Un nuevo descubrimiento pone en peligro, una vez más, la seguridad de los correos electrónicos. Esta vez se trata de RopeMaker, que al contrario de lo que puede indicar su nombre literal, son las siglas de Remotely Originated Post-delivery Email Manipulation Attacks Keeping Email Risky.
A través de esta vulnerabilidad, un correo legítimo y que pase todos los filtros de seguridad y spam puede convertirse, al abrirlo el destinatario, en un correo maligno. ¿Cómo es posible? Gracias a la magia de HTML y CSS.
Puede que estos nombres os suenen a chino, pero son los encargados de dar forma y estilo a los correos electrónicos, así como a las páginas web. Gracias a estas dos tecnologías se consigue poner un texto en negrita, cursiva, con colores, etc.
El problema reside en que estas tecnologías se ejecutan en el lado cliente, es decir, cuando el usuario abre una página web o un correo electrónico. En el caso en cuestión, el peligro consiste en que un atacante puede enviar un mensaje legítimo, pero a través de CSS hacer cambios para que, por ejemplo, un enlace web a una página sin peligro cambie para redirigir a páginas maliciosas.
La vulnerabilidad ha sido demostrada en las aplicaciones de escritorio tradicionales como Apple Mail, Outlook y Mozilla Thunderbird. Por otro lado, los servicios conocidos como webmailno se han visto afectados.
Aunque la vulnerabilidad aún no ha sido utilizada de forma activa, sin duda será un futuro vector de ataque. Es por ello que, ahora más que nunca, hay que desconfiar y verificar siempre los enlaces y adjuntos que recibamos en nuestro correo.
