Expertos advierten sobre la ciberseguridad de EE.UU

EE.UU. no está preparado para un ciberataque.
Por Christopher Mims, publicado por The Wall Street Journal.

El reciente ciberataque que noqueó más de 1.200 sitios web fue una advertencia. Los expertos dicen que si un ataque similar, o incluso más grande, fuera lanzado mañana, el país sería impotente para prevenirlo.

Foto de AP Photo por Ted S. Warren
Visto en SPUTNIK. La foto no pertenece a la nota del WSJ

Nadie parece saber quien estuvo detrás del ataque, que fue lanzado por un “botnet” de miles de aparatos conectados a internet. El Departmento de Seguridad Nacional de EE.UU. no cree que el culpable fuera otro país.

Esto parece un alivio, pero en realidad es una noticia aún más terrible: ya no hace falta un gobierno o un hábil hacker para que internet se vuelva inaccesible para millones de personas. Cualquiera puede comprar la capacidad para hacer tal daño por menos de US$1.000.

Las países o los hackers más sofisticados son capaces de hacer cosas peores, según los expertos en cibersecuridad. Y el poder disuasorio de la amenaza de un contraatque cibernético o físico parece no ser suficiente.

Se cree que Estados Unidos empleó armas cibernéticas para paralizar el programa de enriquecimiento de combustible nuclear de Irán y que lanzó un dron para matar a un hacker que se cree que está trabajando con el Estado islámico. Más recientemente, el gobierno de Obama prometió tomar represalias contra Rusia por hackear cuentas de correo electrónico de estadounidenses prominentes.

El Pentágono tiene un cibercomando con capacidades defensivas y cada vez más ofensivas. Pero el almirante retirado James Stavridis, ex comandante supremo aliado de la OTAN, dice que es un equipo de “rejunte” de personal de otras ramas militares.

“Fundamentalmente [lo cibernético] no es diferente de aire, mar o tierra”, dice Stavridis, ahora decano de la Facultad de Derecho y Diplomacia Fletcher de la Universidad Tufts. “Es un lugar. Y allí vamos a tener preocupaciones de seguridad nacional”.

Eso significa que el país debería crear una “fuerza cibernética” y nombrar un director de ciberseguridad, tal como nombró un director de inteligencia nacional luego del 11 de septiembre, dice Stavridis. Tal fuerza sería capaz de responder no sólo a los ataques contra el gobierno y fuerzas armadas de Estados Unidos, sino también contra ciudadanos de ese país, sus empresas e infraestructura.

Un portavoz del Departamento de Defensa dice que las respuestas a los ataques cibernéticos necesitan abarcar “los sectores público y privado en todos los niveles”, como describe en una directiva reciente de la Casa Blanca. En la mayoría de los casos, dice el portavoz, el Pentágono no debería estar involucrado, a menos que un ataque represente un “daño demostrable a la seguridad nacional o intereses fundamentales” de Estados Unidos, como la economía, las relaciones exteriores o la salud pública.

Al mismo tiempo, los organismos estadounidenses de seguridad están a punto de expandir su autoridad para ingresar a computadoras sospechosas de estar involucradas en un ciberataque u otro crimen. Los cambios propuestos a la poco conocida Regla 41 de las Reglas Federales de Procedimiento Penal entrarán en vigencia el 1 de diciembre, a menos que el Congreso las bloquee. Las nuevas reglas permitirán a un juez emitir una orden que permita a los agentes bloquear o inhabilitar cualquier computadora, ya sea un servidor web de una empresa privada o un televisor inteligente en su sala de estar.

Las líneas entre el ejército y los organismos locales de seguridad pueden difuminarse, porque los ataques pueden tomar muchas formas. Consideremos el caso de un ataque contra computadoras estadounidenses lanzado por terroristas que operan en el extranjero.

Si le asusta la idea de cibercomandos financiados por el Pentágono que empleen armas desarrolladas por la NSA, o agentes del FBI infiltrándose y atacando computadoras, usted no está solo. El jueves, un grupo bipartidista de legisladores escribió a la Fiscal General Loretta Lynch para expresar su preocupación por el cambio a la Regla 41.

Mensajería instantanea ¿segura?

En los tiempos que corren, es muy difícil que realmente exista un servicio de mensajería instantánea totalmente segura. Dos casos como para darse una idea.

• A principios de abril la gente de WhatApp anunciaba el cifrado de extremo a extremo en sus mensajes, y aseguraban que los mensajes pasaban directamente de punto a punto (de emisor a receptor). Además, explicaban que no se almacenaba ningún tipo de información en los servidores y que nadie tenía forma de acceder a ellos. Pero, se ha informado que un hacker comprobó que puede acceder a cualquier conversación con sus procedimientos habituales: infectando el teléfono de su víctima con un troyano.

• En diciembre pasado (DIC/2015), se ha informado que "durante meses, diversos especialistas en seguridad han manifestado que el cifrado de Telegram presenta fallas. Hace unos días, Edward Snowden hizo pública su preocupación con respecto a los protocolos de seguridad por defecto de Telegram".

Que le quede claro, "los expertos advierten que ninguna de las aplicaciones de chat de uso masivo protege al usuario frente a posibles amenazas y mucho menos respetan su privacidad".

Para que comience a mejorar su visión del tema, si Ud. no maneja el tema ciberseguridad, le sugiero lea el artículo "Ojo con los chats: la débil seguridad de la mensajería", publicado por Cromo, de EL OBSERVADOR - Uruguay. Es de Agosto del 2015, pero tiene vigencia y entenderá por que muchos no nos gusta la idea de asociar nuestro número telefónico con los servicios de mensajería.

Lo cierto es que si se habla de más o menos seguridad, hay que mirar a aquellos servicios apuntados a, y usados por el sector empresarial por sus soportes y servicios especializados, con altos protocolos de privacidad y seguridad. Y éstos están lejos de lo popular.

Si bien el que las empresas prohíban el uso de estas herramientas es casi impensable, el tema es que no pueden permitir que información confidencial del negocio circule por canales inseguros sin supervisión alguna. El secreto profesional, los acuerdos de confidencialidad y/o leyes de protección de datos son razones de peso por las que este flujo de información no debe caer en manos de terceros y debe ser controlado.

Como regla general se va imponiendo procurar siempre que la información confidencial o sensible se transmita por medios más seguros que un servicio de mensajería instantánea.

___________________
Nota: Las cookies de este sitio se usan para personalizar el contenido y los anuncios, para ofrecer funciones de medios sociales y para analizar el tráfico. Además, compartimos información sobre el uso que haga del sitio web con nuestros partners de medios sociales, de publicidad y de análisis web. Ver detalles.

Sobre la "posibilidad" de hackear una elección presidencial

Nuevamente se impone el tema acerca de la seguridad en relación a la implementación de un sistema electrónico de votación. Una lectura recomendada:

¿Es realmente posible hackear una elección presidencial?

"¿Te imaginas que el presidente de tu país haya sido elegido por un hacker? Esta premisa, que parece sacada de una película de ciencia ficción, no está tan lejos como piensas. La posibilidad de que un especialista pueda intervenir los computadores de los candidatos, para robar información confidencial, hasta directamente hackear los sistemas de votación electrónica, no es remota". Por aetecno de AméricaEconomía.

La nota vale el tiempo que Ud. le de. Tenga en cuenta que “cualquier plataforma y ambiente hoy día es posible de ser hackeado", lo dicen los expertos en ciberseguridad, y lo señala la nota de aetecno.

Post relacionado:

• Boleta Única Electrónica ¿para las próximas elecciones legislativas?. 07/04/2016.
• La Boleta Única Complementaria podría ser una solución. 28/08/2015
• El sistema de boleta única no es la solución. 27/08/2015.
• Advierten sobre un agujero de seguridad en le sistema e-voto que se usará en Buenos Aires. 03/07/2015.
• El voto electrónico no es inviolable y puede ser fácil de manipular. 15/04/2015.
• Sobre la trampa del voto electrónico. 18/11/2013.
• Nuevas denuncias por el manejo de voto electrónico en Salta. 08/11/2013.
• El voto electrónico, en Argentina muchos le seguimos desconfiando. 07/11/2013.
• El voto electrónico o e-voto, en Argentina muchos no lo consideramos confiable. 21/03/2011.
• Voto electrónico ¿seguro?. 29/03/2010.

___________________
Nota: Las cookies de este sitio se usan para personalizar el contenido y los anuncios, para ofrecer funciones de medios sociales y para analizar el tráfico. Además, compartimos información sobre el uso que haga del sitio web con nuestros partners de medios sociales, de publicidad y de análisis web. Ver detalles.

Los fraudes en las empresas, principales sospechosos los empleados.

No pocas veces se ha señalado que el factor humano limita la gestión efectiva de la seguridad. Una realidad que obliga a mirar permanentemente como se controla al personal. No pocas veces hemos comentado sobre casos donde al dañino se lo tiene adentro de la organización. En ciberseguridad, mirar hacia adentro es vital para prevenir y evitar sorpresas.

El diario La Nación publica un interesante artículo sobre el crecimiento de los fraudes a nivel mundial y realiza una mirada a la realidad de Argentina.

"Cuatro de cada cinco compañías reportaron que el perpetrador pertenece a la empresa. Las jerarquías no están exentas de cometer un fraude. Una de cada tres víctimas denunció que el perpetrador pertenecía a su propio equipo o era un mando medio, y solo un poco menos de la mitad afirmó que se trataba de un empleado junior" (La Nación).

Crece el fraude a nivel mundial; mala nota para América latina.

Por Paula Urien, publicado en La Nación.

La Argentina aumentó exponencialmente su nivel de corrupción por parte de privados en los últimos tres años.

Visto en La Nación

Los ejecutivos a la cabeza de las compañías más importantes del mundo temen expandir los negocios de la empresa hacia países de América latina por la alta probabilidad de verse envueltos en temas de corrupción y sobornos. Así lo manifestó el 72% de los 768 ejecutivos senior de compañías de Europa, América, Asia y África, la mitad de los cuales pertenecen a empresas que facturan por encima de los 500 millones de dólares por año. Entre ellos, el 27% directamente desistió de operar en esta región por ese motivo. Así se desprende del último informe de la consultora Kroll llamado 2016 Global Fraud Report, realizado en conjunto con la Unidad de Inteligencia de The Economist y difundido en exclusividad en LA NACION y en el Financial Times.

De las tres regiones que cometen más fraudes a nivel mundial, que son África, Europa Oriental y America latina, esta última tristemente es puntera, es decir, tiene el mayor índice de fraude y corrupción, lo que lleva a pérdidas multimillonarias en materia de inversiones.

HackerOne conecta a “white hats” con compañías dispuestas a pagar recompensas

Nota original: Nicole Perlroth - The New York Times. Traducción original: La Gaceta.

SAN FRANCISCO.- En 2011, dos hackers holandeses, de 20 y pico de años, hicieron una lista de las 100 compañías de alta tecnología a las que tratarían de entrar. Rápidamente, encontraron vulnerabilidades de seguridad en Facebook, Google, Apple, Microsoft, Twitter y otros 95 sistemas de empresas. 

Llamaron a su lista “Hack 100”. 

Cuando alertaron a los ejecutivos de esas compañías, cerca de una tercera parte no les prestó atención. Otro tercio les dio las gracias, cortésmente, pero nunca arreglaron las fallas; mientras que el resto se apresuró a resolver sus problemas. Afortunadamente para los jóvenes hackers, nadie llamó a la policía.

Ahora la pareja, Michiel Prins y Jobert Abma, está entre los cuatro cofundadores de la empresa emergente en tecnología, en San Francisco, que se orienta a convertirse en una mediadora entre las compañías con problemas de ciberseguridad y piratas y buscar solucionar problemas en lugar de causarlos. Esperan que su establecimiento, llamado HackerOne, pueda persuadir a otros hackers para que reporten, en forma responsable, las fallas de seguridad, en lugar de explotarlas, y conectar a esos “sombreros blancos” con las compañías que estén dispuestas a pagar una recompensa por sus hallazgos.

En el último año, la empresa emergente ha persuadido a algunos de los nombres más grandes en la tecnología -incluidos Yahoo, Square y Twitter- y a empresas, bancos y compañías petroleras, que nunca se esperaría que trabajaran con su servicio. También han convencido a capitalistas de riesgo de que, dado que hay miles de millones de aparatos más que se mueven en la red y que es inevitable que cada uno tenga fallas, HackerOne tiene el potencial de ser muy lucrativa. La empresa recibe una comisión de un 20% sobre cada recompensa que se paga por medio de su servicio.

“Cada compañía va a hacer esto”, notó Bill Gurley, un socio en Benchmark, que invirtió U$S 9 millones en HackerOne. “No probar esto es estar descerebrado”, enfatizó.

La alternativa a los llamados programas de recompensa por errores moderados es apegarse al actual modelo de incentivos perversos. Los hackers que ha encontrado agujeros en los sistemas corporativos pueden, dependiendo de la gravedad, esperar sumas de seis dígitos al vender sus descubrimientos a los delincuentes o los gobiernos, donde esas vulnerabilidades están almacenadas en ciberarsenales y es frecuente que nunca las arreglen. En forma alternativa, cuando les pasan las debilidades a las empresas para que las arreglen, es frecuente que ignoren a los hackers o los amenacen con la cárcel. En esencia, la gente con las habilidades para arreglar los problemas de seguridad en internet tiene más razones para dejarla totalmente abierta a un ataque.

“Queremos facilitarles las cosas y que sean provechosas para que el siguiente grupo de hackers hábiles tenga una carrera viable si se queda en la defensa”, señaló Katie Moussouris, directora de normas de HackerOne, quien fue pionera en el programa de recompensas en Microsoft. “En este momento, estamos sobre la barda”, añadió.

Prins y Abma empezaron HackerOne con Merijn Terheggen, un emprendedor holandés que vive en Silicon Valley. Los tres conocieron al cuarto cofundador por medio del esfuerzo “Hack 100”, cuando enviaron un correo electrónico en el que alertaban a Sheryl Sandberg, la directora de operaciones de Facebook, sobre una vulnerabilidad en sus sistemas. Sandberg no sólo les dio las gracias, sino que imprimió su mensaje, se lo entregó a Alex Rice, el gurú de seguridad en los productos en ese momento, y le dijo que la corrigiera. Rice invitó a los hackers a comer, trabajó con ellos para arreglar el programa, les pagó una recompensa de U$S 4.000 y se les unió un año después. 

“Toda tecnología tiene vulnerabilidades y si no tienes un proceso público para que los hackers responsables las reporten, solo te vas a enterar de ellas por los ataques en el mercado negro”, explicó Rice. “Eso es simplemente inaceptable”. 

No es ningún secreto que, en forma constante, los ciberdelincuentes están escaneando los sistemas corporativos en busca de debilidades o que dependencias gubernamentales las están acumulando.

Fallas de vigilancia

Los ciberdelincuentes utilizaron una de esas debilidades en un servicio de aire acondicionado para meterse en el sistema de pagos de Target. Tales fallas son críticas en los esfuerzos gubernamentales de vigilancia, así como ingredientes cruciales en “ciberarmas” como Stuxnet, el gusano informático desarrollado por Estados Unidos e Israel para el cual se usaron varios errores a fin de encontrar el camino para ingresar y destruir las centrífugas de uranio en una instalación nuclear iraní.

Los errores han sido tan críticos para los ciberarsenales del gobierno, que una dependencia de la administración estadounidense les pagó medio millón de dólares a unos hackers por un simple exploit en el sistema operativo iOS de Apple. Esta compañía no le habría pagado nada al hacker por arreglarlos. Otra quizá habría llamado a la policía.

Ese es precisamente el tipo de incentivo perverso -castigar a los programadores que arreglan errores y recompensar a quienes nunca informan- que HackerOne quiere cambiar.

Las compañías de tecnología empezaron a recompensar a hackers hace cinco años, cuando Google empezó a pagarles U$S 3.133,70 por errores (31337 es el código “hacker” para elite). Desde entonces, Google ha pagado algo así como U$S 150.000 en una sola recompensa y distribuido más de U$S 4 millones entre los hackers. Rice y Moussouris ayudaron a liderar los programas de recompensas en Facebook y Microsoft.

Otros se están dando cuenta de que ya no impacta simplemente darles crédito o mandarles alguna cosa.

Ramses Martínez, el director de seguridad de Yahoo, dijo que lanzó el programa de recompensas en 2013, después de que dos “hackers” arremetieron contra Yahoo porque les mandaron camisetas a cambio de cuatro errores con los que pudieron haberse embolsado miles de dólares en el mercado negro. Martinez aseguró que considera que las recompensas por errores son “pan comido”.

“Ahora que suficientes compañías grandes y muy conocidas echaron a andar esto, se acabó mucho el miedo a estos programas”, dijo.

Sin embargo, la mayoría de ellas todavía no paga a los programadores por sus hallazgos, incluida Apple, que reportó alrededor de 100 problemas de seguridad este año, algunos tan graves que permitieron a los atacantes secuestrar las contraseñas de los usuarios. Claro que con una etiqueta de U$S 500.000 pegada a una inseguridad informática en Apple -equivalente a todo lo que Microsoft ha desembolsado para los “hackers” a la fecha-, las recompensas de aquélla tendrían que ser bastantes altas para equipararse a las tarifas del mercado. “Muchas empresas tienen hackers; solo que no lo saben”, comentó Terheggen, ahora director ejecutivo de HackerOne. “Los malos ya están allí. Los buenos no aparecen, a menos que los invites”.

Alrededor de 1.500 hackers están en la plataforma de HackerOne. Han arreglado cerca de 9.000 errores y se han embolsado más de U$S 3 millones en recompensas. Para las compañías que apenas están empezando a considerar las recompensas por los errores, HackerOne les ofrece una comunidad de “hackers” respetables y maneja los trámites administrativos, incluidos los pagos y las formas fiscales. HackerOne no es la única compañía en el espacio. Compite con programas de recompensa que sus fundadores ayudaron a iniciar en Facebook, Microsoft y Google (Chris Evans, un asesore en HackerOne, ayudó a liderar el programa en Google).

Algunas compañías, como United Airlines, empezaron hace poco su propio programa. United comenzó a ofrecerles a los “hackers” millas gratuitas por usuario frecuente después de que un investigador en seguridad tuiteó sobre las vulnerabilidades del sistema wi fi en el vuelo y le dijo a la FBI que había examinado las redes del avión durante el mismo.

HackerOne también compite con Bugcrowd, una empresa emergente similar que cobra a las empresas una tarifa anual por manejar sus programas de recompensas. Bugcrowd trabaja con compañías jóvenes, como Pinterest, e instituciones como Western Union.

HackerOne y sus competidores podrían enfrentarse a significativos obstáculos regulatorios en los próximos meses. Los funcionarios están considerando hacer cambios al “Wassenaar Arrangement” (Arreglo de Wassenaar), un acuerdo de control de exportaciones de 20 años de antigüedad entre 40 países -incluidos Rusia, algunos europeos y Estados Unidos- para que los investigadores obtengan permiso de los gobiernos antes de entregar sus artificios a una compañía extranjera. “Es posible que a los gobiernos no les importe dejar pasar problemas leves, pero los problemas críticos pudieran ser otra cuestión”, dijo Kymberlee Price, el director sénior de operaciones de seguridad en Bugcrowd. “¿Realmente deberíamos dejarle al gobierno ruso que decida si un investigador puede informar de una vulnerabilidad a Citibank?”. / Nota original: Nicole Perlroth - The New York Times. Traducción original: La Gaceta.-

Original:

• HackerOne Connects Hackers With Companies, and Hopes for a Win-Win. "In 2011, two Dutch hackers in their early 20s made a target list of 100 high-tech companies they would try to hack. Soon, they had found security vulnerabilities in Facebook, Google, Apple, Microsoft, Twitter and 95 other companies’ systems. They called their list the Hack 100". Por Nicole Perlroth - The New York Times.--

Cuando al dañino se lo tiene adentro

Una interesante nota de la revista Wired informa que cientos de credenciales .gov fueron encontrados volcados en "Hacker Públicas".  comienza diciendo que "no es ninguna sorpresa que los empleados públicos descuidados usan sus direcciones de correo electrónico .gov para inscribirse en todo tipo de cuentas personales".

Pero cuando esos servicios de terceros, inseguros, son violados por hackers, y si, esos empleados fueron tan tontos como para reutilizar sus contraseñas .gov. La nota también señala que un descuido de éstos puede ofrecer una puerta trasera en agencias federales.

Pueden leer la nota en: "Hundreds of .Gov Credentials Found In Public Hacker Dumps". Wired - Security 24/06/2015. Una lectura recomendada-

El factor humano limita la gestión efectiva de la seguridad. Una realidad que obliga a mirar permanentemente como se controla al personal.

"Una red sólo es tan fuerte como su eslabón más débil"

Los hijos, el eslabón más débil de la seguridad cibernética

Por Alexandra Samuel, publicado en The Wall Street Journal.

¿Qué se puede hacer cuando la mayor amenaza a su ciberseguridad vive bajo su propio techo?

Es un hecho de la vida en línea: una red sólo es tan fuerte como su eslabón más débil. Para muchos, ese eslabón más débil son sus hijos. Descargan virus sin darse cuenta, eluden normas de seguridad para visitar sitios que sus padres no autorizan y gastan mucho dinero usando el sistema de pedidos en un clic de sus padres.

Y, lo más frustrante de todo, muchos superan con holgura la capacidad de sus padres de evitar que hagan travesuras; de hecho, muchos actúan como la ayuda técnica de facto de la familia. En una encuesta reciente, la mitad de los estadounidenses con hijos menores de 18 años indicaron que sus hijos habían violado su seguridad en línea de alguna forma. Y el costo de esas violaciones se puede acumular, ya sean computadoras dañadas, productividad perdida o dinero gastado en compras no autorizadas.

Foto de Pipy Lupindo, vista en Flickr
La foto no pertenece a la nota de WSJ

Mantenerse un paso por delante de los niños es aún más complicado porque no alcanza con que los padres impidan las travesuras. También deben tener presente que sus hijos buscan en ellos modelos de comportamiento. Así que muchas estrategias de seguridad que usan también deben ser lecciones que ayuden a sus hijos a mantenerse por el buen camino.

Felizmente, hay muchos pasos que no sólo reforzarán su seguridad, sino que también lo convertirán en una guía útil para su hijo. A continuación, algunas medidas que debería tomar.

La tecnología y sus hijos

Los niños de 5 años que se portan bien y los jóvenes rebeldes de 15 años representan riesgos de seguridad radicalmente distintos. Su pequeño podría tocar accidentalmente varias teclas y cambiar el nombre de su disco rígido; su hijo de cuarto grado podría saber lo suficiente de tecnología como para descargar varios archivos, y virus.

Entender cómo lidiar con esos problemas potenciales implica obtener un panorama preciso de la tecnología en su casa y cómo la usan sus niños.

Primero, asegúrese de saber exactamente qué máquinas, aparatos y archivos usan sus hijos para saber qué necesita poner bajo llave. No sólo las computadoras o tabletas de los pequeños; recuerde que muchos les prestamos nuestros teléfonos o tabletas a nuestros hijos en algunas ocasiones. Además, no olvide otros aparatos conectados a Internet, como su consola de juegos, el lector de libros electrónicos o el conversor de TV por cable.

A continuación, identifique qué contraseñas conocen sus hijos y considere cuáles deberían ser manejadas sólo por adultos. Con preadolescentes, una buena práctica es tener perfiles separados en cualquier aparato que usen sus niños, y darle a cada uno un perfil que les permita conectarse a aplicaciones o juegos educativos, mientras se reserva sólo para usted el acceso administrativo total.

Enséñeles a sus hijos que los perfiles de otras personas están fuera de su alcance y asegúrese de que sólo tengan la contraseña para su propio perfil. Los niños más grandes probablemente querrán administrar sus propios perfiles y aparatos, y que su historial de navegación sea privado, pero de todos modos usted debería monitorear el acceso que tengan a sus aparatos y cuentas, o los compartidos.

Luego analice de forma realista el temperamento y comportamiento de su hijo. ¿Tiene un adolescente que está probando sus límites constantemente? ¿Un hacker natural que es incansablemente curioso sobre lo que puede acceder, vulnerar o reprogramar? Eso significa tomar una postura más severa sobre la seguridad. Luego, debe entender cuán habilidosos son sus hijos. Debe monitorear la capacidad de sus niños de evadir las restricciones paternas y de alterar sus aparatos.

Eleve su nivel de seguridad

Luego debe elevar lo más posible el nivel de seguridad de su red, y asegurarse de que sus hijos entiendan la importancia de la seguridad.

Primero, ocúpese de sus contraseñas. La mejor práctica es usar un administrador de contraseñas como LastPass o 1Password para generar y recordar contraseñas únicas y complejas para cada sitio que usa. Lo importante es que use distintas contraseñas en distintos lugares, y que no use una contraseña que podrían adivinar sus hijos.

Segundo, asegúrese de que los archivos en su computadora personal sean compartidos sólo si alguien accede a su computadora con una contraseña. De esa forma, sus niños no pueden acceder a sus archivos, ni borrarlos o modificarlos conectándose de forma remota.

Tercero, establezca un sistema de respaldo para todas las computadoras y aparatos en su casa. El mejor enfoque es rotar entre dos discos de respaldo, para que si su hijo descarga algo que infecta un disco con un virus, aún tenga un respaldo previo.

Cuarto, impida compras no autorizadas al desactivar los pedidos en un clic y asegurarse de que cada compra dentro de una aplicación y cada descarga de medios sea posible sólo con contraseña.

Eso es lo básico. Luego debe enseñarles a sus hijos a reducir los riesgos de sus actividades en línea: cómo reconocer la diferencia entre una fuente confiable y una potencial fuente de software maligno; cómo elegir una contraseña segura; cuándo usar su nombre real en línea y cuándo conviene un pseudónimo.

Solucione bien los problemas

Mientras las buenas prácticas de seguridad pueden reducir su nivel de riesgo general, también necesita un plan para cuando ese plan falla.

Si sus hijos están acostumbrados a hablar con usted sobre lo que hacen en línea, enséñeles a reportar problemas. Si su hija le muestra cómo hizo para evadir las restricciones que usted le había fijado, puede castigarla, y asegurarse de que la próxima vez no le cuente lo que hace, o puede agradecer por su ingenuidad. Así, aprende que debe contarle sobre cualquier actividad que podría debilitar su seguridad. También es bueno pedirles a los niños que le ayuden a solucionar cualquier problema que pudieran haber causado.

—Alexandra Samuel es investigadora de tecnología y autora del libro ‘Work Smarter with Social Media’, algo así como ‘Trabaje de forma más inteligente con los medios sociales’. / Por Alexandra Samuel, publicado en The Wall Street Journal.--

"Hackear" un avión comercial desde el sistema de entretenimiento es muy difícil

Desde hace un mes que venimos leyendo noticias, y comentado en éste blog, sobre la posibilidad de los ataques cibernéticos a los aviones, que dicho sea de paso ya se ha instalado como otro de los miedos que tiene la gente a volar, aunque, y repito, los expertos están señalando que representan un riesgo menor.

Como han señalado las noticias, que replique aquí, recientemente "el gobierno de Estados Unidos le solicitó a su Oficina de Fiscalización Superior (GAO, por sus siglas en inglés) que realizara una auditoría de las amenazas latentes para el sector aéreo. Y los expertos concluyeron que los servicios de wi-fi en pleno vuelo podrían terminar abriéndole una puerta a ataques terroristas". Según los expertos, no sería fácil, en realidad muy difícil, pero podría pasar.

United business class sleeper seats (B767). Foto de Matt Blaze en Flickr
 in-flight entertainment system

En éstos días surgió la noticia, tras la detención, al bajar de un avión, del investigador en seguridad Chris Roberts, que según el FBI, "habría intentado manipular los sistemas informáticos de los aviones en los que viajaba al menos en 20 ocasiones y en una de ellas habría conseguido mandar comandos y mover uno de los motores".

El agente especial del FBI, Marcos Hurley escribió en su reporte, que Roberts declaró que "él utilizó el software para monitorear el tráfico desde el sistema de cabina". La publicación especializada Wired, accedió y ha publicado ese reporte, que se puede bajar en formato pdf desde una nota en su website. 

La información publicada señala que Roberts declaró que pudo acceder al sistema del avión a través del SEB, un sistema de acceso para los pasajeros destinado al entretenimiento. Es más, el mismo Roberts publicó por Twitter que tenía parte del sistema bajo control, además de mofarse del hecho.

Cabe destacar que la constructora aeronáutica, del avión Boeing, niega el hecho, es más, considera una incursión pirata a los sistemas internos de sus aviones como algo "imposible". Sin embargo, se ha informado que United Airlines lanzó un premio para que todos los "hackers" que descubran vulnerabilidades en sus sistemas de seguridad, reciban un millón de millas que pueden ser canjeadas por billetes de la compañía.

Pero no pocos dudan, y buena parte de ellos se consultan ¿hasta donde ha tenido el control? si es que lo tuvo. Y todo es materia de investigación.

A continuación les recomiendo dos interesantes notas que apuntan a que Roberts no pudo acceder tanto como se dice que declaró.

• Hackers, aviones y FBI: no alimentemos la paranoia. - "A pesar de que existe un punto de interconexión en el que coinciden ambos sistemas (entre muchos otros como la conexión por satélite, tal y como analizó Rubén Santamarta en la pasada edición de BlackHat USA) hay algo que parece que no se está tomando en consideración. Esto es que los sistemas de control de un avión son sistemas propietarios que nada tienen que ver con los que estamos acostumbrados a ver. Un supuesto atacante con su portátil conectado al sistema de entretenimiento del avión poco podría hacer ante el sistema de control, puesto que, para empezar, no sería capaz de lanzar ningún comando". Por Josep Albors publicado en Welivesecurity / ESET.-

• Aviation experts dispute hacker’s claim he seized control of airliner mid-flight. - "Peter Lemme, chairman of the Ku and Ka satellite communications standards told industry blog Runway Girl Network: “The claim that the thrust management system mode was changed without a command from the pilot through the mode control panel, or while coupled to the flight management system is inconceivable”. He added that the links between the entertainment system and flight control systems “are not not capable of changing automatic flight control modes”." Por Samuel Gibbs publicado en Theguardian Technology.-

Post Relacionado:

• Advierten sobre riesgos de ciberataques vía Internet a los aviones comerciales. 20/04/2015.

Advierten sobre riesgos de ciberataques vía Internet a los aviones comerciales

Hace unos días he comentado en éste blog, en un post sobre la posibilidad de vuelos comerciales sin pilotos, que el tema de los ataques cibernéticos a los aviones, es otro de los miedos que tiene la gente, aunque los expertos están señalando que representan un riesgo menor, para los viajeros, que el de un secuestrador o un piloto fuera de control.

En gran medida la gente comenzó a considerar la posibilidad de un ciberataque a un avión comercial, tras leer en los medios las varias teorías sobre la desaparición del Vuelo MH370 de Malaysia Airlines. 

Pero el tema, en áreas especializadas en seguridad, se trata desde hace ya tiempo. Por mencionar un caso, en 2013 se informó de una aplicación en Android que explotaba vulnerabilidades del software de seguridad de las aerolíneas y que permitían "controlar un avión comercial de pasajeros sin siquiera subirse a la nave".

En éstos días en varios medios pusieron notas señalando la posibilidad de un ciberataque, a los sistemas de un avión, mediante el uso de wifi a bordo, a partir de un informe de la Administración Federal de Aviación estadounidense que advierte sobre esa posibilidad.

777 Simulator Cockpit. Checklist diplayed. Foto de Kent Wien, en Flickr.

¿Es internet en los aviones una puerta para ataques terroristas?
Publicado por BBC Mundo.

Lo que parecía ser un nuevo estándar en el servicio de las aerolíneas comerciales, nacido de su voluntad de satisfacer a los usuarios deseosos de mantenerse permanentemente conectados a internet, ahora es motivo de preocupación.

El gobierno de Estados Unidos le solicitó a su Oficina de Fiscalización Superior (GAO, por sus siglas en inglés) que realizara una auditoría de las amenazas latentes para el sector aéreo. Y los expertos conlcuyeron que los servicios de wi-fi en pleno vuelo podrían terminar abriéndole una puerta a ataques terroristas.

De hecho, en el reporte de la GAO –que fue reseñado por el diario inglés The Guardian– se admite que un hacker viajando como pasajero podría teóricamente obligar a un avión a precipitarse a tierra.

Según los expertos, no sería fácil. Pero podría pasar.

"Los aviones modernos están incrementando su capacidad de conexión a internet. Esta conectividad potencialmente puede permitir acceso remoto a los sistemas de vuelo de la nave", se lee en el reporte de la GAO.

En opinión de esta institución, el esfuerzo de la Administración Federal de Aviación estadounidense (FAA, por sus siglas en inglés) y las líneas aéreas por modernizar la tecnología a bordo representa una vulnerabilidad que puede ser explotada para mal.

Misma red

El reporte resalta que la cabina de los pilotos y la de pasajeros están conectadas a internet a través de la misma dirección de conexión a la red.

Y aunque la conexión entre el sistema de acceso de los pasajeros y los sistemas del avión se encuentra fuertemente supervisada por firewalls (programas que bloquean el acceso a una red a desconocidos), los analistas señalan que los mismos no pueden ser asumidos como impenetrables.

"De acuerdo con expertos en seguridad cibernética entrevistados, la conexión a internet en la cabina debe ser considerada como un vínculo directo entre la aeronave y el mundo exterior, lo cual incluye potenciales actores malignos", dice el reporte.

Y se sabe que la FAA no verifica de forma exhaustiva el nivel de seguridad cibernética de los nuevos aviones antes de certificar que se encuentran en condiciones para operar comercialmente.

Además, entre otras vulnerabilidades detectadas también figura la capacidad para prevenir y detectar accesos no autorizados a la vasta red de computadoras y sistemas de comunicación que la FAA utiliza para monitorear vuelos alrededor del mundo.

Las recomendaciones

El reporte de la GAO reconoce que la Administración Federal de Aviación ha tomado pasos para mejorar sus políticas de seguridad cibernética, pero "existe margen de acción para otras modificaciones", en particular porque la responsabilidad de esta institución se diluye entre varias dependencias adscritas.

Entre las recomendaciones a la FAA para disminuir los niveles de riesgo figuran:

1. Evaluar el desarrollo del modelo de seguridad frente a amenazas cibernéticas
2. Crear un comité de seguridad cibernética que supervise la actividad de todas las oficinas de la FAA en Estados Unidos, y en el cual se incluya a la Oficina de Seguridad de la FAA como un miembro permanente.
3. Desarrollar un plan conjunto con el Instituto Nacional de Normas y Tecnología (NIST, por sus siglas en inglés), para incorporar metodología, normas y tecnología que mejoren el funcionamiento de la FAA.

La pesadilla

En enero pasado, la GAO advirtió en un reporte previo que "existe una significativa debilidad en el área de control de vuelos, lo cual amenaza la capacidad de la FAA para garantizar la seguridad de las operaciones de sistema nacional de espacio aéreo de manera ininterrumpida".

El mes pasado otro informe de esta oficina revelaba que los sistemas de orientación de los aviones se encontraban bajo "un innecesario riesgo de ser hackeados".

La pesadilla que comienza a formarse en la mente de las autoridades estadounidense la resume el diputado estadounidense Peter DeFazio.

Para el congresista el peor escenario que tienen enfrente es uno donde un terrorista con una laptop se encuentra entre los pasajeros de un avión y toma el control de la nave usando la red wi-fi.

Una posibilidad remota, pero que hoy por hoy no se puede descartar. / Publicado por BBC Mundo.--

Nota relacionada:

• Hackers Could Commandeer New Planes Through Passenger Wi-Fi. "SEVEN YEARS AFTER the Federal Aviation Administration first warned Boeing that its new Dreamliner aircraft had a Wi-Fi design that made it vulnerable to hacking, a new government report suggests the passenger jets might still be vulnerable. Boeing 787 Dreamliner jets, as well as Airbus A350 and A380 aircraft, have Wi-Fi passenger networks that use the same network as the avionics systems of the planes, raising the possibility that a hacker could hijack the navigation system or commandeer the plane through the in-plane network, according to the US Government Accountability Office, which released a report about the planes today.  Wired: Threat Level by Kim Zetter.

Dos ciberataques notables

Para no pocos, no hay dudas, se viven tiempos peligrosos. Todos los días leemos sobre las evidencias de lo que pasa en materia de ciberseguridad. Pensar que a uno no le va a pasar es un mal negocio, lo dicen los expertos.

Hackers atacan firma de salud Premera Blue Cross y exponen datos de 11 millones clientes EEUU: TV.

BOSTON (Reuters) - La aseguradora de salud estadounidense Premera Blue Cross dijo el martes que fue víctima de un ciberataque que podría haber expuesto los números de cuentas bancarias y datos personales de 11 millones de clientes, reportó el canal local King 5 en su sitio web.

La compañía dijo que detectó la intromisión el 29 de enero de este año pero que el ataque ocurrió el 5 de mayo del 2014. Los datos que pudieron quedar comprometidos incluyen nombres, fechas de nacimiento, números de seguridad social e información de cuentas corrientes que se remontan hasta el 2002, reportó el canal.

Un portavoz del FBI Joshua Campbell dijo a Reuters que la agencia está investigando el ataque. Publicado por Reuters. (Reporte de Jim Finkle. Editado en español por Marion Giraldo).--

Un hacker toma de rehén una planta nuclear de Corea del Sur.

(ESET). Según informa el International Business Times, un hacker que dice haber robado datos sensibles pertenecientes a una planta nuclear de Corea del Sur está exigiendo dinero a cambio de mantener la información alejada del ojo público.

Durante el jueves, el hacker eligió la red social Twitter para publicar documentos relacionados a un reactor de potencia, desde una cuenta creada bajo el nombre del presidente de un grupo antinuclear en Hawaii. La Compañía Estatal de Energía Hidro Nuclear (en inglés Korea Hydro Nuclear Power Co. ó KHNC) aún no fue capaz de identificar qué tan sensible es la información de los documentos secuestrados, pero aseguran que no podría ser información clasificada, ya que la misma está siendo almacenada en un servidor aislado desde el año pasado.

El hacker no ha puesto precio al rescate, pero asegura que muchos países están interesados en comprar información relacionada a reactores nucleares.

“Necesito dinero. Sólo necesitan cumplir con algunas exigencias… Muchos países del norte de Europa, el Sudeste de Asia y América del Sur dicen que comprarán información sobre reactores nucleares. Teman, porque al vender toda la información, los esfuerzos de la presidente Park (Geun-hye) por exportar reactores nucleares quedarán fútiles,” dijo el hacker en una de sus publicaciones.

Esta es la quinta publicación que se envía desde el 15 de diciembre, según reporta el Korea Times, incluyendo una publicación que amenazaba con “traer destrucción” a menos que los reactores nucleares del país fueran dados de baja antes de la Navidad del año pasado.

“Desde que el supuesto grupo antinuclear hizo su quinta publicación de información el 23 de diciembre, no han habido ni nuevos ataques, ni fugas de información, lo que nos lleva a suponer que los documentos publicados habrían sido obtenidos mucho tiempo antes,” dijo KHNP en un comunicado de prensa, según Yonhap.

En la publicación más reciente, el hacker amenazó con atacar a la compañía con 9.000 virus, luego de que se reportara que unos 7.000 habían sido encontrados. Por  Kyle Ellison para ESET.--

Investigan fallas de ciberseguridad en dispositivos médicos y equipos hospitalarios

A FONDO-EEUU investiga dispositivos médicos por posibles fallas cibernéticas
Por Jim Finkle para Reuters.

BOSTON (Reuters) - El Departamento de Seguridad Nacional de Estados Unidos (DHS) investiga más de 20 casos de supuestas fallas de ciberseguridad en dispositivos médicos y equipos hospitalarios que autoridades temen puedan ser aprovechadas por piratas informáticos, dijo a Reuters un funcionario de alto rango.

Los productos bajo revisión por el ICS-CERT, un equipo de respuesta de emergencias cibernéticas, incluyen una bomba de infusión de Hospira Inc y dispositivos cardíacos de Medtronic Inc y St Jude Medical Inc, según otras personas familiarizadas con los casos, que pidieron no ser identificadas porque la investigación es confidencial.

Estas personas dijeron que no saben de incidentes en que piratas informáticos hayan atacado pacientes a través de estos dispositivos, por lo que la amenaza no debe exagerarse.

Aún así, a la agencia le preocupa que personas malintencionadas intenten controlar los aparatos y crear problemas, como sobredosis de medicamentos, dijeron las fuentes.

El funcionario del DHS dijo que la agencia está trabajando con los fabricantes para identificar y reparar las fallas de software y otras vulnerabilidades que los hackers pueden usar para exponer información confidencial o atacar equipamiento hospitalario. Declinó nombrar a las compañías.

"Estas son las cosas en las que programas como 'Homeland' se basan", dijo el funcionario, refiriéndose a la serie estadounidense sobre espías en la que el vicepresidente es asesinado mediante un ciberataque contra su marcapasos.

"No está fuera de lo posible que causen graves lesiones o muerte", agregó el funcionario, que no quiso ser identificado debido a la naturaleza sensible de su trabajo.

Hospira, Medtronic y St Jude Medical declinaron realizar comentarios sobre las investigaciones del DHS. Las tres compañías dijeron que toman la ciberseguridad como un asunto serio y han hecho cambios para mejorar la seguridad de los productos, pero declinaron brindar detalles.

DISPOSITIVOS CONECTADOS

La tarea del ICS-CERT es ayudar a proteger estructura estadounidense clave de amenazas cibernéticas, ya sean por errores humanos, virus informáticos o a través de ataques de criminales o extremistas.

Según el funcionario del DHS, la agencia comenzó a examinar equipos de salud unos dos años atrás, cuando investigadores de ciberseguridad se interesaron más en dispositivos médicos que contenían cada vez más chips de computadora, software, tecnología inalámbrica y conectividad a internet, haciéndolos más susceptibles a hackers.

La Administración de Alimentos y Medicamentos (FDA por su sigla en inglés), que regula la venta de dispositivos médicos, lanzó recientemente pautas para fabricantes y quienes brindan cuidados de la salud para asegurar mejor los aparatos.

"En el pasado los productos se protegían de amenazas involuntarias. Ahora, también hay que protegerlos de amenazas internacionales", dijo William Maisel, científico en jefe del Centro de Dispositivos y Salud Radiológica de la FDA. Declinó comentar sobre las pesquisas del DHS.

El funcionario del DHS dijo que los más de 20 casos que se investigan cubren un amplio rango de equipos, incluyendo equipamiento médico de imágenes y sistemas hospitalarios.

Una revisión del DHS no supone que el Gobierno piense que una compañía haya hecho algo malo, sino que significa que la agencia está analizando una supuesta vulnerabilidad para ayudar a rectificarla.

Uno de los casos se relaciona con una supuesta vulnerabilidad en un tipo de bomba de infusión, un equipo hospitalario que inyecta medicación directamente al flujo sanguíneo de un paciente.

Billy Rios, investigador de ciberseguridad, dijo que descubrió la supuesta falla pero declinó identificar al fabricante del equipo. Dos personas familiarizadas con su trabajo dijeron que el fabricante era Hospira.

Rios dijo que creó un programa que podía forzar remotamente a múltiples bombas a inyectar dosis potencialmente letales de medicamentos y que entregó su análisis al DHS.

"Este es un tema que será extremadamente difícil de arreglar", dijo Rios, un ex comandante de sección de los Marines que trabajó para varias firmas tecnológicas de Silicon Valley y recientemente estableció la startup de seguridad Laconicly.

Reuters no pudo revisar de manera independiente su investigación o identificar el tipo de bomba que estudió Rios de la línea de Hospira, que incluye múltiples modelos.

La portavoz de Hospira Tareta Adams, si bien declinó realizar comentarios sobre temas específicos, dijo que la compañía trabajaba para mejorar la seguridad de sus productos.

MAYOR CONCIENCIA

Funcionarios de seguridad hospitalaria dicen que hay una creciente conciencia sobre amenazas cibernéticas, y los centros médicos del país han reforzado sus sistemas para defenderse mejor de los piratas informáticos.

En el Centro Oncológico MD Anderson de la Universidad de Texas, todos los dispositivos médicos deberán ser probados para asegurarse que cumplen con los estándares de seguridad antes de que se utilicen en el hospital, según Lessley Stoltenberg, director de seguridad de la información del centro.

El DHS también está investigando supuestas vulnerabilidades en dispositivos cardíacos implantables de Medtronic y St Jude Medical, según dos personas familiarizadas con el tema.

Dijeron que el análisis se basaba en parte en la investigación de Barnaby Jack, un reconocido hacker que falleció en julio del 2013. Jack había dicho que podía ingresar a sistemas de comunicación inalámbricos que vinculan marcapasos y desfibriladores con monitores cardíacos.

La portavoz de Medtronic, Marie Yarroll, dijo en un correo electrónico que la compañía había "hecho cambios para reforzar la seguridad" de sus dispositivos cardíacos, pero declinó dar detalles.

La portavoz de St. Jude Medical, Candace Steele Flippin, también declinó discutir productos específicos pero dijo que la compañía tiene "programas continuos para realizar pruebas de seguridad en nuestros dispositivos médicos y en los equipos conectados".

El investigador informático Jay Radcliffe solía ser uno de los cientos de miles de diabéticos que dependen de bombas de insulina computarizadas. Dijo que dejó de usar un aparato de Medtronic cuando vio que podía ingresar al sistema de comunicación inalámbrico del dispositivo y potencialmente inyectarse una dosis fatal de insulina.

"No me siento seguro usando estos dispositivos", dijo Radcliffe, que trabaja para Rapid7, un fabricante de software de seguridad. "Para mi es mejor usa una aguja", agregó.

Medtronic dijo que había mejorado la seguridad de sus bombas de insulina, aunque declinó brindar detalles. / Por Jim Finkle para Reuters. (Reporte de Jim Finkle, Editado en español por Patricia Avila).--

Sobre los ciberataques a la Casa Blanca y a las empresas estadounidenses

Recientemente, según una nota del diario The Washington Post, ciberatacantes accedieron a la red EOP (Executive Office of the President), utilizada por personal de la oficina ejecutiva del presidente de Estados Unidos y con la que se maneja información no clasificada.

Según el diario The Washington Post, el ataque encaja con el tipo de acciones promovidas por algunos estados y Rusia es uno de los que presenta una amenaza más probable.

Rusia, ¿detrás de los ataques cibernéticos a Estados Unidos?
Por José Pagliery para CNN

NUEVA YORK (CNNExpansión) — Es fácil decir que los rusos están hackeando a la Casa Blanca y a las principales empresas estadounidenses. Es más difícil demostrarlo.

Cuando las empresas de seguridad cibernética y los funcionarios de Estados Unidos atribuyen los ataques al Gobierno de Rusia -o a hackers independientes que operan con la aprobación del Kremlin- la evidencia típica que utilizan es bastante circunstancial: un virus informático fue escrito en ruso, fue creado durante horas laborales de Moscú contra objeivos antirrusos.

Pero el mundo digital no es como el físico. La evidencia física rara vez existe.

Los hackers permanecen anónimos enmascarando su ubicación, rebotando sus señales de computadora alrededor del mundo. Los hackers que hablan un idioma pueden escribir código malicioso en otro. Y habitualmente trabajan en horas irregulares de todos modos.

“Son solamente indicadores. Nunca se sabe a ciencia cierta”, dijo Rick Howard, director de seguridad de la firma de seguridad cibernética Palo Alto Networks. “No habrá una prueba irrefutable".

Sin embargo, Rusia fue culpado recientemente de hackear a JPMorgan, de atacar empresas de petróleo y gas, y de colocar una “bomba digital” en el Nasdaq.

C. Thomas, un hacker de toda la vida conocido como 'Rogue Space' quien ha testificado ante el Congreso sobre la seguridad informática, advierte en contra de llegar a conclusiones inquebrantables.

“La atribución es casi imposible de hacer”, dijo. “Cualquier cosa puede ser falsificada. Las personas que hacen estas cosas para ganarse la vida -y cuyas vidas dependen de ello- falsificarán esas cosas”.

Por ejemplo, ciberespías estadounidenses, británicos, franceses, israelíes y rusos han sido conocidos por dejar señuelos que hacen que los ataques parezcan provenir de otro lugar, de acuerdo con varios expertos en seguridad cibernética con experiencia militar relacionada. Solamente los hackers chinos tienen la reputación de ser obvios de manera descuidada. El director del FBI James Comey recientemente comparó a los hackers chinos con un “ladrón borracho”.

Incluso la Agencia de Seguridad Nacional de Estados Unidos (NSA, por sus siglas en inglés) tiene dificultades para identificar a los atacantes. Por ejemplo, el presidente Barack Obama no obtuvo respuestas por parte de los principales asesores de inteligencia cuando preguntó quién hackeó a JPMorgan, de acuerdo con The New York Times.

Entonces, ¿cómo saber quién realiza los ataques cibernéticos? Se requiere de forenses muy cuidadosos.

Identificar a los arquitectos

Los ataques cibernéticos utilizan el software como un arma. Es construido pieza por pieza, como una bomba. Y al igual que la escena del crimen, los analistas de seguridad separan fragmentos para desenmascarar a los fabricantes.

El truco promedio se basa en gran medida en herramientas “off-the-shelf” que están comúnmente disponibles en los rincones más oscuros de Internet, según los analistas. Pero introducirte en una red informática en particular requiere de algunas herramientas personalizadas. Los grupos de hackers tienden a tener un estilo particular al crear sumalware, el cual los identifica.

Considerar el momento del ataque

Poco después de que Estados Unidos impuso sanciones a Rusia por su agresión en Ucrania, los bancos estadounidenses y europeos fueron golpeados por una ola sin precedentes de ataques cibernéticos.

La firma de ciberseguridad Trend Micro, que supervisa una red de detección inteligente de casi 110 millones de dispositivos, vio su red encenderse como pólvora el 24 de julio.

“Hubo una oleada de cientos de miles de ataques que sólo estuvieron dirigidos contra instituciones financieras”, dijo Tom Kellerman, jefe de ciberseguridad de Trend Micro. “Y no sólo por uno o dos equipos de hackers, sino por docenas de ellos”.

Analizar las víctimas

Los amigos no atacan a los amigos.

Por ejemplo, Kellerman dijo: “Los hackers chinos no hackean a los bancos. Los chinos poseen el sector financiero. No hackeas bancos de tu propiedad. No tiene sentido geopolítico...”.

En otro caso, que involucró al grupo de hackers 'SandWorm Team', identificado por la firma de inteligencia iSight Partners, los objetivos incluyeron al Gobierno de Ucrania y a un académico estadounidense que realizaba consultorías sobre el conflicto de Ucrania. El denominador común: todos eran considerados hostiles a Rusia.

El cebo utilizado para hackearlos importa demasiado. Los empleados del Gobierno de Ucrania fueron atraídos para descargar un PowerPoint que afirmaba ser una lista de separatistas prorrusos.

Seguir tu instinto

Sin embargo, al final, culpar a Rusia por un ataque cibernético es hacer una apuesta: Nadie iría tan lejos como para crear un señuelo tan convincente. La explicación más simple es la más probable, dijo Dave Aitel del proveedor de software de seguridad Immunity.

Por lo tanto, siempre es una suposición -una muy buena conjetura- pero sigue siendo una conjetura. / Por José Pagliery para CNN.--

---.---

Captura de pantalla del mapa de NORSE

La firma de seguridad informática con sede en EE.UU. NORSE, lanzò un mapa animado en tiempo real que ilustra los ataques cibernéticos en curso en todo el mundo. En el momento de la captura de pantalla, Estados Unidos estaba recibiendo cinco mil ataques de múltiples regiones del mundo.

Es una burrada definir "hacker" como "Pirata Informático"

Hackers rechazan la flamante definición de "pirata informático" adoptada por la RAE
Publicado por Télam.

Activistas y miembros de colectivos autodefinidos como hackers manifestaron su desacuerdo con la flamante definición de esta palabra en el diccionario de la Real Academia Española (RAE), según el cual el término sólo designa a un "pirata informático".

Así consta en la 23º edición del diccionario de la RAE, presentado la semana pasada, que en el marco de la incorporación de términos vinculados al ámbito tecnológico -como wifi, intranet, buscador o pantallazo-, relacionó la palabra hacker con una actividad delictiva.

"Como todos sabemos, las definiciones no son neutrales. En el caso de la entrada de hacker, eso se ve potenciado", consideró Guillermo Movia, líder de la comunidad Mozilla argentina y referente del colectivo HacksHackers Buenos Aires.

"Escueta, directa, solo habla de lo que los medios entienden como hacker. Posiblemente porque aún allí intentan defender el status quo de las leyes de copyright y su miedo a que les 'roben' sus creaciones", agregó en diálogo con Télam.

En el mismo sentido se expresó el líder del colectivo HacksHackers Rosario, Ezequiel Clerici, para quien la definición demuestra "lo avejentadas que se encuentran este tipo de instituciones, el grado de soberbia e ignorancia de quienes las gobiernan y su naturaleza elitista y patricia".

"Establecer como sentido común para los más de 430 millones de hispanoparlantes que habitamos el mundo que el hacker es un pirata informático es privarlo de poder interpretar en toda su dimensión la carga que conlleva esa palabra", señaló el periodista rosarino.

"Hacker es también un arquitecto, un ingeniero, un artesano, un mecánico... Cualquier persona que sea curiosa, que valore el trabajo colaborativo, que guste de saber cómo funcionan las cosas, por qué, y tratar de mejorarlas es un hacker", sostuvo. 

Por su parte, el experto en seguridad informática y hacker español Chema Alonso creó una petición en el sitio Change.org con el fin de juntar 1.000 firmas para pedir a la RAE que revea y modifique su flamante definición, iniciativa que esta tarde estaba cerca de lograr su objetivo.

"El utilizar la definición como 'pirata informático' para la palabra hacker es una criminalización del término y una degradación a ciberdelincuente de un grupo de personas que gracias a su pasión por buscar los límites de las tecnologías han mejorado nuestro tiempo", fundamentó Alonso en Change.org.

Si bien el uso extendido del término hacker por parte de los medios de comunicación colaboró en los últimos años a vincular a esta palabra con la actividad de entrometerse en sistemas informáticos ajenos -única connotación que tomó la definición de la RAE-, los rasgos carcaterísticos del hacker residen en su curiosidad y su lógica de trabajo o actividad en red.

En su libro "La ética del hacker y el espíritu de la era de la información", el finlandés Pekka Himanen describió en 2001 que "en el centro de nuestra era tecnológica se hallan unas personas que se autodenominan hackers. Se definen a sí mismos como personas que se dedican a programar de manera apasionada y creen que es un deber para ellos compartir la información y elaborar software libre".

Así se entiende que referentes del mundo tecnológico como Tim Berners-Lee, inventor de la web y del lenguaje de programación HTML, o Richard Stallman, pionero del movimiento por el software libre, suelan definirse a sí mismos como hackers.

Según Himanen, a los hackers "no hay que confundirlos con los crackers, los usuarios destructivos cuyo objetivo es el de crear virus e introducirse en otros sistemas: un hacker es un experto o un entusiasta de cualquier tipo que puede dedicarse o no a la informática". / Publicado por Télam..--

---.---

Foto: "Hacker" de Ed McGowan, en Flickr

Un hacker es como un niño curioso que sólo quiere conocer y aprender más

Post relacionados:

• Sobre el uso correcto de la palabra 'hacker'. 05/10/2013.
• La ética hacker del trabajo. 04/10/2012.
• El término 'hacker' será eliminado del código penal español. 30/11/2009.
• Hackers o Ciberdelincuentes. 29/06/2009.

Se viene Blackhat, el próximo thriller de acción de Michael Mann

Blackhat es un thriller de acción escrito, dirigido y producido por Michael Mann. La película está protagonizada Chris Hemsworth , Viola Davis , Holt McCallany , Tang Wei y Wang Leehom . Se tiene previsto su lanzamiento el 16 de enero de 2015.

Esta película es el regreso al cine del director Michael Mann, luego de su última película: Public Enemies,  estrenada en julio de 2009.

Imagen: Captura de pantalla del vídeo en YouTube

El argumento de Blackhat está alrededor de un caso de piratería informática de alto nivel, donde americanos y chinos trabajan en conjunto para detenerlo.

La acción y el drama centra en el enfrentamiento de hackers y en el que Chris Hemsworth es un hacker convicto que ayuda a la policía china y estadounidense a atrapar a un grupo mafioso, que usa la tecnología para concretar grandes crímenes que vulneran toda seguridad cibernética.

Visto en YouTube, vía CBMTrailers

Visita un website incorrecto, y el FBI podría llegar legalmente a tu computadora

Informan que al FBI, la justicia lo autoriza usar spyware para rastrear a usuarios de la red TOR. Desde hace ya unos cuantos días hace se difundía, por los medios especializados, la novedad que la red The Onion Router TOR no era tan privada como se creía.

Wired, en su sección Threat Level, ha publicado un interesante artículo donde se informa que durante los últimos dos años, el FBI ha estado experimentando en silencio con hacks no autorizadas como una solución a uno de los más espinosos problemas de Internet para hacer cumplir la ley: cómo identificar y procesar a los usuarios de los sitios web de criminales que se esconden tras el poderoso sistema de anonimato TOR.

The Onion Router TOR es una red de comunicaciones superpuesta a Internet que permite intercambiar mensajes entre sus usuarios sin que se revele la dirección IP. Hasta hace poco se pensaba que no era posible rastrear la ubicación ni la autoría de los usuarios que establecían las comunicaciones. 

El gran tema es que además de utilizarse por personas deseosas de privacidad, que no quieren hacer pública su navegación, la red TOR ha estado sirviendo en muchas ocasiones como una herramienta para acceder al Deep Web y cometer cualquier tipo de delitos y fechorías, desde el comercio de productos ilegales, hasta las comunicaciones entre terroristas.

Captura de pantalla de la página sobre Cyber Crime en el website del FBI

Se informa que el FBI cuenta en Estados Unidos, con respaldo legal, las herramientas informáticas para tratar de poner fin a esas actividades ilegales.

A la técnica adoptada por el FBI los expertos en seguridad llaman un "drive-by download", un hacker se infiltra en un website de alto tráfico y luego subvierte el mismo con software afectando a cada visitante. Es una de las herramientas más poderosas en el arsenal de sombrero negro, capaz de entregar miles de nuevas víctimas en las garras de un 'hacker en cuestión de minutos. El detalle es que éste hacker tiene una insignia y trabaja para la justicia.

La nota de Wired señala que el uso del malware, por el FBI, no es nuevo. La oficina llama al método una NIT, de "network investigative technique", técnica de investigación de la red (en criollo básico), y lo ha estado usando por lo menos desde 2002 en casos que van desde la piratería informática, amenazas, y pornografía infantil hasta casos de extorsión. 

Dependiendo de la implementación, un NIT puede ser un programa de puerta trasera con todas las funciones, que le da al gobierno el acceso a sus archivos, la ubicación, historial web y cámara web durante un mes a la vez, o un mechón delgado, fugaz de código que envía al FBI el nombre y dirección de la computadora, y luego se evapora.

En el caso de TOR, la nota de Wired informa que el FBI debutó con "solución" en 2012, en una investigación denominada "Operación Torpedo", cuyos contornos apenas ahora se hacen visible a través de documentos de la corte.

La Operación Torpedo se inició con una investigación en los Países Bajos en agosto de 2011. Agentes de la National High Tech Crime Unit of the Netherlands NHTCU (Unidad Nacional de Delitos de Alta Tecnología de la Policía Nacional de los Países Bajos) habían decidido tomar medidas enérgicas contra la pornografía infantil en Internet, según una declaración jurada del FBI. A tal efecto, escribieron un rastreador web que recorrió la Red Oscura, recogiendo todas las direcciones de la cebolla TOR que encontraron.

Los agentes NHTCU visitaron sistemáticamente cada uno de los sitios e hicieron una lista de los que se dedican a la pornografía infantil. Luego, armado con una orden de registro del Tribunal de Rotterdam, los agentes se dispusieron a determinar dónde se encontraban los sitios.

Con 14 de los sospechosos que se dirigían a juicio, el FBI se vio obligado a defender el uso de la descarga dirigida por primera vez. Los abogados defensores han pedido al tribunal de Nebraska las pruebas del software espía, con el argumento de que la oficina ocultó su uso más allá del período de suspensión de 30 días permitido en la orden de allanamiento.

Pero la semana pasada un juez de EE.UU. rechazó la petición de la defensa, y cualquier insinuación de que el gobierno haya actuado de mala fe.

Se informa que algunos usuarios ven la aplicación de éstas técnicas de seguimiento e identificación de sospechosos como un quebrantamiento de los derechos de privacidad. El Departamento de Justicia de Estados Unidos ha comenzado a recibir multitud de demandas en este sentido de ciudadanos que afirman que el FBI ha violado la privacidad de los internautas. Pero la oficina se defiende alegando que este tipo de herramientas son utilizadas en ocasiones donde no existe otra alternativa.

Notas relacionada:

• Visit the Wrong Website, and the FBI Could End Up in Your Computer. WIRED.