Un fallo en Internet Explorer permite rastrear los movimientos del ratón
Si usa Internet Explorer (versiones de la 6 a la 10) ojo a esto: una vulnerabilidad en el navegador permite rastrear los movimientos que hacemos con el ratón en la pantalla. ¿Peligroso? Depende. Si utiliza teclados virtuales para introducir su contraseña de banca online, por ejemplo, sí, es peligroso. Un tercero podría hacerse con los datos de forma remota.
La vulnerabilidad la ha descubierto una pequeña firma británica de analítica web, Spider.io, que demuestra en un vídeo debajo cómo funcionaría. Ofrece además este enlace donde, utilizando IE, podemos comprobarlo por nuestra cuenta.
¿Cómo funciona? Lo único que tiene que hacer un atacante para aprovecharse de esta vulnerabilidad es comprar un anuncio/banner en una web que visitemos. Puede ser YouTube, un diario online, da igual, cualquier página que muestre ese banner. Mientras tengamos esa ventana abierta, incluso si está minimizada, al otro lado pueden ver y almacenar los movimientos del ratón sobre la pantalla.
“Es una trampa muy similar al phishing. Mediante técnicas adicionales como el CSS history hack es posible conocer el historial de navegación del usuario. Si además tienes los movimientos de ratón mientras accede a la cuenta online del banco utilizando el teclado virtual, entonces es relativamente fácil adivinar la contraseña”, confirma telefónicamente Douglas de Jager, responsable de Spider.io. El fallo permite rastrear también cuándo se pulsan las teclas Ctrl, Shift y Alt
La compañía contactó con Microsoft en Octubre para alertarle del fallo en el navegador. El Centro de Respuesta de Seguridad de Microsoft ha reconocido la existencia de la vulnerabilidad pero de momento no tiene planes inmediatos de lanzar una actualización. Según Spider.io, dos grandes agencias de publicidad online están ya aprovechando el fallo para saber si los anuncios que insertan son vistos o no por los internautas, aunque de momento, dicen, no pueden desvelar los nombres.
¿Conclusión? Si utiliza IE y accede a su cuenta bancaria online con los teclados virtuales que ofrecen las entidades (precisamente para evitar el rastreo del tecleo mediante malware), quizás mejor pasarse a otro navegador durante un tiempo hasta que la vulnerabilidad se solucione. Y no es que el resto de navegadores no tengan fallos, todos los tienen. Esta vez le ha tocado a IE.
Actualización (14/12/2012): Microsoft ha dado su visión del asunto en uno de sus blogs corporativos. Y la respuesta es un "sí pero no". Reconoce que es posible rastrear los movimientos del ratón en IE y que están trabajando para "ajustar ese comportamiento". Pero va más allá: aclara que es algo que ocurre en otros navegadores, acusa a Spider.io de publicar una información interesada y añade que el rastreo de los movimientos supone "un riesgo muy pequeño". Vamos, que existe. Pues eso.