¿Cómo prevenir los ataques MitM?

Aquí tienes una forma sencilla de visualizar un ataque de intermediario. Imagina que visitas un cajero automático y alguien observa los datos de tu tarjeta mirando por encima de tus hombros. No sabes que está parado detrás de ti. Memoriza tus datos, se va y luego retira dinero usando la información de tu tarjeta desde otra ubicación. ¡También podría instalar un dispositivo entre el cajero automático y el host para robar tus datos cuando deslizas tu tarjeta, sin que lo sepas! Ese es un ataque MitM clásico en acción. Otro ejemplo es un extraño que escucha a escondidas un chat con tu amigo y usa tu información confidencial en contra de ustedes dos.

Los ataques MitM no son solo físicos; ocurren con mucha frecuencia en la nube y en el mundo de la ciberseguridad. En esta guía, vamos a explicar cómo prevenir los ataques MitM y qué puedes hacer al respecto.

¿Qué son los ataques de intermediario?

Un ataque de intermediario (MitM) ocurre cuando un actor de amenazas intercepta la comunicación entre dos partes que no son conscientes de su presencia. El hacker escucha su conversación y es capaz de robar datos confidenciales como información financiera, credenciales de inicio de sesión y cualquier otro detalle confidencial intercambiado entre ellas.

La mayoría de los ataques de intermediario (MitM) tienen lugar a través de redes WiFi públicas no seguras mediante phishing y suplantación web.

¿Por qué es importante prevenir los ataques de intermediario?

En un ataque MitM, no serás consciente de que el atacante ha invadido tu entorno. Es silencioso y el objetivo del delincuente es permanecer oculto y robar la mayor cantidad de información posible escuchando tu conversación con otras partes y agentes.

Los ataques MitM son peligrosos porque pueden dirigirse a cualquier persona, empresa, organización y activo. El motivo va más allá del beneficio financiero y, si no tienes cuidado, podrías arriesgarte a perder millones de registros por una sola filtración de datos.

Las industrias que son objetivo constante de ataques MitM incluyen los sectores bancarios, las empresas fintech y de atención médica, y los verticales de IoT industrial. Los almacenes de fabricación, los sistemas eléctricos y las infraestructuras críticas tampoco están a salvo.

Según el informe de SCORE y la SBA, ¡los ataques MitM representan el 43% de los ciberataques en todo el mundo! Las pequeñas y medianas empresas son sus objetivos más grandes y frecuentes.

Cómo funcionan los ataques de intermediario (MitM)

Así es como se ve un ataque típico de intermediario (MitM):

• La Persona A enviará un mensaje a la Persona B
• El "intermediario" interceptará el mensaje sin que la persona A ni la B lo sepan
• Él/ella puede cambiar el mensaje, su contenido o eliminarlo por completo sin que encuentren rastro de su actividad ni sepan de ello

En resumen, un ataque de intermediario explotará vulnerabilidades de red, web y del navegador para interceptar o desviar tráfico legítimo. Puede robar información de las víctimas e incluso aprovechar debilidades en los protocolos de seguridad.

Señales de advertencia de un posible ataque MitM

Aquí tienes algunas señales que te indican si eres víctima de un ataque MitM:

Advertencias de certificados del navegador

Cuando visitas un sitio web, tu navegador verifica el certificado de seguridad. Si algo está mal, te lo indica. Una advertencia de certificado significa que la identidad del sitio no coincide con lo esperado o que el certificado ha caducado.

Los sitios legítimos no generan errores de certificado. Si de repente ves estas advertencias en un sitio que visitas con regularidad, alguien podría estar interceptando tu conexión. Está usando un certificado falso para situarse entre tú y el servidor real. Una discrepancia de certificado o un error de certificado no válido es una señal de alerta de que el tráfico está siendo interceptado.

URLs extrañas

Los atacantes usan URLs que imitan sitios web legítimos. El dominio puede estar escrito de forma ligeramente diferente, usar una extensión distinta o tener un carácter adicional. Your-bank.com en lugar de yourbank.com. Amaz0n.com con un cero en lugar de una o. Estas pequeñas diferencias son fáciles de pasar por alto si no estás prestando atención.

Verifica la URL en la barra de direcciones antes de iniciar sesión o introducir información confidencial. El phishing suele funcionar junto con ataques MitM: el atacante te muestra una página de inicio de sesión falsa mientras también intercepta tu tráfico real. Las URLs que son parecidas pero no del todo correctas suelen indicar que estás siendo redirigido a través del servidor de un atacante.

Desconexiones inesperadas de servicios

Tu correo electrónico cierra tu sesión aleatoriamente. Tu aplicación bancaria se desconecta a mitad de la sesión. Tu aplicación de mensajería pierde la conexión repetidamente. Estas desconexiones ocurren sin explicación y a veces vuelven tan repentinamente como aparecieron.

Un atacante que intercepta tu tráfico podría forzar estas desconexiones para restablecer la conexión a través de su servidor. Los cierres de sesión forzados repetidos, especialmente en varios servicios de la misma red, sugieren que tu sesión está siendo secuestrada y redirigida. El atacante necesita restablecer conexiones para permanecer sin ser detectado.

Tu dispositivo no se conecta a sitios web seguros

Los sitios web que normalmente cargan con HTTPS (el icono del candado) de repente cargan como HTTP (sin candado). O no cargan en absoluto. Tu navegador podría mostrar un error sobre no poder establecer una conexión segura.

Algunas redes degradan HTTPS a HTTP para reducir la carga en sus sistemas. Pero los atacantes MitM hacen esto intencionalmente para eliminar el cifrado. Si un sitio que sabes que tiene HTTPS de repente no muestra candado, o si no puedes establecer ninguna conexión segura con él, tu tráfico podría estar siendo interceptado.

WiFi sin cifrar en ubicaciones de riesgo

Te conectas a WiFi desde una cafetería, aeropuerto, biblioteca u hotel que no usa contraseña. Estas redes transmiten su señal abiertamente, lo que significa que cualquiera que esté cerca puede supervisar el tráfico. Un atacante ni siquiera necesita estar en la misma ubicación; solo necesita estar en la misma red.

El WiFi público de ubicaciones no seguras es el lugar más fácil para que ocurran ataques MitM. Un atacante se instala cerca, se conecta a la misma red y supervisa todo el tráfico. El riesgo es aún mayor en espacios públicos concurridos donde no sabes quién está sentado a tu alrededor ni qué dispositivos está usando.

Múltiples redes WiFi similares

Ves varias redes con nombres casi idénticos. "AirportWiFi" y "AirportWifi" (W mayúscula). "CoffeeShop_Guest" y "CoffeeShop_Guest5G". Un atacante crea una red falsa con un nombre casi idéntico al real.

Cuando te conectas por error a la red equivocada, el atacante tiene acceso directo a todo lo que haces. No necesita interceptar nada: estás enviando datos directamente a su dispositivo.

Estos nombres de red duplicados son una configuración común para ataques MitM porque los usuarios se conectan sin verificar cuidadosamente.

Comportamiento extraño de DNS

Tus consultas DNS se redirigen a servidores inesperados. Los sitios web cargan pero parecen diferentes: anuncios distintos, diseño diferente, ventanas emergentes adicionales. O los sitios web no cargan en absoluto y muestran páginas de error en su lugar.

El secuestro de DNS es una forma de ataque MitM en la que el atacante intercepta tus solicitudes DNS y te envía a sitios web falsos o bloquea sitios por completo. Si un sitio que conoces bien carga con una apariencia o diseño diferente, alguien podría estar interceptando tus consultas DNS y sirviéndote una versión modificada.

Fallos de certificate pinning

Las aplicaciones que normalmente cargan sin problemas de repente muestran errores de certificado. Tu aplicación bancaria no se conecta. Tu cliente de correo electrónico muestra una advertencia de seguridad. Estas advertencias aparecen aunque estés usando la aplicación que siempre usas.

Algunas aplicaciones usan certificate pinning: solo confían en certificados específicos de sus servidores. Cuando un atacante intercepta la conexión con un certificado falso, la aplicación se niega a conectarse porque el certificado no coincide con lo que espera. Los errores de certificado en aplicaciones que usas regularmente indican interceptación.

Alertas de proxy de intermediario

Tu dispositivo muestra un mensaje sobre un servidor proxy que no configuraste. La configuración de tu red muestra que el tráfico se está enrutando a través de un proxy desconocido. Tu navegador empieza a pedir autenticación de proxy aunque nunca configuraste uno.

Los atacantes configuran servidores proxy para interceptar tráfico. Si ves configuraciones de proxy que no reconoces o solicitudes de autenticación de proxy que aparecen inesperadamente, tu tráfico está siendo enrutado a través del dispositivo de un atacante.

Robo de tokens de sesión y cookies de inicio de sesión

Permaneces conectado a los servicios, pero de repente se cierra tu sesión. Cuando vuelves a iniciar sesión, ves intentos de inicio de sesión desde ubicaciones en las que no estabas. La configuración de tu cuenta muestra dispositivos que no posees.

Un atacante que intercepta tu tráfico puede robar tus cookies de sesión o tokens de inicio de sesión. Usa estos tokens para acceder a tu cuenta sin necesitar tu contraseña. Si ves actividad de inicio de sesión desde ubicaciones o dispositivos desconocidos, alguien capturó tus credenciales de sesión.

Cifrado degradado o problemas de SSL/TLS

Los sitios web que normalmente usan cifrado fuerte de repente muestran advertencias de cifrado débil. Tu navegador muestra mensajes sobre protocolos de seguridad obsoletos. Las conexiones usan versiones más antiguas y menos seguras de HTTPS.

Los atacantes MitM intentan degradar tu conexión a estándares de cifrado más antiguos y débiles que son más fáciles de vulnerar. Si ves advertencias sobre versiones obsoletas de SSL/TLS o cifrado débil, tu conexión está siendo interceptada y degradada.

Señales de envenenamiento de caché DNS

Los sitios web redirigen a lugares equivocados. Haces clic en un enlace a tu banco pero terminas en un sitio falso. Las búsquedas de nombres de dominio tardan más de lo normal o devuelven direcciones IP inesperadas.

Un atacante envenena tu caché DNS alimentando a tu dispositivo con direcciones IP falsas para sitios web reales. Crees que te estás conectando al sitio real, pero en realidad te estás conectando a la versión falsa del atacante. Las redirecciones a sitios incorrectos y las búsquedas DNS lentas indican envenenamiento de caché.

La batería del dispositivo se agota inusualmente rápido

La batería de tu teléfono o portátil se agota mucho más rápido de lo normal aunque no lo estés usando intensamente. Tu dispositivo se calienta sin que haya aplicaciones ejecutándose en primer plano. Los procesos en segundo plano consumen datos que no autorizaste.

Un atacante que intercepta tu tráfico podría estar ejecutando herramientas de registro o procesos de exfiltración de datos en la misma red. Estos procesos consumen energía y generan calor. El agotamiento inexplicable de la batería y el sobrecalentamiento en redes específicas sugieren interceptación de tráfico en segundo plano.

Cambios en el enrutamiento de correos electrónicos o mensajes

Los correos electrónicos tardan mucho más de lo habitual en llegar. Los mensajes que envías no llegan a su destino. Las confirmaciones provienen de direcciones de correo electrónico ligeramente diferentes de lo normal. La comunicación con los contactos se vuelve poco fiable o se retrasa.

Un atacante que intercepta tu tráfico de correo electrónico o mensajería podría estar retrasando, modificando o redirigiendo mensajes. Si canales de comunicación específicos se vuelven poco fiables solo en ciertas redes, alguien podría estar interceptando ese tráfico.

Anomalías en el tráfico de red

Tu uso de datos aumenta inesperadamente sin aplicaciones ni actividades nuevas. La velocidad de la red se ralentiza significativamente en una conexión concreta. La limitación de ancho de banda ocurre solo en redes específicas.

Cuando un atacante intercepta tráfico, lo está copiando, registrando o analizando. Esto crea flujos de datos adicionales y puede ralentizar tu conexión. Los aumentos repentinos en el uso de datos o las caídas de velocidad en ciertas redes indican procesamiento adicional aplicado a tu tráfico.

Las credenciales de inicio de sesión dejan de funcionar temporalmente

Intentas iniciar sesión en un servicio y falla, aunque sabes que tu contraseña es correcta. Después de unos minutos, puedes iniciar sesión normalmente. Esto ocurre repetidamente en la misma red.

Un atacante podría estar interceptando y modificando tus intentos de inicio de sesión para interceptar las credenciales. Podría estar retrasando tu intento real de inicio de sesión mientras captura lo que envías. Los inicios de sesión fallidos repetidos seguidos de éxito sugieren que alguien está manipulando tu tráfico de autenticación.

Prácticas recomendadas para prevenir ataques MitM

Ahora bien, aquí tienes algunas de las mejores prácticas de prevención de ataques MitM que puedes seguir para mantener a todos en tu organización seguros:

1. Actualiza tus políticas de WFH y protege los routers WiFi domésticos

Si tus empleados trabajan desde casa, entonces una de las mejores cosas que puedes hacer es proteger WFH y las redes corporativas. Usa un buen software (firmware) para routers WiFi y configúralo para que se actualice automáticamente. Además, asegúrate de que la configuración de seguridad de tu router sea sólida y cumpla como mínimo con los estándares WPA3. Anima a tus empleados a conectarse a internet con VPN si están viajando. El tráfico cifrado es difícil de modificar o interceptar, por eso.

2. Usa cifrado de extremo a extremo

Pide a tus empleados que activen el cifrado de extremo a extremo para correos electrónicos y canales de comunicación. Algunas aplicaciones hacen esto por sí solas en segundo plano, como Whatsapp y Telegram, pero no todas las aplicaciones están configuradas así. También pueden usar escaneo y códigos QR con su software y teléfonos para obtener cifrado de extremo a extremo. Investiga un poco y configura esto si tu empresa usa aplicaciones privadas.

3. Instala parches y software antivirus

Esto puede parecer algo básico, pero es algo que la mayoría de los empleados y empresas pasan por alto. No seas ingenuo pensando que los atacantes asumen que ya lo has hecho. Te sorprendería cuántas organizaciones no superan comprobaciones básicas de higiene cibernética. Instala y aplica parches a tu software de seguridad sin falta. Además, refuerza tu medida de seguridad de endpoints instalando la suite de protección de endpoints más sólida.

4. Usa un gestor de contraseñas y establece contraseñas seguras

No uses contraseñas fáciles de adivinar o vulnerar como "Muffin@Paleo123". No uses tu fecha de nacimiento, números de teléfono ni datos personales en tus contraseñas. Usa una combinación de letras, números y símbolos, y asegúrate de que la longitud sea adecuada. No recicles ni reutilices la misma contraseña para cada página web, aplicación y servicio. Debes usar una contraseña diferente para todo. Usa un buen gestor de contraseñas para llevar el control de tus contraseñas en todos los servicios. Actualiza también las políticas de gestión de contraseñas en tu empresa y pide a tus empleados que cambien sus contraseñas cada mes o con mayor frecuencia.

5. Aplica autenticación multifactor (MFA)

Usa MFA en servicios y dispositivos en línea para defenderte de amenazas emergentes. Será tu mejor defensa. También puedes probar a usar aplicaciones de autenticación y configurar la recepción de OTP en dispositivos como una capa adicional de seguridad.

6. Conéctate solo a sitios web seguros

¿Ves el icono del candado a la izquierda de la URL de tu navegador? Sí, eso te indica si un sitio es seguro. Tampoco olvides el prefijo "https://". Indica a tus empleados que verifiquen estas señales antes de visitar sitios web. También pueden instalar complementos gratuitos del navegador que puedan realizar auditorías/comprobaciones de sitios web antes de permitirles visitarlos, para que sigan esta regla automáticamente.

Existen muchos protocolos de filtrado web que impiden que los empleados accedan a sitios que no usan HTTPS. SentinelOne tiene una extensión de navegador y un módulo de control de Firewall que pueden ayudar con esto. Puedes acceder a sus capacidades de filtrado web como parte de sus funciones integrales de seguridad de endpoints y red a través de su plataforma.

7. Supervisa el tráfico de red en busca de actividad inusual

Puede que tus empleados no noten flujos de datos sospechosos, pero tu equipo de seguridad sí debería hacerlo. Configura herramientas de supervisión de red para detectar conexiones salientes inesperadas o picos de tráfico durante horas inusuales. Cuando veas patrones extraños, investígalos rápidamente. Los atacantes suelen dejar rastros en los registros de red antes o después de un ataque MitM exitoso.

Las herramientas que registran y analizan el tráfico pueden detectar estas señales. No necesitas software de nivel empresarial para esto: la mayoría de los routers tienen funciones básicas de registro integradas. Revisa los registros semanalmente y marca cualquier cosa fuera de lugar. Además, capacita a tus empleados y haz que conozcan los esquemas más recientes de ingeniería social. Deben ser capaces de detectar correos electrónicos de phishing y señales de smishing y vishing. Enséñales a no interactuar con adversarios desconocidos. Verifica con quién hablan en línea y que no revelen información confidencial por confiar ciegamente en extraños.

8. Desactiva protocolos de red antiguos

Tu red probablemente todavía admite protocolos antiguos como SSL 3.0 y TLS 1.0, que tienen vulnerabilidades conocidas. Los atacantes explotan estos estándares obsoletos para interceptar tráfico. Actualiza la configuración de tu red y dispositivos para usar TLS 1.2 o superior.

Indica a tu equipo de TI que desactive los protocolos heredados en servidores, routers y endpoints. Si los protocolos antiguos siguen habilitados, estás dejando una puerta abierta. Esto podría romper la compatibilidad con dispositivos o software muy antiguos, pero la mejora de seguridad supera ese riesgo. Verifica a qué necesitan conectarse realmente tus empleados y luego desactiva el resto.

9. Usa certificados SSL/TLS y verifícalos

Los certificados demuestran que los sitios web y servicios son lo que afirman ser. Tu empresa debe instalar certificados SSL/TLS legítimos en cualquier servicio interno o expuesto externamente. Más importante aún, capacita al personal para verificar si los certificados son válidos. 

Los navegadores muestran los detalles del certificado cuando haces clic en el icono del candado. Si un certificado no coincide con el dominio o ha caducado, no continúes. Los atacantes a veces usan certificados caducados o autofirmados para interceptar tráfico. Un hábito rápido de verificación detiene la mayoría de los intentos MitM que dependen de certificados falsos. Haz que esto forme parte de tu incorporación de seguridad para nuevas contrataciones.

10. Segmenta tu red y restringe el acceso

No todos en tu empresa necesitan acceso a todos los sistemas. Divide tu red en zonas separadas: finanzas, RR. HH., desarrollo, WiFi para invitados; cada una con sus propias reglas de seguridad. Si un atacante compromete un segmento, no puede llegar automáticamente al resto.

Usa firewalls y controles de acceso para limitar a qué pueden conectarse los dispositivos y usuarios y dónde. Un empleado de contabilidad no necesita acceder a tu infraestructura de servidores. Este enfoque también dificulta que los atacantes se muevan lateralmente después de obtener acceso inicial. Empieza separando los datos confidenciales de las áreas de uso general y luego ajusta según los roles y necesidades reales de tu empresa.

¿Cómo ayuda SentinelOne a prevenir los ataques de intermediario?

SentinelOne no tiene un producto dedicado exclusivamente a bloquear ataques de intermediario, pero sí ofrece una combinación de soluciones de seguridad que te ayudan a combatir y defenderte de estas amenazas. Por ejemplo, puedes usar Singularity™ Endpoint para obtener protección autónoma de endpoints impulsada por IA para tus redes, identidades, usuarios y dispositivos.

Singularity™ Mobile te ofrecerá defensas adaptativas, en tiempo real y en el dispositivo para combatir el aumento de las amenazas móviles. Puede eliminar riesgos de dispositivos con jailbreak y rooteados. Puede ayudarte a defenderte de ataques de intermediario (MitM), incluidos los relacionados con manipulación de comunicaciones seguras, inalámbricas y maliciosas. Puedes bloquear URLs de phishing y detectar mediante comportamiento técnicas emergentes de phishing. Recibe alertas sobre enlaces sospechosos en mensajes de texto, aplicaciones de mensajería, correo electrónico y redes sociales.  Evita el robo de credenciales y el compromiso de cuentas antes de que los usuarios interactúen.

Singularity™ XDR puede llevar esto un paso más allá al proporcionar una mejor cobertura de seguridad. Puede detener amenazas como el ransomware y ofrece una plataforma de seguridad unificada para abordar silos de datos. Puedes ingerir y normalizar datos de cualquier fuente y correlacionarlos en cualquier superficie de ataque. Te ayuda a comprender el contexto completo de los ataques.

SentinelOne utiliza múltiples motores de detección de amenazas que pueden darte una mejor visibilidad de tu infraestructura. Puedes supervisar flujos de datos, detectar cuentas inactivas/dormantes, analizar tráfico de red y comportamientos de usuarios. Esto es lo que debes saber sobre ellos:

• El motor de IA estática de SentinelOne puede escanear archivos antes de su ejecución e identificar patrones de intención maliciosa. También puede clasificar archivos benignos.
• Su motor de IA conductual puede rastrear relaciones en tiempo real y proteger contra exploits y ataques de malware sin archivos.
• Hay motores que pueden realizar análisis holístico de causa raíz y radio de impacto.
• El Application Control Engine puede garantizar la seguridad de las imágenes de contenedores.
• STAR Rules Engine es un motor basado en reglas que permite a los usuarios transformar consultas de telemetría de cargas de trabajo en la nube en reglas automatizadas de threat hunting.
• SentinelOne Cloud Threat Intelligence Engine es un motor de reputación basado en reglas que utiliza firmas para detectar malware conocido.

Prompt Security by SentinelOne puede bloquear acciones no autorizadas de IA agéntica y prompts maliciosos. Evita la inyección de prompts y los ataques de denegación de wallet/servicio, y enviará alertas instantáneamente sobre el uso de shadow AI. Por último, Purple AI es el analista de ciberseguridad Gen AI más avanzado del mundo que puede ayudarte. Genera los mejores insights de seguridad y te ayuda a sacar el máximo partido de tus inversiones en seguridad. Puedes acceder a todas estas funciones de seguridad integradas a través de la Singularity™ Platform de SentinelOne.

Obtenga más información sobre amenazas

Descubra cómo WatchTower, el servicio de caza de amenazas de SentinelOne, puede proporcionarle más información y ayudarle a superar los ataques.

Más información

Conclusión

Ahora que sabes cómo funcionan los ataques MitM y cómo prevenirlos, tendrás más confianza para aplicar los mejores protocolos de seguridad. Usa la pila de seguridad integrada adecuada para tu organización y mantén a todos informados. Educa a tus empleados sobre estas amenazas y ponlos a prueba para ver si saben qué hacer para no ser interceptados. Con SentinelOne a tu lado, puedes protegerte contra estas amenazas y evitar que los adversarios husmeen en tus comunicaciones.