Aprender seguridad informática hackeando el instituto

Tengo dieciséis años y soy estudiante en un centro de secundaria desde hace cinco años. Durante este tiempo, me he dado cuenta de que existe una cantidad grandísima de problemas relacionados con la seguridad informática en los institutos y que no se les presta la atención que merece, sobre todo en un organismo que que maneja tantísima información en el día a día. Para concienciar al profesorado de estos problemas creé la aplicación "#HackeaTuCole" de la que os vengo a hablar aquí.

Figura 1: Aprender seguridad informática hackeando el instituto

Realmente cree esta aplicación como una demostración sencilla y fácil para demostrar que cualquiera con un smartphone podría intentar cambiarse sus notas en su boletín a final de curso si el centro no tomase las medidas adecuadas. Sobre todo teniendo en cuenta que hay mucha gente con ganas de no estudiar para aprobar los exámenes del instituto.

Un ataque de Spear Phishing contra la plataforma Séneca

Lo que pretende realizar esta aplicación es un ataque de spear phishing - o suplantación de correo electrónico con phishing enviado a una víctima - de a la plataforma Séneca, que es la web que utiliza el profesorado andaluz para pasar lista en clase y poner las notas a final de trimestre.

Figura 2: App para hacer el spear phishing de Séneca

Para realizar el ataque debemos instalar y ejecutar la aplicación en el teléfono. Una vez abierta nos mostrará un campo de texto en el que debemos introducir la dirección de email de nuestra víctima. Tras pulsar el botón Enviar, un servidor PHP se encargará de redactar y enviar el correo a su destinatario.

Figura 3: Sitio de phishing de la plataforma Séneca.
Como es una prueba de concienciación avisa de ello.

La persona que recibe el email se encontrará con un mensaje que le pedirá que inicie sesión en Séneca debido a “unos movimientos desconocidos en sus servidores”, para ello en el correo se muestra un enlace que le redirige a una web casi idéntica. Cuando el usuario introduzca sus credenciales, la web se encargará de enviarlas a una base de datos MySQL.

Si todo va bien, nuestra víctima será redirigida a una web en el que se muestra un mensaje de error que dice que ha habido un “error durante la conexión”. La víctima pulsará el botón de reintentar y le redireccionará a la página verdadera dónde el usuario accederá a su cuenta sin darse cuenta del engaño.

Figura 4: Cuando el usuario pone sus datos, la web le redirige a la oficial

El ataque se podría dar casi por completo, ahora solo nos faltaría consultar la base de datos donde se encuentra la contraseña que nos llevará al "camino del éxito". Para ello abrimos de nuevo nuestra aplicación y pulsamos en el botón de abajo. Ahora si todo ha salido bien, nos debería de aparecer una tabla con el usuario y la contraseña. Contando con que nuestro profesor no se haya equivocado al escribir la contraseña, podremos acceder a la plataforma.

Figura 4: Las credenciales recogidas con al ataque de spear phishing

Qué fácil parece, sin embargo ahora es cuando se nos presentan los problemas. Afortunadamente Séneca cuenta con tres importantes medidas de seguridad que complican muchísimo cambiar la nota, aunque aún así podrían mejorar

Medidas de seguridad para evitar estos ataques en Séneca

La primera medida de seguridad de Séneca es que esta plataforma obliga a todo el profesorado a cambiar de contraseña cada cierto tiempo, por lo tanto descartamos la opción de tener una contraseña para poder usarla cuando nos plazca a lo largo del año. La segunda es que los profesores se reúnen el día de las evaluaciones cada trimestre para introducir las notas de los alumnos en la plataforma, y desde el momento en el que se suben quedan casi inamovibles. Son casi inamovibles ya que se pueden cambiar pero aquí es donde se encuentra el tercer problema, solo una persona es capaz de modificar las notas del alumno y es el director del centro, por lo que si realmente queremos aprobar esa asignatura que nos tiene en vela por las noches, debemos lanzar el ataque hacia el señor director.

Figura 5: Una simulación de La plataforma Séneca integrada con Latch

Al final cambiar las notas con un ataque de spear phishing en Séneca no es tan fácil como pudiera parecer, pero no es imposible del todo ya que podríamos buscar la ventana temporal adecuada o robarle la cuenta al director. Además, contar con las credenciales de un profesor puede ser un problema para la privacidad de todos, ya que con la contraseña de un profesor se pueden acceder a muchos datos. Sería más que necesario que para proteger esta cuenta el profesor contara con algún mecanismo de segundo factor de autenticación, como Latch, Google Authenticator o por medio de un SMS que le llegase a su número teléfono móvil.

Un saludo a todos y os invito a seguir estudiando,
(que aunque no sea fácil cambiar las notas, yo aprendí mucho con este proceso)

Autor: José Baena