El robo de cuentas de WhatsApp de clientes de ciertas operadoras en España ha sido especialmente fácil hasta hace poco debido a la fragilidad del sistema de autentificación del buzón de voz. Lo que hace el atacante es instalar WhatsApp en su móvil, registrarse con el número de la víctima y pedir verificación por llamada telefónica. Esto lo hace en horario nocturno de forma que la llamada de verificación es atendida y grabada por el buzón de voz. Continúa en #1

Aunque no lo parezca el contestador tiene mas 100 años de existencia. En el siglo antepasado ya habia tecnologia que grababa magneticamente y en los años 40 ya habia dispositivos que podian recuperar remotamente lo grabado sin tener que ir fisicamente al contestador. Para ello usaban un sistema de silbatos. Un problema que tenia era el tamaño porque algunos tenian el tamaño de lavadoras.

Para un atacante que quisiera conseguir el acceso a un servicio de una persona, primero debía conocer cuál era el correo electrónico de su objetivo, y luego centrarse en conseguir acceso al e-mail, robando la contraseña con un ataque de Spear Phishing, consiguiendo un token OAuth que permitiera leer todos los mensajes como se explica en Sappo, o aprovechándose de que la cuenta de e-mail de recuperación de contraseña sea olvidada y caduque. Pero el primer paso, siempre es el mismo. Conocer la dirección de e-mail que utiliza un objetivo para iden

Es posible comprometer redes sociales, emails y todo tipo de servicios online crackeando buzones de voz y abusando de la función de reseteo de contraseñas a través de llamada automática

Se replica el trabajo que hicimos para el Ajuntament de Barcelona, con el buzón de Denuncias Anónimas contra la Corrupción, basado en Globaleaks y usable con Tor.

Las victorias de la ciudadanía en la lucha contra la corrupción, que en ocasiones han necesitado liberar información relevante a través de canales de denuncia seguros y anónimos. Sin embargo, sea por desconocimiento o por demagogia, algunos de estos buzones de denuncia que se están poniendo en marcha no cumplen con las garantías básicas de protección de las personas que alertan y su anonimato.

Si recibes una memoria USB en el buzón, no la conectes a tu ordenador por nada del mundo: es el nuevo tipo de ataque de los hackers.