Soporte técnico
Documentación
Inicio de sesión
Contáctenos
Ir directamente al resumen generado por IA de esta entrada del blog 
A algunos hackers se les recuerda por el código que escribieron. A Kevin Mitnick se le recuerda por algo mucho más difícil de solucionar: su capacidad para convencer a la gente de que le entregara aquello a lo que ningún exploit podía acceder.
Todo empezó con un truco de cartas. Tenía unos diez años, el padre de un vecino hacía magia, y eso fue todo. Mitnick lo dejó claro en sus memorias años más tarde: «La magia fue mi puerta de entrada al arte de engañar a la gente». Wanted, el número 5 de TuxCare Comics, se toma sus palabras al pie de la letra y lo retrata como un mago de escenario que se mueve en la era de los móviles clonados, las identidades robadas y una persecución federal que convirtió su afición en noticia de portada.
Además, es el capítulo más reciente de una serie galardonada. Los dos primeros números recibieron premios en los Summit Digital Media Awards: «The Worm» obtuvo un «Leader Award» e «ILOVEYOU», un «Innovator Award». «Wanted» lleva la serie hacia un tipo diferente de historia sobre seguridad, aquella en la que la vulnerabilidad más interesante es la persona que está al otro lado del teléfono.
Cuando las personas pasaron a formar parte de la superficie de ataque
Mucho antes de que los kits de phishing se convirtieran en herramientas de uso común, Mitnick ya ponía de manifiesto una realidad que, por desgracia, sigue siendo de actual vigencia. El acceso no siempre se obtiene por la fuerza. A veces, simplemente se cede, porque la solicitud parecía rutinaria, la persona que llamaba utilizaba los nombres correctos y la historia incluía los detalles justos para parecer real.
Ese era el ciclo que repetía una y otra vez. Confianza, suplantación de identidad y un pequeño dato que se utilizaba para obtener el siguiente. La autenticación ha mejorado desde entonces. El registro de actividades ha mejorado. La detección ha mejorado. Convencer a alguien de que una solicitud es normal sigue siendo una de las vías más directas para sortear un sistema bien diseñado, y no existe ningún CVE para ello.
El truco que funcionó con Motorola
En 1992, Mitnick estaba fugado y quería un teléfono que nadie pudiera rastrear, lo que significaba que necesitaba el código fuente del firmware del Motorola MicroTAC Ultra Lite, el móvil más sofisticado del mercado en aquel momento. No hubo ningún exploit de por medio. Ni vulnerabilidad de día cero, ni desbordamiento de búfer, ni nada que un escáner hubiera podido detectar.
Llamó al servicio gratuito de información telefónica. Una recepcionista le indicó amablemente que se pusiera en contacto con el Grupo de Abonados Móviles de Motorola, en Schaumburg (Illinois). Marcó ese número, se presentó como Rick, del departamento de investigación y desarrollo de Arlington Heights, mencionó que Pam estaba de vacaciones y le había dicho que llamara, y le preguntó a una mujer llamada Alisa si podía enviarle el código fuente. Ella podía. Y así lo hizo. De paso, le facilitó el nombre de un servidor y un nombre de usuario.
A continuación, borró el historial del shell para que por la mañana no quedara ningún rastro. Todo el asunto parece un truco de cartas, y el cómic lo representa así, dividiendo la viñeta por la mitad para que veas cómo el traje del mago se convierte en un polo de Motorola en plena frase.
El hombre que se lo tomó como algo personal
Toda buena actuación necesita que haya alguien entre el público que no la esté disfrutando.
El día de Navidad de 1994, alguien irrumpió en los sistemas informáticos domésticos de Tsutomu Shimomura, físico computacional del Centro de Supercomputación de San Diego, y copió sus archivos. A continuación, recibió mensajes de voz burlones, aunque Mitnick negó durante el resto de su vida que fueran suyos. En cualquier caso, el mensaje caló, y Shimomura dejó de ser un mero espectador.
Lo que vino después tuvo menos de magia y más de radiogoniometría. En colaboración con los investigadores federales y la compañía telefónica, Shimomura siguió la señal del móvil hasta un barrio de Raleigh, Carolina del Norte, la redujo a un complejo de apartamentos y, a continuación, a una sola puerta. Los agentes entraron por esa puerta a la 1:30 de la madrugada del 15 de febrero de 1995. En el interior encontraron teléfonos móviles clonados, más de un centenar de códigos de clonación, varios juegos de documentos de identidad falsos y, un detalle que Raleigh nunca ha llegado a olvidar del todo, una servilleta de Denny’s.
Aquí es donde termina esta entrada. Lo que ocurrió después en la sala del tribunal, y lo que hizo Mitnick durante las dos décadas posteriores, constituye la segunda parte del tema y merece leerse con la mente despejada.
Por qué esta historia encaja en un cómic
Los informes de incidentes son útiles, pero nadie los lee dos veces. Un número de magia es una herramienta didáctica mejor, porque la esencia misma de un truco consiste en que estabas mirando la mano equivocada. Eso es ingeniería social en una sola frase. Se trata menos de un fallo técnico que de un fallo de permisos que se produce en el «wetware», y describirlo como un juego de manos hace que el mecanismo resulte visible de una forma que una cronología nunca logra.
Además, resulta que es la parte más incómoda del trabajo. Los equipos se vuelven expertos en la aplicación de parches, la clasificación de vulnerabilidades (CVE) y las migraciones por fin de vida útil, es decir, en todas aquellas tareas que generan un ticket. Pero entonces llama alguien llamado Rick desde Arlington Heights y nada de eso importa, porque la puerta principal se ha abierto desde dentro.
Lee «Wanted» en la sección de cómics de TuxCare, junto con números sobre el gusano Morris, ILOVEYOU, el Proyecto Rivolta y WannaCry.
