‘Double-clickjacking‘, el nuevo ataque que va tras tu dinero sin que lo notes

Esta nueva modalidad lleva este concepto un paso más allá, explotando la acción del doble clic de los usuarios.

Los ciberdelincuentes usan Double-clickjacking para robar datos bancarios y personales de usuarios desprevenidos.

Para entender cómo funciona, es importante recordar que los usuarios, a menudo, realizan el doble clic sin pensar demasiado. Este comportamiento es tan común en la navegación web que los atacantes lo han convertido en su herramienta para robar datos. En este ataque, el atacante inserta un elemento malicioso entre el primer y segundo clic, sin que el usuario se dé cuenta. El primer clic puede parecer inofensivo, pero es el segundo clic el que activa el código malicioso escondido.

Un ejemplo claro de cómo se lleva a cabo este ataque podría ser el siguiente: un usuario se encuentra navegando por una página legítima que contiene un captcha o un botón de confirmación. Al hacer el primer clic, aparentemente no pasa nada, pero cuando se realiza el segundo clic, se activa un código oculto que realiza una acción maliciosa en segundo plano, como autorizar un pago o acceder a una cuenta personal sin el consentimiento del usuario.

Este tipo de ataques no requiere que el usuario ingrese a sitios web maliciosos, lo que lo convierte en una amenaza más difícil de detectar. Los atacantes pueden utilizar páginas web legítimas, aprovechando las vulnerabilidades del navegador y la interacción natural del usuario con los elementos en la página.

Datos sensibles y autorizaciones de pagos, principales objetivos de ataques Double-clickjacking.

El double-clickjacking no solo es capaz de robar datos sensibles, sino que también puede ser utilizado para ejecutar una serie de acciones perjudiciales para el usuario. Entre los principales datos que los atacantes buscan se incluyen:

• Información de cuentas personales: los atacantes pueden acceder a las configuraciones de las cuentas del usuario en plataformas como redes sociales, correos electrónicos o servicios bancarios. Permisos de API: esto les permite tomar el control de ciertas aplicaciones o servicios asociados a la cuenta afectada, ampliando el alcance del ataque.
• Autorizaciones de pagos o transferencias bancarias: el doble clic puede activarse en botones de confirmación de pagos, lo que permite que el atacante autorice transacciones fraudulentas sin que el usuario lo sepa.
• Instalación de código malicioso: además de robar datos, los ciberdelincuentes pueden utilizar esta técnica para instalar software malicioso en el dispositivo del usuario, otorgándoles control total del sistema.

La naturaleza del ataque hace que los ciberdelincuentes puedan actuar sin ser detectados, ya que el usuario no tiene la oportunidad de notar que algo extraño está ocurriendo hasta que es demasiado tarde.

Actualizar navegadores y sistemas operativos, paso clave para evitar Double-clickjacking.

Algunos de los sitios web y plataformas más populares han sido víctimas de este ataque en el pasado. Slack, Shopify y Salesforce han sido utilizadas como blanco por los atacantes, lo que pone en evidencia que incluso los sitios web más confiables y conocidos no están a salvo de ser explotados. Estos ataques son especialmente peligrosos porque, al realizarse en sitios aparentemente seguros, el usuario no sospecha que está siendo engañado.

El doble clic es una acción tan natural que la mayoría de los usuarios no se detienen a pensar en sus consecuencias. Sin embargo, hay una serie de medidas que tanto usuarios como empresas pueden tomar para reducir el riesgo de ser víctimas de este tipo de ataque.

• Mantener actualizado el navegador y el sistema operativo: las vulnerabilidades de seguridad son corregidas con cada nueva actualización. Por eso, es crucial tener el navegador y el sistema operativo actualizados, lo que garantizará que se cuente con las últimas defensas contra ataques como el double-clickjacking.
• Prestar atención a las señales sospechosas: los usuarios deben estar atentos a cualquier señal de alerta en las páginas web que visitan. Si se muestra una ventana emergente inesperada o si hay botones que solicitan un doble clic, es posible que se trate de un ataque. Asimismo, los captchas o formularios con diseños inusuales deben considerarse como una posible amenaza.
• Evitar hacer clic sin leer: un buen hábito para evitar muchos tipos de ataques es leer cuidadosamente los mensajes de confirmación antes de hacer clic. También se recomienda evitar hacer doble clic en ventanas que solo requieran un solo clic.