MYDOOM.A.WORM: INGENIERÍA SOCIAL PARA ADMINISTRADORES DE RED Por: Fernando de la Cuadra - Panda Software Para que un usuario abra un correo electrónico no solicitado se suele recurrir a técnicas de ingeniería social. Este nombre es una manera muy “políticamente correcta” de denominar a un engaño. Generalmente se intenta que los usuarios piquen con un mensaje en el que se llame la atención de algo.

Hay un ejemplo que ya se ha convertido en un clásico: el virus Loveletter. Allá por mayo del año 2000, se propagó por todo el mundo haciendo que los usuarios abrieran el fichero adjunto en un mensaje de correo electrónico en el que supuestamente había una carta de amor. El sistema funcionó, y de qué manera. Cientos de miles de usuarios, millones, abrían una supuesta carta de amor aunque viniera de una dirección desde la que era altamente improbable que les enviaran una carta de amor. Podría ser el director general de la empresa, un proveedor de artículos de limpieza o la vecina de enfrente. Y además, en inglés, que aunque sea un idioma muy extendido por todo el mundo, las cartas de amor suelen escribirse en el idioma del destinatario. Así que una elevada proporción de destinatarios podrían haberse librado del virus con un poco de inteligencia, pero es mayor el afán de cotilleo que el de seguridad.

Sin embargo, estos intentos pueden llegar a fracasar. Ante usuarios más avezados no hay truco que valga, ya que ante un mensaje con estas características, las alertas se disparan y se extreman las precauciones. Pero ¿qué pasa si el gusano se disfraza no ya con una treta de ingeniería social “masiva”, sino apuntando directamente a los usuarios que supuestamente están alerta?

El gusano Mydoom.A.worm es un buen ejemplo. Con un asunto y un texto que puede parecer un mensaje de advertencia por un correo defectuoso o mal enviado, el éxito ha sido fulminante. Un usuario entendido no dejará de abrir un aviso de su sistema de correo sobre un mensaje defectuoso.

En este caso, el nuevo gusano se aprovecha de la supuesta “superioridad” de los conocimientos en los administradores de redes o usuarios expertos. Ellos, los “expertos”, no picarán ante un virus que proponga una fotografía pornográfica, pero intentarán, sin duda, analizar el por qué de un mensaje proveniente de un servidor de correo en el que se avisa de un error.

Para empeorar las cosas, si la persona que abre este supuesto mensaje de error es al administrador de una red, el virus dispone de la posibilidad de acceder a muchos más ficheros que un usuario normal, ya que los premisos de los administradores son, evidentemente, totales. El desastre está asegurado. De nada sirve tener una estupenda barrera de seguridad si en alguno de los puntos de la cadena se están cometiendo errores, y mucho más en el punto en el que nunca se supone que se deben cometer, como es en el estamento administrativo.

Siempre se ha dicho que el nivel de seguridad de un sistema es su elemento más débil. Aunque en muchos casos estén técnicamente resueltos todos los posibles agujeros de seguridad, siempre nos quedará el problema de la formación a los usuarios a todos los niveles, que a pesar de las muchas veces que se ha insistido en este tema, está muy por debajo de lo necesario.

Cuando se implementa un proyecto de seguridad global en las redes de las empresas, la actuación en caso de que se produzca alguna incidencia no suele observar la formación o la información al usuario que la haya podido producir. Si acaso, se le acusará de negligencia y puede que el empleado sea amonestado. Si el error se produce, por ejemplo en un router, el router será actualizado con los parches adecuados y se intentará que no vuelva a producirse. Pero con un usuario final, pocas veces se hace un curso de formación o unas jornadas de actualización.

En muchos casos bastaría con advertir a los usuarios que dejaran el morbo atrás ante mensajes que utilizan la pornografía para engañar, pero ahora hay que dar un paso más adelante: los administradores deben estar tan alerta con los supuestos mensajes de error como los usuarios con fotos pornográficas. Es, simplemente una cuestión de seguridad.