Robo de contraseñas en internet

Muchos habrán leído alguna vez que gente se presta para robar contraseñas de algún correo electrónico, hasta puede que a alguno le hayan robado su contraseña, ya sea porque perdieron el acceso a su correo, o porque vieron cambios que ellos no habían realizado. El robo de contraseñas existe y es real, pero es más fácil evitarlo de lo que creen.

Primero entendamos cómo nos roban la contraseña para poder protegernos de eso.
Las personas que se dedican al robo de contraseñas no son expertos en seguridad ni nada parecido, la mayoría son gente común, sin conocimientos avanzados en computación, entonces cómo logran sacar la contraseña de sus amigos, novias y conocidos?
En este caso se usa algo llamado phising, que consiste en recrear con exactitud una página conocida por la víctima, en la cual estamos seguros que escribirá su contraseña. Si la víctima tiene cuenta de hotmail, entonces se crea la página principal de hotmail, donde la persona tiene que escribir su correo y contraseña para ingresar, si por el contrario es una cuenta bancaria, entonces se crea la página del banco en donde se permite el acceso a su cuenta virtual. La idea es engañar a la víctima haciéndole creer que está frente a la página real donde debe ingresar sus datos y contraseña para acceder a su correo o cuenta bancaria, cuando realmente es una página falsa que toma los datos y se los envía al atacante, es decir, la contraseña se la entrega la propia víctima al atacante.
Para los correos electrónicos es muy usada una técnica llamada xploit, que consiste en un mensaje de correo como cualquier otro, por ejemplo, una invitación a abrir facebook, o una postal electrónica o algo parecido, y dentro del mensaje hay un vínculo hacia otra página, cuando la víctima hace clic en el vínculo, aparece la página falsa haciéndole creer que por alguna razón debe ingresar nuevamente su contraseña, así si la víctima no sospecha, simplemente ingresa sus datos, en algunas ocasiones la página falsa le muestra el contenido que la víctima esperaba ver, así la sospecha sería mínima, y el atacante recibe luego los datos ingresados por la víctima.
Estos xploits generalmente se encuentran en internet listos para ser enviados a cualquier cuenta de correo, y en pocos casos el atacante con conocimientos  puede crear él mismo el xploit y enviárselo a la víctima.

Ahora que sabemos cómo funciona, qué hacemos para protegernos?
Primero hay que tener en cuenta que una vez ingresemos a nuestro correo, no debería aparecernos nuevamente la página de ingreso, primera cosa de la que debemos desconfiar, si esto nos ocurre, debemos escribir en el navegador nuevamente la página principal de nuestro correo (gmail.com, hotmail.com...).
Siempre que usemos nuestro correo, en la dirección que nos aparece en el navegador debe aparecer al principio de la misa las siglas https, fíjense que termina en la letra "s", la cual significa seguridad, si la página dice http y no tiene la "s", debemos desconfiar de esta página.

Realmente la herramienta más poderosa de los atacantes es la confianza, ignorancia y poco interés de las víctimas por protegerse.
Si están interesados en algún tema específico coméntenlo aquí y seguro habrá un post sobre eso.
Hasta el próximo sábado, saludos.