Seguro que has oído hablar muchas veces de los términos Deep Web, Dark Web o Darknet, pero ¿sabes realmente lo que significan y qué los diferencia? En este artículo vamos a descubrir las diferencias entre Deep Web, Dark Web y Darknet.

Artículo elaborado por José Arroyo Viana, administrador de sistemas y experto en ciberseguridad de Extra Software. En publicaciones anteriores ya nos habló del uso de nuestros datos que hacen las grandes empresas, entre otros diversos temas.

CONTENIDOS

Deep Web

Darknet

Dark Web

El Iceberg

¿Ciberdelincuencia o privacidad?

El primer concepto que debemos tener claro es el de “Clearnet” o también llamado “Surface Net”, que no es más que el Internet tal cual lo conocemos, las páginas que aparecen en Google, Bing, Yahoo u otros buscadores y podemos acceder libremente y de forma directa sin introducir ningún dato previo o tener que usar un software especial para acceder.

Deep Web

En los últimos años el término “Deep web” se ha ido popularizando y extendiendo en Internet, aunque muchas veces se utiliza para dirigirse a otros términos como “dark web” o “darknet” de una forma errónea.

Cuando se habla de “Deep Web” se refiere principalmente a contenidos que no se encuentran indexados por los principales motores de búsqueda, y por ello es difícil su localización y saber que están ahí. Cuando decimos que un contenido no ha sido indexado por un buscador nos referimos a que no lo ha incluido a su base de datos de búsquedas y por tanto no aparecerá. Hay muchos motivos por los que un contenido no sea indexado por los buscadores, puede ser que el contenido esté protegido por una contraseña para acceder o sean páginas que tengas que pagar para ver, pero también los archivos que subimos a nuestra cuenta de Google Drive, OneDrive o Dropbox (y no hemos hecho públicos). En esta categoría entrarían también las páginas que en las etiquetas meta tengan definido un “noindex” para no ser indexadas por los buscadores o tengan la indexación deshabilitada mediante el fichero robots.txt.

Imagínate si alguien con una simple búsqueda de tu nombre en Google pudiera leer tu correo de tu cuenta de Gmail o de Outlook, no estaría bien.

Darknet

Muchas veces se usa el término Deep Web para referirse a la Darknet o a la Dark Web, pero hay diferencias entre Deep Web, Dark web y Darknet. La Darknet es una red cifrada* que no puede ser indexada por los buscadores y se requieren herramientas o software específicos para poder acceder. Podemos decir que la Darknet es una parte de la Deep Web.

Esta red hace que los usuarios y sus ubicaciones sean anónimas. Los usuarios pueden ocultar su identidad, los propietarios de sitios web pueden ocultar su ubicación y los datos pueden transferirse de forma anónima.

Una de las Darknets más populares es Tor o The Onion Router, para acceder a esta Darknet es necesario instalar un cliente específico y, además, aunque existen algunos buscadores dentro de esta red, se debe contar previamente con las direcciones de los servicios a los que se desea acceder. Como sabemos en la Surface Web nos encontramos con sitios cuya dirección termina en .com, .es, .net, etc. Estos sitios dentro de la red Tor tienen una dirección especial acabada en “. onion”

Otros tipos de Darknet son I2P y Freenet.

Navegador de la red Tor

Dark Web

En realidad, Darknet y Dark Web están relacionados entre sí. Cuando hablamos de Dark Web nos estamos refiriendo a los sitios web existentes en estas Darknets. A muchos de estos sitios web no podemos acceder si no tenemos un usuario en ellos o el acceso permitido. La actividad de estos sitios suele ser desconocida y en algunos casos se trata de sitios que están dedicados a traficar con contenido ilegal. Es el Word Wide Web de la Darknet.

Este es el espacio utilizado por el mercado negro de Internet, donde podemos encontrar malware a la venta, drogas, armas, documentos falsificados, y todo tipo de contenido ilegal y/o denigrante.

El iceberg

En muchas ocasiones nos podemos encontrar una imagen de un iceberg para representar los conceptos que hemos visto, aunque esta imagen no es una representación correcta ya que somos incapaces de determinar, ni medir el contenido que hay en la Deep Web debido a que muchos de estos contenidos son inaccesibles o no están disponibles todo el tiempo. Lo qué si se sabe es que es bastante mayor que la Surface Web. Y según dicen la Dark Web representa el 0,01% de la Deep Web. Como vemos hay diferencias entre la Deep Web y la Dark Web.

¿Ciberdelincuencia o privacidad?

El objetivo principal de la Darknet y por la que fue creada era para que pudieran ser utilizadas en regímenes autoritarios, que censuran la libertad de expresión o el acceso a contenidos. Mediante estas redes se daba la posibilidad de expresarse a denunciantes políticos, activistas o periodistas que pueden ser censurados o correr el riesgo de sufrir represalias políticas si su gobierno los descubre. Por ejemplo, durante la primavera árabe los blogueros de Irán usaban Tor para poder navegar de manera anónima, eludir la censura y no ser detectados por la policía.

Mediante estas redes se ayuda a salvaguardar y proteger el derecho a la privacidad y a la libertad de expresión que son fundamentales para el bienestar de cualquier sociedad.

Edward Snowden es un gran defensor de la red Tor y otras herramientas de la Darknet

Como ves, hay claras diferencias entre Deep Web, Dark Web y Darknet. En resumen, la Deep Web son los contenidos de internet que no están indexados, y son la mayoría. Darknet es una red cifrada*, para acceder a la cual requieres herramientas –y conocimientos- específicos. Por último, la Dark Web son los sitios alojados en la Darknet. Esperamos haberte ayudado a clarificar estos tres conceptos.

* IMPORTANTE: Los enrutadores de estas Darknets no cifran el tráfico, solamente en la comunicación intermedia, no en el inicio y salida de los paquetes, el verdadero objetivo es ocultar el destinatario y el destino. Para que el tráfico no sea transparente deberemos de implementarle nosotros la capa de cifrado. Puedes ver una explicación un poco más amplia con esta publicación sobre el funcionamiento de enrutado en la red Tor.

La navegación de las personas en el mundo online deja un rastro inconfundible que las compañías como Facebook, Amazon y Google utilizan para establecer perfiles de consumidores y crear una información y una publicidad cada vez más personalizada y dirigida a influir directamente en los hábitos de consumo y la opinión de la población. El problema viene cuando los datos son vendidos fraudulentamente, o directamente robados. Hoy te hablamos del peligro de los servicios gratuitos en Internet.

Todo empieza así: como usuario, por el uso de una aplicación gratuita, aceptas unos términos y cedes unos derechos que suelen implicar información personal de todo tipo relacionada con tus intereses, ubicación, contactos e incluso tu imagen. Si bien es una práctica legal, porque las compañías lo publican todo en sus Términos de uso y Política de Privacidad, que el usuario acepta; a veces se ha puesto en entredicho el carácter “gratuito” de los servicios. Si lo analizamos con detalle, la moneda de cambio pasan a ser tus datos personales, en lugar del dinero.

Nuestros datos, en sus manos

Como usuarios, a menudo accedemos a una herramienta web gratis o un link de descarga con una promoción muy ventajosa a través de un portal online. En ocasiones, por comodidad, la aplicación web o el portal nos ofrece la posibilidad de logarnos sin crear un usuario, usando en su lugar nuestra cuenta de Facebook (u otra red social). Si accedemos, acabamos de facilitar un punto de datos a una de estas compañías. Si usamos una aplicación web, facilitaremos muchos más puntos de datos, conociendo TODOS nuestros movimientos en ella. Si es una tienda online, sabrán lo que compramos, cuándo lo compramos y a qué precio.

A partir de ahí, las grandes compañías pueden hacer lo que quieran con nuestros datos, siempre y cuando esté en sus Términos de Uso.

Además, poca gente es consciente de otro peligro de los servicios gratuitos en Internet. Pagar con datos por algo gratis no es la cosa más temible que nos puede pasar en internet. A la mayoría de nosotros no parece importarnos hacerlo, dada la frecuencia con lo que sucede. Es mucho más preocupante cuando se traspasa la barrera de la legalidad.

«Por ahorrar dinero, la gente está dispuesta a pagar cualquier precio»

(Lawrence de Arabia)

El caso Ashley Madison: seguridad y robo de datos

Ashley Madison es una web de contactos de alto nivel, que está orientada fundamentalmente a aventuras extramatrimoniales. Su lema es “La vida es corta. Ten una aventura.” El sitio web hoy día asegura la confidencialidad de sus datos y la seguridad de la información que se proporciona. Probablemente también lo diría hace unos años. Sin embargo, en 2015 se produjo el robo de datos de hasta 39 millones de usuarios. Al haber entre sus miembros políticos, actores, militares de alto rango, e incluso activistas religiosos, los casos de extorsión y chantaje se multiplicaron. Ashley Madison es un servicio en principio gratuito, tal y como se puede ver en su web:

Si bien establecer contactos con otros usuarios es solo gratuito para las mujeres, los hombres sí que pagan por ello. Pero no ponemos a Ashley Madison como ejemplo de compañía que pone un reclamo gratuito para luego cobrar (práctica bastante frecuente). La destacamos para poner de manifiesto que los datos son hoy día una mercancía extremadamente valiosa, codiciada por los hackers y susceptible de ser ROBADA. Es un peligro de los servicios gratuitos en internet.

El caso Cambridge Analytica: uso fraudulento de datos

Cambridge Analytica era una empresa dedicada al análisis de datos a gran escala (gran cantidad de datos, obtenidos a gran velocidad, de distintos orígenes). Con la enorme masa de información que manejaban, podían orquestar campañas en redes sociales mediante mensajes segmentados para dirigir la opinión pública en una dirección u otra. Habían realizado campañas en Trinidad y Tobago, Kenia y otros países del Caribe y África. Cuando su actividad orientó a la población británica para conseguir el Brexit o a la estadounidense para lograr el éxito de Donald Trump en las elecciones, saltaron las alarmas de medios periodísticos y legales.

“Lo superfluo, aunque cueste solo un céntimo, es caro»

Séneca

El problema con el uso de datos de Cambridge Analytica era el siguiente:

• Es legal usar las plataformas sociales para producir anuncios y campañas.
• Igualmente legal es usar algunos datos libremente compartidos por usuarios para segmentarlas.

Pero, sin embargo:

• No es legal facilitar los perfiles y gráfica social de los usuarios de Facebook a otras empresas para ser usados en la segmentación (como en este caso, Cambridge Analytica). Al menos, no lo es sin advertir muy claramente a los usuarios de que van a ceder sus datos a terceros.

¿Qué hizo Cambridge Analytica?

Facebook facilitó a Cambridge Analytica los datos de los perfiles sociales de sus usuarios para facilitar su trabajo. La compañía británica dedicada al análisis de datos con fines estratégicos tuvo acceso de manera indebida al menos a 50 millones de perfiles de Facebook. Tan solo 270.000 habían dado permiso explícito para que obtuvieran sus datos. Lo curioso es que todo esto se obtuvo mediante la descarga de una supuestamente inocente aplicación de descarga gratuita en Facebook. Este es otro peligro de los servicios gratuitos en Internet.

Esta fuente de información permitió a Cambridge Analytica obtener hasta 5.000 puntos de datos sobre cada votante estadounidense. Con ellos, dirigieron mediante esta red social y otras mensajes segmentados, adaptados al perfil del receptor, para dirigir la opinión pública contra su adversaria (Hillary Clinton); y en favor de Trump. Cambridge Analytica admitió que trabajaba con Facebook contratándoles para publicar anuncios de campañas; pero no que tenían datos los perfiles sociales de los usuarios de Facebook. La realidad era que sí los tenían (de manera ilegal) y trabajaban con ellos, como se destapó más tarde. Por ello fueron sometidos a investigaciones judiciales a un lado y otro del Atlántico.

Si el servicio es gratuito, el producto eres tú (o tus datos)

Una grabación con cámara oculta, publicada por el canal británico Channel 4, reveló conversaciones en la que Mark Turnbull (Director General) y Alexander Nicx (CEO) de Cambridge Analytica, confirmaban las artimañas esgrimidas para influir en los resultados de numerosas campañas electorales, que incluían difundir en redes, Google y YouTube vídeos con información falsa para polarizar la opinión pública (obviamente partiendo de la base de los datos de los perfiles sociales obtenidos por dudosos medios). En el vídeo, que no tiene desperdicio, el CEO confirmó que usaban también técnicas como el empleo de sociedades fachada, o personas contratadas como señuelos para comprometer a adversarios políticos.

Cuando el producto eres tú

En definitiva, utilizar servicios gratuitos, ya sean redes sociales, aplicaciones en la web u otros servicios, es ceder en muchas ocasiones tus datos. Ese es el peligro de los servicios gratuitos en Internet. Y no siempre los van a usar solamente para aquello a lo que has dado autorización. Sabemos que pueden ser robados directamente, si la empresa que los trata no tiene suficientes medidas de ciberseguridad empresarial. Pero además, también, pueden ser utilizados fraudulentamente por empresas aparentemente legales.

A veces, merece la pena pagar un poco de dinero, para no tener que pagar de otro modo.

Cada vez es más común que algunos sitios web que no cuentan con la protección necesaria, sean atacados por ciberdelincuentes. Estos piratas informáticos, por lo general, tienen como fin el robo de datos o el “secuestro” del sitio web para obtener una remuneración a cambio de la devolución del mismo.

Si ya tienes un sitio web, lo más probable es que hayas dedicado mucho tiempo a elegir los recursos que, necesariamente, debes tener: un buen proveedor de hosting, una plataforma que se adecúe a tus requerimientos para crear el sitio web (como WordPress, Joomla!, Drupal,…) y un dominio.

La elección del dominio es particularmente complicada dado que la función que cumple es muy importante. El dominio web actúa como la dirección virtual de tu sitio. Como figura en la URL, asocian el dominio directamente a tu negocio. Comprar un dominio adecuado es posible. Debes considerar que no pueden existir dos dominios iguales por lo se debe buscar uno que no haya sido adquirido por nadie. Si encuentras el proveedor adecuado, podrás hacerte con la licencia del dominio que quieres.

Ahora, imagina que alguien “ataca” o “roba” todo este trabajo que has realizado. Puedes perderlo todo si no utilizas los recursos necesarios para cuidar tu página. Pero no entres en pánico. A continuación te vamos a contar 4 recursos de ciberseguridad para tu web que puedes aplicar para no tener inconvenientes futuros.

1. Certificación SSL para una navegación segura

La tecnología SSL es, explicado fácilmente, el cifrado de un sitio web a través de una clave específica. Lo que hace es que los datos se mezclen de tal forma que no puedan ser descifrados salvo que se utilice la clave.

Mediante esta certificación, se logra que los usuarios puedan navegar la web utilizando el protocolo HTTPS. Por lo que, la conexión que se establece entre el navegante y el sitio web se vuelve segura. A la vez, se verifica la identidad del sitio, acreditando que es de quien dice ser.

Este recurso reduce considerablemente la vulnerabilidad del sitio a la hora de sufrir robo de datos. El hecho de que brinda confianza en los usuarios, es un plus que ayuda mucho a la conversión.

2. Un servicio de hosting que sea óptimo y de confianza

Como sabes, la elección del hosting es muy importante dado que es el servicio que permite que los usuarios accedan a un sitio web a través de internet. Si antes de elegir a tu proveedor realizaste una investigación, es probable que sepas que hay recursos para medir la disponibilidad del servidor (como el uptime, por ejemplo).

Sin embargo, puede pasar que otras cuestiones sobre el hosting pierdan importancia. Este es un error común, pero importante. Los servicios de hosting (según el proveedor y el plan que se contrate) proporcionan herramientas de protección a nivel hardware. Estas protecciones suelen ser básicas, pero funcionales dado que envían notificaciones en caso de que haya un ciberataque para que puedas tomar medidas.

3. Escáner de vulnerabilidades

Un escáner de vulnerabilidades, tal como lo dice su nombre, sirve para analizar el sitio y ver cuáles son las debilidades de seguridad que posee. Este recurso, a través de una visión global de la página, brinda información sobre distintas acciones que se pueden realizar para aumentar la seguridad.

En el mercado, existen varias opciones (como Skipfish o SQLMap) que pueden ser de utilidad. Es importante que, a la hora de contratar uno, verifiques que la herramienta sea funcional para suplir la necesidad que tienes y, a la vez, que se adapte a tu posibilidad de inversión.

No restes importancia a este recurso, dado que evita dolores de cabeza futuro. Lo mejor es que existen opciones que permiten la automatización, por lo que también restas ítems a tu lista de deberes.

4. Sistema de verificación en dos pasos

La mayoría de las personas no son conscientes de la importancia de elegir contraseñas aleatorias y complejas. Es real que muchos utilizan una misma clave para todo: correo electrónico, algún sitio de compras, acceso al sitio web. Esto es muy peligroso dado que, si hackean alguna cuenta, pueden tener acceso a todo el resto. Es importante, en primera instancia, que cuando coloques una contraseña la generes en alguna plataforma para generar claves, donde puedes elegir lo que tiene que contener pero nadie la podrá descifrar porque no tiene relación directa contigo o con tus datos.

En segunda instancia, la autenticación en dos pasos debería ser obligatoria para todas aquellas personas que manipulan cuentas o sitios web. Como muchas veces no lo es, debes configurarla. Esto implica que, además de pedirte usuario y contraseña al ingresar al panel de control de tu sitio, deberás proporcionar un código que es enviado por mensaje de texto, correo electrónico, entre otros.

La ciberseguridad, en la actualidad, es tan importante como los guardas que se encuentran en los bancos y el sistema de alarma en los locales de indumentaria. La transformación digital permite miles de acciones que antes creíamos imposibles de hacer. Esto también entra en el mundo de las estafas y los robos. Por eso es necesario que tomes medidas preventivas que eviten posibles ciberataques.

La ciberseguridad empresarial es a la vez urgente e importante. Por una parte, los datos superan ya el valor de la mayoría de las materias primas con las que trabaja una empresa. Por otra, la velocidad a la que los hackers elaboran nuevos virus, o nuevos sistemas para robar la información o causar daño es asombrosa. Esta semana te hablamos de un nuevo fraude de suplantación de identidad por SMS.

A mediados del mes pasado se detectó una campaña de SMS remitida supuestamente por Correos. El objetivo era dirigir a la víctima a una página web falsa. Recordemos que esta técnica de suplantar una página de una empresa o institución en la web se denomina phising. Se pretendía robar credenciales, datos personales o bancarios de la víctima que inocentemente clicaba en el enlace recibido por SMS. Es un caso clave de suplantación de identidad por SMS.

El texto del mensaje era similar a este:

Estimado cliente, su paquete no se ha podido entregar el 11/10 Porque no se han pagado las tasas de la aduana (1€). Siga las instrucciones: http://Xhx.me/uZ4yZ [hemos puesto un enlace falso para evitar riesgos]

Indicadores de suplantación de identidad por SMS

Veamos en el mensaje que hay varios indicadores de falsedad:

Por una parte, incluye una llamada a la acción para obtener un beneficio (recepción de un paquete). Si nos fijamos en el enlace, es una URL acortada que no responde a la web que dice ser (de hecho, en este caso los hackers ni siquiera se preocuparon de “maquillar” un poco la url para que pareciera de correos). Por último, si se pincha en el enlace (cosa que no se debe hacer) remite a una web que pertenece a otro dominio diferente al de la página oficial https://www.correos.es. El enlace está dentro del dominio: https://correos.es.packageupdate.club Claramente es un dominio diferente (si fuera el dominio de correos la URL comenzaría por https://www.correos.es/)

Sin embargo, donde sí han sido muy hábiles los hackers, es en que el mensaje se ubica en la misma sección donde anteriormente han aparecido mensajes similares de Correos por SMS (si los hemos recibido).

Los hackers han logrado pasarse por Correos, porque han utilizado un sistema de suplantación de identidad por SMS. Hay varias páginas desde las que se pueden enviar SMS falsos (otra cosa es que sea legal usurpar la identidad de un remitente). Por ejemplo, Smsgang /, Spofbox, o Pranktexts. Estas webs simulan que su servicio es una broma inocente, pero varias de las opciones que proponen conllevarían acciones ilegales. Los sistemas que utilizan los hackers no están tan accesibles, y permiten cambiar el campo FROM de los mensajes de SMS. Así, el usuario cree recibir un mensaje remitido por un remitente confiable.

Recomendaciones de ciberseguridad ante el phishing

Ante este tipo de acciones fraudulentas, compartimos contigo las recomendaciones del Instituto Nacional de Ciberseguridad, son:

1. TEN UN ANTIVIRUS: Ten siempre un antivirus con antiphising para correo y páginas web.
2. Mantén actualizados tus sistemas y el antivirus, con las firmas al día y activado.
3. ESTATE ALERTA: Permanece atento para reconocer los ataques de ingeniería social (mensajes urgentes o aduladores).
4. VERIFICA: Si tienes duda de la veracidad de un mensaje o de su procedencia, contacta por otro medio con el remitente.
5. CHEQUEA LAS URL: No hagas clic en una URL para introducir tus datos sin antes pasar el ratón sobre el enlace para comprobar si el sitio al que te redirige es legítimo, y verifica que sea segura (httpS:).
6. CUIDADO CON LAS URL ACORTADAS: No se puede saber si el destino es legítimo o no. Los sitios legales nunca las utilizan para pedirte datos.
7. CUIDADO CON LOS FORMULARIOS: Antes de introducir datos en un sitio web, lee y comprende la política de privacidad y el aviso legal.
8. PRECAUCIÓN CON LOS ADJUNTOS. Ten precaución al descargar ficheros adjuntos en correos electrónicos, SMS, mensajes en WhatsApp o redes sociales, aunque sean de contactos conocidos.
9. CUIDADO CON LAS DESCARGAS. Al descargar un fichero, no hagas clic nunca en “habilitar el contenido” salvo que confíes en la fuente de donde procede.
10. DESCONFIA DE LOS DESCONOCIDOS. No abras SMS, ni correos de usuarios desconocidos o que no hayas solicitado: hay que eliminarlos directamente.

Esperamos que con estas recomendaciones no muerdas el anzuelo de un hacker que intenta robar tus datos. Pero, si te pasa, no lo dudes: informa a tu banco o la entidad suplantada, y denuncia cuanto antes.