Aunque no lo sepas, tienes una identidad digital en Internet. Son datos y aspectos que son capaces de identificarte con relativa precisión; como por ejemplo, el historial de páginas web que has visitado, el navegador que usas, la resolución de la pantalla, el huso horario, y muchos más. Esta información no solo sirve para distinguirte de otros usuarios; también para asegurarse de que eres una persona “de verdad”, y no un bot o un atacante.

Estas huellas digitales no solo sirven para rastrearnos sin nuestro consentimiento; muchos servicios de banca y financieros, por ejemplo, las usan para saber si alguien está intentando acceder a nuestra cuenta. Sistemas de aprendizaje automático se encargan de comprobar que esas huellas digitales son correctas; son una pista importante de que es posible que nos hayan robado el nombre de usuario y la contraseña de nuestra cuenta, o el número de nuestra tarjeta de crédito.

La tienda que vende identidades digitales

Estos sistemas pueden servir para negar las transacciones más sospechosas; o para iniciar una investigación más completa sobre esta actividad sospechosa. Sin embargo, eso no significa que este sea un método perfecto para evitar el fraude. Y de hecho, lo que los investigadores de Kaspersky han descubierto demuestra hasta qué punto es posible traficar con información personal en Internet.

Se trata de Genesis, una tienda online especializada en vender identidades digitales robadas. Más de 60.000 identidades digitales están a la venta en este sitio, todas pertenecientes a usuarios reales; el precio de cada “máscara digital”, que permite hacerse pasar por esa persona, está entre los 5 y los 200 dólares cada una.

Claro, que la máscara digital no sirve de mucho por si sola; por eso, la tienda también vende cuentas de usuario robadas, incluyendo los nombres de usuario y contraseña. Pero si el atacante ya tiene esos datos, por ejemplo a través de otro ataque, la identidad digital robada le permite hacerse pasar completamente por esa persona. Estas “máscaras” no activan los sistemas de seguridad de los servicios, ya que realmente parece que ha sido la propia víctima quien ha accedido.

Atacantes que nos imitan para hacerse pasar por nosotros

Con la identidad digital y los datos de acceso del usuario, el atacante puede conectarse al servicio a través de un proxy e imitar al usuario real; y una vez dentro, puede realizar pagos y transferencias de dinero sin sospechas. Para la entidad, es como si hubiésemos entrado nosotros mismos y hubiéramos empezado a hacer operaciones.

Comprar una identidad en Genesis no es el único método para conseguir una máscara digital. También existen herramientas para crear identidades digitales desde cero, basándose en comportamiento verídico. Por ejemplo, un navegador es capaz de generar huellas digitales como las de un usuario normal, de manera automática. Este es uno de los casos en los que la autenticación en dos pasos es muy valiosa, ya que impone una barrera más a los atacantes.