Drive-by pharming: cómo evitar el secuestro de su conexión

¿Sabe que un simple clic en un enlace malicioso podría cambiar la configuración de su router y redirigir todo el tráfico de su hogar a páginas falsas? Esto es exactamente lo que ocurre con el drive-by pharming, un ataque silencioso que pasa desapercibido para la mayoría de usuarios y que puede robar sus datos bancarios, contraseñas y otra información sensible sin que usted se entere.

Este tipo de fraude no necesita instalar programas maliciosos en su ordenador: se aprovecha de vulnerabilidades en el router, el dispositivo que conecta todos los aparatos de su casa a Internet. Aquí le explicamos qué es, cómo actúan los ciberdelincuentes, cómo detectarlo y protegerse, y qué hacer si sospecha que su red ha sido comprometida.

¿Qué es el drive-by pharming y cómo funciona?

El drive-by pharming es una técnica en la que, con solo visitar una web infectada o hacer clic en un enlace malicioso, se ejecuta un script que cambia la configuración DNS de su router. Esto redirige todo el tráfico que pasa por su conexión a direcciones falsas controladas por los atacantes. Así, cuando usted intenta acceder a la web de su banco, es llevado a una página idéntica, pero gestionada por los delincuentes, que capturan su usuario y contraseña en tiempo real.

Este método es especialmente peligroso porque afecta a todos los dispositivos conectados a esa red: ordenadores, móviles, tablets, televisores inteligentes, etc. Incluso si en su dispositivo tiene antivirus o parches actualizados, el tráfico ya ha sido desviado en el router.

Fases de un ataque de drive-by pharming

Un ataque típico sigue estos pasos:

1. El usuario visita una página comprometida o recibe un enlace malicioso por email, SMS o redes sociales.
2. Al cargar la página, un script envía comandos al router utilizando credenciales por defecto o contraseñas débiles.
3. El script cambia los servidores DNS configurados en el router por otros controlados por el atacante.
4. A partir de ese momento, cualquier web que el usuario intenta visitar puede ser redirigida a un sitio falso.
5. El atacante captura credenciales, números de tarjetas o instala malware desde esas webs falsas.

Ejemplo de drive-by pharming en la vida real

Un usuario recibe un correo que simula ser de su compañía de Internet e incluye un enlace para «verificar su cuenta». Al hacer clic, un script silencioso cambia la configuración DNS de su router. Días después, al acceder a la web de su banco, el usuario introduce su contraseña en un sitio falso idéntico al original. Sin saberlo, sus credenciales ya están en manos de los atacantes, que comienzan a vaciar su cuenta bancaria.

Estos casos son más frecuentes de lo que parecen: según un informe de INCIBE, decenas de routers de marcas muy comunes en España son vulnerables a este tipo de ataques si no se cambia la contraseña por defecto.

Cómo detectar si su router ha sido víctima de drive-by pharming

Algunos indicios de que su router podría estar comprometido son:

• Webs que cargan con lentitud o muestran errores inesperados.
• Mensajes de advertencia sobre certificados de seguridad en sitios legítimos.
• Redirecciones a páginas que no corresponden al enlace original.
• Dispositivos que pierden conexión o se comportan de forma extraña de manera simultánea.

Para comprobarlo, acceda a la configuración de su router (generalmente desde 192.168.1.1 o 192.168.0.1) y revise los servidores DNS configurados: si no son los de su operador o servicios legítimos como Google DNS (8.8.8.8) o Cloudflare (1.1.1.1), es probable que haya sido modificado.

Qué hacer si cree que su red está comprometida

Si sospecha de un ataque de drive-by pharming:

1. Desconecte el router de la corriente para cortar el acceso inmediato.
2. Restablezca el router a valores de fábrica para eliminar cambios no autorizados.
3. Actualice el firmware del router descargando la última versión del fabricante.
4. Configure manualmente servidores DNS legítimos y cambie la contraseña de acceso al router por una robusta.
5. Revise las contraseñas de servicios críticos como banca online y cámbielas desde un dispositivo seguro.
6. Considere contactar con un profesional especializado para auditar su red y asegurarse de que no queden puertas traseras.

Cómo protegerse de futuros ataques de drive-by pharming

Prevenir es siempre mejor que curar. Para evitar ser víctima de este ataque:

• Cambie siempre la contraseña por defecto de su router; no use claves como “admin” o “1234”.
• Actualice el firmware del router con frecuencia.
• Desactive la administración remota si no es estrictamente necesaria.
• No haga clic en enlaces sospechosos ni en emails que le pidan comprobar datos de su conexión.
• Utilice soluciones de seguridad en sus dispositivos para bloquear scripts maliciosos.

Estos consejos pueden parecer básicos, pero la realidad es que gran parte de los ataques de drive-by pharming tienen éxito porque los usuarios no cambian las contraseñas de fábrica ni actualizan el firmware de su router.

Si tras detectar el ataque observa movimientos sospechosos en su cuenta bancaria, contacte de inmediato con su entidad y con la policía para denunciar los hechos. Nuestro equipo especializado puede asesorarle para recopilar pruebas, reclamar daños y proteger sus derechos frente a posibles fraudes que resulten de este tipo de ataques.