El WiFi hace posible ver a través de las paredes
Con el paso del tiempo, vamos desbloqueando mitos que creíamos imposibles. Desde poder vernos y hablar con alguien que está en la otra punta del mundo, hasta conseguir que un crucero de 200 toneladas se mantenga a flote sin ningún tipo de impedimento. ¿Pero, esperabas poder ver a través de las paredes algún día, como si de rayos X se tratara?
En 2018, Facebook ensayaba un sistema que permitía ubicar en tiempo real a un objeto en movimiento. Así mismo, avisaban de que un sistema de Inteligencia Artificial llamado Dense Pose, iba un paso por delante, ya que no solo ubicaba los objetos en movimiento, sino que también los identificaba con exactitud.
Hoy día, a principios de 2023, os corroboramos que, gracias a unas investigaciones de la Universidad Carnegie Mellon, de Pittsburgh, se espera que pronto estemos vigilados incluso a través de las paredes. Esto gracias, en parte, a las señales WiFi.
Pero… ¿De qué se trata este sistema realmente? Dense Pose se basa en Inteligencia Artificial. Los sistemas de procesamiento de imágenes de Facebook permiten detectar la posición en tiempo real de un objeto en movimiento. Pero, cuando crearon Dense Pose, vieron que iba un paso más allá, al detectar a varios objetos en movimiento. Entre otras cosas, es capaz de mapear lo que viene siendo la superficie del cuerpo humano (ya sea a través de un video o de una foto 2D). A raíz de ahí, crearon una red neuronal que, junto a los sistemas programados anteriormente. De esta manera consiguieron que fuera capaz de mapear la fase y amplitud de las señales WiFi, tanto entrantes como salientes, en el cuerpo humano.
Una vez programado y en funcionamiento. ¿Cuál sería el siguiente paso para hacer funcionar lo que supuestamente, podría llegar a atentar contra la privacidad de las personas?
Fácil, instalaron un sensor ubicado en una habitación cuya finalidad era detectar cuerpos, ya sea en la oscuridad o incluso detrás de otros objetos. El “algoritmo” terminó prediciendo las poses estrictamente en función de las señales WiFi.
Aunque suene algo contradictorio, Dense Pose asegura que su tecnología es amigable con la privacidad, dado que no es capaz de detectar características de identificación personal: protege la privacidad de las personas. Como la mayoría de los hogares en los países desarrollados ya tienen WiFi, los investigadores creen que esta tecnología puede escalarse para monitorear el bienestar de las personas mayores o simplemente identificar comportamientos sospechosos en el hogar.
¿Creéis que pueden estar en lo cierto? No obstante, no tienen en cuenta un matiz muy importante: una cosa es para lo que está diseñado un producto, servicio o sistema y otra muy diferente para la inmensa cantidad de cosas que se puede terminar utilizando. Si esta tecnología termina en manos equivocadas, podrían utilizarse para espiar y estudiar las actividades de sus posibles víctimas con mayor facilidad. ¡Ni siquiera tendrían que entrar ni hacerse notar… simplemente lo harían con una serie de cámaras externas!
Anteriormente ya nos habíamos interesado en comentaros varios temas sobre WiFi, es recomendamos leeros: Vulnerabilidades en el protocolo WiFi y en cámaras de videovigilancia.
Imagen principal: Web de Dense Pose
- Published in Ataques / Incidencias, General, Inteligencia Artificial, Noticias, Seguridad
Primeros malos usos de ChatGPT
Dos meses han tardado los ciberdelincuentes en usar ChatGPT para crear campañas de malware. La herramienta de Inteligencia Artificial de moda, ChatGPT, que fue presentada en noviembre del año pasado, ya ha sido usado para recopilar archivos de Office, PDF o imágenes.
ChatGPT es una nueva herramienta de Inteligencia Artificial que ha sido desarrollada por la compañía OpenAI. Esta empresa, especializada en investigación de IA y que dice que no tiene ánimo de lucro, desarrolló la herramienta y la ofrece gratuitamente a toda persona que tenga una cuenta con ellos.
Se está hablando mucho de ChatGPT, porque puede entablar una conversación en texto, ya que tiene una importante capacidad de generar y enlazar ideas. Además recuerda las conversaciones previas, por lo que va “aprendiendo” a medida que se utiliza.
El hecho de que cualquier persona puede hacer uso (bueno o malo) de esta herramienta es precisamente lo que ha hecho saltar las alarmas de diferentes compañías de seguridad. Por ejemplo la empresa Check Point.
Desde principios de diciembre, investigadores de esta empresa hicieron una serie de estudios y seguimientos. En ellos encontraron indicios de usos maliciosos a través ChatGPT. Además y en paralelo, apareció un hilo sobre el tema en un foro clandestino de piratería. En el se hablaba de las opciones que ofrecía para insertar campañas de malware. Para ello se había utilizado un software malicioso basado en Python para buscar archivos, copiarlos en una carpeta, comprimirlos y subirlos a un servidor FTP codificado. Posteriormente se ha comprobado que, efectivamente, es capaz de crear un malware que recopila archivos de Microsoft Office, PDF o imágenes del sistema.
No solo eso, en caso de encontrar un archivo que le interese y se lo quiera guardar, lo podrá hacer sin ningún tipo de problema. Simplemente tendrá que comprimirlo y compartirlo a través de la web. ¿Lo peor? Que todo eso se haría sin añadir cifrado, por lo tanto, estos archivos podrán terminar en manos de terceros por el hecho de no utilizar ese tipo de sistema de seguridad.
Esa no fue la única evidencia de mal uso del ChatGPT. También han podido crear scripts (secuencia de comandos que se usa para manipular las instalaciones de un sistema existente) con la herramienta. La misma empresa terminó concretando que se trataba de un script con diferentes finalidades como encriptado y cifrado, aunque también tiene una utilidad maliciosa.
Si queréis saber más sobre esta herramienta, podéis obtener más información AQUÍ.
Ya en este blog os hemos hablado de algunas de las opciones que han generado cierta controversia sobre la Inteligencia Artificial. Os recordamos el caso de los autógrafos de Bob Dylan en el artículo “La “estafa” de las dedicatorias
Anteriormente ya nos habíamos interesado por todo lo relacionado con la Inteligencia Artificial, a raíz del proyecto MarIA en el artículo ¿Ya podemos decir que la IA es más presente que futuro?
Imagen principal de: Alexandra_Koch en Pixabay
- Published in Ataques / Incidencias, General, Inteligencia Artificial, Noticias, Productos, Seguridad
Brecha en el gestor de contraseñas LastPass
No dejamos de insistir en la conveniencia de trabajar con un gestor de contraseñas. Prácticamente son la única opción de tener el acceso a nuestras fuentes con seguridad. Y también son la única opción contra nuestra desmemoria y sencillez en el momento de escoger contraseñas. Todo lo que no sea trabajar con ellos es aumentar las posibilidades de que sean los ciberdelincuentes los que trabajen… ¡contra nosotros!
También decimos que la seguridad al 100% nunca existe. Por eso queremos hablaros hoy de LastPass, un buen gestor de contraseñas multilingüe que desarrolló la empresa Marvasol Inc. en 2008. Pero este gestor ha estado en boca de muchos en el último trimestre de 2022. Algunos de nuestros clientes nos han preguntado acerca de un incidente de seguridad que LastPass tuvo en agosto. La compañía lo anunció oportunamente, diciendo que “alguien” accedió a su entorno protegido de desarrollo, pero no afectaba a los datos y credenciales guardados por los usuarios de la plataforma.
Contraseñas bien protegidas
LastPass funciona a través de una contraseña maestra, se encripta a nivel local y se sincronizan con los navegadores que lo aceptan, que son prácticamente todos. Además posee un complementador automático de formularios web, que utiliza para la autenticación, generar nuevas altas en sitios web y la contraseña automática.
A todo ello añade una política de empresa de total transparencia. Esa transparencia es lo que motivó que el pasado 22 de diciembre, el CEO de la empresa, Karim Toubba, firmara un comunicado explicando con detalle el resultado de la investigación que abrieron sobre el suceso.
En él reconocen que se robaron códigos fuente e información técnica y que copiaron información de la copia de seguridad. Esta copia tenía datos básicos de las cuentas de los clientes, nombres de empresas y de usuarios finales, direcciones de facturación y de correo electrónico, números de teléfono y las direcciones IP con las que los clientes accedían al servicio de LastPass.
El comunicado explica que no existen evidencias de acceso a datos de ninguna tarjeta de crédito sin cifrar. Eso se debe a que LastPass no almacena números completos de las tarjetas de crédito y no se almacenan en la nube.
En un nuevo apartado titulado ¿Qué deben hacer los clientes de LastPass? Karim Toubba explica algunas ventajas de LastPass. Se exige un mínimo de 12 caracteres para las contraseñas maestras, que usan una implementación más segura de lo normal y otras recomendaciones generales. Todo ello lo podéis leer en ESTE COMUNICADO que se encuentra en la web de la empresa.
¿Qué enseñanza podemos sacar de todo ello?
Lo primero es lo ya sabido: no existe la seguridad al 100%. Pero sí buenas barreras, alternativas y soluciones. Además una empresa seria, como es el caso, ha explicado detenidamente el resultado de su investigación, lo que da credibilidad y seriedad a la empresa. Creemos que la brecha en el gestor de contraseñas LastPass y todo lo que explica su CEO deja bien a las claras que sus barreras han funcionado y difícilmente los delincuentes han podido acceder a los datos finales de sus clientes.
Lo segundo es insistir en que los gestores de contraseñas son seguros y fáciles de usar. O por lo menos son lo más seguro que existe para gestionar al acceso a nuestras fuentes habituales.
Y lo tercero es que nos hagáis un poco más de caso. Nosotros hemos escrito algunos artículos relacionados con las contraseñas. Por ejemplo, con ocasión del Día Mundial de la Contraseña (5 de mayo) publicamos ESTE POST en el que, además, sugeríamos algunos gestores de contraseñas que hemos probado en TECNOideas. Entre ellos estaba LastPass, que seguimos recomendando.
En octubre también os hablamos del futuro de las contraseñas, que, sin duda serán los datos biométricos y las claves criptográficas, lo que se llama genéricamente passkeys. Lo podéis leer AQUÍ.
Todo el mundo puede tener un problema de seguridad. Lo que diferencia a unos de otros es la forma de tratar el problema, la rapidez en la respuesta y las garantías que se ofrecen a los usuarios, proveedores, clientes, etc.
Una buena forma de demostrar esta eficiencia es tener las certificaciones de la seguridad de la información, como la ISO 27001 o el Esquema Nacional de Seguridad (ENS).
Imagen principal: Mohamed Hassan en Pixabay
- Published in Ataques / Incidencias, General, Noticias, Productos, Seguridad
¿Ya conocéis el alcance del ENS para entidades locales?
Si sois una entidad local o una empresa que trabaja con ella debéis conocer el “Prontuario de ciberseguridad para Entidades Locales” relacionada con el Esquema Nacional de Seguridad (ENS), que se acaba de actualizar.
Os hemos hablado en varias ocasiones del Esquema Nacional de Seguridad (ENS), una certificación muy necesaria para toda empresa que trabaje con la Administración. Posiblemente las entidades locales son las que tienen más empresas realizando algún tipo de servicio o de suministro para ellas. Por eso es de vital importancia conocer el prontuario de ciberseguridad que acaba de actualizar el Centro Criptológico Nacional junto a la Federación Española de Municipios y Provincias (FEMP).
Este documento tiene dos propósitos claramente definidos. Por un lado se quiere mostrar a las entidades locales (EE.LL.) y a todo su personal responsable, la realidad de las amenazas y riesgos actuales en todos los temas relacionados con el ciberespacio y la digitalización.
Por otro lado señala con claridad las garantías que ofrece el Esquema Nacional de Seguridad a las EE.LL. Debemos recordar que las EE.LL., al igual que otras Administraciones, tienen la obligación de certificarse con el ENS, ya que es la única manera de garantizar la seguridad de la información tratada, así como los servicios prestados.
Según la RAE, un prontuario es, en su primera acepción, un “resumen o breve anotación de varias cosas a fin de tenerlas presentes cuando se necesiten”. Y eso es exactamente este prontuario, que tiene 39 páginas, siete capítulos y un anexo consistente en una tabla de Funciones y Responsabilidades, tanto de los cargos electos como de los funcionarios.
A los operadores del sector privado que presten servicios o provean soluciones
a las entidades locales, se les exigirá el cumplimiento del Esquema Nacional de Seguridad.
Para ello deberán exhibir la DECLARACIÓN DE CONFORMIDAD
con el ENS, cuando se trate de sistemas de categoría BÁSICA, o la
CERTIFICACIÓN DE CONFORMIDAD cuando se trate de categorías MEDIA o ALTA.
Los principales capítulos son:
- Objeto del documento. Se explica el doble propósito que hemos mencionado en el párrafo anterior.
- La problemática de la ciberseguridad local. Se explica que la reducción presupuestaria de las EE.LL. y se demanda a los responsables locales encontrar formas innovadoras de garantizar la sostenibilidad de sus servicios. Se destaca también que “la ciberseguridad es vital para garantizar que los ciudadanos confíen en los Ayuntamientos cuando les remitan sus datos.”
Finalmente se añade una lista con las principales amenazas, con una breve descripción de cada una de ellas. - El cumplimiento del Esquema Nacional de Seguridad en las EE.LL. En este capítulo se recuerda que el objeto del ENS es determinar la política de seguridad que se ha de aplicar en la utilización de los medios electrónicos por parte de las entidades del sector público.
- Los responsables públicos y la ciberseguridad. Es el capítulo más extenso. Se determinan las funciones y responsabilidades de todos los integrantes de las corporaciones locales.
- La prestación de servicios externos. Este capítulo es muy importante para las empresas del sector privado que presten servicios o provean soluciones a las entidades locales.
Tenéis más información sobre este tema en la Guía de Seguridad CCN-STIC 830 y también
en la Guía de Seguridad CCN-STIC IC-01/19.
Podéis acceder al documento “Prontuario de ciberseguridad para EE.LL.” AQUÍ.
TECNOideas cuenta entre sus servicios la posibilidad de que las empresas y entes locales
puedan certificarse en el Esquema Nacional de Seguridad.
Para ello contamos con experto personal técnico y jurídico. En 2022 ya hemos acompañado a diversas entidades locales en su proceso de certificación del ENS.
Además, ofrecemos la opción de la doble certificación
en sistemas de seguridad de la información: ENS + ISO 27001.
Imagen principal: Imagen Oberholster Venita en Pixabay
- Published in Certificaciones, General, Normativa, Noticias, Seguridad
¿El móvil gana por goleada al ordenador?
Debemos ser conscientes que si los delincuentes son capaces de entrar en nuestros ordenadores, lo tienen todavía más fácil si nos conectamos a través de un smartphone y especialmente si lo hacemos a través de una wifi pública. O sea que esa bonita manía de conectarse en cualquier bar, restaurante o punto público para no gastar nuestros datos no es una buena idea.
Ya son más del 50% los españoles que se conectan a internet a través de su dispositivo móvil. Además lo hacen, al menos, una vez cada hora. Estos datos se han obtenido a través del estudio Hábitos de consumo mobile 2022 que ha realizado Showroomprive, una empresa francesa de comercio electrrónico. Los datos más significativos son los siguientes:
- El 52,4% de españoles se conecta a internet a través de su smartphone al menos una vez cada hora.
- El 19,4% se conecta con una frecuencia de entre 10 y 15 minutos.
- El 18,1% utiliza internet en su móvil cada media hora.
- Un 31,3% interacciona con el terminal solamente cuando tiene un mensaje o una llamada.
- Los 5 motivos de ser adictos al móvil son:
– Uso de las redes sociales (50,2%). Principalmente WhatsApp, Instagram, TikTok o YouTube.
– Hablar por teléfono (19,7%)
– Escuchar música y jugar a videojuegos (14,6%)
– Ver series o vídeos (12,9%)
– Hacer compras (2,3%) - También es importante el uso de los smartphones para interaccionar con apps, la mayoría de las cuales facilitan de forma directa o indirectamente la navegación por internet.
De estos resultados podemos deducir que seguimos sin ser conscientes del peligro que puede suponer conectarse a internet a través del móvil, usar las redes sociales o “bajarse” apps a través de él. ¡Tenéis que leer más nuestros artículos o contactarnos ya mismo! Os contaremos unas cuantas cosas muy interesantes y ayudaremos a vuestra empresa y a sus trabajadores a que sean más ciberseguras.
Sexting y apps espía entre la ciberviolencia más común
Entendemos pos sexting el envío a través del smartphone fotografías o vídeos con contenido sexual. No implica obligatoriamente un problema de seguridad, pero sí es un riesgo evidente, que en los casos de menores de edad se multiplica exponencialmente. Por eso la web Internet Segura for Kids (IS4K) le dedica este artículo. Esta web depende de la Secretaría de Estado de Digitalización e Inteligencia Artificial, y ejecuta sus servicios a través del INCIBE. Es el Centro de Seguridad en Internet para menores de edad en España.
El sexting se encuentra entre los ocho tipos de ciberviolencia más comunes según la empresa especializada en ciberseguridad S2 Grupo. Y es que la violencia digital ya se ha convertido en uno de los grandes problemas de la red y afecta especialmente a personas vulnerables, como los niños o las mujeres que sufren violencia de género. Dentro de este grupo de violencia digital, la ciberextorsión por sexting es de las más comunes.
La misma empresa indica otro tipo de violencia digital que se encuentra entre los más difundidos: la instalación de programas o apps espía. Con ellos se puede tener controlada a la víctima y saber en todo momento dónde se encuentra, escuchar sus conversaciones o incluso ver sus redes sociales.
La buena noticia es que las empresas de ciberseguridad pueden localizar y eliminar estos programas y apps. Pero a veces no es fácil y puede resultar costoso. Por ello es imprescindible que no se deje manipular a nadie los dispositivos personales y apagarlos cuando queden al alcance de otras personas, como por ejemplo cuando nos acostamos por la noche.
TikTok como entrada de malware
Hablando de la problemática de las redes sociales, os queremos explicar un caso muy reciente sobre TikTok. Resulta que esta red social creó un desafío llamado “Reto invisible”. Consistía en que los usuarios se grababan desnudos mientras bailaban y se aplicaba un filtro que hacía desaparecer su cuerpo, que aparecía como un borrón. Aunque pueda parecer increíble, el reto tuvo mucho éxito y claro, los ciberdelincuentes no desaprovecharon la ocasión para engañar a los usuarios y mandar un malware para conseguir robar contraseñas.
¿Cómo lo hicieron? Jugando con el morbo de la gente. Crearon vídeos que decían ofrecer un filtro que eliminaba el filtro inicial y así, teóricamente, se veía el cuerpo original desnudo. La gente picó y de esta forma los delincuentes instalaron en sus dispositivos un malware diseñado para robar contraseñas.
Tenéis más información sobre este tema en la web Derechodelared.com que podéis ver AQUÍ.
- Published in Ataques / Incidencias, General, Malos hábitos, Mobile, Noticias, Redes sociales
La “estafa” de las dedicatorias
Nos gusta tanto que nuestros artistas preferidos nos dediquen sus obras que podemos estar horas haciendo cola para conseguirlo. Pero la tecnología permite autografiar de manera automática. ¿Es el fin del encanto de que nuestros ídolos nos personalicen un libro, un disco o cualquier otra obra? ¿Estamos delante de una nueva estafa?
El inefable Bob Dylan, una de las personalidades más influyentes de las últimas décadas, ha sido el responsable de destapar una presunta estafa relacionada con dedicatorias.
El cantautor, que también fue Premio Nobel de Literatura en 2016 con polémica por la designación de un cantante para ese premio, vuelve a estar en el ojo del huracán tras la publicación de su nueva obra literaria, The Philosophy of Modern Song.
El problema ha sido que, con el lanzamiento, se ha puesto a la venta una edición limitada de 900 unidades al precio de 599 dólares (unos 578 euros). El precio tan alto se justificaba por el hecho de ir firmados por el propio autor. Pero al compartir en redes sociales esas supuestas firmas únicas, se ha visto que todas eran iguales. Y es que los ejemplares no han sido firmados de puño y letra por el autor, sino por un bolígrafo automático llamado autopen. Probablemente no ha sido solo Bob Dylan el responsable final de esta acción, sino que su editorial, Simon & Schuster, también ha tenido mucho que ver. Sin embargo sí ha tenido que ser Dylan el que ha pedido disculpas y lamentar “profundamente” lo que ha sucedido, argumentando, además, que ha sido algo ocasional motivado por las complicaciones derivadas de la pandemia.
El lío ha sido considerable en Estados Unidos, ya que algunos compradores han hablado de estafa. Según la RAE, estafa es “Delito consistente en provocar un perjuicio patrimonial a alguien mediante engaño y con ánimo de lucro”. Esta definición es compatible con lo ocurrido, por lo que ya se habla de la “estafa” de las dedicatorias.
La editorial ha tenido que reembolsar el dinero de su compra y ha anunciado que trabaja con el autor para que pueda firmar de su puño y letra los ejemplares.
¿Qué es el autopen?
Lo curioso del caso es que el autopen no es nada nuevo. No es la primera vez que se ha usado para hacer dedicatorias masivas. En Estados Unidos ya se había utilizado en firmas de Ronald Reagan o Barak Obama. Pero esta vez se ha usado para “solo” 900 libros de una edición especial y no tan masivamente como en el caso de los presidentes estadounidenses. De hecho, su uso está bastante extendido. Tanto es así que existen varias marcas que fabrican el autopen. Ya en enero de 2018, la European Agency of Digital Trust (EAD Trust) publicó un pequeño artículo sobre autopen que podéis leer AQUÍ. La EAD es un prestador de servicios de certificación, con sede en Madrid. Presta servicios a toda Europa de digitalización, de todo tipo de firmas digitalizadas, de certificados electrónicos, etc.
El bolígrafo automático utiliza una técnica relativamente sencilla. Primero se introduce el modelo de firma real. Para ello tienen unos brazos mecánicos que sostienen una pluma, lápiz o bolígrafo. Algunos poseen, además, unas ranuras que leen tarjetas SD, de modo que captan incluso la presión o velocidad del lápiz usado para escribir. Una vez captado todo esto, la máquina es capaz de reproducir lo que se ha escrito imitando perfectamente los movimientos de la mano de la persona que lo ha usado.
Pero lo que se está perdiendo en realidad es el encanto. ¿Vamos a tener dentro de poco una diada de Sant Jordi o un Día del Libro llena de máquinas firmando obras mientras los autores están en sus casas?
¿Conversaremos con una máquina?
No debe extrañarnos que la tecnología permita cada vez más excentricidades de este tipo. Con la Inteligencia Artificial (IA) estamos descubriendo unas opciones de interacción jamás pensadas anteriormente. Una de las que más suena en la actualidad es el ChatGPT. Se trata de un prototipo de chatbot de IA desarrollado este mismo año por OpenAI, una compañía de investigación de inteligencia artificial fundada por Elon Musk y otros emprendedores en 2015. Si hasta ahora nos conformábamos con dar órdenes a una máquina para que nos diera una serie de servicios relativamente sencillos, la IA del ChatGPT va mucho más allá y permite que mantengamos una conversación.
Se trata de un sistema que se basa en el modelo de lenguaje por IA GPT-3, lo que le posibilita realizar múltiples acciones relacionadas con el lenguaje, desde generar textos hasta traducirlos. Ya os hemos hablado aquí en alguna ocasión de estas opciones relacionadas con el lenguaje, como el proyecto MarIA.
Como buena “inteligencia”, va entrenándose con el tiempo, por lo que poco a poco es capaz de mantener conversaciones con personas, hablando de cualquier tipo de tema y respondiendo de forma coherente. Y por supuesto en muchos idiomas diferentes.
Si queréis saber más cosas sobre ChatGPT, como funciona o como utilizarlo, os recomendamos leer este artículo de Yúbal Fernández, un editor de contenidos publicado en Xataca Basics AQUÍ.
Imagen principal de: todabasura en Pixabay
- Published in Certificaciones, General, Inteligencia Artificial, Noticias, Productos
Suplantar identidades para estafar
Los cibercriminales llegan a ser tan sofisticados que a veces se precisa una acción conjunta internacional para desmantelar sus argucias. Esto es lo que acaba de pasar con una web que ofrecía servicios de suplantación de identidad y que ha sido bloqueada.
La suplantación de identidad es una de las técnicas más populares usadas por los delincuentes para infectar nuestros equipos y hacerse con nuestros datos personales y credenciales. En este blog os hemos hablado alguna vez de ello, como cuando os explicamos que la Comisión Europea animaba a denunciar las estafas en internet. Lo podéis recordar AQUÍ.
Como os podéis imaginar, suplantar identidades para estafar no es nada nuevo. Ya en el año 2020 la Oficina de Seguridad del Internauta publicó un artículo sobre el robo de identidades o spoofing que podéis leer AQUÍ. En él, además de aprender una nueva palabrita, nos explicaban que “la suplantación consiste en el empleo de una serie de técnicas de hacking utilizadas de forma maliciosa para suplantar la identidad de una web, entidad o persona en la red con la finalidad de obtener información privada sobre nosotros”.
Ahora llega la información de que se ha desmantelado una web que ofrecía servicios de suplantación de identidad para estafar en todo el mundo. Se calcula que las perdidas globales pueden haber llegado a los 115 millones de euros. La web permitía a las personas que se registraban que pudieran realizar llamadas suplantadas de forma anónima, enviar mensajes grabados e interceptar contraseñas de un solo uso. Los usuarios podían hacerse pasar por bancos, empresas o insituciones gubernamentales para obtener cuantiosas ganancias. Con la suplantación de identidad se buscaba ganar la confianza de la víctima, ya que pensaban que al ser marcas o empresas conocidas, no iban a atacarlos.
Se ha precisado una colaboración internacional a gran nivel de las autoridades judiciales y policiales, de Europa, Australia, Estados Unidos, Ucrania y Canadá. En la acción han intervenido Europol y Eurojust (Agencia de la Unión Europea para la Cooperación en materia de Justicia Penal) y se han detenido 142 personas.
Debemos recordar que es difícil luchar contra los delincuentes organizados y que el delito cibernético no sabe de fronteras, por lo que solo la colaboración internacional es eficiente en casos globales.
Podéis leer la nota de prensa que Europol realizó sobre el caso AQUÍ.
Para finalizar, recordaros que en junio os hablamos de la nueva técnica de suplantación llamada morphing y que demuestra, la sofisticación a la que pueden llegar los ciberdelincuentes. Tenéis el artículo AQUÍ.
- Published in Ataques / Incidencias, General, Noticias, Seguridad
WhatsApp tampoco se libra
Nos encanta esta aplicación de mensajería instantánea, formar grupos, explicar nuestra vida, enviar fotos de todo tipo, la inmediatez que supone. Vale, pero… ¿alguien ha pensado qué pasaría con toda esa información que regalamos alegremente en caso de filtración de datos?
Pues esa fuga que teóricamente nunca iba a pasar, ya ha pasado. Al menos así lo asegura la publicación CyberNews. No es cualquier medio. Se trata de una publicación online que se basa en investigaciones para ayudar a las personas a vivir su vida digital de forma segura. Por eso sus noticias nos merecen toda la confianza.
Los investigadores de CyberNews utilizan técnicas de hacking de sombrero blanco para encontrar amenazas y vulnerabilidades de seguridad en todo el mundo. Y recientemente han denunciado que un grupo de ciberdelincuentes supuestamente ha robado los datos de millones de teléfonos móviles con cuenta en WhatsApp, en todo el mundo. Hablamos de nada menos que 487 millones de números de teléfonos. De ellos casi 11 millones serían de números españoles. En este perverso ranking por países se encuentran Egipto (45 millones), Estados Unidos (32 millones), Italia (35 M) o Francia (20 M). Y así hasta 84 países. España ocuparía el puesto 15.
El robo de estos datos tendría el objetivo de realizar ataques de smishing (simular un mensaje de SMS) y vishing (suplantar una llamada) y así exponer a sus legítimos dueños a diversos ciberriesgos suplantando también su identidad.
Meta, empresa propietaria de WhatsApp, aseguró que todo esto no tenía ninguna razón de ser porque la publicación no indica cómo se han obtenido esos datos y que hay más de 2.000 millones de usuarios de WhatsApp en todo el mundo, por lo que cualquier lista de teléfonos de países de todo el mundo incluiría inevitablemente números de WhatsApp.
Sin embargo CyberNews detectó que el pasado 16 de noviembre los ciberdelincuentes había puesto un anuncio en un foro de la comunidad de piratería BreachForums. En él ponían a la venta una supuesta base de datos de 2022 con 487 millones de números de teléfonos. El precio de los datos de Estados Unidos era de 7.000 doláres y el del Reino Unido 2.500 dólares.
Podéis leer la noticia de CyberNews AQUÍ.
Y como siempre prevención
Como podéis ver, WhatsApp tampoco se libra. Este tipo de ataques no es nada nuevo. De hecho, siempre que se acercan fechas clave de compras online (Navidad, Black Friday, Cyber Monday, San Valentín, etc.) suele haber ciberdelincuentes que intentan robar datos.
Por lo tanto debemos preguntarnos lo que debemos hacer cuando nuestros datos están comprometidos para evitar que el delito vaya a más.
Aunque en este blog ya hablamos profusamente de todo ello, os recordamos que lo primero debería ser el tema de las contraseñas. Una filtración con una contraseña igual para varios lugares significa que se multipliquen las opciones de robar datos de otras cuentas que tengamos. Así que:
- Una contraseña para cada cuenta que tengamos. Si eso es un problema para vosotros, la buena opción es la siguiente:
- Usar un gestor de contraseñas.
- Implementar el doble factor de autenticación en todos nuestros servicios. No siempre depende de nosotros, porque hay todavía muchos servicios que no lo tienen implementado. Pero si lo tienen, no dudéis en implementarlo.
- Sospechar siempre de un desconocido que quiera contactaros por WhatsApp.
- Sospechar de las llamadas recibidas de números infinitos, a no ser que tengamos un familiar viviendo en la India.
Y como más vale prevenir, lo más importante debería ser confiar en alguna empresa de ciberseguridad, como es el caso de TECNOideas. Como ejemplo, os pasamos unas ideas para que intentéis evitar que os pase todo esto.
1.- Averiguar si vuestro número de teléfono ha estado en una lista de filtración de datos. Escribid el número con el prefijo de país en ESTE ENLACE.
2.- Instalaros un software de seguridad en vuestro smartphone. La Oficina de Seguridad del Internauta recomienda varias aplicaciones. Tenéis el listado AQUÍ.
3.- Instalaros la aplicación CONAN MOBILE. Creemos que es imprescindible. Ha sido desarrollada por el INCIBE y se ofrece a través de la OSI (Oficina de Seguridad del Internauta). Es un software que no actúa como un antivirus, pero es capaz de revisar configuraciones, permisos, etc…y os ayudará, y os hará participes de la seguridad de vuestro dispositivo. Un gran poder, conlleva una gran responsabilidad, como diría…
4.- ¡¡CONTACTADNOS!! que para eso estamos.
Imagen principal: Imagen de 6519582 en Pixabay.
¿Qué pasa en el mundo del motor con la ciberseguridad?
Desde la Fórmula 1 a una red de concesionarios, pasando por marcas de componentes y otras firmas muy conocidas, entre ellas Ferrari, nada menos. Todos ellos han tenido problemas de ciberseguridad en poco tiempo. ¿Qué pasa en el mundo del motor con la ciberseguridad?
Este pasado domingo ha finalizado la temporada de Fórmula 1. Pero en los últimos Grandes Premios se ha hablado de ciberseguridad, porque este mundillo tan absolutamente tecnológico no se ha librado de sufrir incidentes de seguridad. Parece ser que un grupo de delincuentes de la India había conseguido obtener datos significativos de diversas escuderías a través de un ransonware. Dicho de otra forma: amenazaban con un espionaje industrial. Con la competitividad de este deporte, cualquier escudería estaría encantada de tener datos de la competencia. El problema es que, supuestamente, las afectaciones alcanzaban a equipos como Alfa Romeo, Alpine de Fernando Alonso, Aston Martin o Ferrari de Carlos Sainz.
Ferrari ya había sido noticia anteriormente por un ciberataque sufrido en el momento en que cambiaba de proveedor de seguridad informática. Por la guerra de Ucrania y de mutuo acuerdo, la escudería del caballito rampante dejaba Kaspersky y se asociaba a Bitdefender, la empresa rumana creada por Florin Talpes en 2001. Podeís ver el acuerdo en la web de Ferrari AQUÍ y en la de Bitdefender AQUÍ.
Los ciberdelincuentes de la banda de ransomware RansomEXX aprovecharon este impasse para obtener más de 7 GB de documentos internos de Ferrari que fueron publicados en la Dark Web. Aunque Maranello desmintió que fuera atacada, numerosos artículos en prensa lo aseguraban, como es el caso del publicado por BeTech, la web de noticias de tecnología del diario AS. Si estáis interesados en el malicioso currículo de RansomEXX, la publicación Cuadernos de Seguridad le ha dedicado un interesante informe que podéis leer AQUÍ.
Mucho ciberataque
Vamos a por los concesionarios. El Grupo Pendragon, uno de los líderes del mercado en el Reino Unido, fue alcanzado por un ransomware enviado por LockBit, un activo grupo de ciberdelincuentes. Consiguieron robar datos de Pendragon y reclamaron cerca de 60 millones de euros para recuperar sus archivos.
Estos mismos delincuentes fueron los responsables del mayor ciberataque por volumen de la información robada. Tuvo lugar en Hannover y la víctima fue la conocida marca Continental, que además de fabricar neumáticos posee uno de los ordenadores más potentes de la industria de la automoción. Se ha calculado que se robaron 40 terabytes de datos y una vez más, a través de un ransomware.
Lo podéis leer en Escudo Digital.
También robo de automóviles… ¡con un altavoz!
Nos vamos a Francia. Unos ladrones agudizaron el ingenio para conseguir robar en pocos segundos coches de las marcas Peugeot y Toyota a través de un altavoz Bluetooth de la firma JBL.
El descubrimiento del hecho fue casual, como suele pasar con este tipo de cosas. La policía encontró en un coche robado uno de estos altavoces. En su interior había una llave digital que era capaz de poner en marcha el vehículo. Los delincuentes ofrecían el altavoz y la llave junto a un vídeo tutorial, donde explicaban como usarlos y la manera de conectarlo al vehículo con un cable USB.
La cosa parece sencilla, pero el dispositivo en cuestión podía costar, en el mercado negro, hasta 5.000 euros. Con esta táctica se robaron muchos vehículos en Francia.
Todos estos casos y algunos más los podéis leer gracias a HackerCar, la plataforma web dedicada al motor, la tecnología y la ciberseguridad, que debieron preguntarse, como nosotros, algo así como ¿Qué pasa en el mundo del motor con la ciberseguridad? Acceder a su artículo AQUÍ.
La ciberseguridad y el mundo del automóvil están cada vez más unidos. Ya hay reglamentaciones europeas que exigen que los coches de segunda mano se vendan libres de datos. Y también que los fabricantes de automóviles aumenten la ciberseguridad de los nuevos modelos. Y eso también deberán asegurarlo los lugares de recarga de coches eléctricos. Todos ellos están conectados a internet y por ello son factibles de ser atacados.
En TECNOideas ya hemos ido publicando algunas píldoras sobre todo esto, para que la concienciación sobre el tema vaya en aumento. Estos son algunos de los artículos publicados en este blog:
- En el 2022, ¿coche eléctrico, híbrido o de gasolina? ¡Coche ciberseguro! (Octubre 2020).
- ¿Se roban más coches por culpa de la cibertecnología? (Febrero 2022).
- Una Game Boy para robar coches. (Febrero 2022).
Naturalmente hay otra moraleja, distinta del sector del automóvil, en todo esto. Y es que si empresas tan importantes y con una tecnología de lo más puntero del mundo como Ferrari, las demás escuderías mencionadas o Continental caen bajo un ransomware, qué empresas de nuestro entorno no pueden verse amenazadas. Y no vale la excusa de siempre: “Yo soy pequeño, quién se va a fijar en mí y en mi pequeña empresa”. Quizá la persona que diga esto es que ni siquiera le han robado nunca la cartera, o el móvil, o lo que sea. ¡Felicidades! Pero ya sabéis: hay tres tipos de empresas: las que aun no han sido atacadas, las que ya han sido atacadas y las que están siendo atacadas y aun no lo saben.
Si nos contactáis os diremos en qué grupo está la vuestra.
Imagen principal de: Toby Parsons en Pixabay
- Published in Ataques / Incidencias, General, Medios de comunicación, Noticias, Seguridad
Hoy os queremos hablar de grandes marcas… ¡cómo no!
Los usuarios de Apple han descubierto que habiendo desactivado la recopilación de datos, la empresa sigue registrando su actividad. Por su parte en Twitter dicen algunos/as que está fallando la verificación en dos pasos (2FA). Grandes marcas, sí. Grandes empresas, sí. Pero con algunas conductas que dejan mucho que desear. Por eso hoy os queremos hablar de grandes marcas… ¡cómo no!
Los usuarios de Estados Unidos han presentado una demanda colectiva contra Apple al descubrir que esta red registra de forma ilegal la actividad confidencial de los usuarios sobre su consumo de aplicaciones móviles.
Para más inri, esto se ha descubierto después de que Apple indicara que buscaba que los usuarios tuvieran un mayor control sobre sus datos y sobre el rastreo que pudieran efectuar las aplicaciones de terceros para fines publicitarios. Así que el año pasado Apple implementó una función de transparencia de seguimiento de aplicaciones con iOS 14. Esta función obligaba a los desarrolladores a informar a los usuarios para que dieran su consentimiento explícito. Pero…
… los propios desarrolladores de iOS y varios investigadores de la empresa de software Mysk detectaron que cuando los usuarios navegaban por la aplicación de la App Store, se recogían datos que luego se enviaban a la empresa. Y eso ocurría incluso si el usuario había desactivado el uso compartido del análisis del dispositivo.
Tenéis más información sobre este tema en la web de Gizmodo, un medio digital del grupo Fusión Media, con sede en Nueva York y especializado en ciencia y tecnología.
Els bloatwares y los fallos de Twitter
Ya todo el mundo sabe que Twitter está inmersa en un follón de mucho cuidado tras las polémicas decisiones de su nuevo propietario, Elon Musk. Precisamente una de sus decisiones ha acabado por ocasionar fallos en su doble autenticación. Todo empezó cuando Musk decidió deshabilitar el bloatware de los microservicios de la popular red social.
Un bloatware es un software que ocupa demasiado espacio para las funcionalidades que proporciona. Son aplicaciones que vienen preinstaladas en nuestros equipos (ordenadores, tabletas, smartphones) pero que no repercuten en nada útil para los usuarios y ralentizan la velocidad de los equipos.
¿Por qué se siguen usando? Pues porque sus creadores pagan a los fabricantes para preinstalarlas en sus ordenadores. Pero no solo ellos. Las grandes marcas tienen sus propios boatwares. Es el caso de Microsoft o Samsung. Eso significa que todos ellos van a intentar que el usuario las use o dicho de otro modo, que usen lo que está preinstalado en lugar de ir a instalarte otras cosas que puedas necesitar o quieras tener.
Musk ha dicho que Twitter necesita menos del 20% de los microservicos que tiene para funcionar correctamente. Por eso ha decidido desinstalar bloatwares. Pero el tiro le ha salido por la culata, porque al hacerlo se ha afectado el sistema de autenticación de dos factores, el que envía los códigos de confirmación para iniciar sesión. Así que muchos usuarios no han podido iniciar su sesión por este hecho.
Debemos decir que este pasado fin de semana hemos comprobado varias veces la autenticación en dos pasos y siempre ha funcionado bien. O sea que o bien ha sido un tema puntual y ya se ha solucionado o bien ha afectado solamente a alguna región geográfica.
El caso de Apple es más grave, porque directamente nos roba los datos y hace lo que quiere, aunque le digas que no. Quizá todavía no saben que “no es no”.
Lo que queda claro es lo siguiente: ¿para qué debe el usuario poner esfuerzos en desactivar opciones o en activar el 2FA si luego esas grandes plataformas tienen fallos? A partir de aquí, ¿os imagináis qué pasaría si los usuarios no estuviéramos constantemente vigilando las interacciones? Pues sí, habéis acertado: esto sería una merienda muy golosa.
Imagen principal de: Gerd Altmann en Pixabay
- Published in Ataques / Incidencias, General, Noticias, Protección de datos, Redes sociales
Català 
Español