Un proveedor de mensajes de texto (SMS) que opera en Argentina, Chile y Uruguay fue hackeado. Desde febrero, analistas de seguridad detectaron robos de cuentas personales mediante el uso de SMS inseguros, un método que sigue siendo utilizado por miles de empresas a nivel mundial.
El caso de Sondeos Global
Sondeos Global, una empresa que actúa como «gateway» para enviar mensajes de texto con fines de autenticación, reseteo de contraseñas y notificaciones, publicó un documento interno donde reconoció el ingreso no autorizado a sus servidores el 24 de marzo. Aunque se sabe que el ataque comenzó antes, la empresa aseguró que los atacantes lograron capturar tráfico de SMS en tiempo real, con alrededor de 30 mil datos capturados.
La empresa realizó una denuncia sobre el hackeo ante la Unidad Fiscal Especializada en Ciberdelincuencia. Internamente, desde Segu-Info, se confirmó que los primeros casos reportados a Sondeos Global provienen de las primeras semanas de enero.
El impacto del ataque
El hackeo afectó a clientes de Argentina y Uruguay. El tráfico capturado incluyó datos de múltiples clientes, con contenido del tipo OTP (One Time Password), marketing, gaming y otros. Los mensajes SMS se utilizan como vehículo para estos códigos de seguridad.
Estos mensajes son empleados por empresas para notificar usuarios sobre envíos, reseteo de contraseñas o acceso a cuentas. La vulnerabilidad del sistema permite a los estafadores tomar control de otras cuentas y realizar estafas.
Investigación y hallazgos
Desde febrero se detectaron robos de cuentas por parte de distintos atacantes que interceptaban códigos de seguridad enviados por mensajes de texto, incluyendo empresas como Mercado Libre, Google, Facebook, Instagram y Apple.
Un grupo de investigadores, entre ellos Pablo Sabbatella, llegó a la conclusión de que los hackeos no se debían a dispositivos de usuarios ni a operadores telefónicos, sino al gateway encargado de enviar SMS de autenticación en Argentina. El ataque fue reportado el 26 de marzo y las empresas afectadas informaron sobre la filtración el 28 de marzo.
El funcionamiento del gateway
Un gateway es un servicio que permite a diferentes proveedores enviar mensajes de texto. Sondeos Global se dedica precisamente a este rubro. Los SMS siguen siendo utilizados como segundo factor de autenticación y método de reseteo de contraseñas.
Cuando un usuario quiere iniciar sesión en una plataforma, el proceso suele exigir un segundo factor, como un código OTP enviado por mensaje de texto. Este sistema permite a los atacantes interceptar estos códigos para tomar control de cuentas y realizar estafas.
El protocolo SMPP
La empresa explicó en su reporte interno que los atacantes lograron comprometer el servidor SMPP, un protocolo que establece las reglas de intercambio de SMS. Si un atacante vulnera este protocolo, puede acceder a todo el detalle de la comunicación entre la empresa y el operador móvil.
El rol de los bots en el robo de cuentas
A principios de febrero se empezaron a recibir reportes de usuarios argentinos cuyas cuentas de Telegram habían sido hackeadas o intentadas ser hackeadas, interceptando los códigos de autorización enviados por SMS. La segunda semana de marzo estos casos se intensificaron y se volvieron masivos.
Los investigadores llegaron a la conclusión de que el ataque no se debía a dispositivos comprometidos ni a una empresa telefónica en particular, sino al gateway de envío de SMS. El 21 de marzo se publicó una alerta y se invitó a los afectados a contactarlos.
El flujo de mensajes y su vulnerabilidad
Cuando una empresa como Apple envía un mensaje con código de seguridad, el mensaje no le llega directamente al usuario. Pasa por varios puntos sin encriptarse, lo que facilita la interceptación.
¿Qué pasó realmente?
Un empleado fue infectado por malware, quizás por bajar algo crackeado o abrir un archivo infectado. Este malware le robó las contraseñas guardadas y permitió a alguien acceder al servidor y encontrar códigos de seguridad.
El impacto en empresas y usuarios
Los mensajes interceptados incluyeron datos sensibles como credenciales, datos personales y códigos MFA. Esto explica cómo se produjeron las apropiaciones de cuentas sin interacción del usuario.
Cómo evitar el robo de cuentas
Las cuentas personales son muy codiciadas por los atacantes para cometer estafas. Una vez que se toma el control, los cibercriminales pueden hacerse pasar por conocidos para pedir dinero o realizar ataques de ingeniería social.
Se recomienda siempre tener un segundo factor de autenticación activado, pero este método nunca debe ser el SMS. Se sugiere usar aplicaciones como Google Authenticator o Microsoft Authenticator, que son más seguras.