{"id":13303,"date":"2018-08-17T13:28:31","date_gmt":"2018-08-17T19:28:31","guid":{"rendered":"https:\/\/latam.kaspersky.com\/blog\/?p=13303"},"modified":"2018-08-20T17:38:56","modified_gmt":"2018-08-20T23:38:56","slug":"hacking-online-accounts-via-voice-mail","status":"publish","type":"post","link":"https:\/\/latam.kaspersky.com\/blog\/hacking-online-accounts-via-voice-mail\/13303\/","title":{"rendered":"C\u00f3mo secuestrar cuentas online a trav\u00e9s del buz\u00f3n de voz"},"content":{"rendered":"<p>\u00bfQui\u00e9n utiliza el buz\u00f3n de voz hoy en d\u00eda? \u201cNadie\u201d ser\u00eda seguramente la primera respuesta de la mayor\u00eda. Es cierto que casi nadie utiliza el buz\u00f3n de voz, pero muchos suscriptores de m\u00f3viles cuentan con este servicio que todav\u00eda sigue en funcionamiento, aunque est\u00e9 algo abandonado.<\/p>\n<p><img decoding=\"async\" class=\"size-full wp-image-16723 aligncenter\" src=\"https:\/\/media.kasperskydaily.com\/wp-content\/uploads\/sites\/88\/2018\/08\/20132659\/hacking-online-accounts-by-voice-mail-featured.jpg\" alt=\"\" width=\"1460\" height=\"960\"><\/p>\n<p>Y recuerda, que no utilices el buz\u00f3n de voz, no quiere decir que nadie m\u00e1s lo use. En su informe \u201c<a href=\"https:\/\/www.martinvigo.com\/voicemailcracker\/#more-718\" target=\"_blank\" rel=\"noopener nofollow\">Compromising online accounts by cracking voicemail systems<\/a>\u201d (\u201cComprometer las cuentas <em>online<\/em> mediante el <em>hackeo<\/em> de sistemas de buz\u00f3n de voz\u201d en espa\u00f1ol) en DEF CON 26, el investigador de seguridad <a href=\"https:\/\/twitter.com\/martin_vigo\" target=\"_blank\" rel=\"noopener nofollow\">Martin Vigo<\/a> demostr\u00f3 que tu buz\u00f3n de voz puede ser de gran reclamo para los intrusos que buscan <em>hackear <\/em>tus cuentas <em>online<\/em>.<\/p>\n<p>De hecho, la mayor\u00eda de los operadores permiten el acceso al buz\u00f3n de voz no solo desde tu tel\u00e9fono, sino tambi\u00e9n a trav\u00e9s de un n\u00famero de tel\u00e9fono externo, en cuyo caso el acceso se protege con un c\u00f3digo. Sin embargo, los c\u00f3digos del contestador suelen ser poco seguros. Muchos suscriptores utilizan los c\u00f3digos establecidos por defecto por el operador, que suelen ser o los \u00faltimos d\u00edgitos del n\u00famero de tel\u00e9fono o algo tan simple como 1111 o 1234.<\/p>\n<p>Adem\u00e1s, aunque el suscriptor se moleste en cambiar el c\u00f3digo, la probabilidad de que alg\u00fan intruso te visite sigue siendo muy alta. <a href=\"http:\/\/www.datagenetics.com\/blog\/september32012\/\" target=\"_blank\" rel=\"noopener nofollow\">Como muestra otro estudio<\/a>, cuando se trata de generar c\u00f3digos, los usuarios son a\u00fan menos creativos que con las contrase\u00f1as.<\/p>\n<p>Primero, el c\u00f3digo suele constar de cuatro d\u00edgitos, aunque sea posible hacerlo m\u00e1s largo. Segundo, muchos usuarios optan por secuencias f\u00e1ciles de recordar de cuatro d\u00edgitos id\u00e9nticos o combinaciones como 1234, 9876, 2580 (la fila vertical central en el teclado del tel\u00e9fono) entre otras. Los c\u00f3digos que empiezan por 19 tambi\u00e9n son muy populares. Conociendo todas estas peculiaridades, <i>hackear<\/i> un buz\u00f3n de voz resulta r\u00e1pido y sencillo.<\/p>\n<p><span class=\"embed-youtube\" style=\"text-align:center; display: block;\"><iframe class=\"youtube-player\" type=\"text\/html\" width=\"640\" height=\"390\" src=\"https:\/\/www.youtube.com\/embed\/Z9kO4VmN1FM?version=3&amp;rel=1&amp;fs=1&amp;showsearch=0&amp;showinfo=1&amp;iv_load_policy=1&amp;wmode=transparent\" frameborder=\"0\" allowfullscreen=\"true\"><\/iframe><\/span><\/p>\n<p>No hace falta probar todas las combinaciones de forma manual, esta tarea puede ser realizada por una secuencia de comandos que llama al n\u00famero del buz\u00f3n de voz e introduce diferentes combinaciones en el modo de tono. Es decir, se puede atacar el buz\u00f3n de voz a trav\u00e9s de fuerza bruta y, adem\u00e1s, no requiere muchos recursos. \u201c\u00bfY qu\u00e9?\u201d, pensar\u00e1s, \u201cNo hay nada de valor en mi buz\u00f3n de voz\u201d, o eso es lo que crees.<\/p>\n<h2>C\u00f3mo <i>hackear<\/i> PayPal y WhatsApp mediante el buz\u00f3n de voz<\/h2>\n<p>Cuando restauras una contrase\u00f1a, muchos de los servicios <i>online<\/i> m\u00e1s importantes ofrecen, entre otras opciones, llamarte a un n\u00famero de tel\u00e9fono especificado en tu perfil para transmitir el c\u00f3digo de verificaci\u00f3n.<\/p>\n<p>La tarea de los atacantes es simplemente conseguir el c\u00f3digo del buz\u00f3n de voz y esperar a que el tel\u00e9fono de la v\u00edctima est\u00e9 apagado o fuera de cobertura (por ejemplo, en modo avi\u00f3n). Entonces, solo tendr\u00e1n que restaurar la contrase\u00f1a en el servicio <i>online<\/i> y seleccionar como opci\u00f3n de verificaci\u00f3n una llamada que ir\u00e1 directamente al contestador.<\/p>\n<p>Martin Vigo demostr\u00f3 c\u00f3mo se puede utilizar esta t\u00e9cnica para secuestrar una cuenta de WhatsApp.<\/p>\n<p><span class=\"embed-youtube\" style=\"text-align:center; display: block;\"><iframe class=\"youtube-player\" type=\"text\/html\" width=\"640\" height=\"390\" src=\"https:\/\/www.youtube.com\/embed\/-n2NCc5TnCE?version=3&amp;rel=1&amp;fs=1&amp;showsearch=0&amp;showinfo=1&amp;iv_load_policy=1&amp;wmode=transparent\" frameborder=\"0\" allowfullscreen=\"true\"><\/iframe><\/span><\/p>\n<p>Algunos recursos <i>online<\/i> emplean un proceso de verificaci\u00f3n un poco distinto: el servicio vuelve a marcar el n\u00famero de tel\u00e9fono asociado con la cuenta y solicita al usuario que introduzca los n\u00fameros que aparecen en la p\u00e1gina de restauraci\u00f3n de contrase\u00f1as como verificaci\u00f3n. Sin embargo, esto puede evitarse con la ayuda de un simple truco que consiste en configurar el mensaje del contestador con una grabaci\u00f3n de los tonos del teclado que corresponden a los d\u00edgitos del c\u00f3digo de restauraci\u00f3n.<\/p>\n<p>Un servicio <i>online<\/i> con este tipo de sistema de verificaci\u00f3n es PayPal. Martin Vigo tambi\u00e9n lo ha <i>hackeado<\/i> con \u00e9xito:<\/p>\n<p><span class=\"embed-youtube\" style=\"text-align:center; display: block;\"><iframe class=\"youtube-player\" type=\"text\/html\" width=\"640\" height=\"390\" src=\"https:\/\/www.youtube.com\/embed\/itEVmcirta0?version=3&amp;rel=1&amp;fs=1&amp;showsearch=0&amp;showinfo=1&amp;iv_load_policy=1&amp;wmode=transparent\" frameborder=\"0\" allowfullscreen=\"true\"><\/iframe><\/span><\/p>\n<p>Esto son solo unos cuantos ejemplos. De hecho, muchos otros servicios realizan una llamada de voz automatizada a un n\u00famero de tel\u00e9fono asociado para verificar la restauraci\u00f3n de una contrase\u00f1a o transmitir un c\u00f3digo de autentificaci\u00f3n de doble factor y de un solo uso.<\/p>\n<h3>C\u00f3mo protegerse del secuestro mediante el buz\u00f3n de voz<\/h3>\n<ul>\n<li>Considera la opci\u00f3n de desactivar el buz\u00f3n de voz por completo, de todas formas, no es muy pr\u00e1ctico.<\/li>\n<li>Si necesitas un buz\u00f3n de voz, utiliza un c\u00f3digo seguro. Primero, debe contener m\u00e1s de cuatro d\u00edgitos, cuantos m\u00e1s, mejor. Y, segundo, la combinaci\u00f3n debe ser <a href=\"http:\/\/www.datagenetics.com\/blog\/september32012\/\" target=\"_blank\" rel=\"noopener nofollow\">dif\u00edcil de adivinar<\/a> y, preferiblemente, aleatoria.<\/li>\n<li>No divulgues de forma indiscriminada el n\u00famero de tel\u00e9fono asociado a tus cuentas <i>online<\/i>. Cuanto m\u00e1s complicado sea relacionar tu identidad <i>online <\/i>con un n\u00famero de tel\u00e9fono, mejor.<\/li>\n<li>No intentes asociar tu n\u00famero de tel\u00e9fono con un servicio <i>online<\/i> si no es un requisito previo o un requisito para una autentificaci\u00f3n de doble factor.<\/li>\n<li>Utiliza la autentificaci\u00f3n de doble factor, a poder ser con aplicaciones como Google Authenticator o un dispositivo de <a href=\"https:\/\/www.kaspersky.es\/blog\/multi-factor-authentication\/6692\/\" target=\"_blank\" rel=\"noopener\"><i>hardware<\/i> como YubiKey<\/a>.<\/li>\n<\/ul>\n","protected":false},"excerpt":{"rendered":"<p>Cuando se trata de las cuentas online, el buz\u00f3n de voz es un enorme agujero de seguridad, te contamos por qu\u00e9. <\/p>\n","protected":false},"author":421,"featured_media":13304,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[3145,6],"tags":[2127,3490,507,1622,3491,1349,3489,301,2941,2928,796],"class_list":{"0":"post-13303","1":"post","2":"type-post","3":"status-publish","4":"format-standard","5":"has-post-thumbnail","7":"category-threats","8":"category-news","9":"tag-2fa","10":"tag-autentificacion-de-doble-factor","11":"tag-black-hat","12":"tag-blackhat","13":"tag-buzon-de-voz","14":"tag-def-con","15":"tag-def-con-26","16":"tag-paypal","17":"tag-secuestro","18":"tag-servicios-online","19":"tag-whatsapp"},"hreflang":[{"hreflang":"es-mx","url":"https:\/\/latam.kaspersky.com\/blog\/hacking-online-accounts-via-voice-mail\/13303\/"},{"hreflang":"en-in","url":"https:\/\/www.kaspersky.co.in\/blog\/hacking-online-accounts-via-voice-mail\/13944\/"},{"hreflang":"en-ae","url":"https:\/\/me-en.kaspersky.com\/blog\/hacking-online-accounts-via-voice-mail\/11643\/"},{"hreflang":"en-us","url":"https:\/\/usa.kaspersky.com\/blog\/hacking-online-accounts-via-voice-mail\/15943\/"},{"hreflang":"en-gb","url":"https:\/\/www.kaspersky.co.uk\/blog\/hacking-online-accounts-via-voice-mail\/14230\/"},{"hreflang":"es","url":"https:\/\/www.kaspersky.es\/blog\/hacking-online-accounts-via-voice-mail\/16722\/"},{"hreflang":"it","url":"https:\/\/www.kaspersky.it\/blog\/hacking-online-accounts-via-voice-mail\/16131\/"},{"hreflang":"ru","url":"https:\/\/www.kaspersky.ru\/blog\/hacking-online-accounts-via-voice-mail\/21092\/"},{"hreflang":"x-default","url":"https:\/\/www.kaspersky.com\/blog\/hacking-online-accounts-via-voice-mail\/23499\/"},{"hreflang":"fr","url":"https:\/\/www.kaspersky.fr\/blog\/hacking-online-accounts-via-voice-mail\/10840\/"},{"hreflang":"pt-br","url":"https:\/\/www.kaspersky.com.br\/blog\/hacking-online-accounts-via-voice-mail\/10761\/"},{"hreflang":"pl","url":"https:\/\/plblog.kaspersky.com\/hacking-online-accounts-via-voice-mail\/9612\/"},{"hreflang":"de","url":"https:\/\/www.kaspersky.de\/blog\/hacking-online-accounts-via-voice-mail\/17485\/"},{"hreflang":"ja","url":"https:\/\/blog.kaspersky.co.jp\/hacking-online-accounts-via-voice-mail\/21300\/"},{"hreflang":"ru-kz","url":"https:\/\/blog.kaspersky.kz\/hacking-online-accounts-via-voice-mail\/17135\/"},{"hreflang":"en-au","url":"https:\/\/www.kaspersky.com.au\/blog\/hacking-online-accounts-via-voice-mail\/20814\/"},{"hreflang":"en-za","url":"https:\/\/www.kaspersky.co.za\/blog\/hacking-online-accounts-via-voice-mail\/20815\/"}],"acf":[],"banners":"","maintag":{"url":"https:\/\/latam.kaspersky.com\/blog\/tag\/def-con\/","name":"DEF CON"},"_links":{"self":[{"href":"https:\/\/latam.kaspersky.com\/blog\/wp-json\/wp\/v2\/posts\/13303","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/latam.kaspersky.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/latam.kaspersky.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/latam.kaspersky.com\/blog\/wp-json\/wp\/v2\/users\/421"}],"replies":[{"embeddable":true,"href":"https:\/\/latam.kaspersky.com\/blog\/wp-json\/wp\/v2\/comments?post=13303"}],"version-history":[{"count":1,"href":"https:\/\/latam.kaspersky.com\/blog\/wp-json\/wp\/v2\/posts\/13303\/revisions"}],"predecessor-version":[{"id":13305,"href":"https:\/\/latam.kaspersky.com\/blog\/wp-json\/wp\/v2\/posts\/13303\/revisions\/13305"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/latam.kaspersky.com\/blog\/wp-json\/wp\/v2\/media\/13304"}],"wp:attachment":[{"href":"https:\/\/latam.kaspersky.com\/blog\/wp-json\/wp\/v2\/media?parent=13303"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/latam.kaspersky.com\/blog\/wp-json\/wp\/v2\/categories?post=13303"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/latam.kaspersky.com\/blog\/wp-json\/wp\/v2\/tags?post=13303"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}