TAMPERING

¿Qué es?
• Modificación desautorizada a los datos, o al software
instalado, incluyendo borrado de archivos.
• Son particularmente serios cuando el que lo realiza ha
obtenido derechos de Administrador o Supervisor.
• El atacante puede disparar cualquier comando y por ende
alterar o borrar cualquier información que puede incluso
terminar en la baja total del sistema.
• Aún así, si no hubo intenciones de "bajar" el sistema por parte
del atacante; el Administrador posiblemente necesite darlo de
baja por horas o días hasta chequear y tratar de recuperar
aquella información que ha sido alterada o borrada.
• Como siempre, esto puede ser realizado por Insiders o
Outsiders, generalmente con el propósito de fraude o de dejar
fuera de servicio a un competidor.
 Parameter Tampering
Fases
1. El atacante captura una transacción HTTP normal de la
aplicación web. Esta captura puede ser tan sencilla como
disponer de un acceso como usuario de la aplicación web
objetivo o un poco más elaborada como la realización de un
ataque MitM.
 Parameter Tampering
Fases
2. El ciberatacante modifica los parámetros de su interés en la
aplicación web, ya sea en la URL, campos ocultos en
formularios que son enviados como partes de peticiones
POST, etc.
3. Por último, realiza el envío de la petición modificada al
servidor web, esperando lograr sus objetivos.
Ejemplos
• Empleados bancarios (o externos) que crean falsas cuentas
para derivar fondos de otras cuentas, estudiantes que
modifican calificaciones de exámenes, o contribuyentes que
pagan para que se les anule una deuda impositiva.

• Múltiples Web Sites han sido víctimas del cambio en sus

páginas por imágenes (o manifiestos) terroristas o
humorísticos, como el ataque de The Mentor, ya visto, a la
NASA; o la reciente modificación del Web Site del CERT (mayo
de 2001).
Tipos Ejemplificativos y
cotidianos de Ataque
• Bombas Lógicas
• Virus
• Caballo de Troya «Troyanos»
• Gusanos
• Raul, H. ( 2017). ¿Que es un ataque de tipo “Parameter Tampering” y como puede
evitarse?. Agosto 11, 2018, de Blog de WordPress.com. Sitio web:
https://henryraul.wordpress.com/2017/02/26/en-que-consisten-los-ataques-
parameter-tampering-y-como-pueden-evitarse/
• Tinajero, B. & Diego, F. (2016). El tampering o data diddling, una vulneración a la libre
competencia, al mercado y al bienestar económico en general. Facultad de Derecho y
Ciencias Sociales. UDLA. Quito. 177 p.