Los navegadores más utilizados actualmente son Chrome Edge, pero ¿quién no recuerda el famoso Internet Explorer? Hace tiempo que quedó prácticamente obsoleto pero, aunque lo mantengamos en algún lugar del disco duro de nuestro ordenador, puede estar haciendo mucho daño.
Según John Page, analista de seguridad, este navegador tiene una vulnerabilidad no parcheada que permite a un atacante acceder a cualquier archivo del ordenador con solo engañar al usuario para que pulse en un enlace. Al parecer, esto ocurre por los archivos HTML. Son archivos con un formato que Internet Explorer utiliza para guardar páginas web en el ordenador de forma que sea posible consultarlas localmente, sin necesidad de tener conexión a Internet.
Estos archivos se abren por defecto con Internet Explorer, lo que hace posible que un atacante pueda inyectar un código que se ejecute nada más cargar el archivo en pantalla.
El usuario solo tiene que pulsar un par de veces sobre un archivo de aspecto inocuo que haya recibido por email. Aunque el navegador tiene varias herramientas destinadas a evitar ataques a la hora de navegar por la red, muchos de los avisos y diálogos de confirmación se obvian con este tipo de archivos, por considerar que son una copia guardada en local y previamente comprobada.
El ataque se da en Windows 7, Windows 10 y Windows Server 2012. Microsoft ya ha confirmado que lanzará un parche para corregir este vector de ataque . Mientras tanto, es necesario extremar precauciones con este tipo de archivos.
Fallo de seguridad en correos de Outlook, Hotmail y MSN
Además de este fallo hecho público en el estudio de John Page, existe un fallo de seguridad en las herramientas de administración para soporte técnico de Microsoft. Esto a permitido a hackers tener acceso a las cuentas de los usuarios de direcciones de correo en Outlook, Hotmail y MSN durante varios meses.
Los hackers pudieron acceder a información de cuentas de usuario y los encabezados de los correos electrónicos utilizando las credenciales de un administrador de soporte técnico.
En un correo, Microsoft explica a los afectados que «Hemos identificado las credenciales afectadas que permitieron a individuos ajenos a la compañía el acceso a la información en tu cuenta de Microsoft».
Además, Microsoft asegura que los hackers no han tenido acceso a la información contenida en dichos correos ni a los archivos adjuntos, tan solo a los encabezados, agenda y otro tipo de información de carácter personal.
A pesar de esto, una fuente relacionada con el caso ha demostrado a la publicación Motherboard que la vulnerabilidad también permitía a los atacantes leer el cuerpo de los mensajes de correo electrónico, no sólo los encabezados. Microsoft ha rectificado su explicación inicial diciendo que los atacantes sólo accedieron al contenido del 6% de las cuentas afectadas, pero sin especificar el número concreto.
