La pregunta de si el fax es más seguro que el correo electrónico se ha debatido durante décadas. La respuesta no es blanco y negro, y depende en gran medida de la naturaleza de tu trabajo, el tipo de información confidencial que intercambias, el nivel de sofisticación de quienes intentan atacar tu red, y qué tan bien has protegido tu sistema.
El debate puede dividirse en dos campos: quienes creen que el fax es menos propenso a ser interceptado por hackers porque envía datos por una línea física, versus quienes creen que el hackeo no es un problema con las máquinas de fax ya que no se conectan directamente a redes ni envían sus transmisiones por internet como lo hace el correo electrónico. Hay muchas razones por las que cada grupo puede tener o no la razón. Examinemos los argumentos de quienes piensan que el fax es más seguro que el correo electrónico.
Aspectos de seguridad del fax vs correo electrónico
Aspectos de seguridad del fax
- Requiere acceso físico a la línea telefónica para interceptar
- Requiere acceso físico a la máquina de fax para obtener el mensaje
- Los mensajes pueden llegar a un lugar accesible para otras personas
- Una vez recolectados, los mensajes recibidos no permanecen en un servidor indefinidamente
- El encabezado de fax puede ser falsificado
- Es casi imposible detectar una falsificación
Aspectos de seguridad del correo electrónico
- Requiere habilidades significativas de hacking para interceptar
- Los mensajes llegan a una computadora (generalmente) protegida
- Los mensajes pueden residir en un servidor indefinidamente, esperando ser hackeados
- Susceptible a phishing
- Cuando está configurado correctamente: no permite falsificar los datos del remitente
- Difícil detectar falsificaciones, pero puede haber indicios
El aspecto físico
Accesibilidad
La característica principal del fax comparado con el correo electrónico es simple: es físico. Todos los datos enviados por fax usan una línea telefónica, lo que significa que los hackers deben tener acceso a tus líneas telefónicas para interceptar. Necesitan acceso físico para interceptar información enviada por fax. Por otro lado, hackers motivados pueden interceptar correos electrónicos que viajan por una conexión de internet sin tener que entrar en contacto directo con tu red o sistema.
Una vez que un hacker tiene acceso físico, todavía necesita tiempo y experiencia para intervenir líneas telefónicas de manera efectiva. Los hackers más sofisticados tienen la capacidad de intervenir líneas telefónicas e interceptar datos enviados o recibidos. Hacer una intervención telefónica requiere un dispositivo específico y tiempo para configurarlo. Y dado el nivel actual de sofisticación de los hackers, irrumpir en una línea telefónica para propósitos de intercepción se consideraría hacking avanzado.
Sin embargo, el aspecto físico abre otros riesgos. Por ejemplo, en algunos negocios la máquina de fax puede estar ubicada en un área pública donde otros empleados tienen acceso. Una tercera persona podría ver o robar un mensaje que llegó y no fue recogido a tiempo. Esto es poco probable que ocurra con el correo electrónico, donde los mensajes llegan a computadoras típicamente protegidas con contraseña y/o residen en servidores de correo seguros.
El aspecto del software
Las máquinas de fax no son susceptibles a malware basado en computadoras. Esto significa que son más seguras desde este vector de ataque, pero todavía hay riesgos que debes mitigar.
Virus
Una máquina de fax es un sistema cerrado basado en hardware. Por lo tanto, no puedes instalar ningún tipo de virus o malware en una máquina de fax analógica. Esto hace que las máquinas de fax tradicionales sean incapaces de transmitir virus por las líneas telefónicas, lo que significa que un remitente tampoco podrá transmitir virus al destinatario a través de una máquina de fax.
Malware
Si bien puede ser posible crear malware que ataque máquinas de fax, y especialmente dispositivos multifunción de alta gama con capacidad de fax por internet que son efectivamente grandes computadoras, las máquinas de fax tradicionales actualmente no se conocen como un vector de ataque viable. Es mucho más rentable para los autores de malware atacar computadoras y smartphones que máquinas de fax.
Cifrado
Frecuentemente nos encontramos con la pregunta: «¿están cifradas las máquinas de fax?»
Cuando envías un fax en una máquina de fax regular que compraste en tu tienda local de artículos de oficina o en Amazon, el fax transmitido no está cifrado. Se envía en un formato de transmisión digital bien conocido llamado ITU-T fax grupo 3 o 4 (anteriormente CCITT fax grupo 3 o 4) y puede ser interceptado y leído por cualquiera que tenga la capacidad de intervenir tu línea telefónica.
Existen soluciones para cifrar transmisiones de fax, por ejemplo, como las que usan las misiones diplomáticas e instituciones de alta seguridad. Sin embargo, estas requieren equipo dedicado y mutuamente compatible tanto en el extremo emisor como en el receptor. Por lo tanto, no podemos generalizar desde ellas a lo que podría ser un uso típico del fax.
Es importante notar que cuando los proveedores de servicios de fax en línea afirman ofrecer fax cifrado, como algunos parecen hacer en los resultados de búsqueda de Google mostrados abajo, no se refieren a la transmisión de fax real. En cambio, podrían estar refiriéndose a: su almacenamiento de archivos, acceso a sus sistemas, o la seguridad del envío de mensajes de fax por correo electrónico o API antes y después de su transmisión y recepción como faxes.
¿Fax cifrado? No realmente
El proveedor de servicios de fax que aparece como primer resultado en Google para el término de búsqueda «encrypted fax» confirma esto diciendo:
La seguridad de los mensajes enviados a través del sistema InterFAX puede mejorarse cifrando tus correos electrónicos. Si bien esto NO cifrará la transmisión de fax desde nuestros servidores a la máquina de fax en sí, SÍ asegurará el contenido de tu mensaje mientras está en tránsito desde tu computadora a nuestros servidores. – upland InterFAX
En términos prácticos, la mayoría de los correos electrónicos tampoco están cifrados, aunque la capacidad de firmar y cifrar correos ha existido por mucho tiempo y está disponible en la mayoría de los clientes de correo modernos.
Sin embargo, mitigando está carencia, está el hecho de que la mayoría de los servidores de correo hoy «hablan» TLS entre ellos, haciendo efectivamente imposible la intercepción y manipulación de las transmisiones de correo electrónico.
El factor humano
Phishing
Los atacantes prefieren el correo electrónico sobre las máquinas de fax ya que estas son menos susceptibles de manera inmediata al phishing. Para los hackers maliciosos, la ventaja del correo electrónico sobre los faxes es que pueden lograr su objetivo engañando a un usuario para que abra un archivo adjunto peligroso.
En este sentido, es más fácil para los atacantes usar el correo electrónico para infectar usuarios con malware. Sin embargo, a diferencia del correo electrónico, las máquinas de fax no tienen un buzón donde puedan recolectar mensajes del mundo exterior. Y aunque se almacenen electrónicamente, los faxes entrantes deben ser transferidos manualmente al almacenamiento por alguien que sepa lo que está haciendo. Puedes considerar esto como una capa adicional de protección contra ataques y amenazas.
Spoofing
El spoofing de correo electrónico es una técnica donde los atacantes cambian el campo «de» de un mensaje de correo electrónico para que parezca que vino de otra persona. Usualmente, esto se usa para propósitos criminales como fraude o phishing. Esto puede mitigarse, pero depende de que la parte suplantada configure correctamente sus servidores de correo (más específicamente, sus servidores DNS).
De manera similar, el spoofing también es posible al enviar faxes. En el contexto del fax, el spoofing puede significar dos cosas:
- Enviar un encabezado de fax (CSID) que pretende mostrar un remitente diferente al real.
- Enviar un fax con un identificador de llamadas falso. Esto requiere acceso más profundo a la configuración de telefonía.
Falsificación de encabezado de fax (CSID)
Un fax puede configurarse para enviar un encabezado a la parte receptora. El encabezado es un texto largo que puede incluir cualquier cosa, pero usualmente muestra la fecha y hora de envío, el número de fax desde el cual se envió, el nombre del remitente y otra información. Así es como un manual de usuario de Canon lo presenta:
Imagen: Canon
El número de fax y nombre del remitente, en los cuales el destinatario podría confiar para verificar la veracidad del fax, son bastante simples de cambiar en la máquina de fax emisora a través de su configuración regular, haciendo que las confirmaciones de fax no sean confiables para verificación.
Falsificación
Falsificar el contenido tanto de correos electrónicos como de faxes es bastante simple. Pero mientras los faxes proporcionan relativamente pocas pistas sobre sus remitentes, los correos electrónicos proporcionan abundante información sobre la ruta que tomaron para llegar. Y aunque no se pueda decir que un correo fue falsificado, frecuentemente la reputación del remitente puede dar una pista sobre su posibilidad de ser real.
Falsificar un fax es un ejercicio simple en cualquier editor de imágenes. Obtener acceso al membrete de cualquier empresa se hace fácilmente a través de internet y todo lo que queda es llenar los detalles. La confianza de las personas en aceptar documentos enviados por fax por sus firmas es en este sentido bastante ingenua. Una vez hecho esto, es nuevamente bastante fácil configurar los ajustes de una máquina de fax para hacer la falsificación de encabezado apropiada descrita anteriormente. Esto deja al destinatario con poca información para guiar su decisión sobre si un documento es real o falso, aparte del sentido común.
En cierto sentido, falsificar un correo electrónico es igual de simple. Pero al menos cuando llega un correo electrónico, trae una gran cantidad de metadatos que permiten su análisis, como muestra la siguiente imagen.
En conclusión
Como puedes ver, realmente no hay forma de decir si el fax es más o menos seguro que el correo electrónico cuando ambas opciones están abiertas a ataques. La verdad es que todo depende de la naturaleza específica de tu trabajo y los riesgos que enfrentas, ya que estos dos métodos de comunicación no crean una amenaza diferente.
Referencias