“¿Y si mi hijo es un ‘hacker?” La experta Silvia Barrera ofrece una charla sobre internet y menores

La policía impartirá la conferencia en el colegio Jesuitas el 21 de noviembre

Silvia Barrero, Policía

¿A qué edad debo comprarle un móvil a mi hija? ¿Qué son el ‘grooming’ o el ‘sexting’? ¿Y el ‘egosurfing’? ¿Y si tengo un hijo ‘hacker’?¿Se puede recuperar la cuenta de redes sociales que le han robado a mi hijo? ¿Y si encuentras pornografía infantil en un dispositivo que no es tuyo?

Son algunas de las preguntas más frecuentes que suele recibir la inspectora de Policía Nacional, Silvia Barrera, adscrita a  la Jefatura Superior de Policía de La Rioja, máxima experta y referente en el ámbito de la ciberseguridad en España.

Barrera impartirá una charla bajo el título “El uso de Internet por menores” en el Centro Sagrado Corazón (Jesuitas), el próximo día 21 de noviembre a las 18.30 horas.¿Cómo pagar 60% menos en el seguro del coche?Hace 4 meses decidimos cambiar la compañía con la que tenemos asegurado nuestro coche porque estábamos cansados de pagar 480 € al año con Mapfre. Cada vez que veíamos en el buzón la carta de Mapfre nos poníamos de mal humor, pero esto dejó de ser un problema cuando descubrimos la nueva compañía a través de la cual hemos asegurado nuestro coche. Os contamos cómo hemos conseguido pagar un 60% menosHaz click para leer este contenido >>

Se trata de la primera vez que esta profesional imparte una conferencia en Logroño y la charla se enmarca en el Plan Director para la Convivencia y Mejora de la Seguridad Escolar.Está dirigido a estudiantes de 12 a 18 años, madres, padres y docentes, con el objetivo de prevenir y dar a conocer los riesgos y las medidas de seguridad ante problemas como el acoso escolar, el consumo de drogas y alcohol, el vandalismo, la violencia sobre las mujeres o los delitos de odio, así como en el uso de las nuevas tecnologías. 

En este último caso, es especialmente preocupante todo aquello relacionado con su utilización para la realización de conductas muy peligrosas, y en algunos casos delictivas, como  el acoso escolar o ciberacoso, el acoso sexual también llamado “Child Grooming”, o la difusión de contenidos de naturaleza sexual por medio de teléfonos móviles, conocida como”Sexting”.

Barrera lleva 15 años trabajando en el ámbito de la ciberseguridad y fundó y dirigió el grupo de investigación en redes sociales de la Policía durante 5 años, así como el grupo forense digital de la Unidad de Investigación Tecnológica con sede en Madrid. Además ha participado como experta en grupos de trabajo internacional en Europol e Interpol en materia de cibercrimen y ha escrito varios libros sobre estos temas.

Ya está abierto el plazo de inscripción hasta completar aforo, dirigido a todas las familias (padres y madres) y docentes que estén interesados en tener una visión más certera de los problemas que pueden tener sus hijos y alumnos en relación a uso de las nuevas tecnologías y de las redes sociales, tanto como posibles víctimas o como autores de los hechos, así como de una serie de consejos a tener en cuenta a la hora de detectar esos problemas, y qué hacer en esos casos.

Así, además de las preguntas ya citadas, Barrera ha recibido frecuentemente consultas como las que siguen:

– ¿Se debe publicar información de los hijos en la Red?

-¿Control o supervisión? ¿Se recomiendan las herramientas de control parental?

– Peligros de los videojuegos, juegos sociales y casinos online.

– ¿Qué hago si mi hijo ha llegado al nivel máster del videojuego gracias a sablearme la cuenta bancaria comprando bienes virtuales?

– Cómo ayudar a mis hijos a crear y gestionar un perfil en redes sociales.

– Espionaje casero.

– ¿Cómo gestiono el haber descubierto que mi hijo ha publicado contenidos lesivos o participa en foros donde se comparte información violenta?

Los interesados pueden inscribirse en la cuenta de correo electrónico perteneciente al Grupo de Participación Ciudadana de la Jefatura Superior de Policía de la Rioja:logrono.participacion@policia.es.TAGS:La RiojainternetPolicíamenoresciberdelitos|||


 

Cómo saber si tus contraseñas están a la venta en la Deep Web

Móviles plegablesMejores Apps 2019Cambio climáticoWhatsappTecnoxplora

COMPRUÉBA SI TE HAN HACKEADO

Cómo saber si tus contraseñas están a la venta en la Deep Web

Últimamente es el pan nuestro de cada día. No hay semana en la que nos levantemos y descubramos que esta u otra web ha sido hackeada y los datos de los usuarios están en manos de ciberdelincuentes. ¿Cómo podemos saber si hemos sido víctimas de uno de estos casos?

Hacker
Hacker | Pixabay / Pexels

PublicidadDavid G. Bolaños  Madrid

Aunque pensemos que bueno, que nos roben la contraseña de tal o cual servicio no es tan importante porque lo usamos poco… quizás nos preocupe más si pensamos en la cantidad de servicios que usamos el mismo correo y la misma password – incluyendo nuestra propia cuenta de email – quizás ya nos empiece a entrar un sudor algo más frío.

Cuando una compañía ya informa de que ha sufrido un robo de datos, estos han volado hace tiempo de sus servidores y poco más se puede hacer que cambiar rápidamente nuestros datos de acceso a los diferentes servicios.

Datos
Datos | Negative Space / Pexels

¿Qué pueden hacer los hackers con nuestros datos?

La respuesta es sencilla, dinero. Entre los datos que pueden llegar a obtener de algunas cuentas están números de identificación nacional, tarjetas de crédito, registros de actividad y otros que les pueden ayudar a robarnos más información como pueden ser cumpleaños o el nombre de nuestra mascota. Con toda esta información pueden llegar a suplantar nuestra identidad en Internet, abriendo cuentas a nuestro nombre, comprando productos, etc.

Cómo descubrir si nuestros datos están en la Deep Web

Al menos, podemos utilizar diferentes herramientas para descubrir si nuestros datos han sido víctimas de alguna de estas filtraciones y si debemos hacer una batida cambiando contraseñas y accesos en todos los servicios que, por otra parte, nos deberían haber avisado.

Empezamos con Google, que a través de su servicio de gestión de passwords nos da una herramienta que puede avisarnos de si nuestras credenciales, en aquellos sites en los que utilicemos la cuenta de Google, han sido filtrados. Para encontrar esta herramienta nos vamos a https://passwords.google.com/ y dentro de las opciones damos a la que pone “Comprobar contraseñas”.

Password Manager
Password Manager | Google

Ya sólo nos queda esperar a que nos ofrezca un informe que suele tardar unos segundos… para llevarnos un buen susto en la mayoría de las situaciones.

Password Manager
Password Manager | Google

Además de las cuentas vulneradas nos ofrecerán información de las contraseñas que hemos reutilizado y las cuentas que tienen una que es poco segura.

Otra opción nos la ofrece Firefox Monitor, un servicio de Mozilla que nos permite hacer una búsqueda de nuestro correo en las diferentes filtraciones que ha habido de datos desde 2007 así como la posibilidad de estar enterados en el futuro de otras situaciones similares.

Firefox Monitor
Firefox Monitor | Mozilla

Expertas en ciberseguridad y big data, las mejores profesiones para las mujeres del futuro

 

Desarrolladora de software, directora de proyectos tecnológicos, diseñadora gráfica digital y expertas en big data y ciberseguridad son algunos de los diez perfiles en el sector de las nuevas tecnologías de la información y la comunicación (TIC) con mejores salidas profesionales y remuneración para las mujeres.

A esos puestos se añaden los de expertas en inteligencia artificial, cloud computing, blockchain, robótica educativa y transformación digital, según recoge el informe ‘Empleo IT Mujer: 10 profesiones con futuro’ elaborado por la Universidad Internacional de La Rioja (UNIR) e Infoempleo y que presentó la semana pasada la ministra de Educación en funciones, Isabel Celaá.

«Diez profesiones con futuro, que suponen un yacimiento de empleo al que están llamadas, especialmente las niñas, las mujeres, para superar la actual brecha de vocaciones científicas y tecnológicas», ha subrayado Celaá.

Tras aseverar que la discriminación de las mujeres ante el empleo es una «dinámica que conlleva costes elevados para las mujeres y para la economía, la ministra ha asegurado que »invertir en equidad de género es rentable«, además de ser un mandato constitucional.

Celaá ha afirmado que estas 10 profesiones identificadas en el informe tendrán sus correspondientes nuevas titulaciones en el catálogo de Formación Profesional que están «renovando» y ha dicho que, de cara a la nueva legislatura, están trabajando en 80 nuevas ofertas de FP asociadas, la mayor parte, a la transformación digital de la economía.

Asimismo, ha recordado que se está elaborando el Plan Estratégico sectorial 2019-2022 para incrementar la participación de las niñas y jóvenes en disciplinas de ciencia, tecnología, ingeniería y matemáticas (STEM), así como para formar y sensibilizar al profesorado en la importancia de reducir la brecha de género y trabajar con las familias y la sociedad.

«Como sociedad hemos de conseguir generar un ambiente, cultivar simpatía por las ciencias, las tecnologías y las matemáticas y debe ser un reto que no sólo corresponde al sistema educativo, sino a la sociedad en su conjunto», ha añadido.

El informe describe cada uno de los diez perfiles identificados, salidas profesionales, rango de salarios y formación necesaria para desempeñar sus funciones.

Así, detalla que el sueldo medio de una experta en big data está entre los 30.000 y 50.000 euros anuales, y su tarea es recoger, almacenar y analizar grandes bases de datos y preparar informes con fórmulas y métodos estandarizados.

Entre 30.000 y 60.000 euros al año cobrar una especialista en ciberseguridad por desarrollar estrategias para prevenir cualquier ataque cibernético, mientras que una directora de proyectos tecnológicos ganaría entre 53.000 y 120.000 euros anuales y una experta en inteligencia artificial entre 27.000 y 77.500 euros.

El salario de una especialista de robótica educativa oscila entre 24.000 y 30.000 euros anuales y el de una experta en cloud computing (lidera el cambio empresarial que supone la adopción de la nube para la infraestructura de una empresa) entre 34.000 y 45.000 euros.

El puesto para aplicar las últimas tecnologías en el mundo de los negocios, empleando bloques de claves criptográficas para asegurar la confidencialidad de la información (blockchain) tiene un salario medio de entre 30.000 y 60.000 euros al año, mientras que la especialista en transformación digital cobra entre 60.000 y 80.000 euros anuales.

Los salarios medios más bajos corresponden a los perfiles de desarrolladora de software (entre 18.000 y 35.000 euros) y de diseñadora gráfica digital (entre 16.000 y 50.000 euros).

Para el rector de la UNIr, José María Vázquez, pese a que el problema de que cada vez haya menos mujeres interesadas en el ámbito tecnológico lo sufren las universidades con pocas estudiantes en los grados de STEM, «la solución está en la enseñanza primaria y secundaria».

«Hay que enseñar las ciencias y la tecnología de una manera distinta a cómo se viene haciendo, que es la misma manera en la que se enseñaban estas materias cuando no se esperaba que las niñas fueran en el futuro ingenieras», ha añadido.

Conoce las 5 predicciones en ciberseguridad para 2020.

5 predicciones de ciberseguridad para 2020

https://www.redeszone.net/noticias/seguridad/5-predicciones-ciberseguridad-2020/

Hay muchos tipos de ataques y amenazas que pueden surgir cuando nos conectamos a la red. Por suerte tenemos la posibilidad de utilizar también muchas herramientas para protegernos. Sin embargo hay que tener en cuenta que determinados tipos de ataques pueden estar más presentes. Hoy nos hacemos eco de una predicción sobre el futuro de la ciberseguridad en 2020. Vamos a mostrar cuáles son los 5 problemas que más pueden afectar a la ciberseguridad.

Predicciones de ciberseguridad para 2020

Aumento de la capacidad de ataques externos

Muchas organizaciones han sufrido ataques externos en los últimos meses. Hay muchas amenazas que pueden poner en riesgo su estabilidad y seguridad. Según una de las predicciones de cara a 2020, esta cifra va a aumentar. Cada vez hay más dispositivos de lo que se conoce como el Internet de las Cosas, así como el uso de la nube pública. Esto provoca que pueda haber un aumento considerable de los ataques externos hacia una organización.

El hecho de utilizar más dispositivos conectados y más plataformas que potencialmente puedan ser una amenaza provocan ese aumento de la capacidad de los ataques externos. No es lo mismo atacar a una compañía que tenga pocos recursos y pocos medios conectados a la red, que a otra que cuente con múltiples posibilidades.

Miles de datos expuestos en la nube por una mala configuración

Cada vez es más utilizada la nube para almacenar información. Esto es algo que hay que aplicar tanto a usuarios particulares como también a empresas. Sin embargo hay que tener en cuenta que le hecho de utilizar la nube puede suponer también un problema para la seguridad informática.

Otra de las predicciones de cara al próximo año va en este sentido. Muchas empresas pueden tener una mala configuración de la nube y eso supone exponer miles de datos en la red. De hecho, según indica Forbes el 83% de la información y trabajos empresariales estará en la nube en 2020.

Una gran parte de los fallos de seguridad en la nube dependen del cliente. Puede ser una mala configuración, no haber aplicado los parches de seguridad, etc.

Seguridad en la red en 2020

Reutilización de contraseñas y ataques Phishing

No es una novedad. Los ataques Phishing ya son un problema importante para nuestra seguridad, pero irá en aumento. Según los expertos en ciberseguridad durante 2020 habrá más ataques de este tipo y muchas pérdidas de contraseñas será a causa de utilizar una misma clave en varios sitios.

Estos ataques tienen una eficiencia bastante grande en determinadas situaciones. Especialmente si hablamos a nivel empresarial están más presente y con un mayor éxito que a nivel de usuarios particulares.

Violaciones de datos de terceros

Una de las amenazas que más presente estará durante el próximo año son las violaciones de datos de terceros. Según indica Symantec esto ya aumentó un 78% durante este año. Principalmente va a afectar a organizaciones pequeñas y que no pueden permitirse una gran inversión en ciberseguridad.

Los expertos aseguran que durante 2020 las violaciones de datos de terceros estarán más presentes que nunca a nivel empresarial. Será otro de los problemas que debamos enfrentar.

Problemas para cumplir las normativas de seguridad

Esto es algo que, según el informe, va a afectar principalmente a Estados Unidos. Aseguran que cada Estado tiene unas leyes diferentes relacionadas con la privacidad en la red. Esto hace que muchos trabajadores encargados de que se cumplan esas normativas pueden tener problemas a la hora de asegurarse de que realmente se aplica la correcta.

Esto podría dar lugar a una mayor flexibilidad y que provoque que la seguridad en la red, así como el mantenimiento de la privacidad, puedan verse comprometidos.

 

Todo lo que necesita saber sobre los hackers, quiénes son, cómo hackean, y qué puede hacer para protegerse de ellos. También trata la historia de los hackers y el hackeo, hackeo en Mac y en Android.

https://es.malwarebytes.com/hacker/

Todo sobre el hackeo

¿Qué es el hackeo?

El hackeo hace referencia a las actividades que buscan comprometer los dispositivos digitales, como ordenadores, teléfonos inteligentes, tabletas e incluso redes enteras. Y aunque el hackeo puede no tener siempre fines maliciosos, actualmente la mayoría de las referencias tanto al hackeo como a los hackers, se caracterizan como actividad ilegal por parte de los ciberdelincuentes, motivados por la obtención de beneficio económico, por protesta, recopilación de información (espionaje), e incluso sólo por la “diversión” del desafío.

Muchos piensan que el término “hacker” hace referencia a algún autodidacta superdotado o programador deshonesto experto en modificar hardware o software de modo que se pueda utilizar en modos distintos al concebido por los desarrolladores originales. Pero esto es una visión limitada que no engloba la amplia gama de razones por las que alguien comienza a hackear. (Para un análisis en detalle sobre los hackers, lea “Desde el anonimato: por qué el dinero, el poder y el ego llevan a los hackers al delito informático” por Wendy Zamora).

El hackeo es por lo general técnico por naturaleza (como crear publicidad maliciosa que extiende el malware en un ataque fortuito que no requiere interacción por parte del usuario). Pero los hackers también pueden utilizar la psicología para engañar al usuario y que haga clic en un archivo adjunto malicioso o proporcione sus datos personales. Estas tácticas se conocen como “ingeniería social”.

“El hackeo ha evolucionado desde una travesura de adolescentes a un negocio con un crecimiento multimillonario”.

De hecho, los términos hackeo y hackear son en realidad un paraguas que abarca las actividades presentes en la mayor parte del malware y de los ciberataques maliciosos realizados sobre particulares, empresas y organismos públicos. Junto a las técnicas de ingeniería social y publicidad maliciosa, los hackers suelen recurrir a:
Botnets
Secuestros de navegador
Ataques por denegación de servicio distribuido (DDoS)
Ransomware
Rootkits
Troyanos
Virus
Gusanos

Como tal, el hackeo ha evolucionado desde una travesura de adolescentes a un negocio con crecimiento multimillonario, cuyos adeptos han establecido una infraestructura delictiva que desarrolla y vende herramientas de hackeo llave en mano a potenciales estafadores con habilidades técnicas menos sofisticadas (conocidos como “script kiddies”). Como ejemplo, consulte: ransomware-as-a-service.

En otro ejemplo, los usuarios de Windows son, según algunos informes, el objetivo de una campaña generalizada de ciberdelincuentes que ofrecen acceso remoto a sistemas informáticos por sólo 10 dólares por medio de una tienda de hackeo situada en la web oscura, permitiendo potencialmente que los atacantes roben información, alteren los sistemas, o desplieguen ransomware, entre otras actividades. Los sistemas puestos a la venta en el foro van desde Windows XP a Windows 10. Los vendedores ofrecen incluso consejos acerca de cómo pasar inadvertido al realizar inicios de sesión ilícitos.

Historia del hackeo/hackers

En su uso actual, el término se remonta a los años 70. En 1980, un artículo en Psychology Today utilizaba el término “hacker” en su título: “The Hacker Papers,” que analizaba la naturaleza adictiva de los ordenadores.

Luego está la película norteamericana de ciencia ficción de 1982, Tron, en la que el protagonista describe sus intenciones de entrar en el sistema informático de una empresa como si lo hackeara. La trama de otra película estrenada al año siguiente, Juegos de guerra, se centraba un adolescente que desde su ordenador realizaba una intrusión en los sistemas del Mando Norteamericano de Defensa Aeroespacial. Era una ficción que presentaba el espectro de los hackers como una amenaza para la seguridad nacional.

“Una pandilla de hackers adolescentes entró en sistemas informáticos repartidos por Estados Unidos y Canadá”.

Resultó que el arte se hizo pronto realidad pues ese mismo año una pandilla de hackers adolescentes entró en numerosos sistemas informáticos de Estados Unidos y Canadá, incluidos los del Laboratorio Nacional de Los Álamos, el centro oncológico Memorial Sloan-Kettering y el banco Security Pacific. Poco después, un artículo en Newsweek con una portada de uno de los jóvenes hackers fue el primero en utilizar el término “hacker” en sentido peyorativo en los medios convencionales.

A partir de entonces, el Congreso tomó medidas y aprobó una serie de proyectos de ley relacionados con el delito informático. Posteriormente, durante el resto de los años 80, se formó un número indefinido de grupos de hackers y se crearon publicaciones tanto en Estados Unidos como en otros países, atrayendo a los apasionados del hackeo en busca de diversas misiones, algunas buenas, otras no tanto. Hubo ataques espectaculares e intrusiones en ordenadores gubernamentales, corporativos, más legislación antihackeo y muchos arrestos y condenas. Mientras tanto, la cultura popular mantuvo el hackeo y a los hackers en la conciencia pública con una sucesión de películas, libros y revistas dedicados a la actividad.

Para un extenso cronograma de la historia de los hackers, incluida la aparición en la era moderna del hackeo patrocinado por terroristas y por estados, haga clic aquí.

Tipos de hackeo/hackers

En términos generales, puede decir que los hackers intentan entrar en los ordenadores y redes por cualquiera de las siguientes cuatro razones.

  • Existen ganancias económicas delictivas: es decir, el robo de números de tarjeta de crédito o defraudar a los sistemas bancarios.
  • Además, ganar credibilidad popular y crearse una reputación dentro de la subcultura hacker motiva a algunos hackers a dejar su marca en los sitios web que vandalizan como prueba de que han logrado acceder ilegalmente.
  • Luego está el espionaje corporativo, cuando los hackers de una empresa buscan robar información sobre los productos y servicios de un competidor para obtener ventajas en el mercado.
  • Por último, naciones enteras se embarcan en hackeo patrocinado por el estado para robar información de empresas y/o de inteligencia nacional, para desestabilizar la infraestructura de sus adversarios, o incluso para sembrar la discordia y confusión en un país. (Existe un consenso de que China y Rusia han llevado a cabo este tipo de ataques, incluido uno a Forbes.com. Además, los recientes ataques al Comité Nacional Demócrata en EE. UU. se convirtieron en una noticia de impacto, especialmente después de que Microsoft dijera que los hackers acusados de los ataques a este Comité se habían aprovechado de fallos ocultos hasta entonces en los sistemas operativos Windows de Microsoft y el software Flash de Adobe Systems. Existen también casos de hackeo por cortesía del gobierno de los Estados Unidos.)

Existe una categoría más de ciberdelincuentes: el hacker que tiene motivación política o social por alguna causa. Estos hacker-activistas, o “hacktivists”, luchan por dirigir el interés público a un tema captando la atención desde un prisma poco favorable sobre el asunto, normalmente haciendo pública información confidencial. Para conocer algunos grupos destacados de hacktivists, junto con algunas de sus campañas más famosas, consulte AnonymousWikiLeaks y LulzSec.

“La frontera de la seguridad informática actual mantiene esa atmósfera del salvaje oeste, con hackers de sombrero blanco y de sombrero negro”.

Existe también otra forma de analizar los hackers. ¿Se acuerda de las películas clásicas del oeste? Los buenos = sombreros blancos. Los malos = sombreros negros. La frontera de la seguridad informática actual mantiene esa atmósfera del salvaje oeste, con hackers de sombrero blanco y de sombrero negro, e incluso una tercera categoría intermedia.

Si un hacker es una persona con un profundo conocimiento de los sistemas y programas informáticos, y utiliza ese conocimiento para manipular de alguna manera esa tecnología, entonces un hacker con sombrero negro lo hace para robar algo valioso o por alguna otra razón maliciosa. Por lo tanto, es razonable asignar cualquiera de esas cuatro motivaciones (robo, reputación, espionaje corporativo y hackeo de estado nación ) a los sombreros negros.

Los hackers de sombrero blanco, por otro lado, luchan por mejorar los sistemas de seguridad de una organización al localizar fallos vulnerables con el fin de evitar el robo de identidad u otros delitos informáticos antes de que se den cuenta los sombreros negros. Las empresas incluso emplean sus propios hackers de sombrero blanco como parte de su personal de soporte, como destaca un reciente artículo de la edición online de The New York Times. O las empresas pueden incluso subcontratar el hackeo de sombrero blanco a servicios como HackerOne, que prueba los productos de software en busca de vulnerabilidades y errores a cambio de una recompensa.

Por último, están los hackers de sombrero gris, que utilizan sus habilidades para entrar en sistemas y redes sin permiso (como los sombreros negros). Pero en lugar de causar estragos de forma delictiva, pueden informar de su descubrimiento al propietario del objeto del ataque y ofrecerse a reparar la vulnerabilidad por una pequeña cuantía.

Últimas novedades sobre hackeo

Perspectivas sobre el hackeo ruso
Aplicación de la legislación británica: una situación particularmente difícil para luchar contra los hackers
Biohacking

Hackear en teléfonos Android

Aunque la mayor parte del hackeo está asociado a los ordenadores Windows, el sistema operativo Android también ofrece un objetivo atractivo para los hackers.

Un poco de historia: Los primeros hackers que exploraban obsesivamente métodos de baja tecnología para burlar las redes seguras de telecomunicaciones (y las costosas llamadas de larga distancia de esa época) se llamaban originalmente phreaks, una combinación de las palabras inglesas “phone” (teléfono) y “freak” (raro, friqui). Eran una subcultura definida en los años 70, y su actividad se denominaba phreaking.

En la actualidad, los phreakers han evolucionado desde aquella era de la tecnología analógica para convertirse en hackers en un mundo digital con más de 2000 millones de dispositivos móviles. Los hackers de los teléfonos móviles utilizan una variedad de métodos para acceder a un teléfono móvil e interceptar los mensajes del buzón de voz, llamadas telefónicas, mensajes de texto e incluso el micrófono y la cámara del teléfono, todo ello sin el permiso o incluso sin el conocimiento por parte de ese usuario.

“Los ciberdelincuentes pueden ver los datos almacenados en el teléfono, incluida la información de identificación y financiera”.

En comparación con los iPhones, los teléfonos Android están mucho más fracturados y su naturaleza de código abierto y las incoherencias en los estándares en lo relativo al desarrollo de software han situado a los Android ante un mayor riesgo de corrupción de datos y robo de información. Y una serie de consecuencias negativas se derivan del hackeo de teléfonos Android.

Los ciberdelincuentes pueden ver los datos almacenados en el teléfono, incluida la información de identificación y financiera. De igual forma, los hackers pueden rastrear su ubicación, hacer que su teléfono envíe mensajes a sitios web reconocidos o incluso propagar su ataque a sus contactos mediante mensajes que incluyan un enlace malicioso, ya que harán clic en el enlace porque aparentemente procede de usted.

Por supuesto, la aplicación legítima de la ley puede hackear teléfonos, con una orden de las autoridades, para tener acceso a copias de mensajes de texto y correos electrónicos, transcribir conversaciones privadas o seguir los movimientos de un sospechoso. Pero los hackers de sombrero negro pueden sin duda producir un gran perjuicio al acceder a las credenciales de su cuenta bancaria, eliminar datos o añadir una serie de programas maliciosos.

Los hackers de teléfonos pueden aprovechar muchas técnicas de hackeo informático, que se pueden adaptar fácilmente a los teléfonos Android. El phishing, el delito de dirigirse a individuos o miembros de organizaciones enteras y engañarlos para que revelen información confidencial por medio de ingeniería social, es un método probado y efectivo para los delincuentes. De hecho, puesto que un teléfono muestra una barra de direcciones mucho más pequeña en comparación con un PC, los ataques de phishing en el navegador de Internet de un móvil encuentran más sencillo falsificar un sitio Web aparentemente de confianza sin revelar los sutiles detalles (como errores ortográficos intencionados) que se pueden ver en el navegador de un equipo de escritorio. Así, recibe una comunicación de su banco solicitándole que inicie sesión para resolver un problema urgente, hace clic en el enlace oportunamente proporcionado, escribe las credenciales en el formulario, y los hackers ya le han cazado.

Las aplicaciones troyanizadas, descargadas de tiendas no seguras, son otra de las amenazas cruzadas de los hackers para los Android. Las principales tiendas de aplicaciones para Android (Google y Amazon) vigilan cuidadosamente las aplicaciones de terceros; pero el malware incorporado puede llegar de forma ocasional desde los sitios de confianza, y más a menudo desde los sitios que no son los más conocidos. Así es cómo su teléfono acaba albergando adwarespywareransomware , o cualquier otro tipo de malware indeseable.

“El bluejacking obtiene acceso a su teléfono cuando aparece en una red Bluetooth no protegida”.

Otros métodos son incluso más sofisticados y no requieren manipular al usuario para que haga clic en un enlace malo. El bluejacking obtiene acceso a su teléfono cuando aparece en una red Bluetooth no protegida. Es incluso posible imitar una red de confianza o una torre de telefonía móvil para redirigir mensajes de texto o inicios de sesión. Y si deja su teléfono desbloqueado desatendido en un espacio público, en lugar de simplemente robarlo, un hacker puede clonarlo al copiar la tarjeta SIM, que es como entregar las llaves de su castillo.

Hackear en Mac

No piense que el hackeo es sólo un problema de Windows: los usuarios de Mac pueden tener la seguridad de que no son inmunes.

Por ejemplo, en 2017  una campaña de phishing se dirigió a usuarios de Mac, principalmente en Europa. Transmitido por un troyano firmado con un certificado de desarrollador Apple válido, el hacker trata de lograr las credenciales lanzando una alerta de pantalla completa que afirma que hay una actualización esencial del sistema operativo iOS X a la espera de instalarse. Si el ataque tiene éxito, los atacantes consiguen acceso completo a todas las comunicaciones de la víctima, permitiéndoles vigilar a escondidas toda la navegación Web, incluso si es una conexión HTTPS con el icono del candado.

Además del hackeo mediante ingeniería social en los Mac, los fallos ocasionales de hardware también pueden crear vulnerabilidades, como fue el caso con los denominados fallos Meltdown y Spectre que dio a conocer The Guardian a principios de 2018. Apple respondió desarrollando protecciones contra el fallo, pero aconsejó a los clientes descargar software únicamente de fuentes de confianza como sus tiendas de aplicaciones para iOS y Mac para impedir que los hackers pudieran utilizar las vulnerabilidades del procesador.

Y luego está el insidioso Calisto, una variante del malware Mac Proton que funcionó sin control durante dos años antes de descubrirse en julio de 2018. Estaba oculto en un falso instalador de seguridad informática de Mac y, entre otras características, recopilaba nombres de usuario y contraseñas.

Por lo tanto, desde virus o malware hasta fallos de seguridad, los hackers han creado un amplio surtido de herramientas para causar estragos en su Mac. Los más recientes de ellos están documentados aquí por el equipo de Malwarebytes Labs.

Prevención del hackeo

Si su ordenador, tableta o teléfono está en el centro de la diana de un hacker, rodéelo de círculos concéntricos de medidas de precaución.

Sobre todo, descargue un producto antimalware (o app para el teléfono) de confianza, que pueda detectar y neutralizar malware y bloquear las conexiones a sitios web maliciosos de phishing. Por supuesto, tanto si utiliza Windows, Android, un Mac, un iPhone, o está en una red empresarial, recomendamos la protección por capas de Malwarebytes for WindowsMalwarebytes for AndroidMalwarebytes for MacMalwarebytes for iOS, y los productos Malwarebytes para empresas.

“Sepa que ningún banco o sistema de pago online jamás le pedirá sus credenciales de inicio de sesión, número de la seguridad social, o número de la tarjeta de crédito mediante correo electrónico”.

En segundo lugar, únicamente descargue aplicaciones para teléfono de los repositorios de aplicaciones legítimos que se ocupan de controlar las aplicaciones para que no transporten malware, como Google Play y Amazon Appstore. (Tenga en cuenta que la política de Apple limita a los usuarios de iPhone a descargar sólo de la App Store). Incluso así, cada vez que descargue una aplicación, compruebe antes las calificaciones y los comentarios. Si una aplicación tiene una calificación baja y pocas descargas, es mejor evitarla.

Sepa que ningún banco o sistema de pago online jamás le pedirá sus credenciales de inicio de sesión, número de la seguridad social, o número de la tarjeta de crédito mediante correo electrónico.

Tanto si está utilizando su teléfono o un ordenador, asegúrese de mantener el sistema operativo actualizado. Y mantenga actualizado también el software instalado.

Evite visitar sitios web no seguros, y nunca descargue archivos adjuntos sin verificar o haga clic en enlaces en correos electrónicos desconocidos.

Todo lo anterior es higiene básica y siempre una buena idea. Pero los malos siempre están buscando nuevas formas de entrar en su sistema. Si un hacker descubre una de sus contraseñas que utiliza para múltiples servicios, disponen de aplicaciones que pueden violar sus otras cuentas. Por lo tanto, haga que sus contraseñas sean largas y complicadas, evite utilizar la misma para diferentes cuentas y utilice, en su lugar, un administrador de contraseñas. Porque el valor de incluso una sola cuenta de correo electrónico hackeada puede acarrearle numerosos desastres.

Diez herramientas de pentesting con las que poner a prueba la seguridad de tu empresa

 

El pentesting (conocido habitualmente también como test de penetración) es una de las tareas preferidas para los profesionales de la seguridad informática. Básicamente, consiste en atacar un sistema o una red, con el objetivo de identificar posibles errores, fallos de configuración o vulnerabilidades, de modo que al corregirlos, se puedan prevenir ataques externos.

Los pentatesters también cono conocidos como «hackers éticos» ya que habitualmente ponen sus conocimientos al servicio de las empresas, que cada vez más, demandan este tipo de perfiles profesionales. Para desarrollar su trabajo, utilizan todo tipo de herramientas: analizadores de puertos, interceptadores de tráfico web, inyectores de código, etc. En este artículo especial os hablamos de diez de las más conocidas y populares.

Kali Linux

No es la primera vez que hablamos de Kali Linux en MuySeguridad. Ya os contamos que más que una herramienta de intrusión, lo que Kali Linux nos ofrece es una distribución de Linux completa orientada a la auditoría de seguridad informática y el hacking ético. No es la única por supuesto (ahí están ejemplos como el de Parrot OS) pero sin duda es la más conocida.

En su última versión, Kali Linux incluye novedades como la actualización del kernel Linux 4.19 y la suite de pentesting Metasploit 5.0, además de mejoras específicas de la edición ARM y dispositivos concretos como Raspberry Pi. Más allá de lo anterior, el conjunto de herramientas que ofrece es realmente completo.

En su versión «out of the box», Kali Linux ofrece a los usuarios más de 300 herramientas de pentatesting y seguridad, si bien está más pensado para atacar antes que defender una red informática.

nmap

nmap (network mapper) es una de las grandes veteranas del sector. Este escáner de puertos es una de esas herramientas que forman parte del ABC de cualquier auditor de sistemas.  Algunas de las respuestas que proporciona son las siguientes: ¿qué puerto están abiertos en una máquina? ¿qué es lo que hay detrás de esos puertos?

Acceder a esa información es clave en las primeras fases de trabajo de cualquier pentatester. Utilizarla equivale a llamar a la puerta de una máquina que nos interesa y preguntar…¿hay alguien ahí? ¿quién es? En este sentido, tiene soporte para llamadas ping, es capaz de detectar protocolos de servicio y las versiones de las aplicaciones que se encuentran detrás de cada puerto o acceder al ID de un dispositivo.

Metasploit

Metaploit es otra de esas navajas suizas que tiene que tener a mano cualquier pentatester que se precie de serlo. Su objetivo no puede ser más sencillo: encontrar agujeros de seguridad en todo tipo de redes, aplicaciones y dispositivos.

Para ello la herramienta permite en primer lugar cargar el código (o el destino) que se quiere «explotar» para a continuación, someterlo a uno o varios de los más de 900 exploits conocidos que hay registrado en su base de datos.

El uso de Metasploit suele seguir al de nmap (o similar), una vez el investigador ha accedido a más información sobre tipo de sistema operativo, aplicación o dispositivo de hardware que se encuentra «al otro lado». En caso de querer defender una red corporativa, el uso de Metasploit puede ser fundamental a la hora de entender dónde se encuentran los eslabones más débiles.

Wireshark

Wireshark es probablemente, en analizador de protocolos y tráfico de red más utilizado en el mundo. La herramienta captura tráfico en tiempo real y analiza a nivel «microscópico» qué es lo que está pasando.

Aunque los pentatesters lo utilizan fundamentalmente para analizar el tráfico a nivel TCP/IP, la herramienta es capaz de analizar cientos de protocolos, de modo que el investigador pueda conocer qué es exactamente lo que se está moviendo dentro de una red.

sqlmap

No hay nada que le «siente mejor» a una base de datos que una inyección de código SQL. Y para demostrar que estamos en lo cierto, nada mejor que utilizar sqlmap. Si esta herramienta es tan interesante es porque automatiza el proceso de detectar y explotar fallos y brechas de seguridad en servidores  BBDD basados en SQL. Es decir, casi todos.

En este sentido, sqlmap tiene soporte para MySQL, Oracle, PostgreSQL, Microsoft SQL Server, Microsoft Access, IBM DB2, SQLite, Firebird, Sybase, SAP MaxDB, Informix, HSQLDB y H2.

John the Ripper

Si quieres desencriptar ese archivo que «misteriosamente» ha llegado a tus manos, una buena forma de empezar es con John the Ripper.

Aunque siempre dependerá de la potencia de tu GPU, este proyecto open-source no debería de tener demasiados problemas a la hora de «reventar» la mayoría de las «contraseñas populares», realizando un ataque de «fuerza bruta» que se puede prolongar hasta el infinito si tienes paciencia. Evidentemente, no es lo ideal para contraseñas complejas o si el archivo ha sido encriptado con una buena herramienta.

Hydra

Mientras que John de Ripper intenta averiguar la contraseña de ese archivo que de alguna forma has obtenido, Hydra hace lo propio con cualquier servicio on-line. Para ello tiene soporte para protocolos como SSH, FTP, IMAP, IRC entre otros.

Para conseguir que funcione correctamente deberemos seleccionar el servicio que queremos «crackear», poner el nombre de usuario y subir un archivo que contenga las contraseñas que queremos probar.

aircrack-ng

¿Sabes cómo es de segura la red inalámbrica de la empresa? Si quieres descubrirlo y detectar si tiene alguna vulnerabilidad, nada mejor que probar con la herramienta aircrack-ng.

En muchos casos descubrirás que las principales vulnerabilidades se encuentran en una mala configuración de la red, el uso de contraseñas débiles o la falta de actualización del firmware de los dispositivos.

Burp Suite

Ninguna colección de herramientas de pentatesting está completa si no contamos con Burp Suite, uno de los analizadores de vulnerabilidades web más completo. A diferencia de las herramientas de las que hemos hablado hasta ahora, Burp Suite ni es un proyecto open source ni es gratuito.

Más bien todo lo contrario. Hablamos de una herramienta cara (3.999 euros) al año, y que se encuentra solo al alcance de aquellos que hacen de la auditoría de seguridad, su medio de vida. Es cierto que existe también una versión gratuita de la suite (la conocida como community edition), pero carece de la mayoría de los servicios que convierten a Burp Suite en un producto realmente interesante.

Si resulta tan caro es que existe una razón realmente válida. Basta apuntar una página web, para al soltar la «artillería» descubrir en unos segundos si resulta vulnerable ante alguno de los ataques que han sido reportados.

Zed Attack Proxy

Aquellos que no tengan o no quieran invertir 4.000 dólares anuales en Burp Suite, pueden «conformarse» con el gratuito Zed Attack Proxy (ZAP). No es ni tan completo ni tan fácil de utilizar, pero dispone de herramientas que lo convierten en un arma de intrusión igualmente efectiva.

ZAP se configura como un «man in the middle» que se sitúa entre nuestro navegador y la web que nos interesa inspeccionar, capturando el tráfico, para que a continuación podamos inspeccionarlo o modificarlo si descubrimos que reporta alguna vulnerabilidad.

 

Hackers, el lado bueno de un oficio oculto

http://elcolombiano.com/tecnologia

Foto: Pixabay

La imagen más fácil a la hora de imaginar un hacker es una persona encapuchada, encerrada en un cuarto oscuro, maquinando un robo millonario o vendiendo fotos íntimas en el mercado negro. Y aunque existen miles de este tipo, conocidos como los black hat, hay muchos de investigación llamados white hat, y su trabajo ha sido fundamental para tener los avances que hoy existen en ciberseguridad.

Piense en las actualizaciones de sistema operativo que ha recibido en los últimos meses en su celular y computador. Aunque parezca molesto y muchas veces no las pueda instalar por falta de espacio, cada nueva versión trae un parche de seguridad para protegerlo de una vulnerabilidad que seguramente fue descubierta y reportada por un hacker.

Lo mismo sucede con los avances en la seguridad del hardware. Un ejemplo ocurrió en 2016: un hacker llamado Damien Zammit descubrió que los procesadores de Intel tenían un backdoor, o puerta abierta, que permitía a cibercriminales tener acceso remoto a la memoria almacenada en el computador.

El reto es por el exploit
El trabajo de los hackers ayuda a contruir sistemas más fuertes. El ingeniero Fredy Romero, especialista en bases de datos de la compañía Quintero Hermanos, explica que los sistemas tienen puertas por donde entra y sale información y lo que un hacker hace es verificar qué programas o plataformas tienen algunas abiertas.

“En ese sentido, sin hackers no tendríamos ningún software medianamente seguro. Algunos reportan la vulnerabilidad a la compañía desarrolladora y otros deciden aprovecharse de la puerta abierta y hacen un ataque mediante un exploit. De cualquier manera, obligan a que los programadores refuercen la seguridad”, señala Romero.

En el mundo de la informática, un exploit es cuando se fabrica un troyano, gusano o ransomware para explotarlo en una puerta abierta de un sistema y establecer un canal de comunicación entre el afectado y el atacante.

“Cuando un hacker descubre una brecha de información que nadie conoce y la explota de una nueva forma, se llama un exploit de día cero”, señala Axel Díaz, especialista en seguridad de la información e informática de Adalid.

Díaz explica que los exploit de día cero reciben este nombre solamente a partir del momento en que el fabricante se da cuenta de que existe esta nueva forma de ataque. Se llama día cero porque empieza el tiempo que tiene el fabricante del programa para reaccionar y generar un parche para un problema que se desconocía.

“Son muy difíciles de encontrar. Hay muchos días cero que no se han descubierto y el temor es que los hackers pueden pasar mucho tiempo intentando vulnerar la brecha antes de que sea conocida”, comenta.

Por su parte, Dmitry Bestuzhev, director de investigación y análisis de Kaspersky en América Latina, afirma que todos los hackers están en la búsqueda de los ataques de día cero, la diferencia está en qué hacen con esa información.

Recompensa Vs. silencio

Compañías como Microsoft y Google, principalmente, tienen programas de recompensas para los que reporten vulnerabilidades en sus sistemas operativos y dispositivos. El pasado 21 de noviembre, el programa de recompensas de seguridad de Android (ASR) anunció que entregaría 1,5 millones de dólares a quien encuentre “exploits que comprometan la seguridad de su teléfono Pixel y las pruebas para desarrolladores de Android”.

Si las compañías pagan estas jugosas recompensas a los hackers de investigación, ¿qué ganan quienes no acceden a estos programas y deciden ponerse del otro lado?

La respuesta está en que los white hat reciben una sola cantidad por reportar un exploit a una compañía, mientras que los black hat pueden vender un mismo exploit a varios clientes en el mercado negro, duplicando la cifra que podrían recibir si hacen público el ataque.

“Un exploit para iOS puede valer hasta 3 millones de dólares en el mercado negro”, señala Bestuzhev, y enfatiza en que a los black hat no les interesa que los fabricantes se enteren de los exploits, porque pueden ganar mucho más.

El interés de quienes compran estos en el mercado negro es seguir intentando un ataque hasta descubrir un exploit de día cero. “No se sabe por cuánto tiempo lo sigan vendiendo hasta que la casa productora se entere. Pueden pasar años”, comenta.

Un hacking ético

Cuando se trata de amenazas de ciberseguridad, la urgencia es por comunicar y hacer pública la información de vulnerabilidades y ataques, sin importar el factor económico o empresarial.

Un ejemplo de ello sucedió en agosto de este año, cuando investigadores de seguridad del Proyecto Cero de Google reportaron seis vulnerabilidades en iOS. Gracias a esto Apple diseñó parches para cinco de ellas que fueron lanzados en la versión 12.4 de su sistema operativo para iPhone.

Al respecto, Aníbal Rojas, vicepresidente de Ingeniería de la startup de educación en línea Platzi, señala que es importante enseñarles a los usuarios que “la seguridad es un proceso y nunca existirá un sistema completamente inmune”. Desde su experiencia en Platzi, que ofrece un curso de hacking ético, Rojas apunta la importancia de quitar estereotipos sobre un oficio que se ha convertido en una disciplina y que es esencial para avanzar a sistemas robustos.

Así que, la próxima vez que escuche una noticia sobre un nuevo ataque descubierto por un hacker, o una persona que vive de las recompensas de las empresas, antes de desconfiar, piense que detrás del evento podría estar el trabajo de un white hat, en la búsqueda por ganarle la carrera a quienes venden millonarios exploits en el mercado negro.

Chema Alonso,pierde fuerza en la nueva Telefónica

José María Álvarez-Pallete ha puesto Telefónica patas arriba esta semana con una nueva reorganización. Uno de los más afectados es su fichaje estrella, el ‘hacker’ Chema Alonso

Foto: Chema Alonso, durante una presentación en el Mobile World Congress de 2017. (EFE)

Chema Alonso, durante una presentación en el Mobile World Congress de 2017. (EFE)

 

“¿Que quién va a ser mi jefe? Pues no lo tengo claro, las líneas de ‘reporting’ aún se están definiendo”. La frase, de un directivo de Telefónica que pide mantener su anonimato, define muy bien lo que está ocurriendo estos días en el seno de la operadora. “Son momentos duros, hay mucha tensión“, explica otra fuente consultada. La onda expansiva del ‘reset’ estratégico lanzado esta semana por José María Álvarez-Pallete, con una reorganización profunda del negocio, moviendo sillas y uniendo y creando unidades, estaba hasta este viernes propagándose por toda la compañía. Y hay ganadores, perdedores y grandes interrogantes. A caballo entre estos dos últimos está el que fuera el fichaje estrella de Pallete hace tres años y medio, Chema Alonso. De visionario estrella, el ‘hacker’ de la operadora ha bajado un peldaño en el escalafón, se le han retirado responsabilidades clave pero se le han dado otras. ¿Qué está pasando?

Alonso tiene nuevo cargo: responsable de cliente digital (‘digital consumer’). La unidad es gigantesca y agrupa elementos dispares como la llamada 3ª plataforma (servicio digital al cliente), la 4ª plataforma (análisis y uso de datos de abonados), la innovación interna y externa (hasta ahora en manos de Gonzalo Martín-Villa, bloque que incluye todo el programa de emprendimiento y Wayra) y otros elementos como vídeo en Latinoamérica o Novum, el proyecto para unificar en una sola ‘app’ los clientes de la operadora a nivel mundial.

Dicho de otra forma, Alonso se queda con el negocio de consumidor digital al completo, que supone alrededor del 75% del total de ingresos en esta línea (más de 35.000 millones de euros) mientras que José Cerdán, exfundador de PC City y ex-CEO de Acens, una de las figuras que más peso ha ganado tras la remodelación, se queda con todo el negocio a empresas (el 25% restante de ingresos, más de 10.000 millones) y la unidad de nueva creación Telefónica Tech.

En términos de volumen de proyectos, la balanza es clara: Alonso pasa a asumir más trabajo y mayor número de empleados a su cargo. Sin embargo, se le ha despojado de dos frentes que hasta ahora habían sido sus grandes proyectos en la compañía: Luca, la unidad de ‘big data’ que está creciendo como un cohete en ingresos, encargada entre otras cosas de revender datos anónimos y agregados a terceros (y que ha firmado polémicos proyectos como el del INE), y Eleven Paths, la firma de ciberseguridad que el propio Alonso ayudó a crear y de la que seguirá siendo presidente ejecutivo, pero que en realidad será responsabilidad directa de Cerdán bajo Telefónica Tech.

Blog de WordPress.com.

Subir ↑