Cómo te pueden robar la cuenta de Facebook en solo 5 segundos de descuido

Normalmente cuando alguien se deja la sesión de su equipo abierto en un entorno de trabajo durante unos minutos, está demostrando una gran confianza en todas las personas que tienen acceso físico a su equipo, además de un alto grado de irresponsabilidad para con la seguridad de toda la empresa. Es por eso, que lecciones como el Ataque David Hasselhoff intentan conseguir que la víctima entienda que no debe dejar la sesión sin bloquear, aunque sea a las malas. 

Figura 1: Cómo te pueden robar la cuenta de Facebook en 5 segundos de descuido

Cuando alguien se deja la sesión durante un breve instante de tiempo abierto, aunque sean solo unos segundos, una persona puede copiar archivos, ver información confidencial o realizar acciones en los sistemas con la cuenta de la víctima, y eso puede ser más que suficiente para tener un verdadero problema de seguridad.

Robar la cuenta de Facebook en 10 minutos

Con el ejemplo de robar una cuenta de Facebook, una de las cosas que se podría intentar hacer es simplemente la de mirar las contraseñas almacenadas en el navegador, pero además de que debería tener la contraseña almacenada, desde que se usan las master passwords, se hace complicado localizar las contraseñas almacenadas en el navegador. 

Figura 2: Passwords almacenadas en Firefox protegidas por Master Password

Si el usuario que ha dejado su equipo abierto tiene la sesión de Facebook activa, en ese momento se puede intentar acceder a las preferencias de la cuenta, para ver si es posible cambiar la contraseña, pero si no tienes la contraseña antigua, esto no es posible.

Figura 3: Para cambiar la password necesitas la cuenta antigua

Sin embargo, el camino más sencillo es robar la sesión. Hacer un secuestro de la sesión que está abierta, para lo que basta con que el atacante se lleve las cookies. Para hacerlo, solo es necesario 5 segundos delante del equipo. Tan sencillo como usar las herramientas del desarrollador ir a la sección de cookies y tomar una foto con el smartphone.  En Google Chrome, el acceso  hace con Ctrl+Shif+I (Alt+Cmd+I si es un OS X).

Figura 4: Cookies de sesión de Facebook sin proteger

De esto no te protege ni que la cookie lleve el Flag Secure, ni el Flag HTTPOnly ni nada parecido. Una vez hecha la foto, desde otra ubicación el atacante puede entrar tranquilamente a la cuenta usando una herramienta para configurar cookies en la sesión del navegador y escribiendo las que están en la foto que tomó, consiguiendo de esta forma obtener acceso a la cuenta de la víctima. Todo mucho más sencillo que caer en los engaños de las apps mágicas para hackear Facebook.

Cuidado con tu equipo cuando tú no estás con él

En solo unos segundos de descuido tu cuenta de Facebook, o de cualquier otro servicio, ha podido volar, por lo que ten un cuidado extremo de proteger tu equipo contra cualquiera que tenga acceso físico a tu máquina. Por supuesto, evita cachear contraseñas en el navegador, pero si lo haces que sea con Master Password. En equipos portátiles puedes poner sistemas de seguridad que incluso detecten el movimiento cuando alguien los toca, como el caso de iAlertU.

Figura 5: iAlertU - Cuando alguien toca tu equipo, le tira una foto con la Webcam

Además, por si alguien se ha hecho con tu contraseña en la empresa - que expertos en Shoulder Surfing hay muchos - para que no a utilice sin tu permiso puedes ponerte Latch para Windows, Latch para Linux o Latch para OS X y así mientras que tu equipo esté solo en tu zona de trabajo nadie lo va a poder tocar.

Saludos Malignos!