La webcam no deja de mirarme… ¿la tapo?

/en , , , , , , /por

A pesar de que a día de hoy existe todavía gente que no cree en estas cosas, el espionaje vía webcam es un hecho que ocurre a diario. Atrás quedaron las películas de suspense o los mitos urbanos donde se asustaba a los usuarios de pc para que hicieran un uso responsable de éstos. La webcam no es sólo una herramienta de la que tú dispones, sino que puede ser interceptada, robada o controlada por alguien que accede ilegalmente a tu ordenador. Y, casi aún más importante, también en tu móvil.

Y es que el espionaje no existe sólo en las teorías conspiratorias que hablan sobre Gobiernos que observan a su población. Hace años ya conocimos la noticia de que se usaba el espionaje por webcam para recabar información sobre los usuarios del portal Yahoo en el Reino Unido.

El espionaje va mucho más allá en la actualidad. Ahora, cualquier persona que quiera sacar información puede tener una razón más que suficiente para intentar hacerse con el control de tu cámara. Podrá ser una persona de tu entorno que busca chantajearte, un acosador que quiere observarte o sencillamente un personaje anónimo de internet que pretende conseguir dinero a cambio de información confidencial.

Todo esto toma especial relevancia cuando hablamos de chantaje a menores. Yo soy padre, me preocupa mucho este problema y quiero poner las medidas necesarias para cuando mi enana mayor quiera ser parte activa de las redes sociales.

Pero, ¿cómo sé si me están espiando por mi webcam?

Aunque no es la única manera, puedes poner atención a estos consejos:

  • Luz webcam encendida. No hace falta ser un genio con ésta: si la webcam tiene la luz encendida y tú no estás usándola, ya sabes que hay alguien más que sí lo está haciendo. Pero ojo, algunos ciberdelincuentes saben saltarse ese paso y podrán espiarte por tu webcam sin que la luz se encienda.
  • Mensajes sospechosos, aunque existe la posibilidad de que te espíen sin más, lo normal es que quien lo hace intente sacar algo a cambio. Si no la conoces, te invito a leer la historia de Taylor Cooper a quien chantajearon a través de Facebook, engañándole para que mostrara imágenes íntimas por la webcam. Poco después, se encontró con que dichas imágenes circulaban por Youtube y le pedían mucho dinero si no quería que llegaran a su familia.

La privacidad en internet es un tema complicado, todos tenemos que tener cuidado con las cosas que mostramos en una conversación privada, porque algún día podrían dejar de serlo.

Entonces, ¿cómo evito que me espíen por la Webcam?

  • Escoge un buen antivirus. La exploración que suelen ofrecer para buscar software sospechoso podría advertirte de que alguien está entrando en tu ordenador para espiarte por la webcam, para espiar tu actividad, …
  • Desconecta la webcam. Evidentemente, si está integrada en tu ordenador esta opción no es la más adecuada, y si no lo está podrás pensar que es un fastidio tener que desconectarla cada vez que la usas. El que debe valorar el riesgo es el propio usuario, y por tanto, la elección también es suya. Algunas aplicaciones te permitirán bloquear tu webcam si está integrada en tu ordenador.
  • Tapa la webcam. Ésta es la forma más sencilla de protegerte. Si usas una webcam externa, gírala hacia la pared o tápala con algún objeto, y si está integrada en tu ordenador una simple pegatina bastará para taparla. Así, en caso de que alguien finalmente acceda remotamente a tu ordenador, sólo conseguirá ver una buena pantalla en negro.

Que los ciberdelincuentes están ahí es algo que deberíamos aceptar como inevitable y por tanto deberíamos encarar nuestras acciones a que no nos conviertan en víctimas de chantajes o robos de información. De esta forma, conseguiremos hacer un uso responsable de nuestra webcam, navegando por internet con la tranquilidad de quien se sabe en puerto seguro.

phishing

Phishing: cómo identificarlo

/en , , , /por

De acuerdo al Código Penal español, un fraude (o estafa) es aquel en el que se usa el engaño para producir un error en otro y conseguir lucrarse con ello. Pero lo que es realmente nuevo y nos interesa si somos de los que usamos el ordenador para cualquier cosa, es el delito considerado como “fraude informático”, especificado en el artículo 248.2 del Código Penal.

En él, se explican las estafas de índole informática:

  1. Los que se valgan de alguna manipulación informática o artificio semejante, consiguiendo transferencias no consentidas de cualquier activo patrimonial.
  2. Los que posean programas informáticos destinados específicamente a la estafa.
  3. Aquellos que usen tarjetas o cheques de viaje o cualquier dato de cualquiera de ellos, realizando operaciones que produzcan un perjuicio en sus dueños.

De esta forma vemos cómo la estafa se ha modernizado y ha avanzado tanto que puede llegar a ser imperceptible para las personas que la sufren. Algunas, de hecho, podrían tardar en darse cuenta de que han sido víctimas de un fraude.

En este artículo hablaremos del phishing

Según Wikipedia, Phishing o suplantación de identidad es un término informático que denomina un modelo de abuso informático y que se comete mediante el uso de algún tipo de ingeniería social, caracterizado por intentar adquirir información confidencial de forma fraudulenta (como puede ser una contraseña, información detallada sobre tarjetas de crédito u otra información bancaria). El cibercriminal, conocido como phisher, se hace pasar por una persona o empresa de confianza en una aparente comunicación oficial electrónica, por lo común un correo electrónico, o algún sistema de mensajería instantánea o incluso utilizando también llamadas telefónicas

El caso más normal ocurre cuando un usuario recibe un email de su banco instándole a dirigirse a una web externa. Dicha web es maliciosa y sirve para recabar los datos del cliente y obtener su contraseña de acceso.

¿Cómo puedo saber que se trata de phising?

Éste tipo de estafas no abarcan sólo el fraude bancario. Pueden vestirse de muchas formas: emails de redes sociales (Facebook, Twitter…), tiendas de productos (cosméticos, ropa, gafas de sol…), encuestas para páginas webs externas. En definitiva,  éstos son los rasgos que suelen tener en común las estafas de pishing informático:

  • Faltas de ortografía o de formato: a menudo estas estafas vienen traducidas de otros idiomas o se han hecho sin considerar el aspecto gramatical. Si ves que aparecen palabras mal escritas y la redacción es pobre y con tiempos verbales extraños, ándate con ojo.
  • Enlaces externos: tal vez la parte más importante de toda estafa de pishing informático. Te intentarán dirigir a otras páginas webs que, aunque tengan la apariencia de ser originales y auténticas, no lo serán.
  • Datos personales: algunas podrán ser peligrosas sólo con el hecho de que entres en ellas, pero la mayoría pretenderán acceder a tus datos bancarios o cuentas personales. En algún momento, te pedirán que introduzcas tus datos de acceso para alguna de tus páginas webs de uso frecuente.
  • Estafador lejano: ocurre cuando el delincuente se hace pasar por alguien que generalmente vive lejos, en algún país diferente al tuyo. Podrás detectarle fácilmente si ya desde el principio el remitente es desconocido.

¿Cómo detecto, interrumpo o denuncio el fraude?

En la entrada en la que hablábamos de delitos informáticos te dimos diferentes opciones para denunciar este tipo de ataques, no dudes en echarle un vistazo si te encuentras en esa situación. Siempre podrás presentarte en cualquier comisaría y te indicarán qué acciones debes tomar, pero mi consejos es:

  • Corta toda comunicación: sea cual sea el tipo de fraude, lo primero que tienes que hacer es cortarlo de raíz.
  • Avisa a tu banco: si es una estafa de tipo bancario y están usando información de una entidad real, lo mejor que puedes hacer es avisarles. A ellos les ayudará en caso de que ocurran más problemas con fraude informático, y a ti te permitirá proteger tu información por si alguien intenta hacerse con ella.
  • Cambia tus datos de acceso: si te has dado cuenta tarde o simplemente quieres estar más seguro, intenta cambiar los datos de acceso que creas que estén en peligro.
  • Algunos servidores de correo electrónico te permiten marcar el correo como posible fraude. Al menos así se evitará que la estafa se extienda.
  • Hazte con una buena aplicación anti-virus y anti-malware que trate de advertirte en caso de que a ti se te pase algún detalle sospechoso.

Recuerda que no sólo es importante el saber cómo actuar tras una estafa, sino también el saber identificarla antes de que ocurra. ¡Toda precaución es poca!

SecurityInside Live: Check Point Cyber Day 2017

/en , , , , , , , , , , , , /por

La omnipresente transformación digital y el Internet de las Cosas piden cambios fundamentales en el presente y futuro de la ciberseguridad. Los últimos ataques ocurridos a nivel mundial demuestran la necesidad de implementar estrategias innovadoras para securizar las empresas.

Hoy asistimos al Check Point Cyber Day 2017, una jornada dedicada a los CIOs, CISOs, IT Security Managers y todos los interesados en conocer el futuro de la ciberseguridad de la mano de expertos nacionales e internacionales en esta materia.

Leer más

pruebas-de-seguridad

App terminada: ¿la subo a producción o hago pruebas de seguridad?

/en , , /por

Hace dos días me tocó ir a la ventanilla de Alsa para cerrar un billete de vuelta. Sí, a la ventanilla. Mis argumentos sobre que puedo comprar hamburguesas del mercado con Amazon Prime, la comida del mes en Carrefour, pantalones vaqueros con Vibbo, pedir «taxi» con Uber o «conocer amigas» con Tinder… todo desde mi móvil, no fueron suficientes para convencer a la simpática persona que me atendía de que no tenía sentido que no pudiera hacerlo por internet a estas alturas de siglo.

Hoy en día todas las empresas que quieren estar «a mano» de sus usuarios invierten en apps móviles o web (responsive). Es imprescindible que sean sencillas,  rápidas y con un diseño fabuloso.

Seguro que alguno ya lo ve venir… ¿reconocéis lo que falta?

Seguridad. Cerca del 70% de las vulnerabilidades se encuentran en la capa de aplicación y apenas el 10% de los desarrolladores reconocen haber realizado pruebas de seguridad antes, durante y tras el lanzamiento de las apps [1].

Tampoco es para tanto…?

Quizás parezca que no, pero un error en una aplicación puede derivar en graves violaciones de seguridad. Lo que para un desarrollador puede ser un pequeño fallo, puede ser la entrada a la red interna de la organización y convertirse en el principio de una serie de escalados en horizontal y vertical que terminen con un magnífico acceso de administrador.

Una aplicación que no ha pasado las necesarias pruebas de seguridad puede terminar costando millones al negocio. Todavía me acuerdo de aquella charla de Antonio Ramos (www.leetsecurity.com) en la RootedCON titulada ¿Y si la seguridad afectara al valor contable de la empresa?. Que le pregunten a Yahoo si afecta a las cuentas o no un fallo de seguridad…

Si no te preocupas por la seguridad, quizás deberías preocuparte por la tesorería… ¿Qué tal unas recomendaciones mínimas?

Versiones cerradas, no metas parches de última hora

A veces, con las prisas, metemos características que no están del todo maduras. Tienen que estar aunque no estén demasiado finas, que «ya lo iremos arreglando». La realidad es que se suele dejar como está, ya que tras la release, una lista de nuevas features está en tu nuevo sprint y no tienes tiempo para arreglar cosas.

Si algo no está pulido, probado y validado, no debería ponerse en producción, a la larga lo agradecerás.

Pruebas de todo tipo (sí, de seguridad también)

Una batería de pruebas es esencial en el desarrollo, pero no hablo de las pruebas funcionales mínimas que realiza el desarrollador conforme escribe código. Haz todo tipo de pruebas, automatiza, audita tu código, incluso busca expertos en QA testing que te enseñen cómo hacerlo.

Nunca dejes de revisar

Las pruebas no deben terminar una vez se publica una versión. Si tienes algo en producción durante mucho tiempo, ponlo a prueba, «putéalo» para que seas tú el primero en encontrar una vulnerabilidad y no el primero en sufrirla.

 

No es tan complicado, no te olvides las pruebas y tus usuarios, tu negocio y tu tesorería te lo agradecerán.

[1] https://www.sans.org/reading-room/whitepapers/analyst/2015-state-application-security-closing-gap-35942

primer_ataque_dos

¿El primer ataque DoS de la historia?

/en , , , /por

Estamos en 2017, lo que implica que el ataque DoS (Denegación de Servicio – Denial of Service) cumple 43 años. Lo que nació como la obra de un geek (o friki como decimos por aquí) se ha ido convirtiendo en algo muy elaborado que afecta a multitud de sistemas. Además, gracias a Internet, su variante DDoS (Distributed DoS) es sin duda uno de los quebraderos de cabeza de los que trabajamos en esto.

Un poco de historia

Cuenta la leyenda que el primer ataque DoS ocurrió en 1974 gracias a la curiosidad de David Dennis, un estudiante de 13 años de la Universidad de Illinois. David se percató de la existencia de un comando en los terminales PLATO (uno de los primeros sistemas computerizdos de aprendizaje compartido, antecesor de los sistemas multiusuario) llamado «ext».

Este comando permitía conectar dispositivos externos y suponía que cuando se lanzaba, el dispositivo estaría presente, avisando de que únicamente era útil usarlo en ese caso.

Sin embargo, no avisaba de lo que ocurriría si no había dispositivos conectados. Cuando el comando se ejecutaba en un terminal así, se bloqueaba requiriendo un reinicio para volver a funcionar.

En este escenario, David tuvo la curiosidad de comprobar si era capaz de bloquear a todos los usuarios a la vez, de forma que el laboratorio quedase colapsado. Con esto en mente, desarrolló un programa que enviaba el comando «ext» a todos los terminales PLATO al mismo tiempo.

Como podéis imaginar, la ejecución fue un éxito rotundo, ya que bloqueó los terminales de más de 30 usuarios ante el asombro general. Este movimiento terminó con el bloqueo de la ejecución del comando «ext» de forma remota.

Os dejo la historia contada por David Dennis:

As far as I know, I’m the first person to have created a DoS of a room full of PLATO terminals deliberately. Systems people could of course kick anyone out they wanted, and «operator wars» had existed for years, but those tended to be consensual attacks on each other. What I did was I heard about a new command called the «external» command in TUTOR, or ‘ext’. Specifically, one of the music kids was saying how if you didn’t have a device attached, an ext command would cause your terminal to lock up and have to be powered off. Remember that powering off was discouraged, due to always-concern over flaky power to the plasma panels.

The other piece of this was they had rolled out the external command for everyone in the fall of 1974, after it having been only in use by the Music project. This meant that every user account on PLATO was set to defalt «can accept ext commands.» Default on.

If you recognize default enabled from any firewall work you’ll immediately recognize the trouble…

Anyway, I heard this and immediately thought of how a room full of annoying users could be locked up at once. My little 13 year old brain wanted to see a room full of users all be locked up at once.

So, I wrote a little program that sent exts to everyone within a range of site numbers, waited til I was over at CERL one morning, and let er rip.

It worked as advertised, 31 users all had to power off at once, great mayhem in the classroom, site monitors notified. No logging of course, I was never detected. Quietly left the room, went back over to uni.

Accessed the site displays I knew of from author mode, and looked up other sites around town or the country, and tried sending them some ext’s too. Was delighted to see mass posting on notesfiles about a locking out they were experiencing.

Soon some systems guys figured it out, probably a combination of common sense and maybe looking in some sort of logs, though I was never prosecuted or even approached, so I have to think to this day it was undetected. A few weeks later the ext command was withdrawn from ‘open all’ and a while after that was redeployed, this time with the default set to OFF. As it should have been all along. 🙂

So was there ever a DoS on a networked system prior to 1974 ? Im sure there had to be, but at least for the moment I’m claiming it !

Y la moraleja es…

Al final, es la historia de siempre. Si hacemos algo pensando en que la situación perfecta es la única, lo más probable es que alguien se de cuenta de que, si esa situación no se da, ocurre algo indeterminado. A partir de ahí, encontrada la vulnerabilidad, lo demás es jugar y eso es precisamente lo que hizo David.

Como dijo Chema en alguno de sus posts:

Entendemos como Software Fiable aquel que hace lo que tiene que hacer y como Software Seguro aquel que hace lo que tiene que hacer y nada más. Ese algo más entre el software fiable y el software seguro son los bugs.

En este blog puedes encontrar algunas entradas que te pueden ayudar a desarrollar software seguro como las de las contraseñas (esta o esta) o las de auditoría de código (esta, esta o esta). Con estos consejos podrás lidiar en la medida de lo posible contra ataques DoS como el que hizo David. En cuanto a los DDoS, eso es otra historia…