Las vistas previas de enlaces son esa función con la que las redes sociales y las aplicaciones de mensajería muestran un adelanto del contenido antes de que el usuario haga clic. Las grandes plataformas como Facebook, X, LINE, Slack o iMessage la implementan mostrando el título, la descripción y la imagen en miniatura que obtienen de las etiquetas meta OGP. Sin embargo, esta función tan cómoda puede generar riesgos de seguridad serios cuando se combina con URLs cortas. En un estudio de 2020, los investigadores de seguridad Talal Haj Bakry y Tommy Mysk demostraron que varias aplicaciones de mensajería importantes transmiten la dirección IP del usuario al servidor de destino al generar la vista previa. Y como las URLs cortas pueden ocultar el destino final tras una redirección, se convierten en terreno fértil para los ataques de suplantación de vistas previas.
La generación de vistas previas responde a tres arquitecturas: generación en el lado del remitente (iMessage, Signal), en el lado del servidor (Facebook, X, LinkedIn) y en el lado del receptor. Cuando hay una URL corta de por medio, la solicitud de vista previa llega primero al servidor del acortador y desde ahí se reenvía al destino final.
Los ataques de suplantación de vistas previas se apoyan en cambiar dinámicamente el destino de la URL corta. El atacante configura primero un sitio web legítimo como destino, espera a que la plataforma genere y guarde en caché una vista previa fiable, y después cambia el destino por un sitio de phishing. No es un escenario teórico: los ataques de phishing abusan con frecuencia de las URLs cortas precisamente para ocultar el destino.
Las medidas de seguridad que debe implementar un servicio de URLs cortas son de varias capas: registrar el historial de cambios de destino, cotejar los destinos con bases de datos como Google Safe Browsing, mostrar páginas intersticiales antes de redirigir y exigir un CAPTCHA al crear URLs cortas.
La defensa del lado del usuario importa igual. Conviene adquirir el hábito de comprobar el destino final con un servicio de expansión de URLs cortas. Para enlaces a entidades financieras o a páginas de inicio de sesión, lo más seguro sigue siendo escribir la URL oficial a mano. Y los responsables de seguridad corporativa harían bien en incorporar ejemplos de suplantación de vistas previas a la formación en seguridad de sus equipos.