SecurityInside Live: CyberCamp 2017

CyberCamp es el gran evento de ciberseguridad que INCIBE organiza anualmente con el objetivo de identificar, atraer, gestionar y en definitiva, ayudar a la generación de talento en ciberseguridad que sea trasladable al sector privado, en sintonía con sus demandas. Esta iniciativa es uno de los cometidos que el Plan de Confianza en el ámbito Digital, englobado dentro de la Agenda Digital de España, encomienda a INCIBE.

CyberCamp 2017 se celebra en el Palacio de Exposiciones y Congresos de Santander, del 30 de noviembre al 3 de diciembre de 2017. El principal objetivo de CyberCamp es identificar, atraer e impulsar a todos aquellos que tengan talento en materia de ciberseguridad:

  • Identificar trayectorias profesionales de los jóvenes talentos.
  • Llegar a las familias, a través de actividades técnicas, de concienciación y difusión de la ciberseguridad para todos.
  • Despertar e impulsar el talento en ciberseguridad mediante talleres y retos técnicos.

Si no puedes asistir, no te preocupes ya que emiten los Talleres y Conferencias en directo a través de videostreaming:

 

Leer más

La webcam no deja de mirarme… ¿la tapo?

A pesar de que a día de hoy existe todavía gente que no cree en estas cosas, el espionaje vía webcam es un hecho que ocurre a diario. Atrás quedaron las películas de suspense o los mitos urbanos donde se asustaba a los usuarios de pc para que hicieran un uso responsable de éstos. La webcam no es sólo una herramienta de la que tú dispones, sino que puede ser interceptada, robada o controlada por alguien que accede ilegalmente a tu ordenador. Y, casi aún más importante, también en tu móvil.

Y es que el espionaje no existe sólo en las teorías conspiratorias que hablan sobre Gobiernos que observan a su población. Hace años ya conocimos la noticia de que se usaba el espionaje por webcam para recabar información sobre los usuarios del portal Yahoo en el Reino Unido.

El espionaje va mucho más allá en la actualidad. Ahora, cualquier persona que quiera sacar información puede tener una razón más que suficiente para intentar hacerse con el control de tu cámara. Podrá ser una persona de tu entorno que busca chantajearte, un acosador que quiere observarte o sencillamente un personaje anónimo de internet que pretende conseguir dinero a cambio de información confidencial.

Todo esto toma especial relevancia cuando hablamos de chantaje a menores. Yo soy padre, me preocupa mucho este problema y quiero poner las medidas necesarias para cuando mi enana mayor quiera ser parte activa de las redes sociales.

Pero, ¿cómo sé si me están espiando por mi webcam?

Aunque no es la única manera, puedes poner atención a estos consejos:

  • Luz webcam encendida. No hace falta ser un genio con ésta: si la webcam tiene la luz encendida y tú no estás usándola, ya sabes que hay alguien más que sí lo está haciendo. Pero ojo, algunos ciberdelincuentes saben saltarse ese paso y podrán espiarte por tu webcam sin que la luz se encienda.
  • Mensajes sospechosos, aunque existe la posibilidad de que te espíen sin más, lo normal es que quien lo hace intente sacar algo a cambio. Si no la conoces, te invito a leer la historia de Taylor Cooper a quien chantajearon a través de Facebook, engañándole para que mostrara imágenes íntimas por la webcam. Poco después, se encontró con que dichas imágenes circulaban por Youtube y le pedían mucho dinero si no quería que llegaran a su familia.

La privacidad en internet es un tema complicado, todos tenemos que tener cuidado con las cosas que mostramos en una conversación privada, porque algún día podrían dejar de serlo.

Entonces, ¿cómo evito que me espíen por la Webcam?

  • Escoge un buen antivirus. La exploración que suelen ofrecer para buscar software sospechoso podría advertirte de que alguien está entrando en tu ordenador para espiarte por la webcam, para espiar tu actividad, …
  • Desconecta la webcam. Evidentemente, si está integrada en tu ordenador esta opción no es la más adecuada, y si no lo está podrás pensar que es un fastidio tener que desconectarla cada vez que la usas. El que debe valorar el riesgo es el propio usuario, y por tanto, la elección también es suya. Algunas aplicaciones te permitirán bloquear tu webcam si está integrada en tu ordenador.
  • Tapa la webcam. Ésta es la forma más sencilla de protegerte. Si usas una webcam externa, gírala hacia la pared o tápala con algún objeto, y si está integrada en tu ordenador una simple pegatina bastará para taparla. Así, en caso de que alguien finalmente acceda remotamente a tu ordenador, sólo conseguirá ver una buena pantalla en negro.

Que los ciberdelincuentes están ahí es algo que deberíamos aceptar como inevitable y por tanto deberíamos encarar nuestras acciones a que no nos conviertan en víctimas de chantajes o robos de información. De esta forma, conseguiremos hacer un uso responsable de nuestra webcam, navegando por internet con la tranquilidad de quien se sabe en puerto seguro.

phishing

Phishing: cómo identificarlo

De acuerdo al Código Penal español, un fraude (o estafa) es aquel en el que se usa el engaño para producir un error en otro y conseguir lucrarse con ello. Pero lo que es realmente nuevo y nos interesa si somos de los que usamos el ordenador para cualquier cosa, es el delito considerado como “fraude informático”, especificado en el artículo 248.2 del Código Penal.

En él, se explican las estafas de índole informática:

  1. Los que se valgan de alguna manipulación informática o artificio semejante, consiguiendo transferencias no consentidas de cualquier activo patrimonial.
  2. Los que posean programas informáticos destinados específicamente a la estafa.
  3. Aquellos que usen tarjetas o cheques de viaje o cualquier dato de cualquiera de ellos, realizando operaciones que produzcan un perjuicio en sus dueños.

De esta forma vemos cómo la estafa se ha modernizado y ha avanzado tanto que puede llegar a ser imperceptible para las personas que la sufren. Algunas, de hecho, podrían tardar en darse cuenta de que han sido víctimas de un fraude.

En este artículo hablaremos del phishing

Según Wikipedia, Phishing o suplantación de identidad es un término informático que denomina un modelo de abuso informático y que se comete mediante el uso de algún tipo de ingeniería social, caracterizado por intentar adquirir información confidencial de forma fraudulenta (como puede ser una contraseña, información detallada sobre tarjetas de crédito u otra información bancaria). El cibercriminal, conocido como phisher, se hace pasar por una persona o empresa de confianza en una aparente comunicación oficial electrónica, por lo común un correo electrónico, o algún sistema de mensajería instantánea o incluso utilizando también llamadas telefónicas

El caso más normal ocurre cuando un usuario recibe un email de su banco instándole a dirigirse a una web externa. Dicha web es maliciosa y sirve para recabar los datos del cliente y obtener su contraseña de acceso.

¿Cómo puedo saber que se trata de phising?

Éste tipo de estafas no abarcan sólo el fraude bancario. Pueden vestirse de muchas formas: emails de redes sociales (Facebook, Twitter…), tiendas de productos (cosméticos, ropa, gafas de sol…), encuestas para páginas webs externas. En definitiva,  éstos son los rasgos que suelen tener en común las estafas de pishing informático:

  • Faltas de ortografía o de formato: a menudo estas estafas vienen traducidas de otros idiomas o se han hecho sin considerar el aspecto gramatical. Si ves que aparecen palabras mal escritas y la redacción es pobre y con tiempos verbales extraños, ándate con ojo.
  • Enlaces externos: tal vez la parte más importante de toda estafa de pishing informático. Te intentarán dirigir a otras páginas webs que, aunque tengan la apariencia de ser originales y auténticas, no lo serán.
  • Datos personales: algunas podrán ser peligrosas sólo con el hecho de que entres en ellas, pero la mayoría pretenderán acceder a tus datos bancarios o cuentas personales. En algún momento, te pedirán que introduzcas tus datos de acceso para alguna de tus páginas webs de uso frecuente.
  • Estafador lejano: ocurre cuando el delincuente se hace pasar por alguien que generalmente vive lejos, en algún país diferente al tuyo. Podrás detectarle fácilmente si ya desde el principio el remitente es desconocido.

¿Cómo detecto, interrumpo o denuncio el fraude?

En la entrada en la que hablábamos de delitos informáticos te dimos diferentes opciones para denunciar este tipo de ataques, no dudes en echarle un vistazo si te encuentras en esa situación. Siempre podrás presentarte en cualquier comisaría y te indicarán qué acciones debes tomar, pero mi consejos es:

  • Corta toda comunicación: sea cual sea el tipo de fraude, lo primero que tienes que hacer es cortarlo de raíz.
  • Avisa a tu banco: si es una estafa de tipo bancario y están usando información de una entidad real, lo mejor que puedes hacer es avisarles. A ellos les ayudará en caso de que ocurran más problemas con fraude informático, y a ti te permitirá proteger tu información por si alguien intenta hacerse con ella.
  • Cambia tus datos de acceso: si te has dado cuenta tarde o simplemente quieres estar más seguro, intenta cambiar los datos de acceso que creas que estén en peligro.
  • Algunos servidores de correo electrónico te permiten marcar el correo como posible fraude. Al menos así se evitará que la estafa se extienda.
  • Hazte con una buena aplicación anti-virus y anti-malware que trate de advertirte en caso de que a ti se te pase algún detalle sospechoso.

Recuerda que no sólo es importante el saber cómo actuar tras una estafa, sino también el saber identificarla antes de que ocurra. ¡Toda precaución es poca!

security-api

Security API – Dale a tus empleados lo que necesitan (de forma segura)

Hace poco vimos en SecurityInside consejos a tener en cuenta para revisar la seguridad de tu API. Como comentamos, ofrecer servicios de información en el mundo de hoy si no tienes API, te da una desventaja considerable que podría terminar por arruinar tu negocio.

Es por eso que tu departamento de desarrollo debe tener en mente trabajar en una buena api (sencilla y segura) que de servicio tanto a clientes como a las plataformas y herramientas internas.

Hay muchas formas de desarrollar APIs, pero en mi caso me he decantado últimamente por Flask para Python sobre Elastic Beanstalk de Amazon Web Services.

Security API, ¿por qué?

Cada vez que arranco un proyecto de seguridad con una nueva empresa, me presento desde el punto de vista de vida laboral. Cuento mis años como becario, desarrollador, jefe de proyecto, consultor y luego el paso al mundo de la seguridad. Me miran como diciendo “¿para qué todo este rollo?”. Sencillo, es la forma de introducir que soy un apasionado de la seguridad y que mi objetivo principal es asegurar los activos de la empresa, pero siempre tratando de hacer la vida sencilla a los compañeros que tienen que lidiar con todas las medidas y controles de seguridad que se implanten.

Conozco profesionales de la seguridad que nunca se han manchado las manos picando código y que aplican medidas maravillosas que fortifican los activos mientras complican el trabajo diario. Lo importante es la seguridad, pero mi perfil de desarrollador me hace pensar siempre en hacerlo de forma que ellos tengan todas las facilidades para trabajar. Seguros, pero trabajando.

Por todo esto, hace no mucho empecé a dar vueltas a la idea de crear una “security api” que diera servicio a determinadas necesidades de los compañeros de los diferentes departamentos. De esta forma, aplico medidas de seguridad generales y les doy la posibilidad de solicitar ciertos permisos, accesos, … de forma automática en base a roles.

¿Cómo funciona?

Básicamente todo funciona en base a usuarios que se autentican con login, password y 2fa (Google Authenticator, Android, iOS). Cada usuario tiene un rol y subrol con el que se indica qué cosas tienen permitidas y todo se gestiona mediante JSON Web Tokens.

Flask api template

Os he dejado en Github un nuevo repositorio que contiene el esqueleto de una api desarrollado en Python utilizando la biblioteca Flask.

Podéis lanzarlo en local para desarrollo y hacer pruebas de forma sencilla utilizando Postman, ya que os he dejado también un fichero con ejemplos de uso. Tendréis queja… 😀

Vamos viéndo cosillas

En el fichero principal (flask_api.py) veréis unas cuantas cosas que os voy a ir explicando.

Al principio, tenéis una función que se lanza tras arrancar el server, ahí se pueden configurar diferentes cosas (dar de alta la ip del server en determinados grupos de seguridad, enviar notificaciones, …):

Después se incluyen dos apartados para la gestión de códigos 404 y 405:

Una siempre interesante función ping para comprobar rápidamente si el server está vivo:

La parte más interesante del ejemplo, la gestión del login y creación del token:

Y la implementación concreta dentro del fichero flask_api_functions.py:

Para entender ciertas cosas como la forma de enviar el header “Authentication”, pásate por el README.md del repositorio y ejecuta las pruebas con postman, verás que es la mar de sencillo.

El ejemplo es sólo parte del script completo. Si quieres utilizarlo o modificarlo, puedes descargarlo desde nuestro repositorio en GitHub.

 

Importante antes de terminar

Flask no está preparado para funcionar directamente en un entorno de producción, para hacerlo tienes que tener en cuenta un par de cosas (está todo en la documentación del repositorio).

En mi caso particular, ya os he dicho que lo tengo montado en Elastic Beanstalk de Amazon Web Services, si queréis os puedo contar cómo lo he hecho en otra entrada.

Por supuesto, si tenéis alguna duda sobre esta entrada, preguntad que estaré encantado de echar una mano.

Saludos!

micro_focus_summit17

SecurityInside Live: Micro Focus Summit 2017

El éxito de mañana está vinculado a la respuesta que hoy se dé a los desafíos de seguridad de nuestro negocio. Por eso, Micro Focus comparte en su Summit 2017 las experiencias de sus clientes y el conocimiento de su equipo.

Leer más