Archives abril 2023

Los sistemas basados en Linux y ESXi cada vez están sufriendo más ataques de ransomware. ¿Cómo puedes proteger tus servidores?

Ya sabemos que el ransomware es muy desagradable. Pero ¿cómo construir tus defensas contra él? Más bien, ¿qué debes proteger ante todo? A menudo, las estaciones de trabajo de Windows, los servidores de Active Directory y otros productos de Microsoft son los principales candidatos, una estrategia que suele estar justificada. Pero debemos tener en cuenta que las tácticas de los ciberdelincuentes están en constante evolución y que ya se están desarrollando herramientas maliciosas para servidores Linux y sistemas de virtualización. De hecho, en el 2022, el número total de ataques a sistemas Linux aumentó en aproximadamente un 75 %.

La motivación que hay detrás de estos ataques está muy clara: la popularidad del código abierto y la virtualización está en aumento, lo que significa que cada vez hay más servidores que ejecutan Linux o VMWare ESXi. Estos pueden almacenar una gran cantidad de información crítica que, si se cifra, puede paralizar al instante las operaciones de una empresa. Y, dado que la seguridad de los sistemas Windows ha sido tradicionalmente el centro de atención, el resto de los servidores están demostrando ser una presa fácil.

Los ataques en 2022 y 2023

• En febrero del 2023, muchos propietarios de servidores VMware ESXi se vieron afectados por el brote de ransomware ESXiArgs. Aprovechando la vulnerabilidad CVE-2021-21974, los atacantes deshabilitaron las máquinas virtuales y cifraron los archivos .vmxf, .vmx, .vmdk, .vmsd y .nvram.
• El famoso grupo Clop, conocido por un ataque a gran escala contra los servicios vulnerables de transferencia de archivos Fortra GoAnywhere a través de la CVE-2023-0669, fue detectado en diciembre del 2022 usando, aunque con limitaciones, una versión para Linux de su ransomware. Esta se diferencia significativamente de su equivalente para Windows (carece de algunas optimizaciones y trucos defensivos), pero se adapta a los permisos y tipos de usuarios de Linux y se dirige específicamente a las carpetas de bases de datos de Oracle.
• Una nueva versión del ransomware BlackBasta está diseñada especialmente para ataques a hipervisores ESXi. La estrategia de cifrado utiliza el algoritmo ChaCha20 en el modo de múltiples subprocesos que involucra múltiples procesadores. Dado que las granjas ESXi suelen ser multiprocesador, este algoritmo minimiza el tiempo necesario para cifrar todo el entorno.
• Poco antes de su desintegración, el grupo de ciberdelincuentes Conti también se armó con un ransomware que tenía a ESXi como objetivo. Por desgracia, dado que gran parte del código de Conti acabó filtrado, sus desarrollos ahora están en manos de los ciberdelincuentes.
• El ransomware BlackCat, escrito en Rust, también puede deshabilitar y eliminar máquinas virtuales ESXi. En otros aspectos, el código malicioso difiere ligeramente de la versión de Windows.
• El ransomware Luna, que detectamos en el 2022, era originalmente una multiplataforma, capaz de ejecutarse en sistemas Windows, Linux y ESXi. Y, por supuesto, el grupo LockBit difícilmente pudo ignorar esta tendencia y también comenzó a ofrecer versiones para ESXi de su malware a los afiliados.
• En cuanto a los ataques más antiguos (aunque, lamentablemente, efectivos), también estaban las campañas RansomEXX y QNAPCrypt, que afectaron en gran medida a los servidores Linux.

Las tácticas de ataque contra el servidor

Para penetrar en servidores Linux, generalmente hay que explotar vulnerabilidades. Los atacantes pueden convertir estas vulnerabilidades en armas dentro del sistema operativo, los servidores web y otras aplicaciones básicas, así como en las aplicaciones corporativas, las bases de datos y los sistemas de virtualización. Como demostró Log4Shell el año pasado, las vulnerabilidades en los componentes de código abierto requieren una atención especial. Después de una infracción inicial, muchas cepas del ransomware utilizan trucos o vulnerabilidades adicionales para elevar los privilegios y cifrar el sistema.

Medidas de seguridad prioritarias para servidores Linux

Para minimizar las posibilidades de ataque que afecten a los servidores Linux, te recomendamos:

• Reparar las vulnerabilidades de inmediato.
• Minimizar la cantidad de conexiones y puertos abiertos a Internet.
• Implementar herramientas de seguridad especializadas en servidores para proteger tanto el propio sistema operativo como las máquinas virtuales y los contenedores alojados en el servidor. Para más información sobre cómo protegerte en Linux, visita nuestra publicación especializada.

Fuente:  latam.kaspersky.com

Sabías qué existe un software malicioso llamado Botnet Ramnit y lleva de más de 180 mil detecciones en América Latina durante los primeros tres meses de 2023. Algunas de sus actividades incluyen el robo de información financiera y el secuestro de cuentas de redes sociales.

Ecuador – Según los sistemas de telemetría de ESET, la botnet Ramnit es en la actualidad una de las cuatro amenazas con mayor actividad en América Latina con más de 180 mil detecciones durante los primeros tres meses de 2023. Su capacidad para infectar dispositivos y propagarse rápidamente, así como la sofisticación de las técnicas que implementa, la convierten en una de las botnets más riesgosas y persistentes de la actualidad.

Ramnit se propaga principalmente a través de la descarga de archivos maliciosos que son distribuidos generalmente a través de correos falsos, así como sitios fraudulentos o comprometidos. Una vez instalado en el sistema, Ramnit se configura para ejecutarse siempre al inicio de Windows mediante la modificación de las claves de registro. Luego, recorre el sistema buscando robar credenciales bancarias, contraseñas y otra información financiera valiosa.

Una botnet es la combinación de las palabras “robot” y “network”, es un software malicioso que puede ser controlado por un atacante de manera remota. Es decir que un atacante puede realizar distintas acciones en un dispositivo infectado a través de instrucciones que son enviadas por un actor a distancia. “Ramnit es conocida en la década del 2010 debido a su alta capacidad de infección y propagación. Aunque su actividad disminuyó luego del desmantelamiento de su infraestructura en 2015, un año después comenzó a recuperarse y no solo volvió a ubicarse en el top 5 de troyanos en el mercado, sino que su actividad se ha mantenido hasta ahora.”, comenta Martina Lopez, Investigadora de Seguridad Informática de ESET Latinoamérica.

Además, una variante de Ramnit, apunta al secuestro de cuentas de redes sociales, buscando hacerse con credenciales de acceso a cuentas como Facebook, Twitter y otras plataformas sociales. Una vez que un atacante tiene acceso a una cuenta de redes sociales, puede enviar mensajes de spam, propagar malware y realizar otras actividades maliciosas.

¿Cómo se propaga Ramnit?

Generalmente, a través de correos electrónicos fraudulentos. En ellos, se suplanta la identidad de distintos tipos de entidades, desde organizaciones dedicadas a caridad, compañías privadas de renombre mundial, como Amazon, pasando por entidades bancarias y hasta los mismos proveedores del correo electrónico del receptor, como Microsoft.

Sitio referenciado en un correo electrónico de phishing que luego descargaba Ramnit. Fuente: Twitter

Dentro de estas comunicaciones, los cibercriminal suelen adjuntar enlaces maliciosos o archivos adjuntos (generalmente en formato Word o Excel) que alojan o contienen al malware. Y en el cuerpo del correo, intiman a la víctima a descargar y ejecutar la amenaza.

¿Cómo sé si mi equipo está infectado?

El equipo de investigación de ESET señala que si bien es un desafío identificar este tipo de infección, ya que el malware está diseñado para operar en segundo plano y evitar la detección, hay algunas señales que pueden indicar la presencia de este programa malicioso en un equipo:

• Rendimiento lento del sistema: El malware Ramnit puede ralentizar el rendimiento del equipo al usar recursos del sistema para realizar actividades maliciosas propias de una botnet.

• Cambios en la página de inicio del navegador: Si la página de inicio del navegador se cambia a un sitio web desconocido, puede ser una señal de infección

• Comportamiento inusual del sistema: Si el equipo comienza a actuar de manera inusual, como abrir y cerrar programas automáticamente en el arranque o durante el funcionamiento, o no permite acceder a ciertas piezas de software, puede ser una señal de que el sistema ha sido comprometido.

• Archivos desaparecidos o modificados: Este código malicioso puede robar información personal, como contraseñas o datos de tarjetas de crédito, y también puede modificar o eliminar archivos.

• Errores o mensajes de error inesperados: Si surgen mensajes de error o solicitudes de acceso o modificación, sean reales o falsas, puede ser una señal de un comportamiento inusual y sospechoso.

Las medidas que recomienda ESET para protegerse contra la botnet Ramnit, son:

• Instalar y mantener actualizado un software de protección confiable: Esto ayudará a detectar cualquier malware presente en el sistema y sobre todo prevenir su descarga.

• Actualizar regularmente el sistema operativo y otros programas: Los fabricantes de software a menudo lanzan actualizaciones de seguridad para corregir vulnerabilidades conocidas que los cibercriminales aprovechan para acceder a los sistemas. Es importante mantener el sistema operativo y otros programas actualizados para asegurarse de tener las últimas correcciones de seguridad.

• No abrir correos electrónicos o mensajes de personas desconocidas: Los correos electrónicos y mensajes de personas desconocidas pueden contener malware, por lo que es importante no abrirlos. Incluso si parece que provienen de una fuente confiable, siempre es mejor tener precaución y no abrir enlaces o archivos adjuntos en correos electrónicos sospechosos.

• Usar contraseñas seguras y cambiarlas regularmente: Las contraseñas seguras pueden ayudar a proteger la información personal. Se recomienda usar contraseñas complejas y únicas para cada cuenta y almacenarlas en un gestor de contraseñas.

• Evitar descargar software o archivos de fuentes desconocidas: Descargar software o archivos de fuentes desconocidas puede aumentar el riesgo de infectar el equipo con malware. Es importante descargar software solo de fuentes confiables y asegurarse de que los archivos estén verificados antes de descargarlos.

• Utilizar una conexión segura a Internet: Es importante utilizar una conexión segura a Internet, especialmente cuando se ingresa información personal o financiera en línea. Utilice una conexión segura y confiable, y evitar conectarse a redes Wi-Fi públicas no seguras que puedan permitir el acceso no autorizado a la información personal.

“En caso de sospechar de una posible infección, con este u otros códigos maliciosos, es importante realizar un análisis del sistema con una solución de seguridad confiable, para encontrar y eliminar cualquier copia del código malicioso presente. También se deben cambiar todas las contraseñas inmediatamente de cualquier cuenta o servicio que se sospeche pudo haber sido afectado. Finalmente, si la amenaza realizó cambios irreversibles, podremos utilizar copias de seguridad para restaurar la información o archivos en caso de que contemos con una.”, destaca Martina Lopez de ESET Latinoamérica.

Fuente: 

Para más información se puede poner en contacto a través de: Carolina Bueno, Relaciones Públicas ESET Latam a cbp7media@gmail.com. o al 0998605919

EuroLinux Desktop 9.1 es la nueva y segunda versión hasta la fecha de EuroLinux Linux Desktop, una veterana derivada de Red Hat Enterprise Linux (RHEL) que, al igual que otros proyectos en el último par de años, está aprovechando el vacío que ha dejado CentOS para hacerse un hueco.

EuroLinux Desktop, por lo tanto, sigue el camino marcado por distribuciones como Rocky Linux o AlmaLinux, con matices, y es que para entender que hablemos de ella como nueva y veterana al mismo tiempo, hay que explicar que mientras que EuroLinux es una veterana derivada de RHEL, EuroLinux Desktop es una vertiente de la anterior nacida a finales del año pasado con un objetivo tan concreto que se incluye en su denominación: el escritorio.

Así, aunque la compañía polacada EuroLinux anunciaba a finales del pasado septiembre de 2022 el lanzamiento de EuroLinux Desktop como «una completa novedad en el mercado de los sistemas operativos» que «combina el aspecto y la funcionalidad de Windows y macOS con la fiabilidad y seguridad de una distribución empresarial para servidores«, esta se basaba en RHEL 9. Ahora, algo más tarde si no de lo esperado, de lo esperable, hace lo propio EuroLinux Desktop 9.1.

El matiz viene a cuento de que RHEL 9.1 vio la luz a mediados de noviembre de 2022 y, una de las batallas que libran todas sus derivadas, sobre todo las más recientes, es cuán apegadas en tiempo y forma están de los lanzamientos de Red Hat. En el caso de EuroLinux, no se trata de la más rápida, pero apenas un par de semanas tardó en presentar EuroLinux 9.1. La edición veterana para servidores, cabe señalar.

Ahora llega EuroLinux Desktop 9.1, cuya base es la misma que la edición de escritorio, pero con sus particularidades, enfocadas en la adaptar la experiencia en un sistema como este para su uso en escritorio. Entre sus elementos diferenciadores, un «aspecto similar a Windows y macOS, rico soporte multimedia, acceso a más de 2.000 aplicaciones gratuitas» y «una poderosa suite ofimática» incluida por defecto, destacan sus responsables en la nota de prensa.

O lo que es lo mismo, un aspecto personalizable mediante extensiones de GNOME Shell, acceso a los repositorios de RHEL, aunque el número potencial de aplicaciones es mucho mayor (la novedad de esta versión es Geary, que pasa a ser el cliente de correo electrónico predeterminado), y LibreOffice. Otro detalle destacable es una imagen en vivo con la que probar el sistema antes de instalarlo, algo que no suele ser habitual entre este tipo de propuestas.

Si te interesa saber más sobre EuroLinux Linux 9.visita el anuncio oficial la página de EuroLinux Desktop para más datos y la descarga directa de la ISO de instalación corriente, y EuroLinux Desktop Live para descargar la edición en vivo.

¿Es EuroLinux una auténtica alternativa para el escritorio? Según nos cuentan desde la compañía, tras su presentación la distribución «ganó una popularidad considerable, registrando más de 100.000 descargas de la imagen de instalación en menos de tres meses».

Fuente: www.muylinux.com

ESET, identificó routers de segunda mano que al no haber pasado por un proceso de borrado de datos contenian información sensible e incluso confidencial.

ECUADOR – Tener que quitar un router averiado y reemplazarlo por uno nuevo es probablemente algo que sucede a menudo en los entornos de red de las empresas. Sin embargo, tan importante como lograr que el cambio e implementación de un nuevo equipo se realice sin contratiempos es pensar en el destino que se le dará al router descartado. El equipo de ESET, analizó routers de segunda mano y se sorprendió al descubrir que, en muchos casos, las configuraciones utilizadas anteriormente no habían sido borradas, y que los datos que contenían estos dispositivos podrían ser utilizados para identificar a los propietarios anteriores y conocer los detalles de sus configuraciones de red.

“En las manos equivocadas, los datos que contienen estos dispositivos –incluidos los datos de los clientes, las claves de autenticación de router a router, la lista de aplicaciones y mucho más– son suficientes para lanzar un ciberataque. Un actor malicioso podría obtener datos para lograr el acceso inicial a la red y luego comenzar a investigar para detectar dónde se encuentran los activos digitales de la empresa y qué podría ser de valor. Probablemente la mayoría de los lectores comprende lo que puede venir después en un escenario como este.”, comenta Cameron Camp, Security Researcher de ESET.

En total se analizaron 18 routers, uno de ellos no encendía y dos eran un par reflejado, por lo que se los tomó como un solo equipo. Teniendo esto en cuenta, descubrieron que el 56 % de los dispositivos contenían datos y detalles de configuración.

Acceder de forma no autorizada a la red de una compañía tiene un costo: en la actualidad el precio promedio de credenciales de acceso a una red corporativa, según una investigación de KELA Cybercrime Prevention, ronda los 2.800 dólares. “Esto significa que si un router usado, comprado por poco dinero, es capaz de proporcionar sin demasiado esfuerzo acceso a una red, el retorno de la inversión para los cibercriminales puede ser significativo. Esto suponiendo que los atacantes solo se dediquen a comercializar los datos de acceso y venderlos en mercados clandestinos de la darkweb, en lugar de ellos mismos lanzar un ciberataque.”, explica Tony Anscombe, Chief Security Evangelist de ESET.

En los últimos años los métodos utilizados para lanzar ciberataques a empresas con la intención de obtener un beneficio económico han ido cambiando. Estos cambios hacia un estilo de ataque como el que realizan los grupos de amenazas persistentes avanzadas (APT) han permitido a los ciberdelincuentes establecer un punto de entrada para lograr poner un pie dentro de las redes de una organización. Luego, dedican tiempo y recursos para extraer datos sensibles, explorar métodos para evadir las medidas de seguridad y, en última instancia, someter a la empresa a un ataque de ransomware o al de otro código malicioso.

Desde ESET recuerdan que cualquier dispositivo que una compañía descarte debe pasar por un proceso de limpieza, y que ese proceso debe certificarse y auditarse regularmente para garantizar que la información sensible de una organización no termine siendo comercializada en mercados de compra y venta de hardware de segunda mano.

“Algo preocupante que dejó esta investigación fue la falta de compromiso por parte de las empresas cuando intentamos alertarlas sobre el acceso público a sus datos. Algunas compañías se mostraron receptivas al contacto, algunas confirmaron que los dispositivos habían sido enviados para su destrucción o para que se lleve adelante un proceso de borrado de los datos, algo que claramente no había ocurrido. Otros simplemente ignoraron los repetidos intentos de contacto.”, concluye Anscombe, de ESET.

Para conocer los detalles de esta investigación ingrese al White Paper: “Cómo podría obtener información sensible de una compañía por $100 (en inglés)”, que también contiene una guía sobre el proceso que se debe seguir, incluidas las referencias a la publicación especial 800.88r1 del NIST: Guía para la sanitización de medios. Desde ESET recomiendan la lectura de esta investigación como impulso para verificar los procesos en internos de las organizaciones y de esta manera asegurarse de que no se esté divulgando información por error.

Fuente:

Datos de Contacto de Comunicación y Prensa. Para más información se puede poner en contacto a través de: Carolina Bueno, Relaciones Públicas a cbp7media@gmail.com. o al 0998605919

OpenShot 3.1 es el último lanzamiento del editor de vídeo multiplataforma y publicado como software libre (GPLv3), que en esta ocasión llega con más de 400 perfiles de vídeo, características y rendimiento mejorados y las típicas correcciones de errores.

Empezamos con los más de 400 perfiles de vídeo presentes en OpenShot 3.1, los cuales no tienen por qué ser todos nuevos. La inclusión de esta característica deriva de la investigación y la posterior creación de una base de datos con metadatos de las resoluciones de vídeo conocidas, velocidades por cuadro, relaciones de aspecto, proporciones de píxeles y un nuevo script de gestión que permite validar, deduplicar y generar/actualizar los perfiles existentes. La intención de los responsables es que en un futuro sea fácil agregar nuevas resoluciones, velocidades por cuadro y proporciones.

Otra mejora importante de OpenShot 3.1 es la reasignación de tiempo, que hasta este lanzamiento mostraba limitaciones, y eso cuando no fallaba a la hora de acelerar o ralentizar los vídeos. Aquí los responsables exponen que los cuelgues han sido eliminados y que la implementación de la reasignación de tiempo es ahora más robusta, lo que incluye un soporte remuestreo del audio muy mejorado. Además, la nueva versión del editor de vídeo soporta fotogramas clave de tiempo que utilizan curvas de Bezier para acelerar o ralentizar progresivamente el audio y el vídeo.

La característica de rehacer y deshacer suele ser delicada en este tipo de aplicaciones, así que en OpenShot 3.1 nos encontramos con que ha sido mejorada, en especial a la hora de lidiar con la división de clips y la eliminación de una pista, más concretamente cuando se mueven muchos clips al mismo tiempo. Todas las ediciones de varios pasos soportan a partir de este lanzamiento un sistema de transacciones en segundo plano, el cual se encarga de agrupar dichas ediciones en varios pasos. Todas las operaciones llevadas a cabo en la aplicación requiere de un solo clic para deshacer.

El efecto de subtítulo ha sido muy mejorado, sobre todo en lo que respecta al soporte para la sintaxis de VTT/Subrip. Esto incluye un nuevo conjunto de propiedades de fotogramas clave predeterminadas que se escalan correctamente a diferentes resoluciones, incluidas las pantallas HiDPI. Además, OpenShot soporta ahora formas de onda para ficheros de solo audio, lo que abre la puerta a agregar efectos como el de subtítulo a ficheros de audio.

Los responsables explican que han identificado y corregido todas las fugas de memoria presentes en el código fuente de OpenShot, “incluida la eliminación de subprocesos zombis, lo que hace que OpenShot sea mucho mejor a la hora de mantener y recuperar el uso de la memoria”. Esta mejora debería de permitir a la aplicación funcionar de manera más fiable en sesiones prolongadas en el tiempo sin tener que reiniciar. El rendimiento es otra faceta que ha sido mejorada, principalmente en lo que atañe a la CPU en torno a la asignación de fotogramas y el rendimiento de los propios clips. El uso de una caché adicional evita los esfuerzos de representación duplicados.

Todos los detalles sobre OpenShot 3.1 están disponibles a través del anuncio oficial y el registro de cambios publicado en GitHub. La aplicación es multiplataforma y cuenta con instaladores para Linux (oficialmente AppImage y PPA para Ubuntu), Windows y macOS.

Fuente: www.muylinux.com

Cómo almacenar y procesar sin riesgos información personal de identificación en una empresa.

Cada vez son más los gobiernos reforzando las leyes que regulan la manipulación de datos personales, mientras que la cantidad de filtraciones sigue creciendo año tras año. Por ello, si hace unos diez años las pérdidas financieras más importantes que podía sufrir una empresa eran a causa de las demandas judiciales y los daños a su reputación, ahora cobran protagonismo las sanciones de los reguladores, que pueden representar una parte importante de los daños de la empresa como resultado de un incidente de pérdida de datos. Ante esta situación, hemos decidido publicar una serie de consejos que te ayudarán a organizar procesos seguros para recopilar, almacenar y transferir información de identificación personal en tu empresa.

La recopilación de datos personales

Lo primero y más importante: recopila datos solo si tienes motivos legales suficientes para hacerlo. La recopilación de datos puede estar prevista formalmente por la ley del país en el que opera tu empresa, un contrato con términos que permiten claramente el procesamiento de información personal de identificación (PII) o un consentimiento expresado por un sujeto PII en formato electrónico o papel. Además:

• guarda las pruebas del consentimiento obtenido para el procesamiento y almacenamiento de PII en caso de demandas o inspecciones;
• no recopiles datos que no sean realmente necesarios para tus procesos de trabajo; los datos no se deben recopilar “por si acaso”);
• si se recopilan datos que no son necesarios para el trabajo debido a algún error o malentendido, elimínalos de inmediato.

El almacenamiento de datos personales

Si recopilas datos personales, es muy importante que sepas dónde almacenarlos, quién puede tener acceso a ellos y cómo se procesan. Para ello, es posible que debas crear una especie de “mapa” donde se registren todos los procesos relacionados con la PII. Entonces, será recomendable desarrollar regulaciones estrictas para el almacenamiento y procesamiento de datos, y monitorizar constantemente la implementación de ambos. También aconsejamos lo siguiente:

• Almacenar la PII exclusivamente en medios inaccesibles para los intrusos.
• Limitar el acceso a la PII a un número mínimo de empleados: solo debe estar disponible para aquellos que realmente la necesitan por motivos laborales.
• Eliminar de inmediato los datos personales que ya no se requieren para los procesos corporativos.
• Si el flujo de trabajo requiere el almacenamiento de documentación en papel, solo deben guardarse en lugares seguros como, por ejemplo, una caja fuerte con cerradura.
• Los documentos en papel que no sean necesarios deben destruirse con trituradoras.
• Si los datos no son necesarios tal como están, anonimízalos. De esta forma, quedarán desprovistos de identificadores únicos para que, incluso en caso de filtración, resulte imposible identificar al sujeto.
• Si no es posible anonimizar los datos debido a tus procesos corporativos, debes pseudo-anonimizarlos: convertir la PII en una cadena única para que la identificación del sujeto resulte imposible sin información adicional.
• Evitar el almacenamiento de la PII en dispositivos corporativos y discos duros externos o memorias USB: se pueden robar o perder, pudiendo usarlas un atacante para acceder a los datos del ordenador.
• No almacenar ni procesar PII real en la infraestructura de prueba.
• No usar nuevos servicios para almacenar y procesar datos hasta que estés seguro de que cumplen con los requisitos básicos de seguridad.

La transferencia de datos personales

Todos los procesos relacionados con la transferencia de datos personales deben estar registrados y aprobados por el departamento de seguridad o el delegado de protección de datos, si existe. Además, todos los empleados con acceso a la PII deben tener instrucciones claras sobre cómo manejar los datos de la empresa, qué servicios corporativos o de terceros se pueden usar para ello y a quién se pueden transferir estos datos. Además, asegúrate de que:

• los subcontratistas como, por ejemplo, un proveedor de servicios gestionados, no tengan acceso con derechos de administrador a los sistemas que contenga PII;
• el acceso a los datos esté limitado a una base extraterritorial: los datos de los ciudadanos de un país no deben estar disponibles en otros países a menos que la transferencia transfronteriza de datos no esté regulada;
• al transferir la PII, siempre se utilice el cifrado: esto resulta especialmente importante cuando se envían datos por correo electrónico;
• al transferir datos personales a organizaciones de terceros, se firme un acuerdo de procesamiento de datos (DPA);
• tienes el derecho legal de transferir PII a terceros. Es decir, existe un consentimiento para ello por parte del sujeto PII, ya esté especificado en un contrato o lo exija la ley.

Por supuesto, ninguno de estos consejos, ni siquiera las estrictas regulaciones, pueden excluir la posibilidad de un error humano. Por lo tanto, entre otras cosas, te recomendamos realizar periódicamente formaciones de sensibilización en materia de seguridad. Para ello, es recomendable elegir plataformas de aprendizaje que incluyan sobre todo contenido relacionado con la privacidad y la manipulación de datos personales.

Fuente: latam.kaspersky.com

La selección de metodologías para la gestión de riesgos en ciberseguridad puede representar una tarea complicada entre todas las opciones disponibles, por ello ENISA ofrece un documento para facilitar y orientar en esta tarea.

La gestión de riesgos es fundamental en el proceso de gestión de seguridad de la información de una organización, ya que permite identificar, evaluar y reducir los peligros identificados hasta un nivel aceptable y enmarcarlos en un modelo de mejora continua. La gestión de los riesgos determina la propensión o aversión a los eventos inesperados e indeseados en las organizaciones.

En un segundo nivel de granularidad se encuentra la evaluación de riegos, que es una fase del proceso de gestión de riesgos y que generalmente son utilizadas como base para la elaboración de estrategias de protección a partir de metodologías que permiten categorizar dichos riesgos y los criterios de aceptación de estos.

Objetivos de la evaluación de riesgos

La evaluación de riesgos tiene como objetivo la determinación del valor cualitativo o cuantitativo de los riesgos relacionados con la información; por ello, la metodología de evaluación de riesgos utilizada debe permitir la identificación de vulnerabilidades, amenazas y el impacto de las mismas sobre la confidencialidad, integridad y disponibilidad de nuestros activos. Por lo general, incluye actividades como:

• Identificación de activos de información críticos.
• Identificación de vulnerabilidades.
• Identificación de amenazas.
• Identificación de impacto y probabilidad de ocurrencia.
• Cálculo de riesgos identificados.
• Definición de opciones de tratamiento de riesgos.

Existen múltiples metodologías y herramientas para llevar a cabo la evaluación de riesgos; algunas de estas metodologías son de aplicación general (para cualquier tipo de organizaciones), para regiones específicas, para sectores o industrias específicos, basadas en activos o incluso con elementos más estructurados para implementar el proceso de gestión de riesgos.

Ante este abanico de posibilidades, las organizaciones pueden utilizar la metodología que mejor se adapte a sus necesidades, características o condiciones.

¿Qué metodología se puede utilizar para la gestión de riesgos de seguridad?

La Agencia de la Unión Europea para la Ciberseguridad (ENISA, por sus siglas en inglés), publicó en enero de 2022 el documento “Compendio de marcos de gestión de riesgos con interoperabilidad potencial”, sobre marcos de gestión de riesgos. Este trabajo incluye estándares conocidos y ampliamente utilizados que describen las principales características de cada uno de los marcos y metodologías.

La selección de los marcos y metodologías de gestión de riesgos se realizó sobre la base de una encuesta realizada en diferentes sectores y que consideró criterios como: mejores prácticas en la industria; marcos de trabajo propuestos por organismos de normalización nacionales e internacionales, como pueden ser normas y directrices; y también marcos de trabajo propuestos por la academia.

Para este documento fueron excluidos los marcos y metodologías de gestión de riesgos obsoletos. Es decir, aquellos que no habían sido actualizados en más de diez años, los que no incluían los procesos fundamentales de la gestión de riesgos, y los que no brindan la orientación específica para su implementación. Por lo tanto, más que una lista exhaustiva se consideraron marcos y metodologías de gestión de riesgos avanzados que se adaptan a la teoría definida para la gestión de riesgos.

En la segunda etapa, se identificaron fuentes de búsqueda (incluidos repositorios de recursos relevantes); sitios, revistas comerciales y de negocios; y literatura académica. Luego de varias iteraciones de búsqueda y revisión, se generó un listado de alrededor de 30 marcos y metodologías de gestión de riesgos.

La descripción de los estándares seleccionados incluye características como: nombre completo, enlace al sitio Web, proveedor y origen, ámbito geográfico de uso, si apoyan necesidades de gestión de riesgos genéricas o sectoriales, si están disponibles gratuitamente o no, si están respaldados por una herramienta automatizada u otro material, idiomas admitidos, entre otros elementos que pueden resultar clave a la hora de tomar decisiones.

Interoperabilidad de marcos y metodologías de gestión de riesgos

En la etapa final de este trabajo se identificaron un conjunto de características para su potencial interoperabilidad. Si bien, este análisis no está incluido en el informe, existen varias características que permiten (o limitan) el potencial de interoperabilidad entre marcos de trabajo o frameworks.

Estas características comprenden aspectos como: cumplimiento o apoyo a estándares de gestión de riesgos (ISO, NIST, etc.); proceso de gestión de riesgos (identificación, evaluación, tratamiento y monitoreo de riesgos); enfoque para la identificación de riesgos (basado en activos o basado en escenarios); enfoque para la evaluación de riesgos (cuantitativo o cualitativo); método de cálculo del riesgo; uso de catálogos o bibliotecas específicos; idiomas soportados; costos de licencias; entre otros.

El resultado de este trabajo nos permite tener un panorama amplio de las posibilidades que tienen las organizaciones para implementar un proceso de gestión de riesgos de acuerdo a las mejores prácticas de la industria, con metodologías actualizadas y robustas. Además, ofrece un compendio de marcos de trabajo que son muy útiles para poder cumplir los objetivos: mitigar los ciberataques a gran escala y mantener una sólida postura de ciberseguridad en las organizaciones.

Fuente: www.welivesecurity.com

Blender 3.5 es la nueva versión de la suite de diseño de código abierto, la referencia en el software de modelado, iluminación, renderizado, animación y creación de gráficos tridimensionales, cuyo lanzamiento llega apenas cuatro meses después de la anterior, como es costumbre, con un buen número de novedades en su haber.

De todas esas novedades, sin embargo, Blender 3.5 presume de pelazo, o lo que es lo mismo, de la mejora en el sistema de generación de pelo, introducido por primera vez en Blender 3.3 y protagonista en esta nueva versión de un gran salto a todos los niveles, según cuentan los desarrolladores del proyecto.

Quizás no parezca gran cosa para los neófitos en estos temas, pero los pelos se llevan gran parte de la atención de esta versión, con más de la mitad de todo lo que se destaca en la nota oficial dedicada a desgranar todos los avances implementados a este respecto, incluyendo tanto nuevas opciones como recursos.

«Impulsado por la flexibilidad de los nodos de geometría, cualquier tipo de cabello, pelaje o hierba es posible», señalan en las notas de lanzamiento de Blender 3.5.

Otras novedades de Blender 3.5 al margen de los pelos incluyen el soporte de mapas de desplazamiento de vectores (VDM por sus siglas en inglés) en los pinceles de dibujo en el modo esculpir, facilitando la creación de formas complejas; un nuevo backend para los escenarios en 3D que permite la vista e interacción con la malla y otros objetos; mejoras en la iluminación con el sistema de renderizado de Cycles y unas cuantas cosas más.

De todo lo nuevo de Blender 3.5 dan cuenta en el anuncio oficial / notas de lanzamiento, enlazadas más arriba, mientras que la descarga, para Mac (con soporte mejorado para Apple Silicon), Windows y Linux, incluyendo este caso un ejecutable genérico y el paquete Snap como medios oficiales, están disponibles cada uno en su sitio, pero a todo llegas desde la página del proyecto. Por cierto, que Blender también está en Steam.

Fuente: www.muylinux.com

Mientras el CEO de TikTok intenta aplacar a los legisladores estadounidenses, es hora de que todos pensemos en la gran cantidad de información personal que TikTok y otros gigantes de las redes sociales recopilan sobre nosotros.

ECUADOR – El CEO de TikTok, la aplicación más descargada de 2022 a nivel global, se presentó hace unos días ante el Congreso de los EE. UU. para hablar sobre las prácticas de privacidad y seguridad de los datos de la aplicación y los posibles vínculos con el gobierno chino en medio de una discusión a nivel nacional sobre una prohibición general de TikTok en los EE. UU.

La aplicación de videos cortos, que fue la aplicación más descargada de 2022 tanto en los EE. UU. como en todo el mundo, se ha visto envuelta en una controversia por una serie de problemas de privacidad y ciberseguridad, que incluyen acusaciones entorno a la recolección excesiva de datos de usuarios y su intercambio con el gobierno chino, influencia nociva en los niños y su salud mental, y fugas de datos personales.

Si bien la mayoría de estas preocupaciones no son realmente exclusivas de TikTok, ninguna otra red social está recibiendo tanto escrutinio como la exitosa aplicación de video. Esto no se debe solo a que a menudo se dice que TikTok recopila más información de los usuarios que el promedio de la industria y usa un algoritmo de recomendación más poderoso que las otras plataformas, sino especialmente porque muchos creen que la aplicación presenta riesgos para la seguridad nacional.

India estableció una prohibición nacional de la aplicación en 2020, mientras que un número cada vez mayor de países han prohibido TikTok en dispositivos emitidos por el gobierno. Ahora EE. UU. también está considerando llevar las cosas más lejos y prohibir la aplicación por completo.

Estas son algunas de las principales interrogantes que rodean a TikTok y, quizás aún más importante, qué pueden hacer para proteger sus datos o los datos de sus hijos que usan TikTok.

¿Qué datos recopila TikTok?

Recientemente los debates y gran parte de la evidencia han girado principalmente en torno a los hallazgos de los investigadores de Internet 2.0, una empresa australiana de ciberseguridad. Según su informe de julio de 2022, TikTok solicita excesivos permisos en el dispositivo y recopila cantidades excesivas de datos, mucho más de lo que necesita para su funcionamiento. Por ejemplo, la aplicación recopila datos sobre todas las aplicaciones que están instaladas en el teléfono, información detallada sobre el sistema operativo Android y exige acceso a los contactos del teléfono.

“Para que la aplicación TikTok funcione correctamente no son necesarios la mayor parte de los accesos ni los datos que recopila del dispositivo”, dijo Thomas Perkins, ingeniero y jefe de seguridad de Internet 2.0. “La aplicación puede y se ejecutará con éxito sin recolectar ninguno de estos datos. Esto nos lleva a creer que la única razón por la que se ha recopilado esta información es para la recolección de datos”.

Además, gran parte de esta recopilación de datos no se puede desactivar y TikTok establece en su Política de privacidad que puede leer sus mensajes, alegando que necesitan este nivel de acceso para proteger a los usuarios contra el correo no deseado.

Al mismo tiempo, la compañía recibe la ubicación aproximada de los datos GPS de su dispositivo, incluso cuando el servicio de ubicación está desactivado. También recopila su historial de transacciones y compras, según el informe Internet 2.0.

Chew respondió a estas acusaciones diciendo que las versiones actuales de la aplicación no recopilan información GPS precisa o aproximada de los usuarios estadounidenses. También negó haber compartido datos con el gobierno chino. “TikTok, como empresa estadounidense constituida en Estados Unidos, está sujeta a las leyes de Estados Unidos”, se lee en su comunicado del 23 de marzo. “TikTok nunca compartió ni recibió una solicitud para compartir datos de usuarios estadounidenses con el gobierno chino. TikTok tampoco honraría tal solicitud si alguna vez se hiciera”.

En cualquier caso, ¿cómo puede recuperar (algo de) su privacidad, suponiendo que no quiera dejar de usar la aplicación por completo?

¿Cómo puedes proteger (parte de) tu privacidad mientras usas TikTok?

Si desea ver contenido en TikTok y a la vez compartir la menor cantidad de datos posible, use el sitio web oficial de TikTok en un navegador web. Recuerde que TikTok aún podrá recopilar cierta información utilizando las cookies del navegador y otros rastreadores.

Sin embargo, sin una cuenta no es posible publicar videos, insertar comentarios o dar me gusta a ningún video. En caso de que desee ser un usuario activo con una cuenta, al menos puede restringir el intercambio de algunos datos en la configuración.

En su Política de privacidad, TikTok establece explícitamente que puede recopilar sus datos de aplicaciones de terceros, incluso sin su consentimiento. Cuando se registre en TikTok por primera vez, considere usar un teléfono o una dirección de correo electrónico que no use en ningún otro lugar, en lugar de una cuenta asociada, por ejemplo, con otra red social.

Para mayor protección, no permita que TikTok sincronice contactos telefónicos o amigos de Facebook, y limite la personalización de anuncios. Puede incluso usar un teléfono desechable, es decir, un teléfono móvil económico diseñado para un uso temporal después del cual puede desecharse, junto con servicios de proxy para ocultar su dirección IP y una VPN para ocultar también su ubicación.

Sin embargo, en su investigación de 2022, Consumer Reports, una organización de consumidores sin fines de lucro con sede en EE. UU., reveló que TikTok recopila datos incluso de personas que nunca tuvieron la aplicación TikTok o visitaron el sitio web de la plataforma.

Es porque TikTok recibe datos de sus socios que recopilan información sobre las personas que visitan sus sitios web. Otras plataformas destacadas como Google o Meta (Facebook) utilizan la misma estrategia con fines publicitarios.

“Al igual que otras plataformas, los datos que recibimos de los anunciantes se utilizan para mejorar la eficacia de nuestros servicios publicitarios”, respondió Melanie Bosselait, portavoz de TikTok, a los hallazgos de Consumer Reports.

¿Fugas, espionaje y más?

Si bien es cierto que las preocupaciones sobre la privacidad de los datos no son exclusivas de TikTok, la aplicación de videos cortos se ha enfrentado a varios escándalos que plantean dudas sobre su independencia.

TikTok es propiedad del gigante tecnológico ByteDance con sede en Beijing. En diciembre de 2022 la compañía confirmó el espionaje a reporteros como parte de un intento de rastrear las fuentes de los periodistas, según un correo electrónico interno obtenido y citado por Forbes.

“Me sentí profundamente decepcionado cuando me informaron la situación… y estoy seguro de que ustedes sienten lo mismo”, escribió el director ejecutivo de ByteDance, Rubo Liang, en un correo electrónico interno compartido con Forbes. “La confianza pública en la que hemos invertido grandes esfuerzos en construir se verá significativamente socavada por la mala conducta de algunas personas. … Creo que esta situación nos servirá de lección a todos”.

Chew describió este incidente como un error que la empresa resolvió de inmediato. “También notificamos a este Comité sobre estas acciones desacertadas al momento de informar a nuestros empleados”, escribió Chew. “Condeno esta mala conducta en los términos más enérgicos posibles”.

En junio de 2022, BuzzFeed revisó el audio filtrado de más de 80 reuniones internas de TikTok y encontró 14 declaraciones de nueve empleados que indicaban que ingenieros en China tenían acceso a datos de EE. UU. “Todo se ve en China”, dijo un miembro del departamento de Confianza y Seguridad de TikTok en una reunión de septiembre de 2021, según cita BuzzFeed. Durante otra reunión, otro empleado mencionó a un ingeniero con sede en Beijing a quien describió como un “administrador maestro” que “tiene acceso a todo”.

Otro punto espinoso involucra la Ley de Seguridad Nacional de China de 2017 que requiere que las empresas chinas “apoyen, ayuden y cooperen” con los esfuerzos de inteligencia nacional, señala Politico.

En su discurso, Chew reiteró que todos los datos de todos los estadounidenses se almacenan en Estados Unidos y están alojados en una empresa con sede en Estados Unidos. ByteDance ha formado una subsidiaria de propósito especial llamada TikTok US Data Security Inc. (USDS) que controla todo el acceso a los sistemas que contienen datos de usuarios de EE. UU.

En 2019, el Washington Post planteó otra sospecha al publicar una historia en la que se hace referencia a la falta de publicaciones en TikTok sobre las protestas que se estaban realizando en Hong Kong en septiembre de 2019. Además, el director ejecutivo de Facebook, Mark Zuckerberg, afirmó que la aplicación estaba bloqueando el contenido a favor de Hong Kong de los usuarios estadounidenses. ByteDance rechazó estas acusaciones y una prueba posterior realizada por BuzzFeed News no encontró censura.

“Las afirmaciones de censura en TikTok no parecen tener en cuenta el hecho de que los adolescentes estadounidenses tampoco parecen estar creando contenido viral a favor de Hong Kong en plataformas como Facebook o Instagram”, escribió BuzzFeed.

Proteger a los niños en TikTok

Al igual que otras redes sociales, TikTok se esfuerza por proteger a los niños de la exposición de contenido dañino, intimidación, autolesiones, trastornos alimentarios u otros riesgos que acechan en línea.

Por ejemplo, una investigación reciente realizada en Italia entre 78 pacientes con trastornos alimentarios encontró que ver contenido en TikTok provocó una disminución del autoestima en el 59% de ellos, y el 27% reportó cambios significativos en su vida diaria relacionados con TikTok. Para casi el 63 por ciento de todos los pacientes encuestados TikTok fue la principal red social.

Además de eso, el Departamento de Seguridad Nacional de EE. UU. también inició una investigación sobre las acusaciones de que TikTok no hace lo suficiente para combatir el material de abuso sexual infantil, informó el Financial Times en abril de 2022.

Chew dijo que TikTok analiza constantemente el contenido en busca de indicios de posibles comportamientos depredadores o abusivos. También elimina el contenido que promueve el acoso, los mensajes de odio, los trastornos alimentarios y el extremismo violento.

“Todos y cada uno de los videos subidos a TikTok pasan por una moderación automática, y el contenido potencialmente infractor se elimina o escala automáticamente para que lo revise uno de nuestros moderadores expertos que han recibido capacitación especializada para detectar signos de grooming o comportamiento depredador”, escribió Chew.

Para lidiar con los problemas de protección infantil, TikTok introdujo en 2020 una función llamada Emparejamiento Familiar (en inglés, Family Pairing). Como explicamos en ese momento, la herramienta brinda a padres y madres cierto grado de control y supervisión sobre las cuentas de sus hijos e hijas.

Un padre puede vincular su cuenta de TikTok a la de su hijo y establecer controles parentales, incluido el tiempo de pantalla diario, la exposición restringida a algunos contenidos, las opciones de búsqueda del niño y la visibilidad para otros.

Durante el debate en curso sobre el futuro de TikTok en los Estados Unidos, la plataforma social anunció nuevas herramientas para padres el 1 de marzo de 2023. Padres y madres podrán elegir diferentes límites de tiempo según el día de la semana y establecer un horario para silenciar las notificaciones. TikTok también anunció para Family Pairing un panel de tiempo de pantalla, que proporciona resúmenes del tiempo en la aplicación, la cantidad de veces que se abrió TikTok y un desglose del tiempo total dedicado durante el día y la noche.

Fuente: www.welivesecurity.com

Investigamos por qué las tarjetas con chip no son la solución y qué precauciones debes tomar a la hora de realizar un pago.

Los servicios de pago son cada vez más convenientes y seguros, pero los ciberdelincuentes aún siguen robando fondos de tarjetas en todo el mundo. A continuación, te contamos cuáles son los métodos más comunes utilizados para este tipo de robo y cómo contrarrestarlos.

La clonación de tarjetas

Cuando las tarjetas solo almacenaban información en una banda magnética, era bastante fácil para los estafadores producir una copia exacta y usarla para pagar en las tiendas o sacar dinero en cajeros automáticos. Al principio, los datos se leían con un dispositivo especial: un skimmer que se instalaba en un cajero automático o en el terminal de una tienda. Esto se fue complementando con una cámara o una almohadilla especial en el teclado del terminal para averiguar el código PIN de la tarjeta. Tras obtener el volcado de la tarjeta y el PIN, los estafadores escribían los datos en una tarjeta en blanco y la usaban en un cajero automático o en una tienda.

Esta tecnología sigue funcionando en algunas partes del mundo, pero la llegada de las tarjetas con chip ha reducido considerablemente su eficacia. Este tipo de tarjetas no son tan fáciles de copiar, por ello los delincuentes comenzaron a infectar las terminales de pago con un código malicioso que copia algunos datos de la tarjeta mientras procesa una compra legítima. Después, los estafadores envían solicitudes de pago generadas con esta información. Básicamente, solo envían los datos que se han registrado previamente en la banda magnética, pero etiquetan la transacción como realizada por el chip. Esto resulta posible cuando los bancos no cruzan referencias de varios parámetros de transacción con suficiente detalle e implementan incorrectamente los protocolos EMV que deben cumplir todas las acciones de tarjetas con chip.

Con los bancos menos descuidados, los atacantes utilizan un truco aún más sofisticado. Cuando la víctima realiza un pago legítimo, la terminal de pago infectada solicita que la tarjeta insertada genere otra transacción fraudulenta. Por lo tanto, la tarjeta en sí no se copia, pero los fondos adicionales se deducen igualmente.

Cómo protegerte: intenta usar la función de pago sin contacto desde tu teléfono, que está mejor protegida. Si aún tienes que insertar una tarjeta en un terminal, verifica detenidamente el panel del código PIN en busca de modificaciones sospechosas y no te olvides de cubrirlo con tu mano, bolso u otro objeto cuando introduzcas el código. Si de repente el terminal no acepta el pago sin contacto, aparecen mensajes inusuales en la pantalla o solicita que introduzcas el PIN repetidamente, puedes comenzar a sospechar y tomar medidas de protección adicionales, como, por ejemplo, consultar de inmediato el estado de tu cuenta o establecer un límite de gasto bajo en la tarjeta.

Carteras “a prueba de balas”

Hoy en día podemos comprar carteras y bolsos protegidos con RFID, que protegen las tarjetas físicas de una lectura remota, por ejemplo, en el transporte público. No hay nada de malo con esta protección, lo cierto es que funciona. Sin embargo, esta situación de ataque es bastante inusual. Con un escaneo tan rápido solo se puede leer la información básica de la tarjeta y, por lo general, esto no es suficiente para realizar un pago. A su vez, es fácil averiguar las últimas ubicaciones y cantidades de pago sin contacto.

EL robo de datos de tarjetas a través de internet

Aquí, los estafadores buscan los datos de la tarjeta bancaria para poder realizar pagos online. Por lo general, incluyen el número de tarjeta, la fecha de vencimiento y el código de verificación (CVV/CVC); además, dependiendo del país, también se puede solicitar el nombre del titular de la tarjeta, código postal o número de pasaporte. Los estafadores recopilan estos datos de tres formas diferentes:

1. Atrayendo a la víctima mediante la organización de una tienda online falsa, una copia de phishing de una tienda online real o con el pretexto de recaudar dinero para obras de caridad.
2. Interceptando información a través de la infección de la página web de una tienda online genuina (web skimming) o el ordenador o smartphone de la víctima (troyano bancario).
3. Hackeando una tienda online genuina y robando la información almacenada de la tarjeta de pago del cliente. Ten en cuenta que se supone que las tiendas no deben almacenar la información completa de la tarjeta, pero, por desgracia, a veces esta regla se infringe.

En general, este método de robo, aunque antiguo, ha llegado para quedarse; por ejemplo, según nuestro análisis, los ataques de robo de datos bancarios casi se duplicaron en el 2022.

Cómo protegerte: en primer lugar, hazte con una tarjeta virtual para tus pagos online. Si no es demasiado difícil o costoso, emite una nueva tarjeta virtual y bloquea la anterior al menos una vez al año. Segundo, establece un límite bajo en tu tarjeta para pagos online o simplemente ingresa muy poco dinero en ella. Tercero, asegúrate de que el banco siempre te solicite la confirmación de los pagos online con un código de un solo uso (usando 3-D Secure o mecanismos similares). Y cuarto, revisa cuidadosamente las formas de pago y las direcciones de los sitios donde hayas introducido información financiera. Para no tener que estar tan pendiente de este problema, usa herramientas de ciberseguridad que protejan de forma segura tus pagos online.

El robo de tarjetas y teléfonos a la antigua

Este es, por supuesto, el método de robo más notorio y flagrante, pero sigue siendo común. Los delincuentes expertos pueden usar las tarjetas para pagos online al encontrar una tienda que no requiera la introducción de códigos de verificación adicionales. Una forma más simple pero no por ello menos eficaz es usar una tarjeta robada para un pago sin contacto que no requiera la introducción del código un PIN. Por lo general, hay un límite para los pagos realizados de esta forma y, en algunos países, después de tres o cinco pagos de este tipo, la tarjeta se bloquea, pero en el Reino Unido, por ejemplo, las pérdidas de una víctima de este método primitivo de robo pueden llegar fácilmente a las 500 libras esterlinas (5 × 100 libras esterlinas). Un teléfono siempre es un objeto valioso para los ladrones y, si tiene habilitado Google Pay, incluso podrán pagar con el teléfono bloqueado dentro del límite de pago permitido, causando pérdidas adicionales a la víctima.

Los investigadores de seguridad han demostrado que incluso aunque una tarjeta se bloquee después de introducir el PIN incorrecto tres veces, a veces es posible realizar pagos sin contacto. Un atacante también podría intercambiar algunos datos con un teléfono bloqueado y luego usar registros modificados de ese intercambio para realizar pagos fraudulentos únicos. Afortunadamente, ambos tipos de ataque los han detectado unos investigadores éticos, por lo que existe la esperanza de que los estafadores ya no estén utilizando estos métodos.

Cómo protegerte: lo mejor es establecer límites de gasto relativamente pequeños en las tarjetas de uso diario. Si tu banco lo permite, puedes establecer un límite bajo exclusivamente para los pagos sin contacto. Por supuesto, debes asegurarte de que se pueda aumentar el límite rápidamente si surgiera la necesidad. Por otro lado, también puedes tener una tarjeta virtual emitida con límites bajos y vincularla con Google/Apple/Samsung Pay. Si la aplicación de pago se puede configurar para que solo permita pagos desde un teléfono desbloqueado, hazlo.

En conclusión, nos hemos percatado de que están surgiendo reglas en muchos países por las cuales las víctimas son parcial o totalmente compensadas por fraude. Para aprovechar esto, te recomendamos que tengas cuidado con los pagos con tarjeta, configures la forma más rápida de recibir notificaciones (push o SMS) y te pongas en contacto con tu banco lo antes posible si percibes alguna transacción sospechosa.

Fuente: latam.kaspersky.com