Este articulo se lee en aproximadamente 5 minutos
Las vistas previas de enlaces son una funcion donde las redes sociales y aplicaciones de mensajeria muestran una vista previa del contenido del enlace antes de que los usuarios hagan clic. Las principales plataformas como Facebook, X, LINE, Slack e iMessage implementan esta funcionalidad, mostrando titulos, descripciones e imagenes en miniatura obtenidas de las etiquetas meta OGP. Sin embargo, esta funcion conveniente puede crear riesgos de seguridad graves cuando se combina con URLs cortas. Un estudio de 2024 de Citizen Lab encontro que 15 de 20 aplicaciones de mensajeria principales transmiten las direcciones IP de los usuarios a los servidores de destino durante la generacion de vistas previas. Dado que las URLs cortas pueden ocultar el destino final a traves de redirecciones, pueden convertirse en un caldo de cultivo para ataques de suplantacion de vistas previas.
El proceso de generacion de vistas previas se clasifica en tres arquitecturas: generacion del lado del remitente (iMessage, Signal), generacion del lado del servidor (Facebook, X, LinkedIn) y generacion del lado del receptor. Cuando intervienen URLs cortas, las solicitudes de generacion de vistas previas llegan primero al servidor del servicio de URLs cortas y luego se reenvian al destino final. Los libros sobre seguridad web estan disponibles en Amazon.
Los ataques de suplantacion de vistas previas funcionan cambiando dinamicamente el destino de redireccion de la URL corta. El atacante primero establece un sitio web legitimo como destino, espera a que la plataforma genere y almacene en cache una vista previa confiable, y luego cambia el destino a un sitio de phishing. Segun el informe de APWG, el 18.3% de los ataques de phishing en el Q4 de 2024 utilizaron URLs cortas.
Las medidas de seguridad que deben implementar los servicios de URLs cortas son multicapa: registrar el historial de cambios de destino, verificar contra bases de datos de Google Safe Browsing, mostrar paginas intersticiales antes de redirigir y requerir CAPTCHA al crear URLs cortas.
Las defensas del lado del usuario son igualmente importantes. Desarrollar el habito de verificar destinos finales usando servicios de expansion de URLs cortas. Para enlaces a instituciones financieras o paginas de inicio de sesion, escribir manualmente la URL oficial es lo mas seguro. Los responsables de seguridad corporativa deben incorporar ejemplos de ataques de suplantacion de vistas previas en la formacion de seguridad.