La Historia del Phishing es tan antigua como Internet, la picaresca para conseguir obtener privilegios gratuitos en páginas de pago, en servicios y en cualquier espacio protegido por datos confidenciales ha llevado a los phishers a desarrollar técnicas de Ingenieria Social apoyadas a veces por técnicas de harding para engañar al usuario y conseguir, de esta manera,los datos confidenciales.
* Las primeras referencias publicadas se remontan a las cuentas de AOL al principio de los años 90.
* 1996 Un phisher se hacía pasar como un empleado de AOL y enviaba un mensaje instantáneo a una víctima potencial. Para poder engañar a la víctima de modo que diera información confidencial, el mensaje podía contener textos como "verificando cuenta" o "confirmando información de factura". Una vez el usuario enviaba su contraseña, el atacante podía tener acceso a la cuenta de la víctima y utilizarla para varios propósitos criminales, incluyendo el spam. Tanto el phishing como el warezing en AOL requerían generalmente el uso de programas escritos por crackers, como el AOLHell.
* En 1997 AOL tomo medidas contra el phishing de forma que añadieron en su sistema de mensajería instantánea, una línea que indicaba que "no one working at AOL will ask for your password or billing information" ("nadie que trabaje en AOL le pedirá a usted su contraseña o información de facturación").
* En mayo de 2001 aparecieron Scams para conseguir las contraseñas de hotmail:
You're one of 100 hotmail winners!
"Usted es uno de 100 ganadores de hotmail", es lo que el mensaje avisa, y "solo" nos pide, que para hacernos acreedor a un regalo, llenemos el formulario adjunto en el texto HTML, con nuestro nombre de usuario de Hotmail, contraseña, un comentario, e incluso ¡una foto nuestra!.
El mensaje lo firma supuestamente el "Hotmail Staff", pero en realidad, proviene de la dirección "max@relay.1c.kiev.ua", y el código HTML recibido, posee un link a la dirección http://193.125.79.67/, la que corresponde según los registros a Tara Shevchenko Kiev University, 01033 Kiev, Ukraine.
* En julio de 2001 AOL informaba sobre un SCAM donde el usuario recibía un mensaje de su proveedor de servicios, donde se le indica que existe un error en el registro de sus datos, y que para poderle facturarle correctamente, y evitar ser dado de baja, debe actualizarlos a la brevedad. En el mensaje se muestra un link aparentemente legal a una página de facturación del propio America On Line. Si usted pulsa en el link, en su navegador se abre esta página, exactamente igual a las páginas oficiales de AOL. Allí, se le dan más detalles del presunto problema con sus datos; se le pide cortésmente disculpas por las molestias causadas; se promete que la información que el cliente estará ingresando será encriptada y solo usada por AOL; y luego se le advierte en una forma muy destacada que la dirección actual de su computadora ha sido registrada y guardada en un archivo de registro (log) para protegerlo a usted de cualquier tipo de fraude.
* También en julio de 2001 apareieron los siguientes mensajes: "Ante el asalto de un grupo de 'hackers' que robó la base de datos de MSN España sentimos comunicarle que debe mandarnos un 'e-mail' con su nombre, apellidos, dirección de 'e-mail' y contraseña antes del 15 de julio. Quien no realice dicho trámite será suprimido de nuestra base de datos."
* En junio de 2002 fueron los usuarios de ICQ quienes estuvieron en peligro al recibir un e-mail que muestra la dirección activation@icq.com y el asunto "IMPORTANT: Your Account Activation Status". El cuerpo del mensaje estaba muy bien preparado y no era diferente del sitio de ICQ. En la parte central había un formulario para el número de usuario (UIN) y su contraseña. Un script codifica una dirección Web y envía la información a la cuenta l3reA2002@hotmail.com, pudiendo ser usados para el robo de información, además de permitir al atacante apropiarse del número identificador y asumir falsas identidades.
* En octubre de 2002 Yahoo informó a la prensa que algunos de sus clientes recibieron un correo electrónico distribuido en forma masiva, en donde se les pedía dar sus números de tarjetas de crédito a supuestos integrantes de la compañía.
* En marzo de 2003 eBay informaba que los usuarios de su portal recibieron mensajes que simulaban ser alertas oficiales de PayPal. Estos mensajes, con todo desparpajo, solicitaban a los destinatarios que remitieran sus datos bancarios y números de tarjetas de crédito. Los correos electrónicos incluían el logo de las compañías, así como enlaces a sus páginas de Internet, y con un diseño muy similar al de los sitios originales. El texto del mensaje anunciaba a los destinatarios que sus cuentas de PayPal habían sido "seleccionadas al azar para ciertos trabajos de mantenimiento" (sic), y por ello, las mismas habían sido puestas en un modo al que llamaban "de acceso limitado". El mensaje, que parecía provenir de la dirección "info@paypal.com", pedía al usuario que introdujera el número de su cuenta bancaria y tarjeta de crédito en un formulario "en línea", incluido en el "e-mail".
CONTINUARA ...
No hay comentarios:
Publicar un comentario