Módulo 2 · Los ataques, contados en un caso: una semana en el Club Limbreda
Jueves · La web del club
Caso práctico · escena 4
Caso
Qué hacer: lee lo que pasa y elige. Cada elección tiene su consecuencia y puedes repetir el caso las veces que quieras.
Jueves por la mañana
Situación. Jueves por la mañana. La web del club muestra una página con un mensaje de un grupo que dice haber «hackeado» el club, y la lista de socios (nombre, correo, teléfono) está publicada en un foro. La web usa un gestor de contenidos con un complemento de inscripciones que no se actualiza desde hace dos años. Tú entras en la administración de la web con la misma contraseña que usas en tu correo personal y en una tienda en línea.
Decisión 1 · ¿Qué haces primero?
Ver todo el caso como texto
n0 · Jueves por la mañana
Situación. Jueves por la mañana. La web del club muestra una página con un mensaje de un grupo que dice haber «hackeado» el club, y la lista de socios (nombre, correo, teléfono) está publicada en un foro. La web usa un gestor de contenidos con un complemento de inscripciones que no se actualiza desde hace dos años. Tú entras en la administración de la web con la misma contraseña que usas en tu correo personal y en una tienda en línea.
- A) Restaurar la web desde la copia de la semana pasada y seguir. → f-0-A
- B) Poner la web en mantenimiento, cambiar la contraseña de administración (y la de los demás sitios donde la repetías), actualizar el gestor y el complemento o desactivarlo, y pedir ayuda a quien aloja la web para revisar los registros y limpiar. Después, restaurar desde una copia limpia. → c-0-B
- C) Borrar la web entera y hacer una nueva. → f-0-C
f-0-A · Final «Camino malo»
la web vuelve, con el mismo complemento sin actualizar; al día siguiente está otra vez cambiada.
Lección: Restaurar sin cerrar la puerta es volver a la casilla de salida.
c-0-B · Consecuencia
Camino bueno.
- A) Seguir → d1
f-0-C · Final «Camino aceptable a medias»
Lección: Resuelve la web, pero no explica cómo entraron ni qué datos salieron, y los socios siguen sin saber nada.
d1 · Decisión 2
- A) Avisar a los socios de lo que ha pasado y de qué pueden recibir (correos y llamadas falsas «del club»), documentar qué datos y cuántas personas, y consultar si el club tiene que notificarlo a la Agencia Española de Protección de Datos, porque el plazo, de 72 horas, corre desde que se sabe. → f-1-A
- B) No decir nada para no alarmar. → f-1-B
- C) Publicar en redes que «ha sido un ataque sofisticado» sin detalles. → f-1-C
f-1-A · Final «Camino bueno»
Lección: Avisar a los socios de lo que ha pasado y de qué pueden recibir (correos y llamadas falsas «del club»), documentar qué datos y cuántas personas, y consultar si el club tiene que notificarlo a la Agencia Española de Protección de Datos, porque el plazo, de 72 horas, corre desde que se sabe.
f-1-B · Final «Camino malo»
Lección: Los socios van a recibir engaños que usarán sus datos, y el club puede tener una obligación legal de notificar.
f-1-C · Final «Camino malo»
Lección: No ayuda a los socios y afirma lo que no se sabe.
Qué era: una vulnerabilidad en la web, un desfiguramiento y una fuga; y el relleno de credenciales
Tres cosas distintas en una escena:
- Vulnerabilidad en un componente sin actualizar. Las webs se hacen con gestores de contenidos y complementos. Un complemento abandonado es exactamente la «ventana abierta» de la lección anterior, pero expuesta a todo internet. Por ahí entraron, cambiaron la página (desfiguramiento) y se llevaron la base de datos (fuga de datos).
- Relleno de credenciales. Tú usabas la misma contraseña en la web del club, en tu correo personal y en una tienda. Cuando una de las tres sufre una filtración, los atacantes prueban esa contraseña en miles de sitios de forma automática. No «adivinan»: rellenan.
- Las consecuencias para las personas. Una fuga de datos de socios no es un problema de la web: es un problema de 300 personas que van a recibir engaños personalizados. Por eso se avisa, se documenta y se consulta si hay que notificar.
Lo que habría cambiado el jueves
Menos superficie de ataque. Un complemento abandonado se desactiva, no se deja «por si acaso».
El relleno de credenciales no habría servido de nada.
Para volver desde un punto limpio, no desde ayer.
Para saber cuándo entraron y qué tocaron.
Si la web no necesita el teléfono, no lo guarda. Lo que no está, no se filtra.
Cuando termines, sigues con «Viernes · El cifrado».