Alerta por nuevas páginas en la web: así roban tus datos

Google habilitó la semana pasada ocho nuevas extensiones de dominios de páginas web que levantaron las alertas: así como existen las .com o las .net, ahora se pueden registrar sitios que terminen en .zip, lo que se presta a confusión con los famosos archivos comprimidos y abre la puerta a una nueva forma de estafa.

El problema se originó con una publicación oficial de Google en la que anunciaba que ahora se pueden comprar sitios web con nombres que terminen en 8 nuevas extensiones: .dad, .esq, .prof, .phd, .nexus, .foo, .zip y .mov. (este último, también problemático, ya que es históricamente un formato de video).

El problema es que todo esto deja servido en bandeja a que actores maliciosos desarrollen campañas para robar datos mediante phishing: “Cuando hablamos de phishing nos referimos a la práctica de engañar a las personas para que revelen su información personal y confidencial, ya sean contraseñas, números de tarjetas de crédito o información bancaria”, explica Agustín Merlo, investigador en ciberseguridad.

“Para cumplir este objetivo, un atacante puede utilizar distintas técnicas como el envío de correos electrónicos o mensajes falsos y la creación de sitios web similares a los que frecuentamos. En todos estos casos, el atacante se hace pasar por una persona o una entidad a la que confiamos”, agrega el experto en malware (virus).

Ahora, con la posibilidad de tener páginas web .zip, se agrega así un nuevo vector de ataque.

“Zip”, la famosa compresión de archivos

Un .zip es un archivo comprimido que se usa para reducir el tamaño sin perder información, muy útil para juntar varios archivos en uno. Son extensamente conocidos y usados en el ámbito laboral, y en general se abren con programas como Winzip, Winrar o el extractor de archivos nativo de Windows.

Pero una cosa es un archivo y otra una dirección web (URL): “La existencia de los dominios .zip va a ser una herramienta más que juegue a favor de los ciberdelincuentes para hacer phishing ya que en algunos casos es necesario entender ciertos términos técnicos para identificar el error en un link falso”, advierte Merlo.

“Los dominios .zip ya son aprovechados por cibercriminales para crear direcciones web convincentes que parecen legítimas y dirigen a la ‘descarga’ de un archivo .zip. Esto se logra utilizando caracteres Unicode [un estándar de caracteres ]que se asemejan a la barra legítima (/), engañando a los navegadores para que interpreten todo después del ‘@’ como la ruta, ignorando la parte del servidor de la URL”, explicó.

“Por ejemplo, registré el dominio v17.zip, y mediante la sustitución de barras por códigos Unicode, se crea una URL que parece casi idéntica a una legítima. Este problema se agrava con las versiones actuales de las aplicaciones de WhatsApp para iOS y Android, ya que tratan al dominio completo como un enlace clickeable, aumentando el riesgo de caer en el engaño”, agrega.

“El reemplazo de / por otros caracteres parecidos lleva entre nosotros más de 20 años, pero explotó su uso por los dominios .zip y .mov que hace más complejo diferenciar los dominios”, aclara el experto.

Cómo protegerse

Hay una serie de pautas para estar atentos que, en rigor, cuentan para la navegacio´n en general y no solamente con este tipo de direcciones web.

• Tener precaución y desconfiar al recibir correos, mensajes o llamados sin haberlos solicitado previamente.
• No caer en el estado de "Urgencia", los criminales van a querer que sientas miedo por un posible bloqueo en tu cuenta, esto es para que te tomes menos tiempo de analizar lo que está ocurriendo.
• Examinar el correo, quién envía el mail y si los links que contienen redirigen al sitio correcto.
• Evitar hacer click en un enlace y abrir una pestaña nueva para ingresar a la web de la entidad por nuestra cuenta.
• Antes ingresar información privada en un sitio siempre validar que el dominio sea el correcto, que tenga "https://" y no esté remarcado en color rojo.
• Tener un antivirus instalado y con las actualizaciones al día Ante la duda, comunicarse directamente a la empresa o institución

Con o sin esta medida de Google, siempre hay que estar atentos: los estafadores tiran la red entre miles de usuarios. Con que un pequeño porcentaje caiga en la trampa, ya están hechos.