La reciente noticia del hackeo al sitio del Servicio de Administración Tributaria (SAT) ha encendido las alarmas entre contribuyentes de todo el país. A pocos días de que millones se apresten a cumplir con su obligación de presentar la declaración anual, surge un riesgo palpable: la posibilidad de que datos personales y financieros hayan caído en manos equivocadas. Este incidente no solo pone de relieve la creciente sofisticación de los ataques cibernéticos, sino también la importancia crítica de proteger nuestra información en línea.
A pesar de que los datos alojados en el portal no están comprometidos directamente, el reciente ataque cibernético podría resultar en la ejecución de software dañino en los dispositivos de los visitantes.
Recientemente se identificó una vulnerabilidad en el sistema del Servicio de Administración Tributaria (SAT), revelando sus puntos débiles justo antes del periodo designado para que los contribuyentes individuales presenten sus declaraciones de impuestos anuales.
Según la Secretaría de Hacienda y Crédito Público (SHCP), desde el próximo lunes 1 de abril de 2024, los contribuyentes, excluyendo a las empresas, tendrán hasta un mes para reportar sus ingresos, gastos y deducibles del año 2023.
Antes de que este mecanismo sea utilizado por millones en México para sus trámites fiscales, un miembro del grupo cibernético 'Mexican Mafia', apodado 'Lord Peña', ha expuesto vulnerabilidades en el portal, poniendo en duda su seguridad.
'Lord Peña' afirma que encontró un tipo específico de vulnerabilidad conocida como "XSS reflejado" en el sitio web del SAT. Esta brecha de seguridad permite al atacante inyectar y ejecutar código JavaScript en los navegadores de quienes acceden al portal, sin comprometer el servidor del SAT.
“Descubrí una vulnerabilidad 'XSS reflejado' que me facilita ejecutar código JavaScript en el lado del cliente, sin impactar el servidor central del SAT”, señaló 'Lord Peña' en una entrevista con Publimetro México. Este hacker también estuvo involucrado recientemente en un ataque a la UNAM, durante el cual afirmó haber puesto a la venta más de 2.3 millones de archivos del Instituto de Investigaciones en Matemáticas Aplicadas y en Sistemas (IIMAS).
Conoce más sobre: Vulnerabilidades Cibernéticas: Un Análisis a Profundidad
El tipo de Cross-Site Scripting (XSS) reflejado empleado por Lord Peña es un método que permite a un atacante ejecutar scripts en el navegador de quienes visitan un sitio web. En este incidente, el atacante logró inyectar código JavaScript malicioso en el sitio web del SAT. Esto significa que cualquier usuario que acceda a esta página podría tener ejecutado en su navegador dicho código sin su consentimiento.
Aunque el servidor del SAT en sí no fue comprometido directamente, esta vulnerabilidad permite al atacante alterar la experiencia del usuario en el sitio, representando un riesgo indirecto para la seguridad de los datos de los contribuyentes que utilizan el portal.
Lord Peña señaló que este ataque abre la puerta a sofisticadas campañas de phishing, especialmente preocupantes durante el periodo de declaración de impuestos. Los atacantes podrían, aprovechando esta brecha de seguridad, dirigir a los usuarios a sitios fraudulentos que imitan al oficial del SAT, con el fin de obtener información sensible como contraseñas y detalles financieros.
Esencialmente, mediante el aprovechamiento de la vulnerabilidad XSS, los ciberdelincuentes podrían diseñar sitios web engañosos que mimicen la apariencia del portal legítimo del SAT, induciendo a los usuarios a divulgar datos personales bajo el falso pretexto de estar navegando en un entorno seguro.
Te podrá interesar: Hackers roban datos de 2M con ataques SQL y XSS
En conclusión, el reciente descubrimiento de una vulnerabilidad XSS reflejado en el sitio web del SAT, subraya la importancia de la ciberseguridad en las plataformas digitales gubernamentales. Aunque el servidor central del SAT no fue comprometido directamente, la posibilidad de manipular la experiencia del usuario a través de código malicioso inyectado representa un riesgo significativo. Este tipo de vulnerabilidad no solo pone en peligro la integridad de la información personal y financiera de los contribuyentes sino que también abre la puerta a sofisticadas campañas de phishing durante períodos críticos como la temporada de declaración de impuestos.