La seguridad web es demasiado difícil: cuando lo legítimo parece un ataque

Eric Lawrence, experto en seguridad, relata cómo el proceso para activar una nueva función de monedero de Cloudflare le pareció inicialmente un ataque de phishing por consentimiento. La entrada al servicio se realizaba desde el dominio cloudflare.pay, en lugar de cloudflare.com, lo que levantó sospechas: el TLD .pay está disponible para cualquiera por 20 dólares y no tiene relación técnica con el dominio principal. Además, la pantalla de consentimiento no seguía las buenas prácticas del sector: carecía de un enlace para reportar solicitudes sospechosas y mostraba un icono con una marca de verificación verde ubicada en una zona poco fiable de la interfaz, que un atacante podría imitar fácilmente con emojis en el nombre visible de la aplicación. Tras dudar y consultar, el autor comprobó que la función era legítima, aunque su diseño reproducía los patrones típicos de un ataque. A partir de esta experiencia, Lawrence reflexiona sobre las dificultades que enfrentan los servicios de reputación de URLs, como Microsoft SmartScreen y Google SafeBrowsing, para distinguir sitios maliciosos de sitios legítimos recién creados. El artículo concluye con tres recomendaciones: a los desarrolladores, alojar el contenido en dominios de confianza, mostrar la información de seguridad en zonas reconocibles y facilitar la denuncia de fraudes en contexto; a los usuarios, pensar antes de hacer clic y, en caso de duda, esperar; y a los profesionales de seguridad, no culpar a las víctimas, ya que la tarea de distinguir un ataque de un sitio legítimo se ha vuelto prácticamente imposible.