GCCVIEWS

Etiqueta: ciberdelincuencia

  • El Quijote o un gestor de contraseñas para crear claves complejas que podamos recordar

    La primera vez que se tenga constancia del uso o la invención de una contraseña es en el año 1961. Ese año, los científicos del MIT tuvieron que inventar un sistema para poder compartir un dispositivo al que se conectaban de manera compartida diferentes usuarios. Necesitaban poder diferenciar quién accedía en cada momento. Así surgieron los nombres de usuarios y las contraseñas.

    Su uso se fue popularizando con las diferentes aplicaciones que se iban desarrollando a medida que pasaban los años. El sistema permitía, y sigue siendo así, que las aplicaciones puedan saber quién es la persona con la que están interactuando y así guardar los datos personalizados para cada una.

    A principio de siglo, los bancos empezaron a operar masivamente en internet, y comenzaron a surgir problemas más serios con las contraseñas. Con el tiempo, los ciberdelincuentes se dieron cuenta de que esas claves eran fáciles de descubrir.

    Del 123456 a las preguntas de seguridad

    La gente se acostumbra a utilizar claves fáciles de recordar, como las más típicas de 123456, nombres de personas y años, nombres de mascotas, lugares conocidos que hemos visitado o donde vivimos y equipos de fútbol. Todas estas contraseñas son muy fáciles de recordar y de usar, pero los ciberdelincuentes pueden descubrirlas muy rápidamente buscando un poco de información sobre las personas.

    Además, como había problemas también de contraseñas que se olvidaban, se inventaron inicialmente una serie de preguntas fijas a las que el usuario debía responder con la misma información que había introducido en el momento de darse de alta. La más típica: el nombre de la mascota.

    Recordemos el ataque que sufrió hace años Paris Hilton. Los ciberdelincuentes pudieron entrar en los archivos que tenía guardados en el móvil simplemente respondiendo a la pregunta del nombre de su mascota (un chihuahua del que no se separaba). Respondiendo acertadamente, pudieron recuperar la contraseña de Hilton.

    Los primeros consejos para crear contraseñas

    En el año 2003, Bill Burr, gerente del Instituto Nacional de Estándares y Tecnología de Estados Unidos, redactó un documento en el que recopiló un conjunto de trucos para crear las contraseñas más seguras.

    Burr introdujo la pauta de mezclar letras, números, mayúsculas, minúsculas y caracteres especiales y de una longitud mínima para crear así contraseñas más complejas que las que usaba mayoritariamente la gente por aquel entonces. Pensaba que había realizado una buena obra y ayudado a las personas, pero fue todo lo contrario.

    Burr acabó pidiendo perdón por crear este documento y estos trucos. Había concebido un sistema que obligaba al usuario a recordar contraseñas muy complejas imposibles de retener. Podríamos acordarnos de una o incluso alguna persona de dos, pero con la cantidad de servicios que actualmente tenemos en internet, este sistema es precisamente lo contrario a lo que pretendía ser. Las contraseñas que no tienen ningún sentido para las personas son olvidadas rápidamente.

    Programas que encuentran contraseñas

    Partir de una palabra conocida (que suele ser una palabra común), cambiar números y algún signo no es una buena solución. Además de ser mucho más complejo de recordar, nos da la sensación de protección, de usar un sistema completamente seguro de contraseña, pero es todo lo contrario.

    Existen programas informáticos que generan contraseñas a partir de listas de palabras de un diccionario. Van cambiando números por letras o les añaden números delante o detrás o incluso caracteres especiales.

    Estas herramientas permiten así generar combinaciones completamente aleatorias de estas letras, números y caracteres, o permutaciones de letras y números a partir de unas cuantas palabras conocidas que pueden ser más o menos afines a las personas que se quiere atacar. Por ejemplo, para una persona muy fanática de un determinado equipo de fútbol, podría crear combinaciones de nombres relacionados con ese equipo, con deportistas, años, etc.

    En segundos, estos programas son capaces de crear un listado con millones de combinaciones posibles de letras y números que son probados en las webs que piden un usuario y contraseña hasta dar con la correcta.

    ¿Contraseñas seguras y que podamos recordar?

    De momento, no podemos dejar de usar las contraseñas. Hoy en día todos los sistemas se basan en esta manera de identificarse. Por eso, lo mejor es tener alguna manera de utilizar contraseñas complejas que sea fácil de manejar. Hemos visto que no pueden ser palabras conocidas directamente, ni combinaciones de letras y números sin sentido que no recordamos.

    Podemos utilizar dos estrategias que nos van a permitir tener buenas contraseñas fácilmente recordables.

    • La primera es acordarnos de alguna frase de un libro o algún refrán y personalizarla para cada uno de los servicios donde queremos usar una contraseña. Por ejemplo, podemos considerar el libro El ingenioso hidalgo don Quijote de la Mancha de Miguel de Cervantes, que empieza con la frase: “En un lugar de la mancha, de cuyo nombre no quiero acordarme, no hace mucho tiempo que vivía un hidalgo…”. Si cogemos solo las primeras letras y los signos podemos tener una contraseña muy larga que no tenga ningún sentido: E1ldlM,dc2nqa.Pero además podemos modificar esta clave para adaptarla a la web que queremos usar. Por ejemplo, para el banco, que son cinco letras, a partir de la quinta posición insertamos un concepto relacionado con el banco, como una caja fuerte, empleando un signo de separación como +, -, ¿, :, etc. Quedaría algo así como E1ldl+FuerT+M,dc2nqa. Así solo hemos de repetir la frase e ir poniendo las letras iniciales y la web a la que hace referencia. Seguro que es más fácil acordarnos de esta contraseña que no de una combinación aleatoria de 19 caracteres.
    • Otra opción posible es el uso de un gestor de contraseñas, una aplicación que podemos instalar en el móvil o el navegador en la que podemos guardar las diferentes contraseñas que vayamos creando. De esta manera solo tendremos que acordarnos de una que desbloqueará la aplicación y podremos buscar la contraseña que necesitemos.El problema de estas herramientas es que necesitaremos siempre el móvil para mirar qué contraseña usar en cada caso y acordarnos de apuntarla, así como los cambios de estas contraseñas.Además, hay que ir con mucho cuidado a la hora de instalar una aplicación como estas porque los ciberdelincuentes lo saben y crean apps similares para que las utilicemos y les enviemos directamente todas nuestras contraseñas, entre ellas las del banco o el correo electrónico. Antes de instalar, deberemos mirar bien los comentarios que tiene la aplicación y cuándo se creó, y aún así siempre debemos desconfiar un poco. Estas herramientas son útiles, pero al final estamos confiando en una aplicación hecha por terceras personas que no conocemos, y no en la capacidad de nuestra mente de retener una frase, por ejemplo.

    Lo ideal: la autenticación en dos pasos

    Existen tres métodos para poder autenticar a una persona en un servicio, ya sea web o presencial: lo que sabemos, lo que somos y lo que tenemos. Sabemos las contraseñas (las tenemos en la memoria). Somos las huellas dactilares o el iris, en general la biometría. Y tenemos un dispositivo al que enviar un código único, el teléfono por ejemplo.

    Desde hace ya un tiempo se sabe que utilizar únicamente un factor de autenticación es un problema grave de seguridad, por eso los bancos y otros servicios ya utilizan dos. Aparte de la contraseña, nos envían un código único para validar las acciones que hacemos. Además, los teléfonos de última generación ya disponen de la biometría para gestionar los accesos a las webs que queremos guardar.

    Con un buen uso de esos factores de autenticación, las contraseñas se van a quedar muchos años con nosotros. Es muy recomendable que en todos los sistemas que lo permitan activemos ese segundo factor de autenticación, sobre todo en las webs de compras o aquellas que tengan guardada la tarjeta de crédito para comprar, el correo electrónico, etc.

    Aunque los ciberdelicuentes consigan obtener la contraseña, no podrán tener el mismo dispositivo o la misma huella dactilar. Aunque haya problemas de ciberseguridad con estos últimos métodos, no son tan sencillos de manipular y, por lo tanto, podemos estar un poco más protegidos que únicamente con el nombre de nuestra mascota o de nuestro equipo de fútbol favorito.The Conversation

    Jordi Serra Ruiz, Profesor de Ciberseguridad, UOC – Universitat Oberta de Catalunya

    Este artículo fue publicado originalmente en The Conversation. Lea el original.

  • Advertencias del FBI revelan 10 prácticas a tener en cuenta para detener a los piratas informáticos

    El FBI, junto con la Agencia de Ciberseguridad y Seguridad de la Infraestructura (CISA), la Agencia de Seguridad Nacional (NSA), así como las autoridades de seguridad cibernética de Canadá, Nueva Zelanda, los Países Bajos y el Reino Unido, han compilado una lista de los principales controles de seguridad, configuraciones y prácticas deficientes a tener en cuenta para evitar ciberataques. También contiene las mitigaciones colectivas recomendadas por las autoridades.

    «Los actores cibernéticos explotan de manera rutinaria las configuraciones de seguridad deficientes (ya sea que estén mal configuradas o no estén protegidas), los controles débiles y otras prácticas de higiene cibernética deficientes para obtener acceso inicial o como parte de otras tácticas para comprometer el sistema de una víctima», dice CISA.

    Ya sea que sea un usuario de Apple o Android o prefiera iniciar sesión en cuentas en una computadora portátil, estos grupos de seguridad en conjunto han revelado 10 consejos importantes que pueden mantenernos a salvo de los piratas informáticos a medida que el delito cibernético continúa aumentando:

    1. Configurar la autenticación
    El uso de autorizaciones de múltiples factores agrega más pasos al proceso de inicio de sesión, lo que dificulta que los piratas informáticos accedan a los registros de su teléfono. La mayoría de sus cuentas de redes sociales y banca en línea tendrán opciones de autenticación de múltiples factores en su sección de configuración.

    2. Evitar permisos incorrectos
    Este paso se aplica más a las empresas y es algo que puede señalar a su empleador. Los expertos en seguridad advierten contra tener largas listas de permisos de acceso a datos personales. Cuantas menos personas tengan acceso a datos privados e importantes, menos oportunidades tendrán los ciberdelincuentes para acceder al contenido.

    3. Actualizar su programa
    Esto puede parecer un punto obvio, pero muchas personas se olvidan de actualizar su software o posponen las actualizaciones del sistema. Las actualizaciones de software generalmente vienen con correcciones de errores, por lo que posponerlas puede permitir que un ciberdelincuente explote una falla en su dispositivo.

    4. No utilizar nombres de usuario y contraseñas predeterminados
    Cambiar las contraseñas con frecuencia y por algo que nadie pueda adivinar sobre usted, evitar los cumpleaños y los nombres de sus seres queridos. Nunca quedarse con un nombre de usuario o contraseña predeterminados porque son demasiado fáciles de adivinar para un hacker.

    5. Evitar las VPN innecesarias
    Las redes privadas virtuales pueden ser útiles para navegar por Internet como si estuviéramos en un país diferente, pero algunas pueden dejarnos expuestos a los estafadores. El FBI recomienda tener cuidado con la VPN que se elija usar, ya que algunas no tienen suficientes controles para evitar que los piratas informáticos accedan al contenido personal.

    6. Hacer que tu contraseña sea segura
    De manera similar a evitar una contraseña predeterminada, se recomienda asegurarse de que la que se elija sea segura. Los sitios generalmente recomiendan un nivel de seguridad medio a alto, lo que significa agregar números y símbolos adicionales.

    7. Ser precavidos con los servicios en la nube
    Cuando guardamos nuestros datos en servicios en la nube, asegurarse que están protegidos. Algunos servicios en la nube son más fuertes que otros, como iCloud de Apple, que es conocido por ser bastante seguro, pero hay algunas aplicaciones en la nube que podrían dejarlo vulnerable a los ataques, por lo que hay que tener cuidado con el contenido que se sube a la nube y a quién puede acceder a ella.

    8. Tener cuidado con los ‘servicios mal configurados’
    Este punto es más para los propios servicios, ya que tienen la responsabilidad de proteger sus datos. Investigaciones anteriores de IBM Security X-Force encontraron que dos tercios de los incidentes de seguridad en la nube podrían haberse evitado con las políticas de seguridad adecuadas.

    9. Estar alerta a las estafas de phishing
    Si se recibe un correo electrónico o mensaje de texto con un enlace sospechoso, debe evitarlo, incluso si el enlace es para algo aparentemente importante. Los estafadores confían en asustarlo o convencerlo de que obtendrá algo bueno.
    Las estafas de phishing pueden ser fáciles de detectar si se presta atención a por ejemplo errores de ortografía, uso incorrecto de nombres y direcciones de correo electrónico extrañas. Los estafadores intentarán comunicarse con usted a través de llamadas o mensajes de texto y tratarán de asustarlo para que proporcione información personal.

    10. Asegurarse de tener una protección adecuada
    El último consejo de seguridad se refiere a la detección de puntos finales. Este es un software que se supone que detecta una amenaza que ya ha superado algunas barreras para que pueda intentar bloquearla antes de que se propague. Asegurarse de tener un software de seguridad sólido o invertir en él.

  • Adolescente de 16 años podría ser cabecilla de hackeos masivos de Lapsus$

    Lapsus$, un grupo de ciberdelincuentes relativamente nuevo, se ha convertido en una de las pandillas de hackers más comentadas y temidas, después de violar con éxito importantes empresas y luego alardear de ello en las redes sociales.

    El grupo apareció por primera vez en los titulares cuando lanzó un ataque de ransomware contra el Ministerio de Salud de Brasil en diciembre de 2021, comprometiendo los datos de vacunación contra el COVID-19 de millones de personas en el país. Desde entonces, se ha centrado en varias empresas de tecnología de alto perfil, robando datos de Nvidia, Samsung, Microsoft y Vodafone, entre otras. Lapsus$ también logró interrumpir algunos de los servicios de Ubisoft y también obtuvo acceso a la computadora portátil de un contratista de Okta, poniendo en riesgo los datos de miles de empresas que usan el servicio. También se sospecha que está detrás del ataque del año pasado a EA Games.

    Según los informes, un miembro del grupo es «tan hábil para piratear, y tan rápido» que los investigadores inicialmente pensaron que la actividad que estaban observando estaba automatizada”.

    El 24 de marzo, la policía de Londres realizó siete arrestos en relación con el grupo, todos ellos de adolescentes, cuyas edades oscilarían entre los 16 y los 21 años.  Se dice que el cabecilla de la pandilla es un joven con autismo de 16 años oriundo de Oxford, Inglaterra. El hacker, que usa el seudónimo de «White», podría amasar una fortuna de 14 millones de dólares (£ 10,6 millones) gracias a la piratería, y habría sido identificado por piratas informáticos e investigadores rivales. El grupo podría tener su sede en América del Sur.

    El padre del niño dijo a la BBC: «Nunca había oído hablar de nada de esto hasta hace poco. Nunca ha hablado de piratería informática, pero es muy bueno con las computadoras y pasa mucho tiempo en la computadora. Siempre pensé que estaba jugando»

    Los primeros informes sobre Lapsus$ intentaron categorizar al grupo como una “banda de ransomware”, en parte debido a su hábito de filtrar datos robados, como suelen hacer las bandas de ransomware. Superficialmente, podría haber parecido uno, pero Lapsus$ en realidad nunca usó ransomware. La pandilla ha operado puramente a través de un modelo extorsionador, evitando el malware por completo. En lugar de cifrar los datos de las víctimas, Lapsus$ simplemente los roba y luego amenaza con filtrarlos si no se paga el rescate. Es una variación extraña y «torpe» del modelo de doble extorsión de la industria del ransomware, que utiliza amenazas gemelas de cifrado y fuga de datos para incitar a las víctimas a pagar. En general, la mayoría de las pandillas de ransomware operan como versiones en la sombra de las corporaciones típicas, desplegando maquinaria digital bastante organizada y sofisticada para el robo y la extorsión.

    Por el contrario, Lapsus$ ha operado como una startup disfuncional. En algunos casos, ha carecido de la disciplina para incluso pedir un rescate, optando en cambio por omitir una demanda financiera y simplemente filtrar los datos pirateados por el placer de hacerlo. Los investigadores de seguridad de Microsoft se han referido a este estilo como un «modelo puro de extorsión y destrucción».

    «A diferencia de la mayoría de los grupos de actividad que pasan desapercibidos, Lapsus$ no parece cubrir sus huellas», dijeron los investigadores del Threat Intelligence Center de Microsoft, en una publicación de blog reciente. «Llegan al extremo de anunciar sus ataques en las redes sociales o publicitar su intención de comprar credenciales de empleados de organizaciones objetivo. La banda también usa varias tácticas que otros actores de amenazas rastreados por Microsoft usan con menos frecuencia». Sin embargo, son esas mismas tácticas las que hacen que la «pandilla» sea tan fascinante.