Así funciona el secuestro de cuentas online antes de que te registres

Uno de los objetivos principales de los piratas informáticos es robar cuentas online. Por ejemplo perfiles de redes sociales, cuentas bancarias, correo electrónico… Para ello pueden usar diferentes métodos y estrategias. Ahora bien, ¿es posible que puedan secuestrar una cuenta incluso antes de que nos registremos? Lo cierto es que sí y vamos a explicar qué es lo que hacen exactamente para lograrlo.

Robo de cuentas antes de registrarnos

Este tipo de ataque se conoce como secuestro previo de cuenta. Básicamente es eso, robar una cuenta antes incluso de que haya sido creada. Va a permitir que un atacante tenga el control de esa cuenta en un futuro, incluso sin saber cuál es la contraseña. Esto lo pueden hacer en muchos servicios online.

Lo que hacen exactamente es crear una cuenta en una plataforma online popular, que suele tener muchos usuarios, y utiliza para ello la dirección de correo de otra persona. Cuando la víctima crea una cuenta utilizando ese correo, el atacante va a tener el control. Va a poder acceder a cualquier información que ponga la víctima y, posteriormente, podrá tomar el control exclusivo de esa cuenta.

En primer lugar necesita acceder a la cuenta de correo, lógicamente. Necesita un e-mail que haya sido atacado previamente. Pueden comprarlos en la Dark Web, donde hay a la venta cuentas de todo tipo que han sido robadas. Después de eso va a registrarse en algún servicio popular en el que la víctima no se ha creado cuenta todavía. Simplemente tiene que esperar a que en algún momento la víctima llegue a crear una cuenta ahí.

En el momento en que la víctima decida registrarse en esa plataforma, recibirá un mensaje diciendo que ya tiene cuenta. Tendrá que restablecer la contraseña y pensará que es un error o que tal vez se la creó hace tiempo y no lo recuerda. El atacante recibirá una notificación y podrá retener el acceso a esa cuenta.

Acceso a una misma cuenta

En muchas ocasiones es posible iniciar sesión directamente desde Google. Por ejemplo una página donde puedas crearte una cuenta o también entrar directamente con la cuenta de Gmail. Por tanto, ambos pueden tener acceso a la misma cuenta. El atacante podría empezar a robar información, suplantar la identidad, etc.

El atacante también podría crear una cuenta utilizando la dirección de correo de la víctima y mantener la sesión activa. Una vez que la víctima crea la cuenta y restablezca la contraseña, el atacante va a seguir dentro porque el servicio no lo ha expulsado.

Otra causa es que utilicen una cuenta que no verifica las direcciones de correo electrónico. Cuando la víctima se registre utilizando el mismo e-mail, es posible que ambos tengan acceso a la misma cuenta.

Los investigadores de seguridad han probado con numerosas cuentas y han visto que algunos servicios online populares, como son Instagram, LinkedIn o WordPress, son vulnerables a esta técnica. Ahora bien, ¿qué podemos hacer para evitar ser víctimas de este problema? Va a ser fundamental proteger la cuenta de correo electrónico en todo momento. Esto significa que debemos contar con una buena contraseña y activar la autenticación en dos pasos. Eso va a evitar que un atacante pueda robar una cuenta incluso antes de que nos registremos a un servicio.

El artículo Así funciona el secuestro de cuentas online antes de que te registres se publicó en RedesZone.