Problema 1 · Competencia comunicativa para profesionales de las TIC UOC 2018

Contexto: Ficha técnica de la prueba

Tiempo total: 1 hora.

Material de consulta permitido: diccionario de lengua española o gramática en formato papel.

Ponderación: la actividad representa el 100% de la nota final de la prueba.

Objetivo: elaborar un texto breve que acredite el dominio de las propiedades textuales (adecuación, coherencia y cohesión), así como la capacidad de síntesis requerida en el ámbito universitario y profesional de las TIC.

1. Actividad (100% de la puntuación). Redacción de la conclusión

Redacta una conclusión de aproximadamente 150 palabras para el siguiente artículo:

Dos hackers españoles demuestran lo sencillo que es desvalijar un cajero

Dos expertos españoles en seguridad informática, Rubén Garrote y Rubén Ródenas, miembros del equipo de Hacking Ético de CyberSOC en Deloitte, han desarrollado un software capaz de sortear las medidas de seguridad de los cajeros automáticos, acceder a las partes más sensibles de su código y enviar comandos para que, entre otras cosas, se pongan a dispensar billetes. Como parte de su labor de auditoría, que consiste en encontrar vulnerabilidades para que los bancos puedan corregirlas, han descubierto lo sencillo que podría llegar a resultar para un cibercriminal, si consigue acceso al sistema, ir superando las distintas barreras del cajero hasta llegar a ese punto.

Su trabajo se basa en esquivar las protecciones del sistema. Cada vez que consiguen saltarse una medida de seguridad, aprenden sobre ella y pueden dar consejos sobre cómo mejorarla. Lamentablemente, ese conocimiento adquirido no suele transmitirse entre investigadores, de forma que a menudo es necesario comenzar de cero (o casi) en cada auditoría. Para solucionar este problema, Garrote y Ródenas buscaron una forma de simplificar el proceso y comenzaron a desarrollar un software capaz de localizar y de utilizar esos agujeros de seguridad de forma automática. Así nació TLOTA, el programa todavía en fase beta que les ha permitido sortear las protecciones de los dispensadores de dinero.

Una vez que ha superado los obstáculos hasta llegar a las capas más bajas del sistema, TLOTA está programado para enviar los comandos que el cajero espera recibir para realizar ciertas acciones (por ejemplo, sacar dinero), sin que sea necesario que en la capa más alta (la que ve el usuario en la pantalla de la máquina) se introduzca el PIN o se pulsen los botones que darían esa misma orden. Aunque visualmente lo más impactante a la hora de ejecutar este programa es que el cajero, si no está debidamente protegido, dispensará dinero como muestra inequívoca de la toma de control de la terminal, también podría ser programado con otros objetivos.

Ahora bien, ¿es realmente tan fácil hacerse con el control de un cajero? ¿Bastaría con ejecutar un malware que funcionara de forma similar a TLOTA? Aunque es cierto que muchos de estos cajeros funcionan con sistemas operativos anticuados que facilitan la tarea, lo cierto es que para un atacante real sería un poco más complejo, porque antes de ejecutar su herramienta, un delincuente tendría que obtener acceso al sistema. Según explican los expertos, los cajeros pueden estar conectados con su banco a través de la red corporativa de la sucursal o directamente a través de internet. Por ello, su infección habría de producirse de una forma similar a la de cualquier otro ordenador corporativo o doméstico.

A pesar de que no sea tan sencillo introducirse en un cajero, los ataques y el robo de efectivo y de cuentas no son solo escenarios hipotéticos, sino que ya se han dado casos en diversos puntos del globo. Cobalt, por ejemplo, fue un malware detectado en 2016, distribuido por toda Europa y parte de Asia, que utilizaba un sistema de propagación mediante campañas de phishing y con el que los delincuentes informáticos expulsaban dinero de cajeros que era recogido por mulas. Finalmente, Green Dispenser, que apareció en septiembre de 2015 en México, mostraba un mensaje de «fuera de servicio» y se podía vaciar el cajero al introducir un código concreto en el teclado PIN. Además, este malware disponía de un mecanismo seguro para eliminarse y no dejar rastro, lo cual dificultaba mucho las tareas de investigación.

Adaptado de Marta Sofía Ruiz, «Dos hackers españoles demuestran lo sencillo que es desvalijar un cajero», El Diario, 08/03/2017.