Todos sabemos que en el mundo de Internet hay que andarse con mucho ojo para no caer en trampas como el phishing, que intentan hacer creer al usuario que está comunicándose con una entidad real a la que entrega sus datos de acceso, cuando en realidad se están enviando a un sitio fraudulento.
Hasta ahora lo más común era el envío de correo falsos (generalmente muy mal redactados, al menos en su versión en castellano, por cierto) de manera que al pinchar sobre el enlace que nos proporcionaban nos hacía llegar a la página falsa.
Sin embargo acaba de detectarse una nueva versión de este timo, potencialmente muy peligrosa, aprovechando las nuevas funcionalidades de los navegadores más modernos. Así ha surgido el tabnabbing.
Este curioso método hace uso de la navegación por pestañas que ya tienen casi todos los navegadores de última generación. Cuando accedemos a una página aparentemente inocua, pero preparada para ello, ésta detecta que cambiamos a navegar a otra pestaña y en ese momento se produce un cambio en su apariencia. La página “malévola” hace que el icono y texto de su pestaña se cambie por la de un sitio al que solemos acceder, por ejemplo, a gmail. Si no estamos atentos, al terminar de navegar sobre otra pestaña y volver la vista a la fraudulenta, su nuevo texto e icono nos hará creer que se trata de la página de gmail. Además, al pulsar sobre ella, la apariencia habrá cambiado y se nos mostrará la pantalla suplantada de entrada a gmail. En ese momento podemos llegar a introducir nuestras credenciales y que estás pasen a ser conocidas por los estafadores. Y lo mismo que puede hacerse con gmail, se podría hacer con un banco o cualquier sitio con información sensible al que solamos acceder.
Aunque pueda parecer enrevesado, cada vez es más común que la gente acabe teniendo un montón de pestañas abiertas a la vez, de manera que no detectemos el sutil cambio de icono, y que no nos extrañe encontrarnos la de gmail entre las múltiples que tengamos abiertas en un momento dado.
La única manera de detectar el fraude es fijarse en la barra de direcciones, que seguiría apuntando al sitio fraudulento.
En el vídeo se puede ver una prueba de concepto de este método en plena acción. La verdad es que da miedo lo sencillo que parece ser caer en ello.
Hasta ahora, sólo es un concepto, pero como decían en Hill Street, “tened mucho cuidado ahí fuera”.
Alberto Martín
