El cross-site scripting (XSS) conocido también como: Secuencia de comandos en sitios cruzados; es un ataque de malware que provoca que veamos webs poco fiables como confiables y seguras. Debido a que un hacker puede inyectar un script con este fin.

El script puede provocar el robo de información al infectar los campos que solemos rellenar para acceder a nuestras cuentas, incluso hasta puede robar las cookies instaladas en los navegadores. Toda esta información se le enviará al Hacker, quién después podrá hacerse con el control de los usuarios infectados.

¿Qué es XSS, y por qué se llama cross-site scripting?

Un ataque de cross-site scripting es el acto de inyectar programación maliciosa de una web “agresora” en una web amigable y sin pretensiones. 

El término original se refería exclusivamente al lenguaje de programación JavaScript. Sin embargo, ahora el término XSS abarca también ActiveX, Flash, HTML y muchos otros.

Tipos de ataques de cross site scripting

El XSS indirecto (reflejado) es el más común, se produce cuando un usuario envía una solicitud al servidor de una web. Ahí es cuando el script malicioso inyectado por el hacker se refleja en el servidor. Además, puede verse reflejado como un mensaje de error, o incluso como el resultado de alguna búsqueda.

Cuando la víctima da clic en el botón o enlace que se indica, se ejecuta el código infeccioso y se descarga el malware en el dispositivo. Aquí es cuando se le hace creer al usuario que el código anterior procede de un servidor de confianza. Así es que toda la información introducida en la web comprometida será enviada al hacker.

XSS directo (persistente)

Este es el segundo tipo de ciberataque de cross site scripting más utilizado. Esto sucede cuando una aplicación o una web se encuentran afectadas por un software de código malicioso el cual ha infectado todas las respuestas HTTP.

El software malicioso podría estar almacenado en el campo de comentarios de una web, y puede ser activado si se hace clic sobre él; por nombrar algún ejemplo. Lo peligroso del XSS directo es que el hacker no necesita atraer a una víctima potencial para que siga un enlace, debido a que la trampa ya ha sido colocada. Solo necesita hacer es poner el cebo y esperar.

XSS basado en DOM

Por último tenemos el XSS basado en DOM (Modelo de Objetos del Documento) que se crea cuando alguien abre una página web, lo que permite a un usuario acceder a todo el contenido de una página sin tener que interactuar con el servidor.

En los dos XSS anteriores los ataques pueden ser evidentes en el HTML de la página de respuesta. Pero con el DOM resulta imposible darse cuenta de la vulnerabilidad sin profundizar en el código de la web. Y para descubrirlo debes tener conocimientos muy avanzados de tecnología y realizar un análisis manual exhaustivo de cada web que visites.   

¿Cómo puede afectar el XSS?

Para resumir los casos anteriores, estos ataques pueden permitir el robo de contraseñas o acceso a tu dispositivo. Aprovechar los datos de tu tarjeta de crédito en beneficio de los hackers, infectar tu dispositivo con todo tipo de malware, como los keyloggers (capaces de registrar las contraseñas que escribes con el teclado o ransomwares).

¿Cómo protegerse de un ataque XSS?

La mejor manera de evitar este tipo de ataques es reconocer las señales antes de activar por accidente cualquier código malicioso. Pero por desgracia, es muy difícil defenderse de ellos, porque en este tipo de ciberataques el malware se dirige a las webs que visitas, y no a tu dispositivo personal.

¿Cómo protegerse de un ataque XSS?

La mejor manera de evitar este tipo de ataques es reconocer las señales antes de activar por accidente cualquier código malicioso. Pero por desgracia, es muy difícil defenderse de ellos, porque en este tipo de ciberataques el malware se dirige a las webs que visitas, y no a tu dispositivo personal. 

Sin embargo, a continuación podrás leer algunos tips.

• Acostúmbrate a vigilar tu URL regularmente. Si detectas que algo parece fuera de lo normal, desconfía de cualquier acción futura que puedas o no realizar en esa web.
• Para quienes tengan más conocimientos técnicos, siempre puedes profundizar en el código de cada página web que abras para comprobar si hay algún script que no corresponda.
• Chrome, Safari, Internet Explorer y la mayoría de los navegadores robustos tienen funciones de seguridad integradas que ayudan a detectar y bloquear el XSS reflejado. Los navegadores más antiguos pueden no tener esta función.
• La función CyberSec de NordVPN proporciona una capa adicional de kevlar digital: nuestra lista negra de webs maliciosas, que se actualiza continuamente, te detendrá antes de que actives una infección por accidente.