Hace poco, científicos de la Universidad Técnica de Graz (Austria) publicaron un documento en el que detallan un nuevo método para detectar la actividad de los usuarios a través de un navegador web. Lo fascinante de esta nueva técnica, a la que han llamado FROST, es que el espionaje se realiza utilizando la unidad de estado sólido (SSD) de la computadora. El ataque, sin entrar en minucias técnicas, funciona así: un hacker atrae a una víctima a un sitio web especial; mientras el sitio esté abierto, el atacante puede determinar exactamente qué aplicaciones está iniciando el usuario y qué otras páginas web está visitando.
¿Cómo puede ser esto? La primera reacción, por supuesto, es echarle la culpa al navegador. Pero la cuestión es que, en los navegadores modernos, cada sitio web se ejecuta en un entorno aislado; así, en general, un sitio abierto en una pestaña es incapaz de tocar el que se ha abierto en otra, y mucho menos el hardware de la computadora. De tanto en tanto, es cierto, los hackers encuentran algún hueco en estas defensas, pero ese no es el caso esta vez. El ataque FROST no necesita hacerle nada al navegador: funciona incluso si están activas todas las medidas de seguridad estándar. FROST explota una función del navegador completamente inocente, llamada OPFS (siglas en inglés de “sistema de archivos de origen privado”). A través de esta función, los sitios web obtienen un espacio virtual propio para almacenar información. El espacio está aislado de manera digital, pero los datos se escriben físicamente en el mismo SSD que usa cualquier otra aplicación o sitio web que se abra en la computadora. Los investigadores descubrieron que si una página maliciosa bombardea el SSD con solicitudes de datos, los retrasos microscópicos que se generan al acceder a los datos pueden ayudar a determinar qué más se está ejecutando en el equipo. Ya veremos en detalle cómo se logra esto, pero, primero, demos un vistazo a la teoría del ataque.
Una breve introducción a los ataques de canal lateral
El término “canal lateral” se refiere a un método usado para espiar una computadora, o incluso un solo microchip, de manera indirecta. En lugar de interceptar información en sí, un atacante puede, por ejemplo, analizar fluctuaciones en el consumo de energía, observar la radiación electromagnética o monitorear la temperatura de componentes puntuales. En teoría, esto permite, por ejemplo, usar el mouse de una computadora para escuchar en secreto una conversación que ocurra en una habitación, ya que el sensor óptico del mouse puede captar las vibraciones del sonido. Del mismo modo, un hacker podría robar una clave de cifrado al observar cómo fluctúa la velocidad del reloj de un procesador. Incluso algo tan simple como el LED de un lector de tarjetas puede filtrar información suficiente sobre el funcionamiento interno del lector para que un atacante clone una tarjeta inteligente.
Lo “maravilloso” (para el hacker) de estas fugas de datos indirectas es que no son fáciles de detectar. Los fabricantes de dispositivos rara vez las tienen en cuenta cuando crean un sistema de seguridad. Pero estos métodos tienen, claro, una desventaja obvia: por lo general, extraer información usando un mecanismo que no se diseñó para transmitir datos es complejo, lento y trabajoso. Los investigadores austriacos se centraron en un subtipo de ataque específico llamado “ataque de canal lateral por contienda”. En este tipo de ataque, lo que permite la fuga es que varios procesos que compiten por el mismo recurso. Aquí, el recurso en contienda es el ancho de banda de la unidad de almacenamiento.
El ataque FROST por dentro
En realidad, el estudio de FROST no es el primero sobre este canal lateral. Existe, por ejemplo, una investigación de 2025 sobre mismo el tema. Pero en el estudio más antiguo, el despliegue fue bastante sencillo: en una computadora, los investigadores ejecutaron un programa que actuaba como fuente de datos mientras un segundo programa, abierto en la misma máquina, trataba de interceptar esos datos. Esto es razonable para un estudio académico teórico, pero el modelo de ataque no fue precisamente innovador. Después de todo, si el hacker puede ejecutar cualquier programa, no necesita recurrir a canales laterales complejos: tiene muchas formas directas de robar información.
Aun con esto, el estudio de 2025 no fue una pérdida de tiempo. Demostró que la resolución que se obtiene al monitorear un SSD es bastante alta, que la fuga de datos existe y que la información captada puede ser útil. El ataque FROST es, básicamente, un desarrollo lógico de la misma idea.
El ataque funciona así. Supongamos que hay un archivo bastante grande en un SSD lleno de datos aleatorios. Un proceso específico lee esos datos a intervalos regulares y mide qué tan rápido obtiene una respuesta. La velocidad varía según lo ocupado que esté el disco en otras tareas. Las demoras en el tiempo de acceso revelan la actividad de la unidad. Los investigadores austriacos demostraron que, al graficar esas demoras, podían identificar —con razonable precisión— qué otra tarea se estaba ejecutando simultáneamente en el equipo.
[img name] frost-fingerprinting-attack-delays.png
[AT]Gráficos de demora[/AT]
Patrones de latencia distintivos generados al abrir sitios web puntuales <a href=”https://hannesweissteiner.com/pdfs/frost.pdf “> Fuente </a>
Los investigadores crearon gráficos de latencia, como los que se ven arriba, para una amplia variedad de sitios web y aplicaciones locales. Lo que descubrieron fueron patrones distintivos, o huellas digitales, que se generan cada vez que se cargan un sitio web o una aplicación puntuales. Para captar estas ventanas de carga, que duran una fracción de segundo, el SSD se debe monitorear continuamente durante un largo tiempo. Pero sorteado este aspecto, los patrones resultaron ser notablemente similares en sistemas diferentes: los autores tuvieron éxito con su método tanto en un escritorio Linux como en una Mac Mini de Apple. En este punto, los pasos siguientes son bastante obvios: tome un catálogo de huellas digitales conocidas, mida las demoras de los SSD en el mundo real, haga coincidir huella con medición… y sabrá exactamente qué sitios está visitando y qué aplicaciones está abriendo el usuario. Pero ¿cómo se realiza esta vigilancia en secreto, sin instalar malware en el equipo de la víctima?
Ahí es donde entra en juego una característica relativamente nueva de los navegadores: el sistema de archivos de origen privado (OPFS). Un atacante hipotético no necesita engañar al usuario para que descargue un troyano sospechoso. El atacante solo necesita convencer a la víctima de que visite una página web diseñada especialmente, la cual usará la función OPFS para vigilar en secreto la actividad del SSD. El nombre del ataque, FROST, es un ingenioso juego de palabras en inglés que hace referencia a los componentes del ataque. Aquí está el desglose, de principio a fin, de cómo se desarrolla el ataque:
[img name] frost-fingerprinting-attack-scheme.png
[AT]El modus operandi de FROST[/AT]
Cómo puede usarse el método FROST para espiar lo que ocurre en una computadora <a href=”https://hannesweissteiner.com/pdfs/frost.pdf “> Fuente </a>
Limitaciones del método
Como cualquier ataque de canal lateral, FROST no está pensado para ser un método veloz. Es un proceso lento y metódico. Para medir cuán lento, los investigadores diseñaron un banco de pruebas específico.
[img name] frost-fingerprinting-attack-test.png
[alt-title]La configuración del banco de pruebas de FROST[/alt-title]
Configuración del banco de pruebas para medir la velocidad de extracción de datos a través de OPFS <a href=”https://hannesweissteiner.com/pdfs/frost.pdf “> Fuente </a>
Los investigadores ejecutaron un programa en una computadora para transmitir datos indirectamente. Para hacerse una idea del método, imagine un espía digital que transmite un mensaje en secreto cambiando la forma en que interactúa con el disco duro. Así, por ejemplo, un 1 en un mensaje de código binario podría significar que el programa está usando el SSD, mientras que un 0 significaría que no lo está haciendo. Como contraparte de la transmisión, en un navegador web, los investigadores configuraron un receptor que accedía a la unidad de almacenamiento a través de OPFS. Debido a que tanto el transmisor como el receptor del navegador competían por el ancho de banda del SSD, el navegador sufría pequeñas demoras de acceso cada vez que el transmisor enviaba datos.
En un escritorio Linux con procesador AMD, esta extraña configuración logró transmitir datos a 661 bits por segundo, con casi un 90 % de precisión. En macOS, instalado en la Mac Mini de Apple, la tasa de transferencia alcanzó los 719 bits por segundo y la precisión rozó también el 90 %. Si bien estos números son un poco más bajos que los del estudio de 2025, en el que se usaron aplicaciones instaladas directamente en la computadora, la diferencia no es tan grande.
Dicho todo esto, el ataque FROST es peligroso no tanto porque se lo pueda usar para transmitir datos sin procesar, sino porque permite rastrear lo que hace el usuario. Incluso si un hacker tiene una base de datos de huellas digitales asociadas a aplicaciones y sitios web específicos, la información que se puede filtrar mediante OPFS con un sitio malicioso es demasiado “ruidosa”. Al fin y al cabo, una computadora siempre está leyendo y escribiendo en el SSD en segundo plano. Para quitar el ruido digital, los investigadores recurrieron a una herramienta cada vez más común en los ciberataques modernos: una red neuronal. Si se la entrena con las huellas digitales asociadas a un SSD, una IA puede analizar un embrollo de datos y hallar con precisión la actividad del usuario. Al aplicar esta técnica, se obtienen resultados sorprendentes. En la Mac Mini de Apple, la IA pudo determinar qué sitio web había abierto el usuario el 89 % de las veces y tuvo una precisión del 96 % para determinar qué aplicaciones locales se habían iniciado. Quizás más importante, pudo incluso detectar qué sitios web se habían abierto en un navegador completamente diferente al que tenía cargada la pestaña maliciosa. El sueño del hacker, ¿verdad? Tal vez. Pero, en el mundo real, hay una enorme lista de contras. Todo esto suena como el sueño absoluto del hacker, pero, en el mundo real, viene con una enorme lista de contras.
¿El ataque FROST es, en verdad, un riesgo?
El mero hecho de saber qué aplicaciones se abren o qué sitios web se visitan no le da una gran ventaja a un atacante. Este tipo de datos puede ser útil para un anunciante que busca crear sin permiso el perfil digital de un usuario, pero implementar este método de seguimiento a gran escala no es realista. El principal obstáculo es la manera fundamental en la que las computadoras manejan los datos. El sistema vuelca regularmente los datos a los que más se accede a la memoria RAM. Como el ataque FROST se basa en medir el ancho de banda (relativamente lento) del SSD físico, los datos almacenados en la RAM son, en efecto, invisibles para FROST. Para sortear este obstáculo, la página web malintencionada tendría que obligar a la función OPFS a crear un archivo gigante, de más de un gigabyte. No hace falta decir que un sitio web que acapare tan agresivamente los recursos del disco dispararía todas las alertas. [NEXT placeholder] Con casi toda seguridad, las soluciones EDR o XDR [/placeholder] marcarían la actividad como anómala.
En última instancia, esto significa que el ataque FROST, como la mayoría de los métodos de espionaje por canales laterales, solo es práctico para operaciones altamente específicas. Pero eso nos lleva directamente al punto inicial: saber qué aplicaciones abre alguien o por qué páginas web navega es una recompensa bastante magra por todo el esfuerzo que requiere un truco tan sofisticado.
Aun con esto, en lo que hace a la practicidad en el mundo real, FROST está a años luz de la mayoría de los ataques de canal lateral meramente académicos. No requiere de malware preinstalado y la víctima no tiene que hacer más que abrir una página maliciosa. Cuando menos, esta investigación es un claro recordatorio de lo complejas que son las computadoras modernas y de cuántos puntos ciegos inesperados pueden llevar a una filtración de datos. Al construir sistemas ultraseguros para datos altamente clasificados, es vital considerar las peculiaridades del hardware. Cuando el premio lo vale, un atacante decidido invertirá con gusto el tiempo para construir un ataque complejo hiperespecífico. Investigaciones como esta demuestran que, en el mundo de la ciberseguridad, esa posibilidad es muy real.
[NEXT placeholder]