Perito informático y hackeo de boletas de carga Bip!: Sería un tema político y de hacktivismo

El mensaje sobre José Piñera y las AFP que sorprendió este miércoles a los usuarios de Metro tiene todas las características de un hackeo tipo Anonymous, cree el experto Manuel Moreno. Mientras se espera el resultado de la investigación de la empresa, este es el escenario de la segunda vez que la compañía sufre dolores de cabeza por parte de los piratas informáticos.

«José Piñera, estafador acomodado tú un jubilado, NO + AFP», rezaba el «saludo» que sorprendió a algunos usuarios del Metro la mañana de este miércoles. El mensaje que salió desde las terminales de boleterías en estación Baquedano se viralizó rápidamente y puso en guardia a la empresa de transporte que anunció una investigación para evaluar el origen del texto.

El Sindicato de Metro confirmó que se trató de un hackeo, pero espera la indagación respectiva para descartar otra intervención. «Lo que ha informado la empresa es que la máquina fue hackeada o intervenida, pero de ninguna manera de forma directa por los cajeros. Eso será definido por la investigación que Metro lleva a cabo», indicó Eric Campos, presidente del Sindicato. El dirigente subió a redes sociales la imagen de la boleta y agregó que la empresa solicitó a los cajeros comenzar a cortar de las colillas la parte de la polémica.
Sobre la naturaleza de la vulneración, el perito informático Manuel Moreno, cree que el hecho tiene todas las características de un ataque informático parecido a los popularizados por el grupo hacktivista Anonymous. El experto cree que la información entregada por el Sindicato de Metro, sobre el hackeo, es altamente probable.

«Es probable también que la vulneración se haya generado por alguien que conozca la mantención o soporte a estos equipos y los haya, de alguna forma intervenido; sin embargo se debería realizar un peritaje forense para descartar o aseverar estos hechos. Pues de alguna forma estas máquinas sí están conectadas a la red, pues deben hacer consultas de saldo, de carga y otros temas más estadísticos o de gestión de la plataforma», dice Moreno sobre las funciones de estos equipos que también, supuestamente, deberían notificar online de alguna falla.

«Tampoco se debe descartar un ataque desde la misma red de Metro hacia ese dispositivo», señala desde su experiencia como perito en investigación forense de la Corte de Apelaciones y CEI Certified EC-Council Instructor.

«En cualquier caso, cualquier sistema informático puede ser vulnerado si una persona invierte tiempo y esfuerzo en conocer cómo opera internamente. Generalmente, los que trabajamos en seguridad informática haciendo pruebas de ethical hacking lo que buscamos es validar qué tan fácil o complejo puede ser para un atacante obtener acceso a sus sistemas y es posible que estos equipos no hayan pasado por este proceso», agrega el asociado de CiberSeguridad en CyberTrust.

amenta que muchas empresas inviertan lo justo en materia de seguridad, pero no en el peor escenario posible cuando se habla de empresas que no necesariamente trabajan con información sensible o financiera: «Hablamos de la posibilidad de materializar un incidente», insiste Moreno respecto al curioso mensaje aparecido en las boletas de las cargas Bip! sobre José Piñera y las AFP. «Eso es algo que claramente sucedió acá y que se pudo evitar si se hubiera realizado una auditoría de seguridad por una empresa con experiencia en el tema», explica.

El episodio recuerda también el incidente del «hackeo» de las tarjetas Bip! ocurrido en octubre del 2014. En ese entonces, la aplicación «Punto Bip!», desarrollada para teléfonos Android, permitía recargar sin costo alguno hasta 10 mil pesos al sistema de transportes con la tecnología de comunicación inalámbrica de corto alcance (conocida también como NFC por sus siglas en inglés) incorporada al smartphone del usuario.

«Han dicho que las terminales no están en red, pero claramente es una red, quizás no abierta, pero sí es un circuito que por temas administrativos está conectado a un punto de red que podría ser accesado. No necesariamente puede que detrás haya un entramado cibernético de acción letal. Este tipo de ataques también puede realizarse a través de técnicas de ingeniería social y algo de astucia», agrega Moreno sobre ese lado del ataque informático que obtiene claves, accesos y puertas abiertas gracias a brechas que pueden penetrarse con una llamada telefónica o descubriendo un password de baja seguridad.

«Cuando se trata de dispositivos como estas terminales o en el caso del hackeo de las tarjetas Bip!, el problema parte en un principio cuando se evalúan los costos asociados y no se considera como es debido un incidente de seguridad. Cuando estuvo listo el sistema para escoger el medio de pago para la integración con Transantiago el 2007, se pusieron todas las alternativas sobre la mesa, pero en virtud de la cantidad de usuarios y los costos versus sus beneficios, se escogió la más vulnerable. Aún cuando por entonces ya existían alternativas más robustas en términos de seguridad. Esa misma lógica puede usarse para determinar la tecnología que se usa actualmente en el Metro y que, quizás, no pensó en que se cubriera ante un ataque que quizás no pase nunca, pero que se debe tener en cuenta. En el caso del mensaje aparecido en la boleta, no sabemos si la empresa hizo esos cálculos en un primer lugar», dice el hacker de sombrero blanco.

Este nuevo tipo de ataques, anclados en la ideología, el mensaje social en lugar de un blanco comercial también son un escenario lo suficientemente reciente y popular como para descuidarse a nivel empresa, remarca Manuel Moreno: «Cuando tengo un banco o una empresa a la que pueden atacar para quitarle dinero o información, asumo ese riesgo desde un comienzo. En el caso del Metro, claro, pueden ser montos menores de dinero, por eso al riesgo se le baja la criticidad.
Sin embargo acá hay un tema político, de ‘hacktivismo’ como se le llama: parecido a lo que hace Anonymous y organizaciones que buscan hackear un sitio con un trasfondo político o para dejar un mensaje… esto está directamente dirigido. Si te fijas, no se buscaba causar daño, sino dejar una imagen clara y acorde a un tema que está en discusión y que molesta a gran parte de la ciudadanía».

Fuente directa: www.lanacion.cl