¡Crisis de ciberseguridad en todos lados! Piratas informáticos roban credenciales de Steam gracias a la técnica "browser-in-the-browser"

En un mundo donde la digitalización avanza a pasos agigantados, la seguridad en línea se convierte en un tema crucial. Cada día, miles de usuarios de plataformas como Steam se convierten en blanco de ataques cibernéticos. Recientemente, se ha reportado un incremento alarmante en las estafas relacionadas con el robo de credenciales a través de una técnica conocida como "browser-in-the-browser". Este artículo desentrañará cómo funciona esta técnica y qué medidas podemos tomar para protegernos.

La creciente amenaza de los ataques a cuentas de Steam

La empresa de ciberseguridad Group-IB ha alertado sobre un aumento notable en los ataques dirigidos a las cuentas de Steam, especialmente aquellas con altos saldos. Los piratas informáticos están utilizando tácticas sofisticadas para engañar a los usuarios y robar sus credenciales a través de sitios web falsos diseñados específicamente para este propósito.

Estos ataques no son casuales; los delincuentes eligen cuentas con un perfil atractivo, generalmente pertenecientes a jugadores profesionales que poseen valiosos artículos digitales y saldos monetarios. La técnica de phishing que utilizan es cada vez más engañosa, haciendo que el usuario crea que está interactuando con la plataforma legítima.

¿Qué es la técnica "browser-in-the-browser"? Un análisis profundo

La técnica "browser-in-the-browser" (BitB) es un método de phishing que se basa en crear una ventana emergente falsa dentro del navegador que simula ser la interfaz legítima de un sitio web. Este método fue destacado en un artículo del blog BleepingComputer en marzo de 2022, donde se describió cómo los atacantes implementan esta estrategia para robar información sensible.

Generalmente, cuando un usuario intenta iniciar sesión en un servicio que utiliza **Single Sign-On (SSO)**, como Google o Facebook, se activa una ventana emergente. Los atacantes explotan esta funcionalidad creando una ventana que parece auténtica, pero que en realidad es parte de la estafa. Esto complica aún más el reconocimiento del ataque por parte del usuario.

La operación es meticulosa: los delincuentes diseñan un portal que puede parecer legítimo y que puede adaptarse visualmente a diferentes navegadores y sistemas operativos, incluyendo versiones en modo claro y oscuro. Entre las características que utilizan destacan:

• Plantillas visualmente atractivas que engañan a los usuarios.
• Edición de URLs para evitar sospechas.
• Uso de HTML y CSS para mantener la apariencia auténtica.

Cómo se lleva a cabo el robo de información

Una vez que el usuario es engañado y proporciona sus credenciales en la ventana emergente falsa, los atacantes recopilan esta información y la envían a un servidor remoto. Este proceso es rápido, y en cuestión de minutos, los delincuentes pueden acceder a la cuenta de Steam, cambiar la contraseña y la dirección de correo electrónico, cerrando las puertas a cualquier intento de recuperación por parte del propietario legítimo.

Las cuentas de jugadores profesionales son particularmente atractivas, ya que pueden tener un valor de entre 100.000 y 300.000 euros, lo que las convierte en un objetivo ideal para los atacantes. La estrategia inicia con una invitación a participar en torneos de juegos populares como Counter-Strike, League of Legends, PUBG o Dota 2, donde los atacantes crean un vínculo emocional y de interés con sus víctimas.

Al hacer clic en el enlace proporcionado, el usuario es redirigido a un sitio de phishing que simula ser la organización del torneo. En este punto, el usuario es solicitado para iniciar sesión nuevamente, lo que desencadena la apertura de la ventana emergente falsa y la consiguiente captura de datos.

Alcance global y adaptabilidad

Una de las características más alarmantes de esta técnica es su capacidad de operar en 27 idiomas, lo que amplía su alcance y permite que los atacantes engañen a un público más diverso. La facilidad con la que los delincuentes pueden adaptar sus sitios a diferentes lenguajes y culturas aumenta las probabilidades de éxito de sus ataques.

A medida que más usuarios confían en plataformas digitales, la probabilidad de que caigan en estas trampas aumenta. Es crucial que los usuarios permanezcan alertas y adopten medidas proactivas para protegerse.

Consejos para prevenir ataques de phishing

Para protegerse de estos ataques, existen varias estrategias que los usuarios pueden implementar:

1. Evitar enlaces sospechosos: No haga clic en enlaces de correos electrónicos o mensajes de desconocidos.
2. Utilizar generadores de contraseñas: Esto garantiza que las contraseñas sean complejas y difíciles de adivinar.
3. Instalar programas antiphishing: Muchos ofrecen protección adicional y pueden alertar sobre intentos de fraude.
4. Verificar la autenticidad de las ventanas emergentes: Asegúrese de que cualquier ventana que se abra sea legítima, revisando la barra de tareas.
5. Cambiar el tamaño de la ventana: Si no puede minimizarla, es probable que esté frente a una ventana falsa.

Identificación de ataques de phishing en el navegador

Los expertos de Group-IB han compartido varios métodos para detectar si se está siendo víctima de un ataque de phishing:

• Verifique si la ventana emergente se muestra en la barra de tareas. Si no aparece, es probable que sea falsa.
• Intente cambiar el tamaño de la ventana emergente. Si no puede hacerlo, desconfíe.
• Pruebe a mover la ventana fuera de los límites del navegador; si se comporta de manera extraña, es una señal de alerta.

La ciberseguridad es un campo en constante evolución, y los delincuentes siempre encuentran nuevas maneras de engañar a los usuarios. La educación y la conciencia son nuestras mejores herramientas para combatir estos ataques. Mantenerse informado sobre las últimas tendencias en phishing y aplicar buenas prácticas de seguridad es esencial para protegerse en el mundo digital actual.

Para obtener más información sobre la amenaza de los ataques de phishing y entender cómo funcionan estos fraudes, puedes ver el siguiente video:

¿Para los gamers también? El CEO de EA asegura que la empresa podría lucrarse por las creaciones de los jugadores de Battlefield ¿La solución a la energía fósil? Desarrollan nanogeneradores que pueden generar electricidad a partir del oleaje marino YouTube "copia" a TikTok y te dejará realizar shorts para responder preguntas, mientras que amplía la monetización de los mismos ¿Puede reemplazar al LOL clásico? 'Wild Rift' va camino a juego del año para dispositivos móviles