Las credenciales codificadas pueden introducir riesgos de seguridad

Secure Code Warrior tiene un firme compromiso con la formación de la comunidad de seguridad y desarrollo sobre cómo escribir código de forma segura, así como con la mitigación del riesgo de vulnerabilidades introducidas a través de código inseguro. Como parte de este objetivo, utilizaremos la noticia en desarrollo del reciente incidente de seguridad de Uber como una oportunidad para debatir la importancia de la seguridad impulsada por los desarrolladores y el enfoque de seguridad proactivo (shift left).

Incidente de seguridad en Uber

Uber publicó una declaración sobre el incidente de ciberseguridad el 16 de septiembre y continúa actualizándola. Los lectores deben tener en cuenta que es una noticia en curso. Hagamos un resumen de lo que hemos aprendido a través del anuncio de Uber hasta ahora y de otras publicaciones fiables de la comunidad de seguridad.

El hacker comenzó mediante ingeniería social contra un empleado de Uber, tras haber encontrado su número de WhatsApp. El atacante contactó con él y comenzó a realizar phishing para obtener sus credenciales, haciendo que el incauto empleado iniciara sesión en un sitio falso de Uber para capturar su nombre de usuario y contraseña.

Las cuentas de Uber están protegidas mediante autenticación multifactor (MFA), lo que significa que, además de introducir una contraseña, el usuario debe presentar una segunda prueba que confirme su identidad. En la mayoría de los casos, se trata de un aviso enviado a un dispositivo móvil.

Tras obtener las credenciales, el atacante inició un ataque de fatiga de MFA intentando iniciar sesión continuamente en el sitio real de Uber y abrumando al empleado con numerosas notificaciones push en su dispositivo. De nuevo, el atacante contactó con la víctima a través de WhatsApp. Esta vez, supuestamente se hizo pasar por el servicio de asistencia técnica y logró convencerle para que aceptara.

Credenciales codificadas

En la base de la brecha de seguridad de Uber hubo un ataque de phishing exitoso. Una vez dentro, el intruso encontró recursos compartidos de red que contenían scripts de PowerShell. Uno de estos scripts contenía las credenciales codificadas de un usuario administrador, lo que condujo al compromiso de los servicios internos de Uber, como AWS, G-Suite y repositorios de código. El hacker también obtuvo acceso a la cuenta de HackerOne de Uber. Sin embargo, según Uber, "todos los informes de errores a los que el atacante pudo acceder han sido subsanados".

¿Tiene curiosidad por ver cómo sería esta vulnerabilidad en el código? Pruebe nuestro desafío de PowerShell gratis.

¿Qué tan comunes son este tipo de ataques?

La ingeniería social como vector de ataque es difícil de defender, ya que el factor humano siempre se ha considerado el eslabón más débil de la ciberseguridad. El hackeo de Uber ha ilustrado claramente que las implementaciones de MFA pueden eludirse fácilmente. La clave para evitar esto es crear una mayor concienciación entre los empleados sobre cómo funcionan los ataques de phishing.

Sin embargo, lo que provocó la exposición de los servicios internos de Uber fueron el nombre de usuario y la contraseña del administrador que se encontraron en un script de PowerShell. Codificar credenciales nunca es bueno, ya que se vuelven legibles para cualquier desarrollador y, básicamente, para cualquiera que tenga acceso al código.

Pero, una vez más, ¡la concienciación es clave! Los desarrolladores con una mentalidad centrada en la seguridad tienen más probabilidades de detectar vulnerabilidades y menos de escribirlas.

Un enfoque doble de educación general sobre ingeniería social y, más específicamente, formación proactiva en codificación segura, reducirá el número de vulnerabilidades en una base de código y, por lo tanto, resultará fundamental en la lucha contra las amenazas a la seguridad.

¿Quiere saber más sobre cómo mantenerse al día con las mejores prácticas de codificación segura? Eche un vistazo a Secure Code Coach. Aquí puede aprender directrices de codificación segura y probar ejercicios de formación de forma gratuita.