“El juego del calamar” y nuevas ciberdelincuencias varias
No hay ninguna duda: cuando algo se pone de moda, los ciberdelincuentes tardan cero coma en aprovecharse de ello. El último ejemplo lo tenemos con la serie de Netflix para la televisión surcoreana “El juego del calamar”. Estrenada el 17 de septiembre de este año, en pocos meses se ha convertido en la serie más vista de la plataforma Netflix, con más de 142 millones de espectadores en todo el mundo. Y claro, los ciberdelincuentes ya se han ocupado de ella. Este tema es el primero que os contamos en nuestro artículo de hoy, donde además os hablamos de otros dos informes de compañías de seguridad sobre actuaciones de ciberdelincuentes que se han hecho públicos a finales de octubre.
ESET es una compañía de seguridad informática fundada en 1992 y que tiene su sede en Eslovaquia. Sus expertos alertan sobre un malware tipo Joker que aprovecha el éxito de “El juego del calamar”. Los ciberdelincuentes siempre están a la moda y saben aprovechar cualquier circunstancia para buscar a quien hacer daño. Resulta que el éxito de la serie surcoreana ha llevado a los delincuentes a crear aplicaciones falsas de la serie para infectar los dispositivos Android de los usuarios que se la descarguen. Lo han hecho colocando una aplicación maliciosa en Google Play que se llama igual que la serie.
Además han suplantado el nombre de una empresa especializada en la creación de fondos de pantallas para móviles de series de películas, lo que ha provocado que muchos usuarios hayan creído que se trataba de una App real cuando no era así.
Editado el informe del primer semestre 2021 de HP Wolf Security
El equipo de investigación de amenazas de HP, conocido con el nombre de Wolf Security ha informado sobre un aumento de la capacidad de los ciberdelincuentes para aprovechar las vulnerabilidades de día cero, más conocido con el nombre en inglés de zero day. Se trata de que los ciberdelincuentes conocen antes que los usuarios o los fabricantes de software una posible vulnerabilidad y por lo tanto aun no han sido parcheadas para arreglarla. Este tipo de acciones está considerada como una de las más peligrosas, porque las empresas que las padecen deben reaccionar muy rápidamente, cosa que raramente sucede. Los profesionales de HP aseguran que el tiempo medio para que una empresa pruebe y despliegue completamente los parches con las comprobaciones adecuadas es de 97 días. Podéis leer más sobre las vulnerabilidades de día cero en la Wikipedia.
El informe HP Wolf Security Threat Insights recoge datos de entre julio y septiembre de este año y explica varios ejemplos. Este tipo de vulnerabilidades estaba al alcance de ciberdelincuentes muy cualificados, pero ahora son accesibles a personas con menos recursos y conocimeintos, lo que explica su aumento. El informe también alerta de los ciberdelincuentes que utilizan proveedores de la nube y de las webs para alojar malwares.
Podéis leer el informe AQUÍ.
Panda alerta sobre la autenticación de doble factor
La empresa Panda Security he emitido un comunicado en el que alerta que la autenticación de doble factor ya puede ser evitada por algunos ciberdelincuentes. Aunque la doble autenticación consigue bloquear cerca del 99,9% de los intentos de delinquir, los ciberdelincuentes consiguen interceptar los códigos de un solo uso enviados en un SMS al smartphone del usuario. El atacante consigue así convencer al proveedor de servicios móviles que él es la víctima y solicita que el número de teléfono se cambie a otro dispositivo que él elige.
Esta es la forma más común que ha encontrado Panda, pero hay otros métodos. La empresa de seguridad informática ha emitido un comunicado donde lo explican detalladamente. Se encuentra en el apartado de seguridad de su web y lo podéis leer AQUÍ.
Una vez más insistimos en que no queremos asustar a nadie, pero sí nos gusta que todos seáis conscientes de que las incidencias de ciberseguridad están a la orden del día. Por eso este artículo lo hemos titulado “El juego del calamar” y nuevas ciberdelincuencias varias porque en muy poco tiempo hemos conocido incidencias que pueden afectar a muchas personas y empresas. Que una serie estrenada a mediados de septiembre tenga un malware hecho a medida en octubre indica la profesionalización a la que se ha llegado en la delincuencia cibernética.
Del mismo modo, vemos que la autenticación de doble factor, con la que todos nos sentíamos muy seguros a pesar del engorro de tener que ir de un aparato a otro ya tiene su contraréplica. El refranero es rico y por eso aquí podemos aplicar aquello de “Hecha la ley, hecha la trampa”. Y como explica el informe de HP y parafraseando el refranero, “trampas, haberlas, haylas”.
¿Cuándo os tomaréis verdaderamente en serio la ciberseguridad y pediréis consejo a los profesionales?
Imagen principal: uno de los símbolos icónicos de la serie “El juego del calamar”.
Imagen de Ishwar Artist en Pixabay
- Publicado en Ataques / Incidencias, General, Malos hábitos, Noticias, Seguridad
¿Servicios de Google seguros?
Ya sabéis que Google es todopoderoso y por ello la vieja frase que decía que si no sales en televisión no existes ya se ha cambiado por “si no estás en Google no existes”. Google siendo lo que es, y con los antecedentes de poca transparencia que tiene, busca aumentar la confianza de sus usuarios en cuanto a seguridad y privacidad. Pero esto último puede que tenga algo que ver con las leyes de la Unión Europea, y su obligado cumplimiento.
Así que la pregunta pertinente podría ser “¿Realmente Google nos quiere ayudar con sus servicios o persigue otras cosas más comerciales?”
Veamos algunos ejemplos. En la configuración de tu cuenta de Gmail, dicen que te quieren ayudar con ciertos aspectos. Algunos son interesantes, no podemos negarlo, pero otros también los ofrecen otras empresas, aunque no diremos nombres.
Comparar tus cuentas almacenadas en Chrome, si has iniciado sesión, con fugas de datos de “otras” empresas, como dejan bien claro:
“Algunas de tus contraseñas han quedado expuestas en una quiebra de seguridad de datos que no es de Google.”
Luego indican todo lo que supuestamente hacen para que tu día a día sea más seguro:
Google Chrome
- Bloquear miles de páginas al día con contenido engañoso.
- Proteger 1.500 millones de bandejas de entrada, contra phishing, encriptación de datos entre sus servidores o diversas opciones de autenticación, como 2FA.
- Pagos seguros con Google Pay.
- Las medidas de seguridad de Chrome, para que navegues con toda tranquilidad:
– Navegación segura, zona de pruebas, etc. para protegerte de sitios peligrosos y de software malicioso.
– Actualizaciones de seguridad automáticas.
– Ayuda al crear contraseñas, como ya hacen otros navegadores.
– Modo incógnito, para poder navegar sin que se guarde la actividad en ningún sitio.
Y aparte de todo esto ponen a tu disposición varias herramientas propias, para poder corregir malos hábitos, dar recomendaciones o poner solución a errores, todo ello en MyAccount.
También inciden en el tema de la privacidad, intentando cambiar la sensación que tienen los usuarios de ellos, con frases como la que podéis leer en ESTE enlace o la siguiente:
“Promovemos rigurosas prácticas relacionadas con datos para proteger tu privacidad. Nunca usamos con fines publicitarios el contenido que creas y almacenas en aplicaciones como Drive, Gmail y Fotos.”
Seguro que muchos de vosotros sois conscientes que Google es más que un buscador. Nos intenta satisfacer rápidamente nuestras necesidades con sus servicios y recalca la importancia de nuestra seguridad. Pero, ¿realmente estamos seguros con ellos?
La lista de productos y servicios del gigante tecnológico es muy extensa. Os podemos refrescar la memoria mencionando Google Drive, Gmail, Google Maps, Google Street View, Google Earth, Google Chrome, YouTube, Google Libros, Google Noticias… Pero está claro: su fama viene de un buscador. El simple hecho de vincularlo a este motor de búsqueda seria limitar su cobertura en la web. Pero es innegable que su fuerza sigue siendo enorme. ¿Quién no ha buscado a través de Google? ¿Alguno de vosotros utiliza otros buscadores?
Podéis ver algunas opciones de navegadores alternativos a Google en un artículo de TECNOideas de 2018 AQUÍ.
One World Trust es una fundación creada en 1951 por parlamentarios de varios partidos cuyo objetivo es mejorar la gobernanza global para hacer prosperar los intereses de toda la humanidad. Publica un ranking en el que examina instituciones gubernamentales, empresas nacionales, multinacionales y ONG. Según este ranking, Google es una de las instituciones menos confiables y transparentes, al negarse a colaborar con la Unión Europea en el caso de retención de datos a los consumidores. Además el gran buscador logró un cero a nivel de transparencia. Podéis ver la noticia en The Register, una web británica de noticias de tecnología y opinión. Aunque este ranking tiene ya unos años y algunas cosas han cambiado, creemos que es suficientemente clarificador.
Los internautas que realizan búsquedas a través de este buscador y tengan cuenta en alguno de los servicios (como en Gmail) son “vigilados” de alguna forma, es decir, todas las búsquedas que se realizan y todos los sitios web visitados quedan en una base de datos: siempre que haya ingresado a su cuenta de Google.
¿Servicios de Google seguros? Google es un negocio y todo lo que hace es por una razón, no por el simple amor hacia los usuarios. Todos sabemos esto y no necesitamos aclaraciones. Es algo obvio. Pero conviene recordarlo de vez en cuando para que todos seamos plenamente conscientes de ello cuando usemos sus productos y servicios.
También conviene recordar que hay cosas que podemos desactivar sin más, como os explicábamos en este artículo de noviembre de 2019 de nuestro blog y que podéis volver a leer AQUÍ.
- Publicado en Consultoría, General, Malos hábitos, Privacidad
Vulnerabilidades en el protocolo WiFi y en cámaras de videovigilancia
Un investigador ha descubierto una docena de vulnerabilidades (FragAttacks) que afectan a todos los dispositivos con WiFi, algunas de las cuales están presentes desde 1997.
Y, casualidades de la vida, al mismo tiempo se ha descubierto un fallo en unas cámaras de seguridad que han permitido a unos clientes fisgonear las casas de otros. Ambos casos afectan a empresas, pero también a domicilios particulares.
A veces la realidad es tozuda. Y a veces nos da la razón. Cuando en este blog insistimos en la necesidad de la ciberseguridad a todos los niveles o cuando en nuestras formaciones insistimos en la necesidad de estar siempre alerta y de tener un buen protocolo de ciberseguridad, muchas personas creen que por ser particulares o pymes no van a ser vulnerados. Se equivocan y hoy podemos traer aquí dos ejemplos muy claros al respecto.
Descubiertas vulnerabilidades en el protocolo WiFi existentes desde 1997
Uno de los investigadores en ciberseguridad más reconocidos del mundo, el belga Mathy Vanhoef, ha descubierto una docena de vulnerabilidades que afectan a todos los dispositivos con WiFi, algunas de las cuales están presentes desde 1997. Algunas de ellas son fallos de diseño en el estándar WiFi, por lo que afectan a la mayoría de dispositivos y otros son fallos generalizados de programación.
Las vulnerabilidades detectadas pueden afectar a informaciones sensibles del usuario, como nombres y contraseñas. El problema más grande puede estar en las redes domésticas, ya que los posibles atacantes accederían a dispositivos del internet de las cosas, que no se suelen actualizar.
Podéis leer esta noticia en la sección de tecnología del diario El Mundo AQUÍ.
Mathy Vanhoef es un investigador especialista en ciberseguridad que saltó a la fama en 2017 cuando fue uno de los descubridores del KRACK, una vulnerabilidad que afectaba al protocolo WPA2 de la red WiFi. Precisamente las vulnerabilidades detectadas ahora, llamadas genéricamente FragAttacks tienen su base en las investigaciones realizadas desde entonces. Los amantes de la técnica debéis saber que el propio Vanhoeg ha creado una web específica (fragattacks.com) para explicar estas vulnerabilidades. La podéis ver AQUÍ.
exterior de Eufy
Foto en la web de Eufy Security
¿Videovigilancia o videofisgoneo?
Una empresa que presta servicios de videoviglilancia, Eufy Security, ha tenido que reconocer una brecha de seguridad en la app de la compañía tras una información recogida por 9to5Mac, una de las webs de noticias tecnológicas más importantes del mundo.
La brecha en cuestión permitió que algunos propietarios de cámaras Eufy pudieran ver imágenes recogidas de otros usuarios. En otras palabras, esos usuarios podían ver las casas de otros. Concretamente desde la app de Nueva Zelanda algunos usuarios podían ver imágenes de cámaras de Australia y visualizar también sus detalles de contacto.
La compañía informó que el error sólo afectó al 0,001% de sus usuarios y que se debió a un fallo de software durante la actualización del servidor. La brecha estuvo limitada en el tiempo y duró unas horas. Afectó a usuarios de Estados Unidos, Cuba, México, Brasil, Argentina, Nueva Zelanda y Australia, pero no al continente europeo.
Eufy es una empresa que desarrolla y crea dispositivos y aparatos inteligentes para el hogar que simplifican la experiencia global de hogares inteligentes (por ejemplo, aspiradoras robot). Forma parte de Anker Innovations, una empresa de marcas de electrónica de consumo líder en Estados Unidos.
¿Necesitáis poner cámaras de videovigilancia?
Bueno, vale, admitimos que el título del anterior párrafo no hace justicia a las cámaras Eufy y que la empresa reaccionó a tiempo y pidió disculpas. Pero estas cosas pueden pasar. A cualquiera de las marcas. Este comentario viene a cuento porque a continuación os vamos a hablar de otra empresa que se dedica, entre otras cosas, a la videovigilancia y que justamente ahora acaba de sacar al mercado nuevos productos.
La empresa D-Link ha presentado una renovación completa de su gama de videovigilancia profesional llamada “Vigilance”. Hay varios modelos de cámaras en formato Domo (las que poseen una carcasa semiesférica y compacta) y Bullet (las que tienen forma alargada “en bala” o hacia afuera), aptas para interiores y exteriores.
Foto en la web de D-Link
Entre las novedades más destacadas de estas cámaras se puede citar que proporcionan vigilancia 24/7; pueden ver hasta 30 metros de distancia, incluso en oscuridad o a contraluz; que las cámaras para exteriores son muy resistentes a la intemperie y funcionan con un rango de temperatura que va de los -30°C a los 50°C o que han mejorado ostensiblemente la resolución. En algunos modelos llega a ser de 1080 píxeles.
Además de las cámaras también se ha presentado un nuevo grabador de vídeo de red que puede conectar y alimentar hasta 16 cámaras.
D-Link Corporation es una empresa taiwanesa, un proveedor global cuyo negocio principal son las soluciones de redes y comunicaciones para empresas y particulares. Podéis ver los datos técnicos de la nueva gama en la web de D-Link clicando AQUÍ.
Imagen principal: logotipo de la web FragAttacks.com
- Publicado en Consultoría, General, Malos hábitos, Medios de comunicación, Noticias
¡Atención BYOD! No dejéis que a vuestra empresa le pase lo mismo que a Estados Unidos
Bring Your Own Device (BYOD) es una política empresarial según la cual se permite a los empleados usar sus propios dispositivos personales para trabajar. Esta práctica que está aumentando con la pandemia no está exenta de riesgos. Y es que los ciberataques llegan hasta los rincones más insospechados, como acabamos de ver con el ataque masivo a la Administración de Estados Unidos, con brechas de seguridad en Defensa, Comercio y Energía, aunque haya sido a través del software de gestión de redes de SolarWinds, Orión.
La práctica del BYOD no es nueva, pero con la pandemia se ha vuelto a poner de moda. No se trata sólo de que los trabajadores puedan usar sus dispositivos portátiles personales (ordenadores, smartphones, tabletas) para trabajar, sino que también incluye que los lleven a su empresa para conectarse a la red y a los recursos corporativos.
no está exenta de riesgos
Entre las ventajas del BYOD podemos citar la flexibilidad en el trabajo de cada empleado, el incremento de la productividad, puesto que los trabajadores se encuentran más cómodos usando sus propios dispositivos o que permite a las empresas ahorrar costes en la adquisición de tecnología. Pero ¡atención BYOD!: esta práctica no está exenta de riesgos.
¡Atención BYOD! Vector de entrada: el móvil de empresa
Ha llegado el turno de los inconvenientes de esta práctica. El más destacado, ya lo habréis adivinado, es el riesgo que supone para la seguridad de la red corporativa. Le siguen el no tener protegida la información confidencial de la empresa o que si el smartphone particular de un trabajador está infectado y se conecta a la red de la empresa se puede infectar toda la red. Por no hablar de lo que puede ocurrir si al trabajador en cuestión le roban su móvil.
Trabajar con el smartphone es, en sí mismo, un peligro. Cada vez se utilizan más para trabajar, se comparten con los empleados (¡sí, ya se, tener dos móviles es un rollo!, pero…) y normalmente se usan también fuera de la seguridad que supone el recinto de la empresa y por lo tanto fuera de las políticas de seguridad que ésta ha podido implementar. Además de todo esto hay que tener en cuenta que muchas empresas están faltas de MDM’s (gestión de datos maestros).
Por todo ello, ¡atención BYOD!, estas son algunas de las negligencias más comunes que los expertos de TECNOideas 2.0 han encontrado en las auditorías que hemos realizado:
• Instalación de aplicaciones no recomendadas. Como por ejemplo mensajería, redes sociales, aplicaciones de dating, etc.
• Aplicaciones de descarga 2P2 (Peer to Peer), que permiten al usuario descargarse un software que conecta su ordenador con el resto de personas que estén en la red.
• Patrones o contraseñas de desbloqueo sencillos o sin patrón alguno.
• Falta de cifrado.
• Uso compartido con otros familiares, normalmente las hijas o los hijos.
• Conexiones a redes abiertas o inseguras.
• Conexiones a dispositivos inseguros (bluetooth).
Las principales causas de estos incidentes son Malwares (softwares maliciosos), Ramsonwares (programa de software malicioso), Data Leaks (fuga de información expuesta y publicada) y DLP (Prevención de pérdida de datos).
Si estáis interesados en tener más información sobre este tema, os recomendamos la lectura de una entrevista a Oriol Cremades, Doctor en Derecho que publicó la web Do Better, el hub de contenidos digitales de Esade.
Servicio “SmartAudit” de TECNOideas 2.0
Pero todas estas amenazas, que son reales, tienen una solución: la prevención. El refranero es sabio y en la ciberseguridad se puede aplicar perfectamente el popular refrán que dice “más vale prevenir”. Y es absolutamente cierto.
En TECNOideas 2.0 ofrecemos el servicio “SmartAudit”, con el cual proporcionamos a las empresas un informe detallado de cada uno de los dispositivos, así como las preceptivas recomendaciones de seguridad.
Y por supuesto acompañamos a las empresas en todo el proceso de implantación segura del BYOD.
Somos consultores de seguridad
«La ciberseguridad no es un gasto, es una inversión»
- Publicado en General, Malos hábitos, Noticias, Seguridad
Trámites que tienes que hacer cuando te mudas de oficina
Si vas a hacer la mudanza de tu empresa debes saber que es necesario que lleves a cabo una serie de trámites. En este artículo vamos a enseñarte todos las gestiones que debes hacer para poder trasladar tu empresa de sede sin problemas y el secreto para encontrar las mejores tarifas.
¿Cómo dar de baja la luz cuando te mudas de oficina?
Realizar la mudanza de una empresa es realmente una tarea ardua y encomiable. En primer lugar debemos encontrar un sitio que se ajuste a nuestras necesidades, como la ubicación, el espacio, los servicios, etc. y especialmente adaptarse a nuestro presupuesto. Una vez lo hemos encontrado y hemos conseguido alquilar unas nuevas oficinas o un nuevo local, comienza el verdadero calvario. Organizarse para poder trasladar todo, empaquetando todo el equipo y material, transportando a la empresa sin que por ello dejemos de prestar el servicio que se realiza.
Por ello es muy importante realizar todos los trámites necesarios, especialmente los energéticos, ya que no podremos prestar nuestro servicio a nuestros clientes si no tenemos electricidad. Del mismo modo, es muy importante dejar zanjado el suministro en nuestra anterior sede para no tener que pagar dos suministros de luz al mismo tiempo. Afortunadamente hoy en día es muy simple y fácil dar de baja la luz por internet, ya que se trata de una solicitud rápida que no nos obliga a estar esperando que un operador nos coja la línea.
Por otro lado, en la mayoría de casos tampoco podremos prestar nuestros servicios si no disponemos de un servicio de red para poder atender a nuestros clientes o trabajar en equipo entre los empleados de una misma compañía. Para muchas empresas, especialmente para las compañías tecnológicas, tener servicio de conexión a internet especial para empresas es casi tan importante como tener luz y calefacción, por ello el nuevo local debe contar con conexión y operatividad antes de nuestra llegada. Además la mudanza puede ser una gran oportunidad para comparar ofertas y encontrar cuál es el precio de internet para empresas más económico del mercado.
Para ello solo debemos utilizar un comparador de internet que nos ayudará a encontrar cuáles son las mejores ofertas del mercado a través de un ranking que nos mostrará las tarifas de diferentes operadores, sus velocidades de conexión o prestaciones y el precio de cada oferta.
¿Qué trámites deben hacerse cuando nos mudamos de oficina?
Para trasladar nuestra oficina en primer lugar deberemos trasladar los contratos de energía o cambiar de nombre los de la antigua sede y la nueva. En el caso de que nadie vaya a adquirir nuestras antiguas oficinas deberemos dar de baja la luz y el gas. En la misma senda, si el suministro de luz no está dado de alta en las nuevas oficinas, deberemos activarlo con suficiente antelación a nuestra llegada. Para dar de alta la luz en unas oficinas o en un local es necesario presentar los siguientes documentos a una comercializadora:
- CIF de la empresa.
- Documento Nacional de Identidad del titular del contrato.
- Certificado de Instalación Eléctrica de las oficinas.
- Código Universal del Punto de Suministro.
- Número de cuenta bancaria.
Una vez has presentado los documentos necesarios hay que seleccionar una tarifa y una potencia eléctrica. Recuerda que la potencia eléctrica se paga por cada kilovatio de potencia, por lo que debes contratar la justa y necesaria para poder utilizar tus equipos sin tener que pagar más de lo necesario. Si quieres saber cómo puedes organizar tu mudanza de la forma más efectiva, te invitamos a leer el siguiente artículo para que puedas proseguir con tu actividad de la forma más rápida posible.
- Publicado en General, Hazlo tu mismo, Malos hábitos, Noticias
¿Y por qué no puedo usar mi email corporativo para registrarme en sitos?
Es una pregunta que nos hacen muy, muy, muy, a menudo cuando hacemos una auditoría, una campaña de phising simulada, o una formación.
Un trabajador, que va a su lugar de trabajo, suele estar más delante del ordenador de su puesto, que en el de su casa – lógico – y quiere aprovechar todo ese tiempo, o el descanso de la comida, o el antiguo del cigarro, para cosas personales.
Sobre si es legal o no, que seguro nuestro colaborador Juan Carlos de Tecnogados, nos amplía el tema, nosotros os vamos a explicar porque no es nada recomendable usar el email corporativo para usos personales.
Las filtraciones de redes sociales, marketplaces, sitios de contactos, etc… que suelen ser ( y cada día más) muy numerosas, suelen saltar a la luz primero en en la Dark Web, y sobre todo intentando aprovechar estos datos, para entrar directamente en una empresa.
¿Que pueden hacer en una empresa con el acceso al correo electrónico? Pues primero información, administrativa, contratos, facturas, cualquier tema económico, que sabiendo que un día no vas a estar, pueden pedir una rectificación, y que la transferencia o el modo de pago destino, no sea el habitual.
Luego, si la empresa es mediana o grande, recuperar las credenciales de red, suelen ir implícitas al correo electrónico, por lo que ya obtendrían acceso a la red corporativa fácilmente.
Desde ahí, intentar llegar otro sistema, de más alto nivel, un servidor por ejemplo, con aumento de credenciales, pivoting, etc…. y llegar a datos sensibles, o credenciales más altas, para llegar a datos más sensibles.
Y datos e información (insistimos porque son los activos de la empresa), saber cuando alguien está fuera para ataques sociales (el del CEO por ejemplo) o vender esta información a la competencia, si se trata de proyectos de desarrollo.
Y nos podríamos pasar el día dando ejemplos, de porque es tan peligroso el email corporativo: por las filtraciones de estos, y porque cuando sepamos que hemos sido vulnerados, será tarde.
- Publicado en Consultoría, Formación, Malos hábitos, Protección de datos
Éxito y caída de Zoom
A veces, en este sector, te conviertes un poco en profeta, porque no te fías de ciertos productos y con hechos y pruebas avisas a tus clientes, y al final, el tiempo acaba por darte la razón.
No es que seamos adivinos, pero sí persistentes, y la experiencia ayuda, así que cuando empezamos a ver “cosas raras” investigamos.
Este es el caso de Zoom, un sistema de videoconferencia y de reuniones virtuales que desde el confinamiento forzoso por el Covid-19, ha sido protagonista y lo empezó a usar mucha gente. Pero esos pequeños detalles, que por cantidad de uso molestaban solamente a unos pocos, empezaron a ser detectados por los usuarios y así llegaron a molestar a muchísimas personas.
Repasamos brevemente la polémica sobre este sistema que nació con la idea de facilitar la interconexión en el mundo de las videoreuniones empresariales.
• Fallo de diseño: para facilitar la conexión, sólo con un enlace y unas pruebas aleatorias, personas ajenas a la videoconferencia podían entrar sin ningún permiso concreto. ¿Y qué hicieron? De todo: insultar, incordiar, molestar, transmitir imágenes, etc… Por supuesto, todo esto tiene un nombre: ZOOMBOMBING.
Aunque los desarrolladores dijeron que muchos usuarios publican los enlaces para que la gente los clique y puedan verlos (estudiantes cuando están con sus profesores, por ejemplo), la verdad es que hay hasta scripts (lenguaje de programación) para buscar videollamadas activas de Zoom, como por ejemplo ESTE.
• Otro fallo de diseño: por muy segura que dijeran que fuese la aplicación, (que luego se demostró que no era así), ésta no disponía de cifrado de extremo a extremo, siendo por ello muy vulnerable.
• Julio de 2019: se hizo pública una vulnerabilidad para Apple, por la que el programa exponía a todo Internet a una conexión de un puerto con la cámara del ordenador directamente. Zoom no corrigió esta vulnerabilidad y tuvo que ser Apple la que parcheara el problema.
• 27 de Marzo de 2019: se hizo público lo que algunos expertos sospechábamos: que Zoom enviaba datos a Facebook de las videoconferencias que se realizaban con este sistema. Y por supuesto, sin indicarlo en sus políticas de privacidad. Se habían realizado pruebas de conversaciones concretas, y luego se recibía publicidad en esta red social. Privacidad cero.
• 31 de marzo de 2020: se prueba que al hacer la instalación en un Mac, los privilegios de este programa, pasan a ser del Administrador del sistema. Hay que tener mucho cuidado con lo que puede llegar a hacer un Administrador con este rol.
• 1 de abril de 2020: se exponen hashes y ficheros en las invitaciones de Windows, y un usuario experto puede descifrar las contraseñas en menos de un minuto.
• 2 de abril de 2020: el periódico The New York Times publica una investigación sobre Zoom, donde explica que la aplicación cuenta con un apartado de minería de datos, que relaciona los nombres de usuarios de Zoom, con los correos de Linkedin (sin permiso), y aparece la información en un icono al lado de cada usuario en una videollamada.
• 3 de abril de 2020: se filtran listados de miles de llamadas grabadas, por Zoombombing, y publicadas en Internet. Privacidad cero parte 2.
• 6 de abril de 2020: Incibe publica un aviso sobre la vulnerabilidad descubierta en Windows. El instituto indica que, además de contraseñas expuestas, alguien externo puede ejecutar un código remotamente, como Ransomware o Malware. Podéis ver el aviso del Incibe AQUÍ.
• 10 de abril de 2020: se publica el parche para las diferentes versiones de Zoom, por lo que se recomienda descargar o actualizar a la última versión del programa, ya sea en PC o en dispositivos móviles.
Morir de éxito o pegarse un tiro en el pie, hay opiniones para todos los gustos. A todos estos fallos hay que sumar que se registraron alrededor de 1.700 dominios relacionados con Zoom, su nombre y variantes, y que la compañía anuncio el día 3 de abril que durante los siguientes 90 días solo trabajaría en arreglar todos estos problemas y no sacaría nuevas funcionalidades.
Zoom fue creado en Estados Unidos en 2011 por Eric Yuan, un matemático e ingeniero programador chino que estuvo en el equipo original de WebEx antes de que lo comprara Cisco, empresa en la que llegó a ser vicepresidente corporativo de ingeniería. Yuan abandonó finalmente Cisco para crear Zoom.
Desde su fundación, en 2011, Zoom tenía una pequeña cuota de mercado, pero en 2019 tuvieron un aumento significativo, con la salida a bolsa, duplicando su precio objetivo. Y con el confinamiento, triplicaron su valor, llegando hasta los 150 dólares.
El atractivo de esta aplicación era dar más que los demás, porque, de no ser así, la cuota hubiera seguido siendo la misma. La pregunta del millón podría ser: pero en todos estos años, ¿cómo ha aguantado sin tantos usuarios Premium? Y la respuesta, probablemente, es que se llevaba un buen pellizco de Facebook.
Si sois de los que pensáis que…
• la privacidad tampoco vale tanto, y que suplantar vuestra identidad no vale para nada…
• que da lo mismo que vuestras conversaciones sean grabadas sin permiso y luego os envíen publicidad a medida en Facebook…
• que todo lo demás que nombramos en este artículo, os tiene sin cuidado…
… sin duda Zoom es vuestra aplicación.
Pero si ya estáis concienciados…
• y necesitáis una solución de videoconferencia, porque aunque pronto salgamos del confinamiento…
• ya tenéis claro lo provechoso y productivo que resulta reunirse virtualmente, (ahorro de tiempo, de desplazamientos, de dinero)…
• y que la tecnología permite muy buenas alternativas...
… pensad que TECNOideas siempre está al día de todos los problemas de seguridad y de las soluciones comerciales. Por ello puede recomendar en todo momento y personalizadamente las necesidades de cada uno de sus clientes, sean gran empresa, PYME, consultorios médicos, despachos profesionales, etc.
TECNOideas realiza auditorias de sistemas informáticos e industriales, para detectar vulnerabilidades que expongan sus datos, y poder evitarlas.
Además TECNOideas tiene un importante apartado de formación, donde profesionales de tecnologías de la información realizan cursos a distancia y en las empresas, para que sus trabajadores o sus cargos intermedios y directivos tengan una cultura de la ciberseguridad que minimice los riesgos.
- Publicado en Consultoría, Formación, Malos hábitos, Noticias, Privacidad, Seguridad
Revelación responsable, en inglés ‘Responsible disclosure’
Alguna vez nos ha preguntado algún amigo, cliente, o colaborador que hacemos si en nuestras pruebas de Pentesting diarias, descubrimos algún fallo de un tercero, que nos para quien trabajamos en ese momento.
Como no, hay una expresión para este tema, que es la que da el título a este post Revelación responsable, o en inglés ‘Responsible disclosure’.
Ya dice mucho de por si. Nosotros si descubrimos algún fallo, nos ponemos en contacto con quien lo sufre, y le damos toda la información posible.
¿Suele funcionar? Sencillamente no. A veces insistimos, alguna vez tenemos respuesta y nos derivan a otra persona, y luego a otra, como si el problema fuera nuestro.
Si es una empresa privada, son ellos los que tienen el problema, y no insistimos más. Si es una empresa pública, ya que somos todos y la dejadez la pagamos todos, pues lo denunciamos públicamente esperando que haya una causa-efecto.
Aún así, no suele haber mucho feedback, y es que aún pasan pocas desgracias, como por poner solo dos ejemplos, en Baltimore o New Orleans.
Podéis leer un artículo en Wikipedia AQUÍ sobre este tema, y como no, la controversia que genera.
- Publicado en Consultoría, Malos hábitos, Noticias
La adicción a los videojuegos ya es una enfermedad oficial OMS.
El año pasado la OMS registró una petición para incluir oficialmente la adicción a los videojuegos como un trastorno, en la clasificación internacional de Enfermedades.
Para ser considerado una adicto como enfermo, deben considerarse varios puntos, como que debe afectar dramáticamente a la vida personal y laboral durante al menos 12 meses.
Aunque hasta el 2022 no saldrá una guía oficial de medidas de prevención y tratamiento, ya se ira teniendo en cuenta legalmente, así como por las aseguradoras, ya que se fijan en esta lista de la OMS como guía de enfermedades.
- Publicado en Malos hábitos
¿Son las wifis públicas seguras?
El conectarse a una red wifi pública nos expone a ciertos peligros, ya sea porque si no está cifrada exponemos nuestros datos tal cual al mundo digital, o porque hay desalmados que aprovechan las fragilidades de estas redes para robarnos datos.
Por eso deberíamos tener ciertas precauciones al conectarnos a una de estas redes:
– Mejor si son con codificación Wpa o Wpa2. Libres o Wep deberíamos desistir, aunque la necesidad nos hace saltarnos este paso muchas veces.
– Tener antivirus, antimalware y/o firewall actualizado al día y activo. Suena redundante, pero a veces con un equipo móvil no prestamos atención a estos puntos.
– Desactivar el sincronizado automático de aplicaciones, bluetooth y compartir archivos por red.
– No iniciar sesión en aplicaciones web que no incluyan el protocolo https.
– No guardar estar red pública, y borrarla al dejar de usarla, para que no se conecte automáticamente de nuevo, sin que prestemos atención a todos estos puntos anteriores.
– También sentido común e interacción humana , como preguntar a algún empleado del local donde vayamos a conectarnos, si la red a la que te vas a conectar, realmente es la suya.
¿Porqué todo esto? ¿Que técnicas se usan para robarnos datos mientras estamos conectados?
– Man in the middle, una técnica para leer datos transmitidos sin cifrar.
– Snniffers, son programas que ejecutados desde otra máquina que no es la nuetra rastrean todo el tráfico de una red.
– Distribución de malware, para por ejemplo controlar remotamente ordenador y agregarnos a una red zombi.
– Redes falsas con suplantación de nombre. Tal cual, pueden diferir en uno o dos caracteres de la red original para hacernos creer que es la buena.
Para mejorar aún más nuestra seguridad podemos usar una VPN. Es una red que crea un túnel a través de internet, cifrando todos nuestros datos, a través de un servidor seguro. Las mejores, de pago, claro está, aunque también hay gratuitas. Nosotros recomendamos, por seguridad y privacidad (nunca hay registros de lo que hacemos ni se quedan ningún dato para vender, perder o rastrearnos), Proton VPN.
En otro artículo hablaremos del nuevo protocolo wifi 802.11ax, que implantará el soporte de la nueva codificación Wpa3, con un gran avance en la seguridad.
- Publicado en Consultoría, Malos hábitos, Seguridad
Español 
Català