Un grupo de investigadores de Google, la Universidad de Illinois en Urbana-Champaign y la Universidad de Michigan se hicieron esa misma pregunta, y para responderla tuvieron la idea de hacer un experimento: dejar 297 pendrives USB alrededor del campus de Urbana-Champaign y esperar a ver qué pasaba.
Las conclusiones fueron interesantes: el 48% de esas unidades se recogieron y se conectaron a un ordenador, y algunas de ellas se usaron apenas unos minutos después de ser abandonadas en el campus para el estudio. El peligro de hacer algo así es evidente, y este experimento de ingeniería social demostró que muchos usuarios no piensan demasiado en las consecuencias de un acto tan simple como ese.
La curiosidad puede ser fatal
Como explicaban los responsables del estudio, "desafortunadamente, tanto si el motivo es altruista como mera curiosidad, el usuario abre toda su organización sin saberlo a un ataque interno cuando conectan el dispositivo, que se convierte en un caballo de Troya físico".
En esas unidades USB habían insertado un HTML con imágenes que residían en un servidor específico, algo que permitió a los investigadores hacer un seguimiento del uso y localización aproximada de esas unidades. Solo el 16% de los usuarios se molestaron en escanear las unidades con algún tipo de antivirus, y en una encuesta posterior el 68% de los usuarios indicaron que no tomaron precaución alguna antes de conectar las unidades.
Este tipo de experimento demuestra que dejar abandonadas una serie de unidades USB con malware podría ser un método prácticamente seguro para que usuarios sin demasiados conocimientos o con demasiada curiosidad no dudaran en acabar afectados por ese malware sin enterarse. Teniendo en cuenta que existen problemas serios como BadUSB o esos pendrives "asesinos" de los que hablábamos hace meses, solo queda hacer una advertencia: si encontráis una de estas unidades en cualquier lado, desconfiad. Por si acaso, aunque sea.
Vía | The Register