Cómo funcionan los ataques de "Enjambre" de los C2C Traders en Wallapop o Ebay

Hoy domingo quería dejaros otra cosa de esas que vivo con mis hijas. En este caso, sobre comprar y vender cosas en los Customer-to-Customer eCommerce (C2C), y la parte más difícil, poner el precio o saber si el precio que estás pagando es el correcto o no, y cómo manipular esto.

Figura 1: Cómo funcionan los ataques de "Enjambre" de los C2C traders

en los Customer-to-Customer eCommerce como Wallapop o Ebay.

Si te has ido a comprar un piso seguro que has mirado si está "caro" o "barato" para la zona. Las plataformas de compra y venta de pisos tienen para saber si está por encima de la media, en la media o por debajo. Es muy común y los especialistas de la "compra-venta", los traders, se conocen estos precios a la perfección. Sucede lo mismo con los de la cuadros de arte, cómics, cromos, libros antiguos, armas de coleccionista, o aparatos electrónicos. 

Figura 2: Venta de Macintosh "Originales"

El negocio, como hacía el querido protagonista de "El Club Dumas", es saber lo que valen las cosas cuando compras y cuando vendes. Así, en esta novela, nuestro marchante de libros se dedicaba a ir a espoliar las bibliotecas de los fallecidos para localizar los incunables. Lo mismo lo hacen los traders del Wallapop, Ebay, y demás C2C. Buscan quién está vendiendo algo sin saber realmente lo que vale.

Figura 3: Información sobre el precio del Macintosh original

Hoy en día con la IA, puedes tener estimaciones y ayudas muy buenas para Comprar y Vender cosas a su precio correcto, y para no equivocarte en lo que compras y vendes, como en estes caso con un Macintosh Original, que su precio puede variar mucho, y te puedes llevar Classic o Plus por Original o SE por Original, si no conoces bien el producto. Curioso que en la búsqueda me saliera el enlace de nuestro blog de Seguridad Apple que hicimos en Informática64.

Figura 4: Ojo con el gato por liebre

Pero existe una cosa que hacen los menos experimentados en el noble arte de ganarse dinero sabiendo lo que valen las cosas. Son los que explotan la debilidad del propio usuario y del propio C2C de dar el precio medio en función de lo que valen los objetos similares que están a la venta. 

Figura 5: Los Macintosh en Wallapop (Classics)

Para eso, utilizan su "Enjambre" de cuentas creadas, controladas, y manipuladas, que ponen a la venta los mismos objetos que quieren comprar, pero a los precios a los que los quieren comprar. Es decir, si desean comprar una Macintosh Original a 500 € y el vendedor lo tiene a 1.500 €, lo que hacen es que sus cuentas del enjambre comienzan a poner a la venta esos mismos Macintosh Original a 400 €, 600 €, 500 €, etcétera. Si el vendedor tiene ganas de vender pronto, sabrá que su producto tardará en salir si no sabe lo que realmente vale lo que vende. 

Figura 6: Macintosh Original en Ebay

Así que, si vas a vender algo en un C2C, antes de ponerlo a la venta, averigua su valor, y ponlo correctamente sabiendo lo que haces. Estos "enjambres" se hacen también "preventivos", ya que se crean mucho antes de que aparezca el producto que quieren comprar, con la esperanza de que cuando alguien venga a vender, ponga el precio basado en los que ya están a la venta.

Figura 7: "Ciberestafas: La historia de nunca acabar" (2ª Edición).por Juan Carlos Galindo en 0xWord.

Y con el mundo Agentic AI, esto es una de las herramientas al alcance los Agentes IA que seguro que utilizarán. Que yo conozco a mucho "C2C trader" y se las saben todas...

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)  

Cómo los Agentes IA de Red Team hacen ataques de Ingeniería Social con Fake Accounts

Esta semana, el AI Security Institute de UK, ha publicado un informe sobre un par de incidentes con Red Teaming Agentic AI, donde estos hacen alarde de su capacidad de realizar ataques complejos, con múltiples fases, y donde buscan engañar a humanos para conseguir sus ataques, como haría cualquier adversario que necesita vulnerar una debilidad en las personas que administran los sistemas, para conseguir su objetivo.

Figura 1: Cómo los Agentes IA de Red Team hacen ataques

de Ingeniería Social con Fake Accounts

El informe, marcado como "Security Incident INC-2026-07-28-01" fue publicado el pasado 4 de Agosto, y donde se centra en las acciones que los Red Team Agentic AI decidieron salirse a Internet y atacar proyectos y personas fuera del ámbito de la evaluación. Según cuentan en el informe, probando el comportamiento de los diferentes modelos frente a un reto concreto, el resultado fue el siguiente:

"Ejecutamos este desafío 122 veces en varios modelos. Nuestra investigación reveló que, en 10 de esas ejecuciones, un agente de IA tomó medidas autónomas y no autorizadas en el entorno real de internet, dirigiéndose a personas u organizaciones reales. En total, catalogamos 19 acciones de este tipo. 

 

Casi todo este comportamiento (17 acciones) provino de un solo modelo, Mythos 5 de Anthropic, mientras que 2 acciones involucraron a GPT-5.6-Sol de OpenAI con los clasificadores cibernéticos (mecanismos para prevenir el uso indebido) desactivados. 

 

En el caso más grave, un agente intentó insertar código malicioso en un proyecto de código abierto. En un intento por lograr que el código fuera aprobado, el agente recurrió a la ingeniería social: creó identidades falsas en línea y las utilizó para presionar al mantenedor del proyecto para que aprobara el código. Un mantenedor humano lo detectó y se negó a aprobar el código malicioso."

Las Técnicas de Ingeniería Social son bien conocidas en el mundo del Red Team, y son fundamentales en muchos de los incidentes de seguridad que sufren las organizaciones hoy en día. Correos de Spear-Phishing, Spam-Phishing, llamadas telefónicas, SMSs, e incluso representaciones con actores en los centros de trabajo.

Figura 2: "Social Hunters: Hacking con Ingeniería Social en el Red Team" 

de 0xWord. Escrito por Marta Barrio y Carolina Gómez de Securiters

Uno de los Agentes IA, en este caso, intentó hacer un Supply Chain Attack, es decir, intentar atacar a un proyecto OpenSource que había identificado como parte de las piezas tecnológicas del reto que tenía que resolver.

Figura 3: Time-Line del Supply Chain Attack

Para atacar a este proyecto, hizo una Pull-Request (PR) con un código malicioso, que fue detectado por uno de los humanos mantenedores del proyecto y rechazado por contener malware. Para conseguir que este código fuera aprobado, decidió conseguir la aprobación usando diferentes técnicas. 

Figura 4: Prompt Injection para los Coding Agents

La primera de ellas, insertando un ataque de Prompt Injection para que cualquier Coding Agent que lo leyera ejecutar sus comandos. 

Figura 5:"Hacking IA: Jailbreak, Prompt Injection, Hallucinations & Unalignment"

escrito por Chema Alonso con la colaboración de Pablo González, Fran Ramírez, Amador Aparicio, Manuel S. Lemos y José Palanco en 0xWord

Pero además, hizo dos cosas más. La primera, realizar un ataque de Spear-Phishing contra todos los usuarios mantenedores del código.

Figura 6: Orden cronológico de las acciones en los ataques de Ingeniería Social.

La segunda, con una nueva cuenta falsa poner un comentario haciendo creer que era una persona que había revisado el código y que estaba perfecto para ser mergeado en el proyecto. Como si fuera un revisor humano colaborando con el proyecto.

Figura 7: Conversación en GitHub y presión a los humanos

En la conversación completa se puede ver varios hechos interesantes. El primero de ellos es cómo hace el ataque y cómo se crea una nueva persona para apoyarse a sí mismo. Pero cuando el humano lo detecta, intenta presionarle para que hable con él, midiendo el tiempo que tarda el humano en contestar: "han pasado muchas horas desde que dejaste el warning".  

Figura 8: "The Art of Pentesting" El nuevo libro de

0xWord para formarse como pentester

Por último, cuando, se da cuenta de que ha sido detectado, lo que hace es simular que ha sido un error genuino  normal y corriente en lugar de un ataque, e intenta cubrir sus acciones con nuevos mensajes.

Figura 9: Cubriendo sus acciones

Dentro del informe, donde se analiza en detalle este incidente, también tenemos información de las trazas de razonamiento, donde podemos ver qué está pensando el Agente IA en todo momento a la hora de realizar sus acciones, y es tremendo.

Figura 10: Time-Line de razonamiento y acciones

En la image anterior podemos ver cómo va encadenando las acciones y el razonamiento que va haciendo en cada momento, evaluando si realmente está en Internet o no, si el proyecto es real o es una simulación, y si debe interactuar con las personas o no.

Figura 11: Consideraciones para los razonamientos.

En la siguiente imagen, podemos ver cómo decide preparar un ataque de Prompt Injection para otro posible Coding Agent que pudiera leer la pull request con una secuencia de comandos maliciosos.

Figura 12: Eligiendo un ataque de Prompt Injection en un comentario.

Está clara la potencia de los modelos de IA para hacer Agentic AI en el mundo del Hacking y el Pentesting con IA, por lo que no podemos obviarlos y hay que utilizarlos masivamente. El problema, ya no es que consigan su objetivo sino cómo les decimos qué pueden hacer y qué no pueden hacer para conseguirlo.

Figura 13: Hacking & Pentesting con Inteligencia Artificial.

En 0xWord, escrito por Pablo González, Fran Ramírez,

Rafael Troncoso, Javier del Pino y Chema Alonso

Esta PsicopatIA de acciones, donde no importa lo que es legitimo o no, lo que está bien o no, lo tienen que seguir haciendo las personas. De todo esto, ya os había hablado en el experimento de "Problem Solving con IA: Ético o No Ético" donde os contaba las conversaciones que tengo con mis hijas sobre la resolució de problemas....pues bien, en el mundo del Problem Solving con Agentes IA, va a ser más necesario que nunca. 

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)  

Figura 14: Contactar con Chema Alonso

De Hacker a Hacker: Pablo González entrevista a Fernando Rubio Román de @MicrosoftES

Para hoy domingo os voy a dejar la última de las entrevistas entre hackers que ha hecho nuestro nuestro compañero a Pablo González a otro "hacker"  en este caso dedicado a ayudar a los profesionales a hacer una migración a la nube y un uso de la misma de manera segura. El gran Fernando Rubio Román, que es Azure Technical Specialist Manager en Microsoft, además de estar certificado como CISSP.

Figura 1: De Hacker a Hacker. Pablo González entrevista a  Fernando Rubio Román

La charla dura 37 minutos, y os la he subido a mi canal de Youtube para que la podáis disfrutar mientras estáis relajados este domingo, que ambas personas son también grandes divulgadores de tecnología como ya sabéis.

Figura 2: Contactar con Pablo González

Como es habitual en estas sesiones de "De Hacker a Hacker", en la charla, hablan de muchas cosas que tienen que ver también con formarse, con el impacto de la la seguridad en las soluciones profesionales para las empresas, en el nuevo mundo tecnológico de las compañías, etcétera.

Figura 3: Riesgos para la ciberseguridad con la Inteligencia Artificial

Pero como puedes ver en la imagen superior, también se tocan temas de mucha actualidad, como el impacto de la Inteligencia Artificial en Ciberseguridad, o el uso de las tecnologías de Cloud Computing de forma segura, que tiene que responder Fernando Rubio Román en la entrevista. Aquí tienes el vídeo completo.

Figura 4: De Hacker a Hacker. Pablo González entrevista a  Fernando Rubio Román

Y sobre todo, como sentirse atraído por esta pasión que es para nosotros la ciberseguridad. Si te apetece, puedes ver todas las sesiones que hemos tenido hasta el momento en la lista de reproducción de "De Hacker a Hacker".

Figura 5: Lista de reproducción "De Hacker a Hacker"

Además contactar con ellos de forma privada utilizando sus buzones públicos en la plataforma de MyPublicInbox. Sus cuentas son las que ves en la Figura 2 y la Figura 6 para que contactes con Pablo González y Fernando Rubio Román .

Figura 6: Contactar con Fernando Rubio Román

Y nada más por hoy sábado, disfrutad del fin de semana, aprended lo que podáis, recargad pilas para la próxima semana, y quiero listo a todo el mundo para hackear el futuro de cada uno el lunes a las 08:00.

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)  

De Hacker a Hacker: Entrevista de Pablo González a "Shift"

Para hoy domingo os voy a dejar la última de las entrevistas entre hackers que ha hecho nuestro nuestro compañero a Pablo González a otro hacker dedicado al a formación de profesionales en nuestra disciplina, David "Shift", que tienes disponible ya.

Figura 1: De Hacker a Hacker. Pablo González entrevista a "Shift"

La charla dura 30 minutos, y os la he subido a mi canal de Youtube para que la podáis disfrutar mientras estáis relajados este domingo, que ambas personas son también grandes divulgadores de tecnología como ya sabéis.

Figura 2: Contactar con Pablo González

Como es habitual en estas sesiones de "De Hacker a Hacker", en la charla, hablan de muchas cosas que tienen que ver con formarse, aprender técnicas de hacking, cómo estudiar, practicar, dónde, y cómo conseguir avanzar en esta profesión de seguridad informática tan particular cómo es ésta. 

Figura 3: De Hacker a Hacker. Pablo González entrevista a "Shift"

Y sobre todo, como sentirse atraído por esta pasión que es para nosotros la ciberseguridad. David "Shift" nos dejó publicado tiempo atrás un artículo con su recomendación de 5 libros para comenzar desde cero en seguridad. Si te apetece, puedes ver todas las sesiones que hemos tenido hasta el momento en la lista de reproducción de "De Hacker a Hacker".

Figura 4: Lista de reproducción "De Hacker a Hacker"

Además contactar con ellos de forma privada utilizando sus buzones públicos en la plataforma de MyPublicInbox. Sus cuentas son las que ves en la Figura 2 y la Figura 5 para que contactes con Pablo González y David "Shift".

Figura 5: Contactar con David "Shift"

Y nada más por hoy domingo, que estamos en verano y espero que hoy podáis disfrutar de un día tranquilo, de algo de refrigerio y mucho descanso, que hay que llenar la cabeza con mucha diversión y alegría estos días, que es lo que siempre os recuerdo.

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)  

De Hacker a Hacker: Entrevista de Pablo González a Marta Barrio "Martrudix"

Para hoy domingo os voy a dejar la última de las entrevistas entre hackers que ha hecho nuestro nuestro compañero a una hacker súper-clase, que es buena profesional, buena persona y que da gusto aprender de ella. Se trata de - la magnifica Marta Barrio Marcos, a.k.a. "Martrudix", que además ha hecho de todo en el mundo del hacking, sigue empujando su proyecto Securiters.

Figura 1: De Hacker a Hacker. Pablo González entrevista a Marta Barrio "Martrudix"

La charla dura 50 minutos, y os la he subido a mi canal de Youtube para que la podáis disfrutar mientras estáis relajados este domingo, que ambas personas tan bien grandes divulgares de tecnología como pocos. 

Figura 2: Contactar con Pablo González

Martrudix, como nuestro compañero Pablo, mantienen también en común haber escrito libros para aprender hacking y seguridad informática. En el caso de Marta Barrio "Martrudix", escribió junto a Carlina Gómez Uriarte el libro de "Social Hunters: Hacking con Ingeniería Social en el Red Team", que está publicado en 0xWord.

Figura 3: "Social Hunters: Hacking con Ingeniería Social en el Red Team" 

de 0xWord. Escrito por Marta Barrio y Carolina Gómez

Además contactar con ellos de forma privada utilizando sus buzones públicos en la plataforma de MyPublicInbox. Sus cuentas son las que ves en la Figura 2 y la Figura 5 para que contactes con Pablo González y Marta Barrio "Martrudix".

Figura 4: Entrevista de Pablo González a Marta Barrio "Martrudix"
En la charla, hablan de muchas cosas que tienen que ver con formarse, aprender técnicas de hacking, cómo estudiar, practicar, dónde, y cómo conseguir avanzar en esta profesión de seguridad informática tan particular cómo es ésta. Y sobre todo, como sentirse atraído por esta pasión que es para nosotros la ciberseguridad.

Figura 5: Contactar con Marta Barrio "Mastrudix"

Y nada más por hoy domingo, que estamos en verano y espero que hoy podáis disfrutar de un día tranquilo, de algo de refrigerio y mucho descanso, que hay que llenar la cabeza con mucha diversión y alegría estos días..

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)  

Social Hunters: Hacking con Ingeniería Social en el Red Team @0xWord

Son pocos los libros que publicamos nuevos al año en 0xWord, y teníamos muchas ganas de lanzar ya el título de "Social Hunters: Hacking con Ingeniería Social en el Red Team" dedicado a las técnicas que utilizan los hackers de la ingeniería social. El libro lo han escrito entre Marta Barrio y Carolina Gómez, y desde hoy lo puedes comprar en la tienda online de 0xWord.

Figura 1: "Social Hunters: Hacking con Ingeniería Social en el Red Team" 

de 0xWord. Escrito por Marta Barrio y Carolina Gómez

El libro está pensado para leerlo y aprender trucos sociales que se pueden utilizar para engañar a una víctima, ya sea en un ataque de Red Team, o en un esquema mucho más elaborado como el que se utilizó en Stuxnet, donde la ingeniería social también contó con una rol muy importante dentro de este famoso ataque.

Figura 2: "Social Hunters: Hacking con Ingeniería Social en el Red Team" 

de 0xWord. Escrito por Marta Barrio y Carolina Gómez

El libro tiene más de 200 páginas donde se aprenden trucos sobre nosotros los humanos, herramientas para recolectar detalles de ellos, y cómo preparar un buen gancho con un ataque de Phishing, o, incluso, preparando una trampa en su entorno físico sacando partido a las técnicas de Lockpicking. Os he subido el índice del libro a mi SlideShare.


Figura 3: Índice del libro "Social Hunters" de 0xWord.Escrito por Marta Barrio y Carolina Gómez

El libro lo han escrito Marta Barrio y Carolina Gómez, con las que puedes contactar en MyPublicInbox cuando quieras. En palabras de ellas mismas:

La ingeniería social supone el principal método usado por los delincuentes a la hora de engañar a sus víctimas, y esto aplica tanto a la vida analógica como digital, la naturaleza empática del ser humano, sus ganas de ayudar y caer bien hacen de él la víctima perfecta. Por esta razón si se quiere estar lo más protegido posible es imprescindible conocer los por qué, y los cómo.

Figura 4: Contactar con Marta Barrio

A lo largo del libro se hace un recorrido para intentar responder a estas preguntas, desde los principios en los que se apoya la ingeniería social, sus orígenes y casos reales, a cómo afectan a los seres humanos teniendo en cuenta la biología y su psicología.

Figura 5: Contactar con Carolina Gómez Uriarte

Pero no todo es teoría, para ver cómo aplicar este conocimiento se profundiza en ejemplos de dos de las técnicas usadas en ingeniería social y sus herramientas (una en entorno físico y otra digital).

Dos recordatorios importantes con MyPublicInbox

El primero de ellos es que con la compra de este libro recibirás 100 Tempos gratis que recibirás en la plataforma MyPublicInbox, por lo que no te olvides de indicar en las observaciones de tu pedido, la dirección de e-mail que has utilizado para registrarte en MyPublicInbox, de ese modo podremos cargarte los tempos en tu cuenta.

Figura 6: Canjear Tempos por vale de 0xWord

Y el segundo recordatorio es que, como sabes, puedes canjear tus Tempos de MyPublicInbox para comprar éste o cualquier otro libro de 0xWord. Lo puedes hacer por medio de una transferencia a la cuenta de 0xWord, o mediante la adquisición de un bono descuento con Tempos en la sección "Convierte tus Tempos" de MyPublicInbox.

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)  

Social Engineering Capture The Flag (SECTF) by @EuskalHack

Desde EuskalHack llevamos ya varios meses trabajando en la organización de la IV Edición de EuskalHack Security Congress en el que colabora desde hace años 0xWord, y al igual que en ediciones anteriores, nuestro principal objetivo sigue siendo ofreceros un congreso basado en la excelencia técnica, y en la cercanía entre ponentes, asistentes y miembros de la organización. Si alguno de vosotros está interesado en participar como ponente, aún estáis a tiempo, el proceso de Call For Papers permanecerá abierto hasta el día 14 de abril.

Figura 1: Social Engineering Capture The Flag (SECTF) by @EuskalHack

Como una de las principales novedades de esta edición, hemos desarrollado un CTF de Ingeniería Social, pero antes de entrar en detalle, me gustaría explicar el contexto que nos ha llevado a incluir esta iniciativa en el congreso de este año.

Ingeniería Social en el mundo del Cibercrimen

A nadie se le escapa el aumento que se está produciendo en el uso de las técnicas de ingeniería social, como parte fundamental de muchos de los ataques que más impacto están teniendo en los últimos años. Probablemente, lo primero que se nos venga a la cabeza sean los ataques de phishing, en cualquiera de sus variantes, con el business e-mail compromise como un claro ejemplo de las consecuencias que pueden tener este tipo de ataques para las empresas.

Y aunque con un componente mucho más técnico, no podemos olvidar el factor psicológico que lleva asociado un ataque de falso ransomware, falso antivirus, falsas infecciones o de falso Contact Center, tanto durante el proceso mediante el cual se pretende influenciar al objetivo para conseguir infectar su equipo, como a la hora de presionarlo para que acabe realizando el pago incluso sin haber sido infectado o sin tener ningún fallo.

Figura 2: Una falsa infección simulada para engañar a las víctimas

En los últimos tiempos hemos visto también como se ha venido utilizando información obtenida en los leaks de credenciales, para dotar de mayor credibilidad a los pretextos utilizados durante algunas campañas de extorsión. Me imagino que muchos de vosotros habréis recibido un correo donde os advierten que habéis sido grabados visitando páginas pornográficas y que, si no realizáis un pago, enviarán el video a todos vuestros conocidos, siendo una Fake sextorsión.

Cada vez más frecuente, pero tal vez menos conocido, tenemos lo que en términos de ingeniería social se conoce como “vishing", que no deja de ser una forma de influenciar a otras personas, en este caso utilizando llamadas telefónicas.

Figura 3: Webs creadas en la web de falsos soportes técnicos de Microsoft

Recientemente ha vuelto a saltar a la actualidad un buen ejemplo de esta práctica, conocido como la estafa del Falso soporte técnico de Microsoft, y que entra dentro de la categoría de estafas de soporte técnico y de la que la propia Microsoft ha tenido que dar aviso a los usuarios.

Si bien, este fraude esta dirigido a personas, principalmente, con un bajo nivel de concienciación en materia de seguridad, este tipo de ataques no son siempre tan evidentes y en muchas ocasiones buscan conseguir información aparentemente irrelevante (no existe la información irrelevante), para realizar lo que podríamos llamar una escalada de confianza.

Ataques de Ingeniería Social Avanzada: Fake News & AI

Este tipo de ataques, son en la mayoría de los casos indetectables, para un objetivo que no ha recibido formación específica, ya que cuando son realizados por un profesional con experiencia, se podría decir que son indistinguibles de la realidad.

En este sentido, me gustaría mencionar las Fake News, que tanto están dando que hablar en los últimos años, y que podrían estar consiguiendo manipular la opinión pública a nivel global. Estas, aunque a una escala mucho mayor, utilizan los mismos principios de ingeniería social que el resto de ataques que he mencionado anteriormente.

En cuanto al futuro, no parece que se vaya a revertir la tendencia. Los algoritmos de Deep learning, por ejemplo, están empezando a generar videos y audios falsos tan realistas, que van a permitir realizar ataques de ingeniería social impensables hace apenas unos años.

Aunque las técnicas de ingeniería social llevan entre nosotros bastantes años, y no se pronostica que vaya a haber un descenso en su incidencia, siguen sin establecerse por parte de muchas empresas e instituciones medidas adecuadas para la mitigación de las mismas. En mi opinión, esto se debe, en gran medida, al desconocimiento que existe sobre muchas de estas técnicas, siendo una de las facetas de los profesionales de la seguridad informática y el Ethical Hacking, que más posibilidades de desarrollo ofrece hoy en día.

Social Engineering Capture The Flag

La mejora de esta situación pasa, como en cualquier otro ámbito, por la concienciación de los usuarios, y el desarrollo de las habilidades de los profesionales. Por este motivo, con la intención de aportar nuestro granito de arena, hemos decidido organizar un CTF de ingeniería social, al estilo del SECTF que se viene celebrado en DefCON durante los últimos 10 años.

Aprovecho la ocasión para agradecer a Chris Hadnagy (@HumanHacker), organizador de ese evento que colaboró también en la creación de BackTrack (ahora el popular Kali Linux que usan todos los pentesters por todo el mundo), por todo el apoyo que me ha ofrecido durante el diseño de nuestro SECTF. La competición constará de dos fases.

La primera con una duración de tres semanas, transcurrirá online y se celebrará de forma previa al congreso. Todo proyecto de ingeniería social debe comenzar por un minucioso proceso de búsqueda y análisis de información, por este motivo durante la primera fase los participantes deberán recopilar toda la información que les sea posible, sobre el objetivo que les haya sido asignado, utilizando exclusivamente fuentes de información púbica u OSINT, y localizar el mayor número de piezas de información no sensible (flags) de la lista que les será proporcionada por la organización.

Esta es una fase de Inteligencia, y sé que Chema Alonso me va a matar si no cito aquí que Martina Matarí de Telefónica y sus compañeros del grupo "Las Matildes", ganaron el "Intel CTF de la DefCON 26", así que a ver si se animan y cuentan más de su experiencia para explicar qué tipo de actividades se hacen en este tipo de iCTFs y en qué se diferencia el uso de OSINT en un CTF clásico, en un SECTF y en un iCTF para que todo el mundo tenga claros los matices.

Figura 4: Equipo de "Las Matildes" ganadores del iCTF de la DefCON 26

Con toda la información recabada durante esta primera fase, los participantes deberán realizar un informe de calidad profesional, donde además deberán aparecer debidamente justificadas todas las flags conseguidas, y que les servirá como base para crear una estrategia que deberán poner en práctica durante la segunda fase.

En esta segunda fase, que se celebrará en directo durante el congreso en una sala acondicionada a tal efecto, los participantes dispondrán de 20 minutos para realizar llamadas telefónicas al objetivo, con la intención de volver a obtener todas las flag proporcionadas inicialmente, pero esta vez puntuarán el doble.

La información obtenida durante la fase OSINT, será de vital importancia para poder realizar las llamadas utilizando unos pretextos suficientemente trabajados, que permitan conseguir las flag de forma limpia, y siendo totalmente respetuosos con los objetivos.

Este es un factor que consideramos de vital importancia, y por eso hemos estado trabajando con diversos actores y profesionales, con el fin de ceñirnos al marco legal. Para ello, hemos desarrollado una normativa que deberán seguir todos los participantes, donde prima el máximo respeto hacia todas las partes implicadas.

Después del congreso, analizaremos toda la información obtenida por los participantes durante ambas fases, y redactaremos un informe detallado de las técnicas y herramientas utilizadas, así como recomendaciones para la mitigación de los ataques detectados. Nuestra intención es publicar este informe para que pueda ser consultado por cualquier persona, profesional o entidad interesada.

Call for Participantes

Así que, si te gustan los retos, y tienes ganas de aprender y compartir el conocimiento, no importa si eres un profesional de la ingeniería social, un pentester que busca mejorar sus habilidades, o este es tu primer contacto con la ingeniería social, apúntate al SECTF de la EuskalHack y ven a disfrutar de un evento hecho para todos los apasionados por la ingeniería social.

Figura 5: Fechas de Interés para el SECTF de la EuskalHack

Procuraremos publicar en Twitter consejos y ejemplos que ayuden a los participantes a orientar mejor sus estrategias, sobre todo de cara a la fase de llamadas, que es en la que es probable tengan menos experiencia.

De momento, como referente en el mundo de la ingeniería social, os recomendaría que visitaseis, si no lo habéis hecho ya, la página https://www.social-engineer.org. En esta web podréis encontrar, entre otras cosas, un framework con toda la información necesaria para iniciarse, y progresar en el mundo de la ingeniería social.

Figura 6: Recursos en Social Engineering ORG

Pero esta no es la única novedad que os traemos este año. En la misma línea de aprender, compartir y pasar un buen rato en compañía de otras personas apasionadas por el hacking, hemos preparado “Gau-Hack”. Se trata de un hackaton que se desarrollará en un espacio desenfadado, pensado para compartir experiencias y conocimientos, donde se trabajará por grupos en una serie de proyectos relacionados con el hacking.

Toda esta información y mucha más la podéis encontrar en http://securitycongress.euskalhack.org. Y si quieres mantenerte al día de todas las novedades puedes seguirnos en nuestra cuenta de Twitter @euskalhack

Autor: Angel Alonso (@1k0ru)