Taller de Ciberseguridad

Cómo te llevan a una página falsa (y cómo darte cuenta)

Profesor: Ruben Leal

Indicaciones para la clase:

  • Copiá los ejercicios en un documento nuevo dentro de tu carpeta de Drive y respondé ahí, debajo de cada consigna.
  • Estos seis ejercicios los hacés solo.
  • Regla para todo el taller: nunca tipees una contraseña que uses de verdad. Ni siquiera en las páginas del taller. Inventá parecidas.

Ejercicio 1 — La página que te lee lo que escribís

Qué vas a usar: la página eRÍO. Es un banco inventado, pero está hecho para verse igual que un home banking de verdad.

Aclaración: eRÍO no existe y nada de lo que escribas se envía ni se guarda. Todo pasa dentro de la pantalla. Es una demostración para que veas con tus propios ojos cómo funciona el truco. Para hacerlo existen diversas herramientas de ingeniería social y proxies inversos; las dos más conocidas y utilizadas para este tipo de ataques son Evilginx y Modlishka.

Parte A — Probá

  1. Abrí la página. Mirala unos segundos antes de tocar nada: ¿parece el sitio de un banco de verdad? Anotá tres cosas que te hacen pensar que sí (por ejemplo: logo, candado, comunicado de seguridad).
  2. Escribí un número de documento inventado y una contraseña inventada.
  3. Mientras escribís, mirá la franja oscura de abajo de la pantalla.

Parte B — Respondé

  1. Arriba, en el formulario, la contraseña se muestra con puntitos. Abajo, en la franja oscura, ¿cómo aparece?
  2. La página muestra un candado y dice "conexión segura". ¿Eso te protegió de algo en este caso?
  3. "Se veía igual que un banco." ¿Por qué eso no prueba que la página sea segura?
  4. Esta página te lee las teclas apenas la abrís. En un ataque real, la víctima no busca esta página en Google: le llega. ¿Cómo pensás que llega? (pista: algo que abrís sin desconfiar)

Para llevarte: esto es la herramienta. El atacante arma una página así, te manda el enlace, y cuando escribís tu clave "para entrar al banco", en realidad se la estás entregando a él. Que la página se vea perfecta es justamente lo que hace que el truco funcione.

Ejercicio 2 — ¿Cuál es el banco de verdad? (leé la dirección)

Qué es: una página se puede copiar hasta el último píxel. Lo único que el atacante no puede falsificar es la dirección: eso que aparece en la barra de arriba del navegador (la URL). Ahí siempre está la pista.

Parte A — Marcá y explicá

Supongamos que el banco de verdad vive en www.erio.com.uy. Mirá esta lista y, al lado de cada una, escribí si es verdadera o trucha, y por qué:

  • www.erio.com.uy
  • www.erio-seguro.com
  • erio.com.uy.acceso-cliente.net
  • www.er1o.com.uy
  • www.erio.com
  • login-erio.online

Parte B — Respondé

  1. En erio.com.uy.acceso-cliente.net, ¿cuál es el dominio de verdad? (pista: es lo último antes de la primera barra "/" — todo lo de antes puede ser puro disfraz).
  2. ¿Por qué el candado del navegador no te dice si el sitio es del banco?
  3. Regla para llevarte: al banco (y a cualquier sistema con tu clave), ¿desde dónde conviene entrar siempre?

Ejercicio 3 — El mensaje trampa

Qué es: el enlace trucho casi nunca aparece solo. Llega dentro de un mensaje que te apura o te asusta para que hagas clic sin pensar. En un hotel, los tres clásicos son: un problema con una reserva, un pedido urgente del jefe, y un soporte técnico que necesita tu clave.

Parte A — Cazá las señales

Leé los tres mensajes. Para cada uno anotá: qué te pide, cómo te apura y qué señal delata que es falso.

  • Mensaje 1 — llega al correo del hotel:
    "Estimado establecimiento: detectamos un problema con el pago de la reserva #BK-48213. Debe validar sus datos en las próximas 2 horas o la reserva será cancelada automáticamente. Ingrese aquí: http://booking-verificacion.com/acceso"
  • Mensaje 2 — llega por WhatsApp:
    "Hola, soy el gerente. Estoy en una reunión y no puedo hablar. Necesito URGENTE que entres al sistema y me pases la clave de acceso al PMS por acá. Es para ahora."
  • Mensaje 3 — llega al correo:
    "Somos el soporte técnico de tu sistema de reservas. Estamos haciendo una actualización de seguridad. Para que no pierdas el acceso, confirmá tu usuario y contraseña respondiendo este correo."

Parte B — Respondé

  1. ¿Qué tienen en común los tres mensajes? (pista: una misma receta que se repite).
  2. ¿Alguna vez el soporte, el banco o tu jefe necesitan de verdad que les des tu contraseña?
  3. Te llega el Mensaje 1 y sí tenés una reserva con ese número. ¿Qué hacés en vez de tocar el enlace? Escribí el paso concreto.

Ejercicio 4 — El candado no es lo que te dijeron

Qué es: seguro escuchaste que "si tiene candado, es seguro". Es una media verdad, y por eso es peligrosa. El candado (el HTTPS) significa una sola cosa: que lo que viaja entre tu navegador y esa página va cifrado, o sea que nadie lo puede espiar en el camino. No dice absolutamente nada sobre QUIÉN está del otro lado. Hoy cualquiera saca un candado gratis en cinco minutos, incluido el que arma una página trucha. Resultado: una página de phishing puede tener un candado perfecto y ser una trampa igual.

Parte A — Mirá y decidí

Las tres situaciones tienen candado. Decidí en cuál pondrías tu contraseña y por qué.

  • Situación 1 — candado presente · dirección: www.erio.com.uy
  • Situación 2 — candado presente · dirección: erio-clientes.com
  • Situación 3 — candado presente · dirección: www.banco-erio-seguro.online

Parte B — Respondé

  1. ¿Qué garantiza el candado y qué NO garantiza?
  2. Si las tres tienen candado, ¿qué es lo único que te dice cuál es la verdadera? (acordate del ejercicio 2)
  3. Completá la regla: "El candado significa que _________________, no que ________________."

Para llevarte: el candado dejó de ser señal de confianza. Hoy lo tiene casi todo, incluidas las trampas. Lo que te dice si es el banco es el dominio, no el candadito.

Ejercicio 5 — El QR también es un enlace

Qué es: un QR no es más que una dirección web disfrazada de cuadraditos. La diferencia con un enlace escrito es clave: el enlace lo podés leer antes de tocarlo, el QR no —tu ojo no distingue uno bueno de uno malo. Apuntás la cámara y ya estás yendo a donde sea que lleve. Esto tiene nombre: quishing (phishing por QR). En un hotel hay QR por todos lados: el del wifi, el del menú, el de "pagá acá", el de "dejanos tu reseña". Son el lugar perfecto para esconder una trampa.

Parte A — Los tres carteles

Para cada situación: ¿lo escanearías? ¿qué podría hacer un atacante con eso?

  • Situación 1 — En recepción está el cartel oficial con el QR del wifi. Alguien pegó ENCIMA, bien prolijo, otro QR con la etiqueta "Wifi actualizado, escaneá acá".
  • Situación 2 — Un huésped te muestra un folleto: "Escaneá para confirmar tu reserva y evitar cargos".
  • Situación 3 — En la mesa del desayuno, el QR del menú tiene una calcomanía nueva pegada arriba del original.

Parte B — Respondé

  1. ¿Por qué un QR puede ser más peligroso que un enlace escrito?
  2. La mayoría de los celulares, antes de abrir el QR, te muestran por un segundo la dirección a la que va. ¿Para qué te sirve mirarla? (acordate del ejercicio 2)
  3. Un QR pegado ENCIMA de otro, ¿qué te tiene que hacer sospechar?

Para llevarte: al QR se le aplica la misma regla que al enlace —mirá a dónde va antes de entrar—, y desconfiá siempre de los que aparecen pegados encima de otra cosa.

Ejercicio 6 — El buscador también miente

Qué es: "lo busqué en Google y entré al primero" parece seguro y no lo es. Los primeros resultados muchas veces son avisos pagos (publicidad), y cualquiera puede pagar para aparecer ahí —incluido un estafador que armó una copia del banco, de Booking, o un falso "soporte técnico" con un número de teléfono que atiende él. Buscás el teléfono del soporte, llamás al primero que aparece, y estás hablando con el atacante.

Parte A — El caso

Necesitás entrar al home banking del hotel. Buscás "erio banco" y aparecen, en este orden:

  1. [Anuncio] eRÍO - Acceso clientes — ingreso-erio-clientes.com
  2. [Anuncio] Home Banking eRÍO Oficial — erio-login.online
  3. eRÍO Banco — www.erio.com.uy

¿En cuál hacés clic? ¿Por qué?

Parte B — Respondé

  1. ¿Qué diferencia hay entre un resultado con la etiqueta "Anuncio" y uno normal?
  2. Buscás el teléfono del soporte y el primer resultado es un número. ¿Por qué me conviene no llamar sin más?
  3. Regla: a los sitios donde ponés tu clave (banco, correo, sistema del hotel), ¿cómo conviene llegar en vez de buscarlos cada vez?

Para llevarte: el buscador es una guía, no una garantía. A lo importante se entra por un favorito que guardaste vos o tecleando la dirección; nunca por el primer resultado, y menos si dice "Anuncio".

Nota sobre la elaboración: este material fue elaborado por Ruben Leal con el apoyo de herramientas de inteligencia artificial utilizadas como asistencia en la redacción y el diseño de las actividades.