All posts by morfil

El robo de identidad se ha convertido en una preocupante amenaza y que los más pequeños podrían ser los más vulnerables.

Ecuador ­– En esta era de tecnología avanzada, el robo de identidad se ha convertido en una preocupante amenaza y, sorprendentemente, los más pequeños podrían ser los más vulnerables. Según la Comisión Federal de Comercio de Estados Unidos, los ciberdelincuentes suelen dirigirse a los niños, aprovechándose de su historial crediticio impecable y la posibilidad de que el robo pase desapercibido durante mucho tiempo. Se advierte que esta situación podría acarrear dificultades financieras en el futuro de niños y niñas, y recomienda a padres, madres y tutores a asumir el papel de protectores frente al robo de identidad y fraude.

Algunos de los efectos del robo de identidad infantil podrían ser:

1. Caos crediticio: El cibercriminal podría usar la identidad del menor para abrir líneas de crédito, pedir dinero prestado o acumular deudas considerables, dejándolo con una mala calificación crediticia. Esta situación a su vez podría afectar su capacidad para solicitar préstamos o hipotecas en la vida adulta.
2. Antecedentes penales: En algunos casos, el ladrón podría utilizar la identidad robada para llevar a cabo actividades ilegales, lo que podría generarle al niño antecedentes penales.
3. Impacto en el empleo: Un historial crediticio dañado puede influir en futuras oportunidades laborales del niño, ya que algunos empleadores realizan comprobaciones de crédito como parte de su proceso de contratación.
4. Daño emocional: Descubrir un robo de identidad puede causar mucha preocupación y estrés tanto al menor como a su familia.

¿Cómo se puede proteger la identidad de los menores?

Existen medidas que se pueden tomar para asegurar la protección tanto del mundo online como de la identidad de los más chicos. A continuación, ESET comparte una lista de medidas prácticas para tener en cuenta:

• Mantener los secretos en secreto: Asegurarse de guardar bajo llave los documentos confidenciales, como certificados de nacimiento y tarjetas de seguridad social de los menores. Además, tener precaución al proporcionar sus datos personales, y hacerlo solo cuando sea absolutamente necesario.
• Educar a los niños: Asegurarse de que conozcan la importancia de la privacidad y los riesgos de compartir información personal. Esto incluye tener buenos modales en Internet, detectar estafas de suplantación de identidad y comprender el peligro de entablar conversaciones con desconocidos.
• Supervisar la red: Acompañar el uso que los niños hacen de Internet y asegurarse de que sean cautelosos con lo que publican. Configurar adecuadamente la privacidad en las redes sociales para proteger su identidad.
• Verificar el crédito de los más pequeños: Los niños no deberían tener un informe de crédito a menos que se haya abierto una cuenta a su nombre. Revisar periódicamente el informe crediticio de los menores para asegurarte de que no haya cuentas fraudulentas.
• Software de seguridad: Garantizar que los dispositivos estén protegidos con un software de seguridad confiable y que incluya actualizaciones periódicas, esto es clave para protegerse frente a nuevas amenazas.
• Control Parental: En el caso de los más pequeños también se puede recurrir a una solución de control parental en dispositivos y aplicaciones para mantener su información segura y protegida.

“Si bien los más chicos pueden ser expertos en tecnología, su inocencia los hace vulnerables a convertirse en objetivos de los delincuentes online. Así como les enseñamos a atarse los cordones de los zapatos, también debemos enseñarles a proteger su identidad en Internet. Hablar con ellos sobre la diferencia de la información pública y privada, y qué datos evitar exponer en las redes, es un hábito que es bueno adquirir y, a su vez, genera un espacio de confianza que permitirá que nos comenten cuando están frente a una situación nueva o complicada en la red”, comenta Camilo Gutiérrez Amaya, Jefe del Laboratorio de Investigación de ESET Latinoamérica.

Fuente: Departamento de Comunicación ESET Ecuador

Los cibercriminales muestran preferencias para sus ataques de ransomware basadas, por ejemplo, en el tipo de empresa y los datos que pueden secuestrar de cada una. Te contamos cuáles son los sectores más atacados y por qué.

Fuente: www.welivesecurity.com/

Tuxedo, el conocido ensamblador de ordenadores orientados a Linux de origen alemán, ha anunciado su intención de comercializar un portátil con un SoC Snapdragon X Elite de Qualcomm. Sí, estamos hablando de un portátil basado en ARM, por si alguien anda perdido.

La arquitectura ARM, dentro del sector doméstico, ha estado centrada principalmente en móviles, tablets y mini-PC. Sin embargo, desde la irrupción de los SoC Apple Silicon, su expansión hacia las computadoras personales es cuestión de tiempo. Eso ya se está viendo en los diversos modelos de portátiles con Windows y SoC ARM que han sido anunciados durante el transcurso del presente año.

La relación de Linux con ARM ha sido bastante mejor que la de Windows, ya que el sistema operativo de Microsoft se ha mostrado demasiado atado a la arquitectura x86 al menos en sus ediciones para escritorio. Con este panorama sobre la mesa, ¿por qué no comercializar un portátil Linux potente con un SoC ARM? Tuxedo parece tenerlo claro y se ha tirado a la piscina.

El ensamblador de origen alemán explica lo siguiente sobre su futuro portátil basado en ARM: “Recientemente presentamos un prototipo del portátil ARM en el que estamos trabajando en la feria Computex celebrada en Taiwán. En cuanto al software, nuestro objetivo para este proyecto que se ejecuta internamente bajo el nombre provisional Drako es una adaptación a la plataforma ARM de Tuxedo OS con KDE Plasma”. Las características básicas del prototipo mostrado son las siguientes:

• SoC Qualcomm Snapdragon X Elite X1E80100 y un TDP de 20 vatios.
• 32GB de memoria RAM LPDDR5X y una ranura con interfaz PCIe Gen 4 y factor de forma M.2 para una unidad SSD.
• Pantalla IPS de 14 pulgadas que funciona con una resolución nativa de 2.560×1.600 píxeles, un ratio de aspecto de 16:10, 400 nits de brillo máximo y soporte para el 100% del espectro de color sRGB.
• Chasis de aluminio, USB 4 (nos suponemos que Type-C), HDMI, batería de 50Wh y un peso de 1,36 kilogramos.
• Como sistema operativo usará un Linux que todavía se encuentra en desarrollo, la mencionada adaptación de Tuxedo OS.

Sobre las características básicas del Snapdragon X Elite X1E80100 implementado en el prototipo de Tuxedo, este tiene doce núcleos Oryon que trabajan a 3,8GHz y que pueden alcanzar los 4,6GHz en modo dual-core. El SoC también integra una GPU Adreno a 1,25GHz, una NPU de 45 teraflops y ofrece soporte para PCIe 4.0 de 8+4 carriles y para PCIe 3.0 de 2+2 carriles. Tuxedo avisa que este SoC no está dirigido al gaming ni a competir con portátiles de gama alta basados en x86, sino que va más bien orientado al sector corporativo.

Sobre el soporte del Snapdragon X Elite X1E80100 para Linux, la propia Qualcomm está moviendo ficha junto a Lenovo, ARM y Linaro para que el SoC esté soportado por el kernel. En lo que respecta a la potencia, Tuxedo explica que “las pruebas de rendimiento de Qualcomm sugieren que el nuevo Snapdragon no sólo puede alcanzar a la competencia, sino que también supera claramente a los SoC M2 de Apple al tiempo que muestra una mayor eficiencia energética. Nuestras mediciones preliminares confirman estos valores”. Nuestros compañeros de MuyComputer recogieron el mes pasado que el Samsung Galaxy Book4 Edge con Snapdragon X Elite superó al Apple M4 en rendimiento sobre multinúcleo, y la comparativa aquí fue de Windows contra macOS.

Como vemos, el futuro portátil de Tuxedo basado en ARM tiene buena pinta, aunque todavía quedan por saber aspectos como el nivel de compatibilidad que ofrecerá a nivel de distribuciones más allá del sistema del propio ensamblador. La intención de la compañía es empezar a comercializarlo en las navidades de 2024, pero posiblemente sea demasiado pronto para decir nada en firme si vemos que el protitpo se encuentra en fase alfa y que todavía faltan algunos drivers para que el equipo sea plenamente funcional.

Fuente: www.muylinux.com

El fraude del servicio de soporte técnico falso lleva mucho tiempo en auge en todo el mundo. Aquí te explicamos cómo funciona y qué puedes hacer para protegerte.

Según el Internet Crime Report del FBI de 2023, solo el año pasado se presentaron más de 37 500 quejas en EE. UU. relacionadas con estafas de servicios de soporte técnico falsos, que resultaron en más de 924 millones de dólares en pérdidas. En esta publicación, analizamos cómo funcionan estas estafas, los peligros que plantean y cómo puede protegerse de este tipo de fraude.

Cómo funcionan las estafas del servicio de soporte técnico falso

En esta estrategia, los estafadores se suelen hacen pasar por personal técnico o de soporte al cliente de empresas importantes, habitualmente del sector tecnológico. Esto permite a los ciberdelincuentes utilizar términos que suenan complicados y detalles técnicos que son incomprensibles para la mayoría de personas.

El pretexto más común con el que los estafadores del servicio de soporte técnico falso inician el contacto con las posibles víctimas es alegando que han detectado algún problema en el equipo de estas. Por ejemplo, un empleado falso de un desarrollador de software o de una empresa antivirus reconocida le puede llamar para decirle que han detectado malware en su equipo.

Los estafadores emplean esta táctica para abrumar a sus víctimas, así como provocarles pánico y una sensación de impotencia. A continuación, los estafadores manipulan esas emociones para generar confianza; estas estratagemas suelen estar diseñadas para que la víctima no tenga más remedio que confiar en el estafador. Es esta confianza la que, en última instancia, aprovechan los estafadores para lograr sus objetivos.

Cómo le encuentran los estafadores de servicios de soporte técnico falsos

Para hacer el contacto inicial con la posible víctima, los estafadores de soporte técnico emplean distintas estrategias. Pero, en general, existen tres opciones principales.

Sitios web y cuentas de redes sociales falsos

Algunos estafadores crean páginas web o cuentas de redes sociales que imitan las de empresas legítimas. También pueden usar anuncios en buscadores o redes sociales para promocionar estos recursos falsos, con la esperanza de que las posibles víctimas accedan a ellos cuando necesiten ayuda por un problema técnico.

Para llevar a cabo el ataque, los estafadores necesitan tener contacto continuo con la víctima. Por este motivo, suelen plantear algún pretexto para cambiar el medio de comunicación a llamadas telefónicas o aplicaciones de mensajería instantánea.

Ventanas emergentes y notificaciones de “problema detectado”

Otro método común para llevar a cabo esta estafa implica el uso de ventanas emergentes y notificaciones que imitan las advertencias del sistema operativo o del antivirus. Estas notificaciones, generalmente de un alarmante color rojo o naranja, advierten de que hay algún problema en el equipo de la víctima, la mayoría de las veces relacionado con un virus.

De nuevo, dado que los estafadores necesitan comunicarse activamente con la víctima, suelen proporcionar un número de teléfono al que llamar para resolver el problema detectado.

Llamadas telefónicas

Por último, el método más popular para contactar con las víctimas son las llamadas telefónicas directas. Podemos dividirlas en dos tipos: llamadas “en frío” y llamadas “en caliente”. En el primer caso, los estafadores de servicios de soporte técnico falsos simplemente llaman a números aleatorios, y suelen hacerse pasar por representantes de empresas importantes cuyos productos son ampliamente utilizados. Por ejemplo, no les costará demasiado tiempo encontrar a un usuario de Windows.

Las llamadas en caliente conllevan el uso de información obtenida a través de violaciones o filtraciones de datos de clientes de empresas concretas. Naturalmente, conocer el nombre de la víctima y los productos que utiliza les da más credibilidad a los estafadores, lo que aumenta sus posibilidades de éxito.

¿Cuál es el principal peligro de las estafas de servicios de soporte técnico falsos?

Si nos fijamos en las cifras con las que comenzamos esta publicación, verá que las estafas de soporte técnico no consisten en el cobro de pequeños cargos por servicios inexistentes. La pérdida promedio que se denuncia es de casi 25 000 USD.

Esto destaca el principal peligro de los servicios de soporte técnico falsos: los estafadores no se conforman con un beneficio pequeño, sino que intentan robar el máximo posible a sus víctimas. Para ello, idean estrategias complejas y emplean técnicas de ingeniería social.

En particular, los estafadores de soporte técnico a menudo presionan a las víctimas para que instalen software de acceso remoto o para compartir la pantalla, para que revelen o expongan sus contraseñas del banco o para que compartan códigos de confirmación de un solo uso de transacciones. Incluso podrían organizar actuaciones elaboradas que impliquen varias llamadas telefónicas de distintos “empleados de la empresa”, “instituciones financieras” u “organismos gubernamentales”.

Cómo protegerse de los estafadores de servicios de soporte técnico falsos

Si alguien se comunica con usted afirmando ser del soporte técnico, le advierte de algún peligro y dice que debe tomar medidas de inmediato, lo más probable es que se trate de un estafador de este tipo.

Procure no entrar en pánico y evite hacer algo de lo que se pueda arrepentir más adelante. Es mejor hablar de lo que está sucediendo con otra persona, ya que podría ayudarle a detectar incoherencias o lagunas en la historia del estafador. Para ganar tiempo, pídale que le devuelva la llamada más tarde; dígale que no tiene tiempo para hablar, que tiene otra llamada, que el teléfono tiene poca batería o simplemente finja que se ha cortado la llamada.

También puede tomar las siguientes medidas adicionales para protegerse de los estafadores:

• Instale una solución de seguridad fiable en todos sus dispositivos y confíe en sus advertencias.
• No introduzca nunca sus credenciales de inicio de sesión mientras otra persona está observando, por ejemplo, si está compartiendo la pantalla o si alguien tiene acceso remoto a su ordenador.
• No instale software de acceso remoto en su equipo y, por supuesto, nunca le dé acceso a él a desconocidos. Por cierto, nuestra protección puede advertirle de este tipo de peligros.

También merece la pena recordar que las personas particularmente vulnerables a las estafas de soporte técnico son las personas mayores. Es posible que no se desenvuelvan bien en Internet, por lo que son quienes más necesitan una protección fiable.

Fuente: latam.kaspersky.com

La autenticación de dos factores protege tu cuenta contra el robo hasta que tú mismo revelas la contraseña de un solo uso.

La autenticación de dos factores (2FA) mediante el empleo de contraseñas de un solo uso (OTP) ahora se considera, a menudo, como una solución universal contra el phishing, la ingeniería social, el robo de cuentas y otras amenazas cibernéticas. Al solicitar una OTP durante el inicio de sesión, el servicio en cuestión proporciona una capa de protección adicional de verificación del usuario. Si bien el código se puede generar en una aplicación especial directamente en el dispositivo del usuario, lamentablemente pocas personas instalan y configuran una aplicación de autenticación. Por lo tanto, los sitios generalmente envían un código de verificación en forma de texto, correo electrónico, notificación push, mensaje instantáneo o incluso llamada de voz.

Este código, válido por tiempo limitado, mejora la seguridad de forma significativa. Sin embargo, no es una solución mágica: incluso con la 2FA, las cuentas personales siguen siendo vulnerables a los bots de OTP, un software automatizado que engaña a los usuarios para que revelen sus OTP mediante ingeniería social.

Para saber qué función cumplen estos bots en el phishing y cómo funcionan, sigue leyendo…

Cómo funcionan los bots de OTP

Estos bots, que se controlan a través de un panel de control en un navegador web o a través de Telegram, se hacen pasar por organizaciones legítimas, como bancos, para engañar a la víctima a fin de que revele una OTP enviada. Así es como se desarrolla:

1. Después de obtener las credenciales de inicio de sesión de la víctima, incluida la contraseña (consulta a continuación para saber cómo se hace), el estafador inicia sesión en la cuenta de la víctima y se le solicita que introduzca una OTP.
2. La víctima recibe la OTP en su teléfono.
3. El bot de la OTP llama a la víctima y, mediante un script de ingeniería social pregrabado, le pide que introduzca el código recibido.
4. La víctima desprevenida introduce el código allí mismo en su teléfono durante la llamada.
5. El código se transmite al bot de Telegram del atacante.
6. El estafador obtiene acceso a la cuenta de la víctima.

La función clave del bot de OTP es llamar a la víctima y el éxito de la estafa depende de cuán persuasivo sea el bot: las OTP tienen una vida útil corta, por lo que las posibilidades de obtener un código válido durante una llamada telefónica son mucho más altas que mediante cualquier otro método. Es por eso que los bots de OTP ofrecen una gran cantidad de opciones para ajustar los parámetros de la llamada.

Este bot de OTP cuenta con más de una docena de funciones: scripts personalizados y listos para usar en varios idiomas, 12 modos de operación e, incluso, soporte técnico 24 horas al día, los 7 días de la semana.

Los bots de OTP son un negocio. Por ello, para comenzar, los estafadores compran una suscripción en criptomonedas que cuesta el equivalente a hasta 420 USD por semana. Luego, alimentan al bot con el nombre, el número y los datos bancarios de la víctima, y seleccionan la organización cuya identidad desean suplantar.

El menú del bot fácil de usar es accesible incluso para los estafadores que no cuentan con habilidades de programación.

Para obtener una mayor viabilidad, los estafadores pueden activar la función de suplantación de identidad al especificar el número de teléfono del que parece proceder la llamada, que se muestra en el teléfono de la víctima. También pueden personalizar el idioma e, incluso, la voz del bot. Todas las voces se generan mediante IA, por lo que, por ejemplo, el bot de la OTP puede “hablar” inglés con acento indio o español castellano. Si se reenvía una llamada al correo de voz, el bot sabe que debe colgar. Además, para asegurarse de que todo esté configurado de forma correcta, los estafadores pueden verificar la configuración del bot de OTP mediante una llamada a su propio número de prueba antes de comenzar un ataque.

La víctima debe creer que la llamada es legítima, por lo que, antes de marcar el número, algunos bots de OTP pueden enviar un mensaje de texto de advertencia sobre la futura llamada. Esto sosiega la vigilancia del objetivo, ya que, a primera vista, no hay aspectos sospechosos: recibe una notificación de texto del “banco” sobre una futura llamada y, unos minutos después, recibe la llamada, por lo que no puede ser una estafa. Sin embargo, lo es.

Durante una llamada, puede que algunos bots soliciten, además de una OTP, otros datos como el número de tarjeta bancaria y la fecha de vencimiento, el código de seguridad o PIN, la fecha de nacimiento, los detalles del documento, etc.

Para obtener información más detallada sobre el funcionamiento interno de los bots de OTP, consulta nuestro informe en Securelist.

No solo mediante un bot

Si bien los bots de OTP son herramientas efectivas para eludir la 2FA, resultan completamente inútiles sin los datos personales de la víctima. Para obtener acceso a la cuenta, los atacantes necesitan al menos el inicio de sesión, el número de teléfono y la contraseña de la víctima. Sin embargo, cuanta más información tengan sobre el objetivo (nombre completo, fecha de nacimiento, dirección, correo electrónico, datos de la tarjeta bancaria), mejor será (para ellos). Estos datos se pueden obtener de varias formas:

• En la red oscura. Los hackers ponen a la venta bases de datos en la red oscura con regularidad, lo que permite a los estafadores comprar credenciales de inicio de sesión, que incluyen contraseñas, números de tarjetas bancarias y otros datos. Si bien puede que estas no sean muy recientes, la mayoría de los usuarios, por desgracia, no cambian sus contraseñas durante años, y otros datos siguen siendo relevantes durante más tiempo. Además, Kaspersky Premium envía una notificación de inmediato acerca de cualquier filtración de datos que involucre tu número de teléfono o dirección de correo electrónico, mientras que Kaspersky Password Manager informa de incidentes en que las contraseñas se vean comprometidas.
• Mediante inteligencia de fuente abierta. A veces, las bases de datos se filtran al público en la web “normal”, pero debido a la cobertura de los medios, se vuelven obsoletas con rapidez. Por ejemplo, la práctica estándar de una empresa al descubrir una filtración de datos de un cliente es restablecer las contraseñas de todas las cuentas filtradas y solicitar a los usuarios que creen una contraseña nueva en el próximo inicio de sesión.
• Mediante un ataque de phishing. Este método tiene una ventaja innegable sobre otros: se garantiza que los datos de la víctima están actualizados porque el phishing puede ocurrir en tiempo real.

Los kits de phishing (phishkits) son herramientas que permiten a los estafadores crear de forma automática sitios web falsos convincentes para recopilar datos personales. Ahorran tiempo y permiten que los delincuentes cibernéticos recopilen toda la información del usuario que necesitan en un único ataque (en cuyo caso los bots de OTP son solo una parte de un ataque de phishing).

Por ejemplo, un ataque de phishing en varias etapas podría producirse de la siguiente manera: la víctima recibe un mensaje supuestamente de un banco, una tienda u otra organización que la insta a actualizar los datos de su cuenta personal. Adjunto a este mensaje hay un enlace de phishing. La expectativa es que, al llegar a un sitio que es casi idéntico al original, la víctima introduzca sus credenciales de inicio de sesión, que los autores del phishing robarán. Los atacantes las utilizarán de inmediato para iniciar sesión en la cuenta real de la víctima.

Si la cuenta está protegida mediante una 2FA, los estafadores emitirán un comando al panel de control del kit de phishing para que se muestre una página de entrada de OTP en el sitio de phishing. Cuando la víctima introduce el código, los autores del phishing obtienen acceso completo a la cuenta real, lo que les permite, por ejemplo, vaciar las cuentas bancarias.

Sin embargo, eso no es todo. Los estafadores aprovechan la oportunidad para extraer la mayor cantidad de información personal posible y presionan al usuario para que “confirme sus credenciales” como requisito obligatorio. A través del panel de control, los atacantes pueden solicitar la dirección de correo electrónico, el número de la tarjeta bancaria y otros datos confidenciales en tiempo real. Esta información se puede utilizar para atacar otras cuentas de la víctima. Por ejemplo, podrían intentar acceder al buzón de correo de la víctima con la contraseña obtenida durante el phishing; al fin y al cabo, las personas a menudo reutilizan la misma contraseña para muchas, o incluso todas, sus cuentas. Una vez que obtienen acceso al correo electrónico, los atacantes pueden aprovechar la oportunidad al máximo: por ejemplo, cambiar la contraseña del buzón y, después de un breve análisis del contenido del buzón, solicitar un restablecimiento de contraseña para todas las demás cuentas vinculadas con esta dirección.

Opciones para solicitar datos adicionales en el panel de control del kit de phishing.

Mantén protegido tu correo electrónico

• Usa siempre Kaspersky Premium para realizar búsquedas automáticas de filtraciones de datos que afecten a tus cuentas vinculadas con direcciones de correo electrónico y números de teléfono, sean tuyas o de tu familia. Si se detecta una filtración, sigue las recomendaciones de la aplicación para su mitigación (por lo menos, cambia tu contraseña de inmediato).
• Si de repente recibes una OTP, ten cuidado. Alguien podría estar intentando hackearte. Para obtener detalles sobre qué hacer en este caso, consulta nuestras instrucciones.
• Genera contraseñas únicas y seguras para todas tus cuentas mediante Kaspersky Password Manager. Los estafadores no pueden atacarte con bots de OTP a menos que conozcan tu contraseña, así que genera contraseñas complejas y guárdalas de forma segura.
• Si recibes un mensaje con un enlace para introducir datos personales o una OTP, vuelva a verificar la URL. Uno de los trucos preferidos de los estafadores es dirigirte a un sitio de phishing mediante la sustitución de un par de caracteres en la barra de direcciones. Tómate siempre un momento para verificar que te encuentras en un sitio legítimo antes de introducir datos confidenciales.
• Nunca compartas tus OTP con nadie ni las introduzcas en el teclado de tu teléfono durante una llamada. Recuerda que los empleados legítimos de bancos, tiendas o servicios, o incluso los funcionarios de policía, nunca te pedirán la OTP.
• Anticípate a los delincuentes cibernéticos.

Fuente: latam.kaspersky.com

Consejos sobre cómo ver el torneo Eurocopa 2024 de la UEFA sin perder dinero y con buen humor.

A los estafadores les encantan la publicidad y las tendencias. ¿Así que Toncoin se está haciendo muy popular? Construyamos un esquema piramidal de criptomonedas. ¿Ha alcanzado la inteligencia artificial el siguiente nivel? Es ideal para hacer deepfakes de voz. ¿Ha empezado la Eurocopa? Prepárate para un mes de estafas futbolísticas…

El torneo Eurocopa 2024 de la UEFA reunirá a más de 2,7 millones de personas en estadios y otras 12 millones en zonas de aficionados en toda Alemania, mientras que el número total de personas que seguirán el torneo de fútbol más grande del año es asombroso. Lamentablemente, muchos de estos espectadores y telespectadores podrían ser objetivos fáciles para los estafadores. Por eso es importante tomar las medidas correctas, comprender las posibles ciberamenazas en el mundo del fútbol y aprender a ver los partidos de tu equipo favorito de forma segura.

Entradas falsas

Una amenaza típica antes de cualquier gran evento fuera de línea es el fraude con las entradas. En resumen: compra las entradas solo en el sitio web oficial de la UEFA o en las taquillas del estadio, no a través de terceros ni de otros sitios web.

¿Qué podría salir mal? Estas son algunas de las situaciones más habituales:

• Vulneración de los datos de pago. Esto puede suceder si pagas con tarjeta en un sitio web falso (phishing). Por lo tanto, antes de intentar comprar una entrada en línea, asegúrate de que no haya errores tipográficos en la dirección del sitio web y de que el dominio no se haya registrado hace solo un par de semanas.
• Protección de los datos personales. Esta situación también es posible al comprar en un sitio de phishing: los estafadores pueden solicitar no solo tus datos bancarios, sino también tu nombre, dirección, número de teléfono y correo electrónico. Ten cuidado si la compra de entradas requiere una cantidad inusual de datos personales.
• Descargas de malware. Los estafadores pueden ofrecer vender entradas para la Eurocopa 2024 a través de una “aplicación especial”. Esta aplicación aparentemente inofensiva podría resultar ser un ladrón, un minero o algo aún peor. Si te encuentras con una oferta tipo “descargar esta aplicación para comprar entradas”, ignórala: es una estafa.

Todas estas situaciones tienen el mismo resultado potencial: no se compran entradas, se producen pérdidas financieras y se genera mal humor. Si deseas asegurarte de que tus datos no hayan sido vulnerados, instala Kaspersky Premium, protegerá tus dispositivos de virus, te protegerá del phishing y de los enlaces maliciosos mientras navegas por la web, y verificará automáticamente si hay filtraciones de datos de tus cuentas vinculadas a números de teléfono y al correo electrónico.

Corrientes piratas

Incluso si planeas ver el torneo completo en línea, mantente alerta. Algunos servicios de transmisión a precios atractivos pueden resultar ser piratas, y una suscripción que parece una gran oferta podría vaciar tu cuenta bancaria.

Los riesgos son los mismos que en el caso de las entradas: pueden robar los datos de pago y personales, e incrustar scripts maliciosos en las páginas del sitio de transmisión, lo que permitiría a los atacantes controlar el navegador y el sistema. Es por eso que no recomendamos almacenar las contraseñas en el navegador: utiliza un administrador de contraseñas.

Servicio pirata de transmisión para ver los partidos de la Eurocopa

Apuestas ilegales

Otro tipo popular de fraude en el fútbol es apostar en las casas de apuestas ilegales y fraudulentas que ofrecen cuotas fantásticas. Estas empresas atraen a los jugadores con atractivas cuotas y desaparecen en un par de semanas. Como resultado, los aficionados pierden su dinero y, una vez más, sus datos de pago acaban en malas manos. Si quieres apostar en un partido de fútbol, utiliza el sitio web o la aplicación oficial de una casa de apuestas con licencia para operar en tu país.

Tiendas falsas

Cualquier torneo de fútbol en el que participen selecciones nacionales provoca inevitablemente un aumento de la popularidad de las tiendas que venden artículos para los aficionados: suéteres, bufandas, camisetas, etc. Entre la gran cantidad de tiendas de este tipo, lo mejor es escoger tiendas oficiales o fuera de línea; así no te estafarán.

Tienda falsa que vende parafernalia de fútbol

Los estafadores atraen a los compradores con grandes descuentos, precios bajos y envío gratuito, pero en realidad, se trata de las clásicas estafas: sin una protección fiable, pueden robarte tu pago y tus datos personales, y nunca recibirás el suéter de tu equipo favorito.

Recomendaciones

• Mira los partidos de fútbol solo en los canales o sitios oficiales, y no pagues a los distribuidores de contenidos pirateados.
• Utiliza una protección fiable que te avise cuando estés a punto de visitar un sitio de phishing.
• Paga con una tarjeta virtual con límite establecido. Antes de comprar una entrada o una suscripción, transfiere solo el importe necesario para esa única transacción. De este modo, los estafadores no podrán obtener nada extra.
• No compres entradas en el mercado de segunda mano, ya que pueden ser anuladas por la UEFA. Es mejor utilizar el sitio web oficial de la organización.
• Compra artículos para aficionados solo en tiendas oficiales; de lo contrario, corres el riesgo de encontrarte con estafadores.

Fuente: latam.kaspersky.com

Los fabricantes de vehículos venden los datos recopilados por los coches conectados sobre los hábitos de conducción de sus usuarios a agentes de datos¬, quienes los revenden a las compañías de seguros.

Al principio de la película “El quinto elemento”, hay una secuencia que muestra la naturaleza distópica del mundo futuro: el taxi inteligente de Korben Dallas le multa por una infracción de tráfico y le revoca el permiso de conducción. En 1997, esto parecía ciencia ficción… y lo era. Hoy se está convirtiendo en una realidad. Pero empecemos por el principio.

No hace mucho tiempo, analizábamos los peligros potenciales asociados con la cantidad de datos que los vehículos modernos recopilan sobre sus propietarios. Más recientemente, una investigación reveló lo que esto podría significar en la práctica para los conductores.

Al parecer, los fabricantes de vehículos ya están vendiendo a través de agentes especializados de datos distintos datos telemáticos a las compañías de seguros, quienes los están utilizando para aumentar el coste de los seguros a los conductores negligentes. Sin embargo, lo más alarmante de todo es que los propietarios de los coches a menudo no saben nada al respecto. Analicémoslo más a fondo.

La ludificación de la conducción segura tiene grandes consecuencias

Todo comenzó en Estados Unidos, cuando los propietarios de vehículos de General Motors (empresa matriz de las marcas Chevrolet, Cadillac, GMC y Buick) observaron un fuerte aumento en las primas de sus seguros de coche en comparación con el periodo anterior. El motivo resultó ser la práctica de la elaboración de perfiles de riesgo por parte del agente de datos LexisNexis. LexisNexis trabaja con las aseguradoras de coches para proporcionarles información de los conductores, generalmente sobre accidentes y multas de tráfico. Sin embargo, ¡los propietarios de los vehículos afectados por la subida de las primas no tenían antecedentes de accidentes ni de conducción peligrosa!

Se descubrió que los perfiles compilados por LexisNexis contenían datos detallados sobre todos los viajes realizados en el vehículo asegurado, incluidas las horas de inicio y finalización, la duración, la distancia y, lo que es más importante, todas las veces que se había acelerado o frenado bruscamente. Y eran estos datos los que las aseguradoras estaban utilizando para aumentar las primas de los conductores que no conducían precisamente a la perfección. ¿De dónde obtuvo el agente de datos una información tan detallada?

Procedía de OnStar Smart Driver, una función de General Motors para la “ludificación de la conducción segura” que integra en sus vehículos y en las aplicaciones móviles myChevrolet, myCadillac, myGMC y myBuick. Esta función registra la aceleración y el frenado bruscos, el exceso de velocidad y otros eventos peligrosos, y recompensa la conducción “buena” con premios virtuales.

La función de ludificación de la conducción segura OnStar Smart Driver está integrada en las aplicaciones móviles myChevrolet, myCadillac, myGMC y myBuick de General Motors.

Además, según algunos propietarios de coches, ni siguiera habían activado la función ellos mismos, sino que el concesionario lo había hecho por ellos. Básicamente, ni las aplicaciones de General Motors ni los términos de uso advertían explícitamente a los usuarios de que los datos de OnStar Smart Driver se compartirían con agentes de datos relacionados con seguros.

Esta falta de transparencia se extendió a la declaración de privacidad en el sitio web de OnStar. Si bien la declaración menciona la posibilidad de compartir los datos recopilados con terceras partes, no se especifica a las aseguradoras concretamente, y el texto está redactado con una gran vaguedad.

Durante la investigación, se descubrió que LexisNexis trabajaba con otros tres fabricantes de automóviles además de General Motors (Kia, Mitsubishi y Subaru), quienes también tienen programas similares de ludificación de la conducción segura con nombres como “Driving Score” o “Driver Feedback”.

Según el sitio web de LexisNexis, entre las empresas que trabajan con el agente de datos están General Motors, Kia, Mitsubishi y Subaru. Fuente

Al mismo tiempo, se descubrió que otro agente de datos, Verisk, estaba proporcionando datos telemáticos a las aseguradoras de automóviles. Entre sus clientes del sector de la automoción se incluyen General Motors, Honda, Hyundai y Ford.

Otro agente, Verisk, menciona a General Motors, Honda, Hyundai y Ford en su descripción del servicio de ventas telemáticas. Source

Como resultado, a efectos prácticos, muchos conductores se vieron atrapados en una póliza de seguros de automóvil con un coste basado en sus hábitos de conducción. Ese tipo de programas solían ser voluntarios, y ofrecían un descuento básico por participar; e incluso así, la mayoría de los conductores preferían no participar en ellos. Ahora parece que los fabricantes de automóviles están inscribiendo a los clientes no solo sin su consentimiento, sino sin su conocimiento.

Según la información disponible, esto solo les está sucediendo a los conductores de Estados Unidos. Pero lo que empieza en Estados Unidos suele acabar extendiéndose, por lo que pronto podrían aparecer prácticas similares en otras regiones.

Cómo puedes protegerse contra los agentes de datos

Lamentablemente, no existe una fórmula milagrosa que impida que tu coche recopile datos. La mayoría de los vehículos nuevos ya incluyen de serie la recopilación telemática de datos. Y las cifras solo pueden seguir creciendo, por lo que en uno o dos años, estos coches representarán más del 90 % del mercado. Naturalmente, el fabricante de su automóvil no facilitará ni permitirá la desactivación de la telemática.

Si ya eres consciente del hecho de que tu coche recopila datos sobre ti para terceros (o, en otras palabras, para espiarte), lee nuestra publicación con consejos detallados sobre cómo puedes intentar deshacerte de la vigilancia de los fabricantes de automóviles. Aviso de spoiler: no resulta sencillo y requiere un estudio detenido de la documentación, así como sacrificar algunos de los beneficios de los vehículos conectados, por lo que estos consejos no serán adecuados para todo el mundo.

En cuanto al escenario descrito en esta publicación respecto a la venta de los datos de conducción a las aseguradoras, nuestro consejo es que busques en el menú del coche y de la aplicación móvil si hay alguna función de ludificación de la conducción segura y que la desactives. Algunos de los nombres que suelen tener son “Smart Driver”, “Driving Score” o “Driver Feedback”. También se recomienda a los conductores de Estados Unidos que soliciten sus datos a LexisNexis y Verisk para que estén preparados ante posibles sorpresas desagradables, y para que comprueben si es posible eliminar la información que ya se haya recopilado.

Fuente: latam.kaspersky.com

Se ha hablado mucho de la inteligencia artificial como sustituta de los puestos de trabajo, pero ¿cómo han cambiado los procesos de contratación con el uso de la IA?

En la era de la transformación digital, la Inteligencia Artificial (IA) se ha convertido rápidamente en una piedra angular de las operaciones de una organización y el proceso de contratación no es una excepción.

El panorama de la captación de talento es un campo minado con una media de más de 250 candidatos para una vacante corporativa, lo que hace que los reclutadores pasen entre 6 y 8 segundos mirando cada CV. Cuando las personas adecuadas pueden marcar una diferencia tan grande en la cultura y el rendimiento de una empresa, un proceso de contratación ineficaz puede costar a las empresas tiempo y dinero para encontrar sustitutos para las malas contrataciones y deshacer cualquier daño que puedan haber causado en el ínterin.

Para los responsables de la selección de personal, la IA supone una alternativa interesante a la criba de innumerables currículos, la redacción de descripciones de puestos de trabajo y la gestión de un bucle interminable de tareas administrativas diarias.

Las herramientas y los algoritmos impulsados por la IA están cambiando, y en algunos casos sustituyendo, todo el proceso de selección de personal. Esto se traduce en contrataciones más rápidas y experiencias más eficientes tanto para los candidatos como para el responsable de la selección.

Aunque este cambio hacia la IA aporta numerosos beneficios, también plantea cuestiones críticas sobre la equidad, la parcialidad y la privacidad.

Ya hemos visto anteriormente cómo las empresas pueden evitar exponer sus datos cuando utilizan grandes modelos lingüísticos (LLM). En esta ocasión, vamos a considerar las implicaciones más amplias del uso de la IA para agilizar sus procesos de contratación.

La revolución de la IA en la contratación

Los profesionales de Recursos Humanos saben lo que se tarda en contratar a un nuevo candidato. En primer lugar, hay que redactar la descripción del puesto, lo que puede llevar tiempo hasta que las personas adecuadas identifiquen las tareas y responsabilidades clave del puesto. A continuación, hay que aprobarla internamente antes de publicarla en las plataformas de búsqueda de empleo pertinentes o compartirla con los candidatos potenciales. Una vez que se han presentado todas las candidaturas deseadas, el responsable de la contratación debe revisarlas y preseleccionarlas antes de iniciar las entrevistas.

Pero ahora llega la IA y un nuevo proceso de contratación más ágil. Alrededor del 85% de los reclutadores creen que la IA es una tecnología útil que sustituirá algunas partes del proceso de contratación. En muchos casos, ya se ha introducido. Ya en 2019, una portavoz de la empresa Unilever dijo que su herramienta de contratación de IA ahorró más de 100.000 horas y 1 millón de dólares en costes globales de contratación ese año. Usar la IA en todo su potencial puede crear beneficios significativos para los ocupados reclutadores que necesitan cubrir un puesto vacante.

1. Selección más rápida de candidatos

Los modelos de IA pueden automatizar tareas repetitivas como la selección de currículos y la búsqueda de candidatos. En lugar de leer cientos de solicitudes para una sola vacante, los responsables de selección pueden introducir la información en un modelo de IA que identifique determinadas palabras clave que coincidan con la descripción del puesto y con lo que se está buscando.

A continuación, el modelo puede preseleccionar automáticamente a los candidatos en función de su grado de adecuación a los criterios deseados. Como resultado, los responsables de contratación pueden centrarse en aspectos más estratégicos de la adquisición de talento, o simplemente dedicarse a todo lo demás de sus crecientes listas de tareas pendientes.

2. Mejora de la experiencia del candidato

¿Alguna vez has dudado en solicitar un puesto de trabajo porque el reclutador no respondía a sus preguntas sobre el puesto? Pues ya no: Los chatbots y asistentes virtuales basados en IA ofrecen respuestas inmediatas a las preguntas de los candidatos, garantizando una experiencia más fluida y atractiva durante todo el proceso de contratación.

Las interacciones personalizadas y las respuestas rápidas contribuyen a una marca de empleador positiva, lo que aumenta el número de personas que desean trabajar para la empresa y, por lo tanto, aumenta la reserva de talento de la que pueden seleccionar los reclutadores.

3. Toma de decisiones basada en datos

Las herramientas de IA pueden utilizar análisis predictivos para identificar a los mejores candidatos basándose en datos históricos y métricas de rendimiento. Mediante el análisis de patrones en contrataciones exitosas, las organizaciones pueden tomar decisiones más informadas basadas en el rendimiento de contrataciones anteriores.

4. Mejora de la diversidad y la inclusión

Algunas plataformas de IA afirman mitigar el sesgo inconsciente en la contratación mediante el anonimato de la información del candidato, centrándose únicamente en las cualificaciones y habilidades. Al eliminar información identificativa como el nombre, el sexo o el origen étnico, estas herramientas pueden promover la diversidad y la inclusión en la contratación.

Riesgos y retos de la IA

La aplicación de la IA en el proceso de contratación también abre un nuevo abanico de riesgos y retos de seguridad que las organizaciones deben abordar para utilizar esta nueva herramienta de forma eficiente y honorable.

1. Sesgo algorítmico

Si un modelo se entrena con un conjunto de datos históricos, los sesgos históricos pueden trasladarse al resultado del modelo. Por ejemplo, si una empresa utilizara la IA para buscar en los currículos candidatos para un puesto de médico, y si el conjunto de datos con el que se ha entrenado muestra que el 80% de los médicos que históricamente encajaban en el puesto eran hombres, es más probable que el modelo favorezca a los candidatos masculinos frente a los femeninos, a pesar de que tengan la misma idoneidad para el puesto.

Además de las implicaciones internas de no ver a todos los candidatos adecuados, esto puede tener importantes consecuencias financieras y para la reputación. Consideremos este caso de la vida real en el que una empresa de clases particulares tuvo que pagar 365.000 dólares de indemnización cuando la IA descalificó automáticamente a los solicitantes en función de la edad como resultado de los datos que se le proporcionaron.

Además, la IA puede sobrevalorar el uso de palabras clave y métricas al revisar los currículos enviados. A diferencia de un ser humano, un sistema de IA podría no captar las habilidades interpersonales y otras experiencias o rasgos de carácter que harían de alguien un candidato más deseable para el puesto.

El proceso automatizado que utilizan los modelos de IA puede incluso favorecer a los candidatos que han utilizado la IA para crear su cur rículum utilizando la descripción del puesto publicada. El resultado es una presentación que «sobre el papel» parece perfecta para el puesto, pero que no es una representación auténtica u honesta de la idoneidad del candidato.

2. Falta de transparencia

Muchos algoritmos de IA funcionan como cajas negras, lo que significa que el proceso de toma de decisiones es poco claro y difícil de entender. Esta falta de transparencia plantea dudas sobre la responsabilidad y la capacidad de cuestionar o corregir los resultados sesgados.

Si las empresas no saben que su IA está sesgada o «envenenada», ¿cómo pueden rectificarla? ¿Y cómo van a saber cómo hacerlo? Esta falta de transparencia también puede ser una oportunidad para que los candidatos furtivos encuentren posibles lagunas en el sistema que lleven sus currículos a los primeros puestos de la lista.

3. Privacidad y seguridad de los datos

Para el uso de la IA en la contratación, los modelos necesitarían alimentarse de grandes cantidades de datos personales proporcionados por los candidatos y la propia organización. Garantizar la confidencialidad y seguridad de estos datos con suficientes medidas de ciberseguridad es primordial para proteger los derechos de privacidad de la empresa y de las personas, así como para cumplir con normativas como el Reglamento General de Protección de Datos (GDPR).

4. Supervisión humana y rendición de cuentas

Si bien la IA puede mejorar la eficiencia, la supervisión humana sigue siendo esencial para evitar el mal uso o la mala interpretación de los conocimientos generados por la IA. Las organizaciones deben establecer marcos y mecanismos claros de rendición de cuentas para abordar los errores algorítmicos o las infracciones éticas.

5. Cumplimiento legal y normativo

El uso de la IA en la contratación está sujeto a diversos marcos legales y reglamentarios, incluidas las leyes contra la discriminación y las normas de protección de datos. El incumplimiento de estos requisitos puede acarrear repercusiones legales y daños a la reputación.

¿Cómo puede su organización aprovechar la IA para la contratación de manera segura y eficaz?

Para aprovechar los beneficios de la IA y, al mismo tiempo, mitigar los riesgos asociados, las organizaciones deben adoptar un enfoque holístico de la IA. Esto incluye

1. Diseño ético de la IA

Priorizar la equidad, la transparencia y la responsabilidad en el desarrollo y despliegue de la IA en todos los sistemas de TI. Esto se puede hacer mediante la aplicación de medidas tales como algoritmos de detección de sesgos y evaluaciones periódicas de imparcialidad para identificar y abordar patrones discriminatorios.

2. Supervisión y evaluación continuas

Evaluar periódicamente el rendimiento de los algoritmos de IA para identificar y mitigar sesgos o errores. Establezca mecanismos de retroalimentación para que los candidatos informen de sus preocupaciones o proporcionen información sobre sus experiencias con los procesos de contratación impulsados por IA. Esta supervisión y seguimiento constantes significan que si algo va mal con el sistema de IA, se puede identificar y rectificar antes de que se acumulen las consecuencias negativas.

3. Perspectivas de equipos con conocimientos mixtos

Fomentar la colaboración entre profesionales de RRHH, científicos de datos, especialistas en ética y expertos legales para garantizar un enfoque multidisciplinar del funcionamiento de la IA. Una serie de conocimientos y perspectivas con vistas al modelo y los programas de IA respaldan el desarrollo de políticas y prácticas de IA sólidas y exhaustivas.

4. Educación y formación

Proporcionar formación a los reclutadores y directores de contratación sobre el uso ético de la IA en la contratación, incluida la concienciación sobre las estrategias de mitigación de sesgos y la importancia de la privacidad y la seguridad de los datos. Cultivar una cultura de adopción responsable de la IA en toda la organización con transparencia y directrices sobre la mejor manera de utilizarla.

5. Cumplimiento normativo

Mantenerse a la vanguardia de la evolución de los requisitos legales y reglamentarios en torno a la IA en la contratación y adaptar las políticas y prácticas de la empresa para garantizar un cumplimiento completo y mantenerse informado sobre los riesgos inminentes y cualquier laguna en el sistema de IA que los ciberdelincuentes puedan aprovechar.

En conclusión…

La IA presenta inmensas oportunidades para transformar los procesos de contratación, permitiendo a las organizaciones identificar y atraer a los mejores talentos de manera más eficaz en menos tiempo. Sin embargo, la adopción generalizada de la IA en la contratación también crea riesgos en torno a la parcialidad, la privacidad y la responsabilidad. Mediante la aplicación de las mejores prácticas enumeradas anteriormente, las organizaciones pueden superar estos desafíos y aprovechar la IA de manera responsable para lograr sus objetivos de contratación, manteniendo los principios de equidad, inclusión y autenticidad.

Fuente: www.welivesecurity.com

¿Puedes ser víctima de malware cuando descargas archivos de los repositorios de Microsoft en GitHub? Resulta que sí. ¡Mantente alerta!

Uno de los consejos de seguridad más antiguos es: “Descarga solo software de fuentes oficiales”. Por lo general, las “fuentes oficiales” son las principales tiendas de aplicaciones de cada plataforma, pero para millones de aplicaciones de código abierto útiles y gratuitas, la fuente más “oficial” es el repositorio del desarrollador en un sitio especializado como GitHub o GitLab. Allí, puedes encontrar el código fuente del proyecto, las correcciones y las incorporaciones al código y, a menudo, una compilación de la aplicación lista para usar. Cualquiera que tenga el más mínimo interés en ordenadores, software y programación conoce estos sitios. Por eso fue un descubrimiento desagradable para muchas personas (incluidas las especialistas en seguridad de TI y los propios desarrolladores) que un archivo al que se puede acceder con un enlace como github{.}com/{User_Name}/{Repo_Name}/files/{file_Id}/{file_name} podría ser publicado por otra persona que no sea el desarrollador y contener cualquier cosa.

Por supuesto, los ciberdelincuentes se aprovecharon de esto inmediatamente.

Desglosemos el problema

GitHub y su pariente cercano GitLab se construyen en torno a la colaboración en proyectos de desarrollo de software. Un desarrollador puede cargar su código y otros pueden ofrecer incorporaciones, correcciones o incluso crear bifurcaciones, que son versiones alternativas de la aplicación o biblioteca. Si un usuario encuentra un error en una aplicación, puede informarlo al desarrollador mediante un informe del problema. Otros usuarios pueden confirmar el problema en los comentarios. También puedes escribir comentarios sobre nuevas versiones de la aplicación. Si es necesario, puedes adjuntar archivos a los comentarios, como capturas de pantalla que muestran el error o documentos que hacen que la aplicación falle. Estos archivos se almacenan en servidores de GitHub mediante enlaces del tipo que describimos anteriormente.

Sin embargo, GitHub tiene una peculiaridad: si un usuario prepara un comentario y carga los archivos adjuntos, pero no hace clic en “Publicar”, la información permanece “atascada” en el borrador y es invisible tanto para el propietario de la aplicación como para otros usuarios de GitHub. Sin embargo, se crea un enlace directo completamente funcional al archivo cargado en el comentario y cualquiera que lo abra recibe el archivo de la CDN de GitHub.

Se genera un enlace de descarga para un archivo malicioso después de que el archivo se añade a un comentario no publicado en GitHub.

Mientras tanto, los propietarios del repositorio donde se publica este archivo en los comentarios no pueden eliminarlo ni bloquearlo. ¡Ni siquiera se enteran! Tampoco hay una configuración para restringir la carga de dichos archivos para el repositorio en su conjunto. La única solución es desactivar los comentarios por completo (en GitHub, puedes hacerlo por hasta seis meses), pero eso privaría a los desarrolladores de recibir comentarios.

El mecanismo de comentarios de GitLab es similar, lo que permite que se publiquen archivos a través de borradores de comentarios. Se puede acceder a los archivos a través de un enlace como gitlab.com/{User_Name}/{Repo_Name}/uploads/{file_Id}/{file_name}.

Sin embargo, el problema en este caso se mitiga un poco por el hecho de que solo los usuarios de GitLab registrados y conectados pueden cargar archivos.

Un regalo para las campañas de phishing

Gracias a la capacidad de publicar archivos arbitrarios en enlaces que comienzan con GitHub/GitLab y que contienen los nombres de desarrolladores respetados y proyectos populares (ya que se puede dejar un comentario no publicado con un archivo en casi cualquier repositorio), los ciberdelincuentes tienen la oportunidad de realizar ataques de phishing muy convincentes. En los repositorios de Microsoft ya se han descubierto campañas maliciosas en las que se dejan “comentarios”, que supuestamente contienen aplicaciones de trucos para juegos.

Un usuario atento podría preguntarse por qué habría trucos de un juego en el repositorio de Microsoft: https://github{.}com/microsoft/vcpkg/files/…../Cheat.Lab.zip. Pero es mucho más probable que las palabras clave “GitHub” y “Microsoft” tranquilicen a la víctima, que no examinará demasiado el enlace. Los delincuentes más inteligentes pueden disfrazar su malware con más cuidado, por ejemplo, presentándolo como una nueva versión de una aplicación distribuida a través de GitHub o GitLab y publicando enlaces a través de “comentarios” en esa aplicación.

Cómo protegerte del contenido malicioso en GitHub y GitLab

Este error de diseño aún no se ha corregido y cualquiera puede cargar archivos arbitrarios libremente en la CDN de GitHub y GitLab, por lo que los usuarios de estas plataformas deben tener mucho cuidado.

• No descargues archivos de enlaces directos de GitHub/GitLab que encuentres en fuentes externas: otros sitios web, correos electrónicos o chats. En su lugar, abre la página del proyecto (github{.}com/{User_Name}/{Repo_Name} o gitlab{.}com/{User_Name}/{Repo_Name}) y asegúrate de que realmente puedas descargar el archivo desde allí. Los archivos oficiales de los desarrolladores deben estar publicados y aparecer en el repositorio.
• Asegúrate de estar en la página de desarrollador correcta: en GitHub, GitLab y otros repositorios de código abierto, los ataques de typosquatting son comunes: la creación de proyectos falsos con nombres que difieren del original en una o dos letras (por ejemplo, Chaddev en lugar de Chatdev).
• Evita descargar aplicaciones que tengan pocas estrellas (me gusta) y que hayan sido creadas recientemente.
• Usa la protección contra malware y phishing en todos tus ordenadores y teléfonos inteligentes. Kaspersky Premium proporciona una protección integral para jugadores y entusiastas de la informática.

Fuente: latam.kaspersky.com

Es un simple comentario, pero lo hace Elon Musk y eso vende.Por eso nos hacemos eco del mismo, aunque completamos la información con un dato de interés que, valgan las redundancias, interesará a cualquier interesado en algo tan interesante como es…

Comencemos por el principio, mejor. Y el principio no es otro que el anuncio por parte de Microsoft de Recuerdos, una futura característica de Windows 11 que está haciendo saltar todas las alarmas, o así se está recogiendo en la prensa especializada. En Reino Unido ya están investigando el asunto porque pinta castaño oscuro, pese a la funcionalidad que aportaría y a que Microsoft asegura que la información nunca abandonará el equipo y estará siempre bajo el control del usuario.

Pero fíate tú de Microsoft ¿eh? Nadie parece hacerlo. Dicho lo cual, si quieres enterarte con todo detalle de en qué consiste Recuerdos, te recomiendo abrir los enlaces en el párrafo anterior. A grosso modo, se trata de una función apoyada en la IA de Copilot que recopilará todo lo que el usuario hace mientras usa el sistema a base de imágenes, si bien el fondo es más complejo. Digamos que el invento consiste en permitir recular al usuario al milímetro para lo que sea: recordar algo, recuperar algo, etc.

«Satya Nadella dice que las PC con Windows tendrán una función de memoria fotográfica llamada Recuerdos que recordará y comprenderá todo lo que hace en su computadora tomando capturas de pantalla constantes», resumía en un mensaje en X un usuario el día de la presentación de Recuerdos. Un mensaje que compartía una usuaria de la red social añadiendo: «Por si acaso faltaran razones para no usar Windows». Y a ese mensaje, respondía Elon Musk:

«Quizás sea hora de migrar los escritorios de los consumidores a Linux» es la traducción más literal, aunque el significado es el mismo que se plasma en el titular. No deja de ser una anécdota, pero…

in case you were somehow short of reasons to not use windows https://t.co/46b8qcZDc8

— sophie (@netcapgirl) May 20, 2024

Lo cierto es que el comentario de Elon Musk llega unos meses después del desencuentro que tuvo el hombre más rico del mundo con un portátil recién comprado con Windows 11 preinstalado. El resumen sería que Elon Musk no pudo utilizar Windows 11 y se enfadó con Microsoft, con motivo de la obligatoriedad de utilizar una cuenta de Microsoft para usar el sistema (algo que se puede saltar, aunque requiere de líos).

Por supuesto, la historia generó muchos comentarios, incluyendo aquellos que le sugirieron crear un sistema operativo. Pero es que ya los hay. He aquí el dato de interés adelantado más arriba: las grandes distribuciones Linux son sistemas operativos con un muy buen nivel y cualquiera puede moverse por voluntad propia, con muy poco esfuerzo por su parte.

¡Ea!

Fuente: www.muylinux.com