de mil 'sin papeles', con eso te lo digo todo".

Su f orma de trabajo es peculiar, y sus acciones hacen tambalear al mismísimo sistema inf ormático gubernamental: "Aún así no lo hemos conseguido todo, nos f alta mucho camino por recorrer, porque si no f uera así no habríamos legalizado a mil personas, sino a cien mil". Ekile cree en un mundo sin f ronteras, para él todos tendrían que tener las mismas oportunidades en la v ida: "Nacer en uno u otro país es simple casualidad, y sin embargo algo tan simple como eso marcará el resto de tu v ida. Si naces en un país del tercer mundo tienes muchas posibilidades de no llegar a los cuarenta con v ida. Lo que gobiernos como el español han hecho con inmigrantes no tiene nombre. Por ejemplo, los que llegaron al islote Tierra: f ueron sorprendidos de madrugada por f uerzas del ejército [la Guardia Civ il, dice, es una f uerza del ejército para él] y arrojados a Marruecos como criminales. Luego les pegaron una patada y los tiraron a morirse al desierto argelino. La v ida de un ser humano no v ale nada para los políticos, sólo somos mercancía. Lo que hace el gobierno de los Estados Unidos en la f rontera con México no es mucho mejor". Pero él no se dedica a intentar entrar en serv idores del gobierno, o no simplemente eso: "Cuando más posibilidades tienes de que te descubran y desv eles tu presencia es en la activ idad que, por norma general, te v es obligado a generar al intentar colarte en un serv idor o en una de esas redes". Por lo tanto, decidió cambiar de estrategia: "Enseguida me di cuenta que en lugar de pelear con los administradores de sistemas, era mejor hacerlo con los

políticos. Por lo general en seguridad inf ormática su f ormación es nula o casi nula, sólo se limitan a cumplir lo que les dicen desde el departamento de inf ormática, la may oría sostenidos por becarios que emiten los inf ormes que los administradores no tienen tiempo ni ganas de redactar. Por eso si tienes acceso al sistema de un diputado o de un ministro, tendrás acceso a todo el sistema sin correr ningún riesgo". Pero ¿cómo conseguir eso?: "Observ a a cualquier político actual, ¿qué llev a consigo? Su portátil, su smartphone, su tablet. Mira a tú alrededor en la calle de cualquier ciudad: estamos rodeados de sistemas inf ormáticos. ¿Crees que todos, absolutamente todos, son seguros?" Pero ¿cómo puede llegar a entrar en esos dispositiv os inf ormáticos? "Por lógica no v oy a describirlo, además aún está en desarrollo, y sería como decirles a los de Cupertino dónde buscar y qué buscar. Pero pronto me di cuenta de que si lograba acceder al sistema operativ o iOS de iPhone y tablets, y al sistema Android de algunos smartphones, tendría en mi poder 'las llav es del castillo'. Empecé con eso y, de hecho, cuando of icialmente anunciaron que les iban a regalar a todos los diputados un iPhone, puedes imaginarte la alegría que me llev é. Todo el mundo cree que los Apple son inf ranqueables, y eso para nosotros, los hackers, es una enorme v entaja, porque hace que los usuarios bajen la guardia pensando que nadie puede acceder a sus sistemas". Ekile desarrolló dos aplicaciones en apariencia dif erentes entre sí, pero que hacían lo mismo, una para la App Store y otra para Android:

"No son más que dos troy anos. A la App Store me costó sudor y lágrimas colocarla, allí las prueban con mucha metodología, concienzudamente. Tuv e que abrir v arias cuentas y modif icar v arias v eces el código f uente. En Android sin embargo f ue mucho más f ácil, gracias a que puedes también insertar publicidad, incorporé un código que podía modif icar su comportamiento según quisiera desde la web". Un troy ano es un programa que realiza una serie de tareas como cualquier aplicación legítima pero que, además, incluy e código malicioso: "Para la aplicación de Apple tuv e que recurrir a un VX [un VX es un escritor de v irus]. Quedan muy pocos escritores de v irus realmente buenos, la may oría de los de ahora sólo saben hacer scripts, no como los de antes que escribían en ensamblador como si se tratase de su lengua materna". Aunque no quiere dar detalles para que no le echen abajo el trabajo de su aplicación, Ekile menciona que: "El VX lo que hizo f ue añadirle técnicas de of uscación a mi programa. De cara al sistema era algo legal y permitido, lo que pasara después era otra cosa. Apple tiene un sistema de recolección de basura (lo que técnicamente se denomina como "Garbage Collector" en Jav a) realmente ef iciente, cuando dos rutinas reclaman la atención del sistema operativ o, establecerá su orden de acuerdo a su relev ancia, así puedes saber lo que ejecuta a cada instante y cómo no llamar la atención". El problema de su aplicación era -y es- que la v íctima tiene que tenerla instalada en su dispositiv o: "Actualmente inf ecta a cientos de miles de smartphones y tablets, pero eso es lo que y o llamo tráf ico sin importancia. En dispositiv os realmente v aliosos sólo está en un porcentaje

relativ amente bajo. Pero es cuestión de tiempo". Ekile no quiere tampoco descubrir cómo opera su aplicación, porque eso también f acilitaría el trabajo de los testeadores: "Aprov echo parte del ruido de Internet, cuando estás trabajando a tope con twitter o WhatsApp no le llama la atención a nadie que su smartphone o tablet empiece a env iar paquetes sin parar". El próximo paso sería poder acceder mediante un túnel a la recogida de datos en las conexiones VPN: "Es un reto emocionante. No soy el primero en hacer algo así, ni tampoco seré el último, pero lo bueno es que algo tan simple, que no despierta la atención de nadie al no ser ni comportarse como un v irus, nos puede dar las llav es para comenzar a cambiar las cosas. De hecho y a lo estamos haciendo". El escenario ante el cual nos pone Ekile es realmente inquietante: no solamente podría obtener acceso a documentos e inf ormación clasif icada de las más altas esf eras políticas del gobierno, sino que, además, podría usarlas en su propio benef icio, f acilitando como en éste caso (o llegando incluso a realizar) complejos procesos administrativ os. - Protección Como ha quedado bien patente, ningún sistema o dispositiv o inf ormático está a salv o de intrusos. Al año se inv ierten millones de euros en la seguridad de las conexiones y dispositiv os del gobierno, pero su ef iciencia brilla por su ausencia. De hecho, Ekile nos comentaba "of f the record" cómo encontró la clav e para penetrar en la dirección web of icial mediante un certif icado caducado directamente desde Firef ox. Los programadores que son contratados en auditorías no

pierden el tiempo en pensar en esas cosas, ni tampoco en contemplar las posibilidades que un nav egador no conv encional puede of recer a los hackers que se preocupen de inv estigar. Las conexiones SSL que responden a tokkens son uno de los sistemas más utilizados en la realización de esas gestiones, pero para un hacker experimentado no le costará mucho trabajo simularlas haciéndose pasar por un usuario o accediendo a la consola de administración gracias al trabajo de unos snif f ers o de algún programa alterado de un gestor. Asimismo, la documentación of icial no debería estar a disposición de un político, por muy alto que sea su cargo. Un hacker puede incluso hacer que la pidan mezclando su correo entre la ingente cantidad de emails que manejan a diario este tipo de personas. Es una argucia de ingeniería social cada v ez más extendida. El político que lo v ea en su bandeja de entrada apenas sospechará, y mucho menos se preocupará de su procedencia o de buscar al responsable de que aquello hay a llegado allí, principalmente porque éste tipo de personas sólo se atienen a trabajar con sus gabinetes y poco más. Ekile reunió toda esa experiencia precisamente trabajando para la administración. Si en última instancia piensa o intuy e que su smartphone está "pinchado" o hackeado, deje de trabajar inmediatamente con él y apáguelo. El único sistema casi cien por cien f iable son los móv iles con f irmware propietario, pero ¿quienes a día de hoy se animan a trabajar aún con ellos?

Los teléfonos listos no son tan listos Cuando le env ié un borrador de parte del libro a un administrador de sistemas amigo que trabaja realizando auditorías, éste se lo remitió a leer a un prof esor univ ersitario. El prof esor me escribió sugiriéndome que incluy era un pequeño apéndice sobre la seguridad en dispositiv os móv iles. Al f inal decidí hacer esta pequeña reseña, y a que no es ése el objeto del libro. Los smartphones (o teléf onos móv iles o celulares inteligentes, como quieras llamarlos) se han conv ertido en parte esencial de nuestras v idas, en un complemento imprescindible. La preocupación que suscita la historia que contamos aquí sobre Ekile (v er el capítulo "El espía espiado") no es raro: la may oría de personas se v erían en un serio compromiso si parte del contenido de sus tablets o smartphones (muchas v eces íntimo) se div ulgara. Al principio creen que es algo muy improbable, por no decir imposible, pero luego, asombrada, la v íctima se pregunta cómo consiguieron la inf ormación. Muchos de los hackers y crackers que conozco tienen una v igilancia y cuidado constante como norma de v ida, f orma parte y a de su rutina, y es por ello que aún permanecen en el anonimato. Hacen cosas tan cuidadosas como no dejar sus huellas dactilares ni en la misma puerta de su portal, si son así de cuidadosos en algo que para el resto de nosotros nos puede parecer tan banal, y a nos podemos dar cuenta de hasta qué extremo de resistencia llev an a aplicaciones, redes y serv idores, y también nos podemos hacer una idea de lo dif ícil que ha sido traerlos aquí para que nos expongan algunos de sus casos y, en suma, sus logros a los que tanto esf uerzo han dedicado.

En el tema de la seguridad de los smartphones hoy en día casi todos los hackers y VXs se alegran de que en el mercado la totalidad de sistemas operativ os existentes estén copados por los dos grandes: Apple con su iOs, y Google con su Android. Para ellos no es la principal dif icultad el empeño en seguridad de los desarrolladores, sino la poca repercusión que tendrán sus esf uerzos. Es ésa la principal razón -y no otra- que los v irus tengan su principal objetiv o a ordenadores Windows, y no a Linux. Porque en sistemas Linux (y Unix en general) también se pueden introducir aprov echando cientos de bugs, y muestra de ello es el inmenso número de hackers que lo han hecho y la constante actualización de kernels. Cuando lees la inf ormación que Google da sobre la seguridad en Android, te cuentan algo que parece un capítulo de un manual sacado de "Barrio Sésamo": "la seguridad en Android" -v ienen a decir- "es como una cajita rellena de arena, en donde la arena no puede escapar" (puedes v erlo en http://support.google.com/googleplay /bin/answer.py ? hl=es&answer=1368854 ). Obv iamente, ésta es una traducción "para analf abetos" de su máquina v irtual y de la f orma que tiene ésta de tratar las aplicaciones que se ejecutan mediante seudocódigo (técnicamente by tecode). En iOs es dif erente: ellos no necesitan "v igilantes" que monitoreen cada proceso del sistema ni que interpreten como lo hace el compilador de Jav a (denominado JIT, "Just In Time"), y a que el código no se ejecuta en una parte controlada y en el entorno de la máquina en donde, a f in de cuentas, la máquina v irtual (JVM, conocida en Android como "Dalv ik") tiene en último término el control y ella decide qué hacer, sino que, como ocurre en un ordenador no v irtualizado (la v irtualización es una f orma de ejecutar sof tware en un entorno seguro o "blindado") el código

no es pseudocódigo que luego es "compilado" en tiempo de ejecución (interpretado) sino que opera directamente sobre el sistema operativ o (tal como lo hace Mac OS X, de hecho usan el mismo lenguaje, el Objectiv e-C). ¿Esto qué quiere decir y cómo le af ecta al usuario? Pues quiere decir que un programa en el iPhone puede tomar el control del sistema operativ o y hacer con él lo que quiera, ¡incluso impedir que se apague el dispositiv o o, en caso de hacerlo, estropearlo! Por eso Apple necesita de la App Store, para tener todo el sof tware controlado y que ninguna de las aplicaciones "se salgan de madre" ni hagan de f orma oculta rutinas que no deberían hacer. Es una f orma muy dif erente de v er la misma cosa. IPhone, iPad y demás dispositiv os sobre iOs es como si imaginémonos- tuv ieran una red externa muy asegurada, con un control de intrusos exacerbado pero que, una v ez dentro (y como y a hemos v isto aquí en multitud de ejemplos) el intruso puede sentirse como en su casa, con todas las puertas abiertas. Android, sin embargo, ha elegido otro camino, y es como una red relativ amente f ácil de entrar desde f uera, pero que una v ez dentro para pasar de niv el tienes que sudar tinta, con superv isores y gestores de aplicación y procesos (el "scheduler") por todos lados. La gestión de memoria también es dif erente en los dos. Esta f orma de arquitectura tiene también sus pros y sus contras, y no sólo en materia de seguridad: Apple puede exprimirle más los recursos de su hardware, mientras que las aplicaciones de Android, al ejecutarse tan -digámoslo asíextremadamente v igiladas y bajo COW (es una f orma de compartición de memoria, dicho a grosso modo, para acelerar la

operativ idad), sus procesos son más lentos al realizar cada aplicación de manera aislada (cosa que se hizo por seguridad). Además que Apple controla sus componentes, y Android tiene que f uncionar con hardware de f abricantes de lo más v ariopinto. ¿Es más seguro, entonces, Android? No quiero que el lector se llame a engaño, cada uno tiene sus pros y contras, y es eso lo que he tratado de aclarar con todas estas explicaciones. En teoría Android no nos dejaría ejecutar aplicaciones f raudulentas gracias a todos los mecanismos de seguridad, desde Google aseguran que en la práctica es imposible que una aplicación tome el control del dispositiv o, claro que ellos qué v an a decir. De la teoría a la práctica dista bastante, y prueba de ello es la cantidad de troy anos y v irus que se han "colado" en Android. Uno de ellos inf ectó miles de smartphones Android en China, accediendo incluso a SMS codif icados con "captcha", descif rándolas y robándole al propietario miles de dólares en su f actura. Google se desentiende del asunto dejando la responsabilidad en las manos de los usuarios, argumentando que si el usuario le da permisos de acceso a la red y de lectura del contenido de su sistema -por ejemplo, a la tarjeta de memoria-, ellos no pueden impedirlo. Qué curioso que deje en manos de propietarios inexpertos (sí, a esos a los que al principio dijimos que les había redactado un manual con estilo de Barrio Sésamo) la responsabilidad luego de gestionar su sistema operativ o. Es como enseñarle a conducir a uno saltándose los semáf oros en rojo, y luego culparle de haber atropellado a un peatón. Pero esta f orma de contradicción es bastante habitual y no sólo la utiliza Google, porque, de hecho, no les sería asumible el riesgo de reconocer sus propios agujeros de seguridad o debilidades, de la misma manera que Apple se niega a asumir los suy os.

Está claro que todo dispositiv o o sistema que esté en red es procliv e a suf rir ataques, y es, potencialmente, un objetiv o de los hackers. También es cierto que los dispositiv os de hoy en día son más seguros: trabajan con clav es de alto cif rado y pueden utilizar multitud de certif icados de seguridad. Curiosamente es también culpa de esta complejidad el que muchos administradores y diseñadores de sof tware comprometan la integridad, muchos de ellos trabajan a presión para cumplir plazos (cada v ez más cortos en una industria tan competitiv a en donde una o dos v eces al año tienes que renov ar el producto para que no se muera) y en condiciones muchas v eces penosas. El romanticismo de una sala en Silicon Valley con programadores jugando a la pelota en mitad de la jornada laboral cada v ez v a quedando relegado a unos poco af ortunados, muchas compañías subcontratan serv icios de desarrollo en oriente, con partes de driv ers realizadas por becarios o por personal temporal no sólo mal pagado, sino en gran medida desincentiv ado. Pero mientras se cumplan plazos y f echas, a casi nadie le importa lo demás. La seguridad de los smartphones, tabletas y demás es, y será, cada v ez un tema recurrente para salv aguardar la intimidad de los usuarios. Pero cada v ez más la ingeniería social y determinadas herramientas (accesibles a quien las quiera obtener) harán de esto una especie de carrera del gato y el ratón. Puede que los habituales golpes de antaño no se repitan, de hackers nov atos, pero las intrusiones importantes en busca de v alioso material tendrán (y empiezan a tener) un escenario de realización que obligará a los cuerpos policiales especializados a un altísimo grado de dedicación y complejidad. Ahora bien: ¿estarán ellos dispuestos a implicarse y robarle a sus f amilias el mismo tiempo que dedican los hackers y

crackers? Ahora mismo existen herramientas de monitoreo capaces de buscarle la pista hasta el último microsegundo de activ idad de una IP, pero también los hackers tienen otras muchas f ormas de ocultar sus mov imientos que sólo unos pocos años atrás no llegaron ni a soñar. En el f ondo un hacker nunca cree que le v ay an a coger. De hecho, hoy como ay er, si cogen a muchos de ellos es por los múltiples errores que cometen en su ambición de lograr llamar la atención y conseguir una cierta f ama.

A modo de resumen... Muchos libros y programas de telev isión sobre ingeniería social están colaborando a crear una cierta psicosis, de manera que un enorme número de personas a las que se les acerca algún desconocido para solicitarle ay uda acaba crey endo que le quieren estaf ar. Esto colabora a que, si nuestra sociedad y a es de por sí en gran manera insolidaria y egoísta, lo sea aún más. Nuestros lectores deberían entender que la may oría de las personas que se acercan a uno reclamando ay uda es porque realmente lo necesitan. He trabajado durante muchos años con organizaciones asistenciales, y puedo aseguraros que la gran may oría de personas que piden auxilio no lo hacen por placer. Cuando uno se encuentra en la calle o en una situación personal conf lictiv a, es muy dif ícil salir de ella, y habitualmente requiere un largísimo proceso de f uerza de v oluntad y asistencia que suele durar años, no días. Por ello, no quisiera que ninguno de los que lean este libro caiga en el error de que le v an a estaf ar o de que cualquier persona que pida su ay uda es un riesgo en potencia. Obv iamente, cada uno debe v alorar la petición con sentido común: no es lo mismo que le paren por la calle pidiéndole cincuenta centav os, a que un estaf ador le quiera v ender su automóv il por mil dólares, o un hacker le pida su contraseña personal para acceder a tal parte de sistema y hacer determinada cosa. Espero que con las líneas y capítulos anteriores el lector hay a aprendido a v alorar el riesgo y sepa obrar en consecuencia, ése es el f in primordial de este trabajo. Se deberían dar charlas de seguridad para no caer en extremismos que no llev an a nada, y ev itar conv ertirnos en salv ajes en donde estemos todo el rato

mirándonos el ombligo porque, aún así, nadie nos asegurará estar a salv o de hackers. En todos estos ejemplos has podido comprobar que hay mucha dif erencia entre la seguridad y la solidaridad. Por supuesto, si una persona, aunque f uera un extraño, se acerca a tu lugar de trabajo a pedirte un f av or, en un alto porcentaje de casos necesitará realmente que le hagas ese f av or, y deberíamos hacérselo si está en nuestras manos. Pero es muy dif erente a eso el que dejemos nuestras tarjetas de identif icación encima de la mesa o se las conf iemos a guardar a celadores, o que cualquiera sin identif icación entre para "engancharse" a nuestra red sin que ningún superior nos adv irtiera de ello. Esos extremos no entran dentro de lo que deberíamos v er como solidaridad, sino como integridad, al f in y al cabo, protegiendo nuestra empresa protegemos nuestro trabajo y, en último término, a la sociedad y a nosotros mismos. No deberíamos prejuzgar tan ligeramente a las personas. Un tipo que se acerque a nosotros por la calle mal v estido y oliendo a humedad no tiene por qué ser un alcohólico, puede que simplemente sea la única ropa que en los roperos municipales le hay an podido prestar aquélla mañana, o se hay a empapado de la lluv ia. De la misma f orma que un hombre con traje y corbata perf ectamente planchados y sonrisa atractiv a no tiene por qué ser un respetable ejecutiv o. Puede tratarse de todo un hacker. Tendemos mentalmente a etiquetar a las personas mediante su aspecto, su f orma de hablar y sus gestos, cuando las acabamos de conocer. Un hacker lo sabe muy bien, y tratará siempre que pueda de causar una buena impresión la primera v ez. Luego no le importa, porque probablemente no le v ay a a v er nunca más. Es cierto que la sociedad, en general, es un animal carnív oro sin piedad que intentará dev orarnos, pero hay muchas personas

que, precisamente por eso, acabaron dev oradas. No nos conv irtamos con la excusa de nuestra priv acidad, en un carnív oro más y en ése tipo de sociedad que, precisamente por ello, detestamos. Si, en último término, nos surgen dudas, parémonos a pensar y preguntémonos: "¿es esto realmente lo que quiero hacer? ¿Soy y o así?". A v eces es mejor dejarnos estaf ar con un par de dólares y dormir tranquilos, que no por nuestra culpa dejar sin un bocadillo o una medicina a personas desaf ortunadas que lo hubieran podido necesitar. Siempre que me preguntan respondo f irme que lo primero es la solidaridad y el altruismo. Para ser injustos, déspotas o insensibles, siempre tendremos tiempo. Y aún queda gente en quien puedes conf iar, porque, de lo contrario, ¿qué tipo de mundo estaremos construy endo? Si hay un conjunto de personas que tengan el alma negra, no les tomes de excusa para tenerla también tú, y a que ese tipo de personas son las más merecedoras de nuestra conmiseración. Intenta mantener unos principios altruistas, y no los v endas por un posible "lo que pudiera pasar". Toma las lecciones de estas páginas anteriores como una muestra de dónde debe residir la auténtica seguridad, y no cómo una excusa para tomar el papel de juez o acusador de nadie.

Breve glosario de terminología · Aplicación de escritorio remoto: Es un tipo de programa que permite a un usuario lejano hacerse con el control de otro ordenador y manejarlo como si estuv iera f ísicamente junto a él. Existen muchas v ariedades de estos programas, muchos de ellos usados habitualmente por hackers. · BBS (de Bulletin Board Sy stem): Es un sistema para comunicarse entre grupos de usuarios (o usuarios anónimos) mediante un programa terminal (o también Telnet si es desde una computadora) a trav és de Internet o una línea telef ónica. El intercambio de inf ormación se realiza mediante texto plano. · Bot: Script automatizado que podía operar de f orma independiente como si f uera una persona real, para realizar dif erentes tareas. · Bugs: Errores o f allos de programación que pueden serv ir, por ejemplo, como acceso de puerta trasera ("backdoors"). · Captcha: Tipo de cif rado que, en teoría, impide el uso de robots o automatismos. · Driv ers: Importante sof tware que cumple tareas de relación con el sistema operativ o. Muchos de ellos están realizados directamente en ensamblador para aumentar su ef iciencia. · GUI: "Graphic User Interf ace", "Interf az Gráf ica de Usuario". Habitualmente una capa de niv el superior para f acilitar la relación hombre-máquina. · Hacker negro / hacker blanco: Se usa para def inir el tipo de

hacker según sus acciones. El "hacker blanco" es aquél que penetra en sistemas con el único objeto de aprender y /o hacer v er a sus legítimos dueños sus f allos en seguridad, mientras que el "hacer negro" aprov echa esos f allos en su propio benef icio. · MBR: Acrónimo de "Master Boot Record". El primer sector ("sector cero") de los dispositiv os que almacenan datos, como discos duros. · NAT: Es el traductor de direcciones de Red. Para IPv 4 se utilizan las NAT-T. · Newbie: Persona nov ata en inf ormática o técnicas hacking. · Phreaking: Son las técnicas de uso y aprendizaje de las líneas telef ónicas, de sus dispositiv os y elementos (hardware) y de su sof tware de gestión. No tiene por qué estar relacionado con el mundo del hacking, aunque en la may oría de casos sí lo esté. A los amantes y estudioso de estas técnicas se les conoce en el argot como "phreakers". · Shareware: Programas inf ormáticos que, para su uso, se requiere de un pago, aunque el programa f unciona prev iamente "a modo de v ersión de prueba". Pueden ser de muchos tipos: de pago tras un tiempo de uso (si no se realiza el pago la licencia expira y el programa deja de f uncionar), o de pago para obtener todas las f uncionalidades (algunas partes del programa no f uncionan si no se compra una licencia). Los hay también que f uncionan plenamente sin que se adquiera la licencia, pero a cambio emiten molestos av isos, o publicidad, o tienen partes de inf ormación -en cierta f orma también molestas- para que se compre la licencia.

· Seguridad mediante oscuridad: Filosof ía de seguridad que sobreentiende que cualquier usuario que se encuentre dentro de la red interna de la empresa o a trav és de su sistema de f iltrado externo es un usuario legítimo y autorizado. Es un planteamiento muy extendido (sea por premeditación o por otras causas, como olv ido o conf iguración errónea de los sistemas y aplicaciones de red) y que suele tener consecuencias dramáticas para la seguridad. · Stealer (en español "ladrón de inf ormación"). Es el nombre genérico de programas inf ormáticos maliciosos de tipo troy ano, que se introducen a trav és de Internet en un ordenador con el propósito de obtener de f orma f raudulenta inf ormación conf idencial del propietario, tal como su nombre de acceso a sitios web, contraseña o número de tarjeta de crédito. · "The Scene" ("La Scena"). Def ine la relación y el mundo entre hackers, VXs, crackers... etc. · VX (VXs): Escritores de v irus. · Warez: Programas, aplicaciones y material div erso pirateado o/y crackeado.

Códigos de ejemplo Ejemplos de un código con serv idor FTP y serv idor de f icheros bajo IRC. © (Manuel Gris)

Ejemplo de una parte de código de un script en VB imbuido en una página web, con la rutina para instalar una aplicación (Nef ty usó algo parecido). © (Manuel Gris)

Direcciones útiles · https://login.launchpad.net/+openid Serv icio de OpenID de Canonical. OpenID es una herramienta de clav es unif icadas, de manera que se puedan utilizar en multitud de sitios y páginas Web. On OpenID, tendremos la gestión de las cuentas centralizadas, anónima y segura. El serv icio de Launchpad, además, nos permite elegir entre v isualizar nuestro nombre público o no. · http://ascii.cl/es/url-decoding.htm Decodif icador de URLs. Nos permite interpretar los símbolos que encadenan las rutas URL para env iar inf ormación sin encriptar. · http://www.antiav erage.com/ip/ Intérprete y conv ertidor de direcciones URL modo texto, a direcciones IP. · http://blog.gentilkiwi.com/mimikatz Una de las últimas herramientas para la obtención de contraseñas, hashes e iny ecciones en sistemas Windows. · http://www.tasty cocoaby tes.com/cpa/ CPA. Snif f er para sistemas Mac OS X. · http://www.portswigger.net/burp/intruder.html Herramienta perteneciente a la suite BurpSuite para ejecutar ataques de f uerza bruta. · http://www.f wbuilder.org/ Interf az GUI de cortaf uegos. · http://www.comodo.com/secure-dns/switch/

Serv idor DNS seguro. · https://dev elopers.google.com/speed/public-dns/?hl=es DNS públicas de Google.

Aclaraciones finales Los relatos que puedes leer aquí son historias nov eladas de algunas de las andanzas más f amosas de hackers y crackers de hoy en día. Tienen como principal atractiv o que son historias actuales, con sistemas inf ormáticos de hoy y ordenadores modernos, al contrario que otros libros o relatos similares, que suelen remontarse a los años nov enta u ochenta o, incluso, a la era de los primeros ordenadores. Por lo tanto, es un trabajo, desde el punto de v ista de la actualidad, muy v alioso. Han sido expuestas únicamente como ejemplo de lo que este tipo de personas pueden lograr, y con el único f in de que el lector pueda protegerse al conocer cómo actúan. Bajo esta premisa es bajo la cual se dif unde éste texto. Lógicamente, por razones obv ias de seguridad, se ha tratado de preserv ar algunos detalles en aquéllos casos en donde la descripción pormenorizada pudiera llev ar a que alguien pudiese realizar el procedimiento descrito. Los nombres son totalmente f icticios, y si coinciden en algún caso con un hacker o cracker real es simple y total casualidad. En algunas de ellas también se ha recurrido a "lo que pudiera haber sido" en caso de llev arse a su f in determinada acción, pero esto no quiere decir que se hay a cometido (y a he mencionado que son relatos de f icción) la mencionada acción. El hecho de relatar el procedimiento completo es simplemente para hacer v er gráf icamente la f ragilidad de determinados sistemas actuales, y para aclarar el modo de actuación de los hackers y crackers. Por último, se ha tratado de obv iar, siempre que ha sido posible y con el objeto de f acilitar la lectura a la may oría de personas

(aunque no estén f amiliarizadas con la inf ormática), términos técnicos y argot inf ormático o "de la Scene". De este modo se hace el texto más digerible por aquéllos menos habituados a tratar con ordenadores. En aquéllas situaciones en las que no ha sido posible esto, se ha tratado de aclarar dicha terminología de manera contextual o/y accesoria al texto. No obstante, al f inal encontrarás un pequeño glosario que hará ref erencia a algunos términos.