Category Noticias

ESET, compañía de seguridad informática, advierte sobre aquellas señales de alerta para cuidar los datos personales y cuentas bancarias.

Ecuador – Se destaca que a medida que el trabajo remoto es cada vez más común, las líneas entre ser un usuario hogareño y uno corporativo se hacen difusas y los riesgos de compromiso nunca han sido tan agudos. Según Verizon, tres cuartas partes (74%) de todas las violaciones de acceso globales del año pasado incluyen el «elemento humano», que en muchos casos significa error, negligencia o usuarios que caen víctimas del phishing y la ingeniería social.

“El conocimiento es un arma poderosa que puede convertir a los colaboradores de una organización en la primera línea de defensa contra las amenazas. Para construir un entorno corporativo más ciberseguro, los equipos responsables de TI deberían incorporar a sus programas de concienciación sobre seguridad para asegurarse de que se está haciendo frente a las ciberamenazas de hoy y de mañana, no a los riesgos del pasado.”, comparte Camilo Gutiérrez Amaya, Jefe del laboratorio de Investigación de ESET Latinoamérica.

Los programas de formación y concienciación en materia de seguridad son una forma fundamental de mitigar estos riesgos. Desde ESET aseguran que no hay un camino rápido y fácil hacia el éxito, de hecho, lo que hay que buscar no es tanto la formación o la concienciación, ya que ambas pueden olvidarse con el tiempo, sino que se trata de cambiar los comportamientos de los usuarios a largo plazo.

“La recomendación es ejecutar programas de forma continua, para tener siempre presente lo aprendido y asegurarse de que nadie se quede al margen, lo que significa incluir a trabajadores y trabajadoras temporales, contratistas y el equipo de ejecutivo; cualquiera puede ser un objetivo, y basta un solo error para abrir la puerta de una organización a una amenaza. Es importante organizar sesiones de aprendizaje breves para que los mensajes calen mejor y, siempre que sea posible, incluir ejercicios de simulación o gamificación que sirvan de práctica ante una amenaza concreta.”, agregan desde ESET.

Las lecciones pueden personalizarse para funciones y sectores específicos, a fin de hacerlas más pertinentes para el individuo. Y las técnicas de gamificación pueden ser un complemento útil para hacer que la formación sea más sólida y atractiva.

Desde ESET aconsejan incluir en los programas los siguientes temas:

1) BEC y phishing: El fraude por correo electrónico comercial (BEC), que aprovecha los mensajes de phishing dirigidos, sigue siendo una de las categorías de ciberdelincuencia con mayores ganancias. En los casos notificados al FBI el año pasado, las víctimas perdieron más de 2.700 millones de dólares. Se trata de un delito basado fundamentalmente en la ingeniería social, normalmente engañando a la víctima para que apruebe una transferencia de fondos corporativos a una cuenta bajo el control del estafador. Existen varios métodos utilizados, como hacerse pasar por un directivo general o un proveedor, que pueden integrarse perfectamente en ejercicios de concienciación sobre el phishing. 

El phishing sigue siendo uno de los principales vectores de acceso inicial a las redes corporativas. Gracias a la distracción de los trabajadores remotos, los criminales tienen aún más posibilidades de lograr sus objetivos y sus tácticas están cambiando. Los ejercicios de concienciación sobre el phishing deben actualizarse en consecuencia y las simulaciones en vivo pueden ayudar realmente a cambiar los comportamientos de los usuarios.

Para 2024, desde ESET recomiendan considerar incluir contenidos que concienticen sobre phishing a través de aplicaciones de texto o mensajería (smishing), llamadas de voz (vishing) y nuevas técnicas como la omisión de la autenticación multifactor (MFA). Las tácticas específicas de ingeniería social cambian con mucha frecuencia, por lo que es una buena idea asociarse con un proveedor de cursos de formación que mantenga actualizado el contenido.

2) Seguridad en el trabajo remoto e híbrido: Los expertos llevan tiempo advirtiendo de que los empleados son más propensos a ignorar las directrices/políticas de seguridad, o simplemente a olvidarlas, cuando trabajan desde casa. Un estudio reveló que el 80% de los trabajadores admiten que trabajar desde casa los viernes en verano les hace estar más relajados y distraídos, por ejemplo. Esto puede exponer a un mayor riesgo de peligro, especialmente cuando las redes y dispositivos domésticos pueden estar peor protegidos que los equivalentes corporativos. Ahí es donde deben intervenir los programas de formación con consejos sobre actualizaciones de seguridad para portátiles, gestión de contraseñas y uso exclusivo de dispositivos aprobados por la empresa. Esto debería ir acompañado de formación sobre phishing.

Además, el trabajo híbrido se ha convertido en la norma para muchas empresas. Según un estudio, el 53% de ellas cuenta ya con una política al respecto, y esta cifra seguramente irá en aumento. Sin embargo, desplazarse a la oficina o trabajar desde un lugar público tiene sus riesgos. Uno de ellos son las amenazas de los puntos de acceso Wi-Fi públicos, que pueden exponer a los trabajadores móviles a ataques de intermediario (AitM), en los que los piratas informáticos acceden a una red y espían los datos que viajan entre los dispositivos conectados y el router. Otro de los riesgos son las amenazas de los «gemelos malvados», en los que los delincuentes crean un punto de acceso Wi-Fi duplicado que se hace pasar por uno legítimo en una ubicación específica. También existen riesgos menos “tecnológicos”. Las sesiones de formación pueden ser una buena oportunidad para recordar a los empleados los peligros de la navegación clandestina.

3) Protección de datos: Las multas del GDPR aumentaron un 168% anual hasta superar los 2.900 millones de euros (3.100 millones de dólares) en 2022, ya que los reguladores tomaron medidas enérgicas contra el incumplimiento. Esto supone un argumento de peso para que las organizaciones se aseguren de que su personal sigue correctamente las políticas de protección de datos.

Según ESET, la formación periódica es una de las mejores formas de tener presentes las buenas prácticas en el tratamiento de datos. Esto implica el uso de un cifrado seguro, una buena gestión de las contraseñas, el mantenimiento de la seguridad de los dispositivos y la notificación inmediata de cualquier incidente al contacto pertinente.

El personal también puede beneficiarse de una actualización en el uso de la copia oculta (CCO), un error común que conduce a fugas involuntarias de datos de correo electrónico, y otra formación técnica. Además, se debería considerar si lo que se publica en las redes sociales debe mantenerse confidencial.

“Los cursos de formación y concienciación son una parte fundamental de cualquier estrategia de seguridad. Pero no pueden funcionar de forma aislada. Las organizaciones también deben contar con políticas de seguridad herméticas aplicadas con controles y herramientas sólidas, como la gestión de dispositivos móviles. «Personas, procesos y tecnología» es el mantra que ayudará a construir una cultura corporativa más cibersegura.”, concluye Gutierrez Amaya, de ESET Latinoamérica.

Fuente: Departamento de Comunicación ESET Ecuador

Proteger la información es crucial para mitigar daños ante un ataque u otras situaciones que pongan en riesgo la información de una empresa. 10 consejos para tener una buena política de resguardo de información.

Ecuador – ¿Podría sobrevivir una empresa si los datos más críticos fueran repentinamente cifrados por ciberdelincuentes? Muchas organizaciones se ven ante esta situación como consecuencia de ataques ransomware, y otros ciberataques, que implican numerosos riesgos para las empresas. Se advierte que es necesario contar con un plan de contingencia y mitigación, y una buena ciberhigiene del entorno coorporativo.

“Tener una copia de seguridad de los datos lista para restaurar es una red de contención que muchos no tienen en cuenta hasta que es demasiado tarde. Incluso aquellos que disponen de copias de seguridad pueden gestionarlas erróneamente y exponer la organización a riesgos; las copias de seguridad también pueden ser un objetivo del ataque. El ransomware hizo quizás más por la concientización sobre las copias de seguridad de los datos que cualquier otra ciberamenaza. La conciencia sobre este malware diseñado para cifrar todos los datos corporativos -incluidas las copias de seguridad conectadas- llevó a las empresas a invertir en medidas de mitigación.”, comenta Camilo Gutiérrez Amaya, Jefe del Laboratorio de Investigación de ESET Latinoamérica.

Para comenzar, desde ESET destacan que es importante considerar los riesgos que las copias de seguridad pueden ayudar a mitigar:

• Ataques destructivos de extorsión de datos, en parte impulsados por el ecosistema del cibercrimen como servicio, en el que los datos se exfiltran y las unidades se cifran antes de pedir un rescate. El Informe de Amenazas de ESET de septiembre a diciembre de 2022 encontró el uso de tácticas cada vez más destructivas, como el despliegue de wipers que imitan el ransomware y cifran los datos de la víctima sin intención de proporcionar la clave de descifrado.

• El borrado accidental de datos, especialmente cuando los datos sensibles se guardan en dispositivos personales de los que no se hacen copias de seguridad. Estos dispositivos también pueden perderse o ser robados.

• Amenazas físicas: inundaciones, incendios y otras catástrofes naturales pueden dejar fuera de servicio oficinas y centros de datos, por lo que es doblemente importante almacenar una copia separada de los datos sensibles en otra ubicación geográfica.

• Los requisitos de cumplimiento y auditoría cada vez más onerosos. No presentar la información que se exige puede acarrear multas y otras medidas punitivas.

Para alcanzar el éxito a la hora de planear una estrategia de copia de seguridad, ESET comparte 10 puntos:

1. Desarrollar una estrategia: Parece obvio, pero merece la pena planificar con cuidado para garantizar que cualquier estrategia de copia de seguridad cumple los requisitos de la organización. Considerarlo como parte de su planificación de recuperación ante desastres/continuidad de negocio. Tener en cuenta aspectos como el riesgo y el impacto de la pérdida de datos y los objetivos de restauración.

2. Identificar de qué datos se necesita hacer una copia de seguridad: Identificar y clasificar los datos es un primer paso fundamental en el proceso. No todos los datos se consideran lo suficientemente críticos como para justificar una copia de seguridad y deben clasificarse de acuerdo a su impacto potencial en la empresa si no están disponibles.

3. Seguir la regla 3-2-1: Se trata de hacer tres copias de los datos, en dos soportes diferentes, con una copia almacenada fuera de las instalaciones y sin conexión. Esto último es especialmente importante, ya que el ransomware a menudo busca los datos de las copias de seguridad y los cifra también, si están en la misma red.

4. Cifrar y proteger las copias de seguridad: Dado que las amenazas también buscan copias de seguridad de los datos para extorsionar, merece la pena mantenerlas encriptadas, para que no puedan monetizar los datos almacenados. Esto suma una capa extra de defensa a la regla 3-2-1 (al menos 3 copias, 2 tipos diferentes de almacenamiento, 1 copia fuera del sitio).

5. No olvidar los datos en la nube (SaaS): Una gran cantidad de datos corporativos reside ahora en aplicaciones de software como servicio (SaaS). Esto puede proporcionar una falsa sensación de seguridad. Añadir una capa adicional de protección, haciendo también copias de seguridad de esta información, puede ser útil.

6. Comprobar regularmente las copias de seguridad: De nada sirve tener una copia de seguridad de los datos de una empresa si no se restaura correctamente cuando se solicita. Por eso se deben probarlas con regularidad para asegurarse de que los datos se guardan correctamente y se pueden recuperar como es debido.

7. Realizar copias de seguridad a intervalos regulares: Del mismo modo, una copia de seguridad tiene una utilidad limitada si se restaura a un punto demasiado lejano en el tiempo. La periodicidad exacta de las copias de seguridad dependerá del tipo de negocio. Una tienda online con mucho movimiento requerirá copias de seguridad casi continuas, pero un estudio de abogados pequeño puede conformarse con algo menos frecuente.

8. Elegir con cuidado un socio tecnológico: No hay dos empresas iguales. Pero hay ciertas características que conviene tener en cuenta: la compatibilidad con los sistemas existentes, la facilidad de uso, la flexibilidad de horarios y la previsibilidad de los costos ocupan un lugar destacado. Dependiendo del tamaño y la expectativa de crecimiento de la empresa, puede ser importante considerar la escalabilidad.

9. No olvidar los dispositivos endpoint: No hay que olvidar la gran cantidad de datos que pueden residir en los dispositivos de los usuarios, como ordenadores portátiles y teléfonos inteligentes. Todos deben incluirse en una política/estrategia corporativa de copias de seguridad.

10. Más allá de las copias de seguridad: No olvidar que las copias de seguridad son solo una pieza del rompecabezas. Se deberían complementar con herramientas de seguridad en el endpoint, la red y el servidor/nube, herramientas de detección y respuesta, y más. También seguir buenas prácticas de ciberhigiene, como la aplicación continua de parches, la gestión de contraseñas y la respuesta a incidentes.

Fuente: Departamento de Comunicación ESET Ecuador

ESET, compañía de seguridad informática, cuenta cuáles son los métodos más comunes por los que los ciberdelincuentes acceden y roban credenciales, cómo funciona el mercado de compraventa de estas en la dark web y cuáles son las más buscadas.

Ecuador – Una de las tantas actividades cibercriminales por la que se conoce la Deep Web es el mercado negro de credenciales y cuentas robadas. ESET, explica que en la deep web se pueden encontrar foros y mercados en línea especializados donde los delincuentes pueden comprar y vender credenciales robadas de manera relativamente segura.

“Si bien la mayoría de los sitios tiene un acceso sencillo, los que contienen material de «mayor interés» cibercriminal suelen requerir invitaciones, membresías exclusivas o participar activamente como vendedor, por lo que acceden personas comprometidas con actividades delictivas. Todo este mercado se vale principalmente del anonimato y esta anonimización se logra a través de redes de como la red.onion, que oculta las direcciones IP y hacen que sea difícil rastrear a quienes participan en ella.”, comenta Martina Lopez, Investigadora de Seguridad Informática de ESET Latinoamérica.

¿Qué credenciales se comercian en la Deep web? Usualmente, estos mercados comercian casi todo tipo de cuentas de productos y servicios digitales. Sin embargo, las credenciales más solicitadas y disponibilizadas son:

• Cuentas de redes sociales: Para generar interacciones artificiales -como la compra de likes- o llevar a cabo algún otro tipo de cibercrimen como la ingeniería social.

• Cuentas de servicios de streaming: Como Netflix, Disney+, Hulu y Spotify, vendiendo aquellas con suscripciones pagas a un precio reducido en comparación con las suscripciones legítimas.

• Cuentas de juegos en línea: El foco está en aquellas que vienen con niveles avanzados, elementos valiosos o monedas virtuales. Esto ahorra tiempo y esfuerzo a los compradores.

Pie de imagen: Oferta de cuenta de servicio juegos online en la deep web.

Cuentas de correo electrónico y servicios en la nube: El comprador usualmente tiene el objetivo de utilizar estos servicios para enviar spam o almacenar datos robados.

Cuentas de servicios financieros: cuentas como PayPal, tarjetas de crédito robadas o cuentas bancarias en línea. Estas son especialmente lucrativas para los criminales, ya que pueden realizar transacciones financieras fraudulentas o incurrir en delitos como el lavado de dinero.

Ejemplo de venta de credenciales de Tarjetas de Crédito.

Ejemplo de venta de credenciales de Tarjetas de Crédito.

Credenciales de organizaciones: Sea para acceder a información confidencial o sistemas internos, o en formato de bases de datos robadas con accesos de clientes.

El precio varía en función de la demanda y la calidad de las credenciales, o si se trata de un lote de credenciales o una individual. En general, según ESET, las más valiosas son las del rubro bancario o comercial, seguidas por aquellas que traen consigo una plataforma o producto pago como un videojuego, -pueden llegar al equivalente en criptomonedas de 50 dólares, mientras que los lotes se suelen valorar en menos de 20-. Los registros individuales que pueden valer unos pocos centavos.

Venta de información bancaria en la deepweb

Entre los métodos por los cuales los vendedores obtienen las credenciales robadas, según ESET, el más común es el phishing. Los atacantes envían mensajes falsos que parecen legítimos para engañar a las víctimas, usualmente suplantando la identidad de la compañía dueña del servicio cuya cuenta desean obtener. Los rubros más apuntados suelen ser compañías de redes sociales, comercio electrónico y bancarias o financieras. Otro, son los ataques de fuerza bruta: mediante un software automatizado prueban combinaciones de nombre de usuario y contraseña comunes hasta que encuentran una coincidencia. Esto no solo ocurre con cuentas de redes sociales, sino que suelen ejecutarse en sistemas internos de organizaciones, luego de un ataque en el que el cibercriminal logró acceder a ellos.

Un modo distinto es la infección con códigos maliciosos, principalmente usando aquellos que tienen capacidades de espionaje como los keyloggers o los RATs (troyanos de acceso remoto) que pueden monitorear las pulsaciones de teclado de la víctima y su pantalla. Una gran parte de los códigos maliciosos buscan archivos con credenciales en texto plano o contraseñas guardadas en navegadores, dentro de los equipos a los que infectan. Por último, desde ESET menciona las violaciones de bases de datos de organizaciones que hayan sufrido alguna intrusión, o se encuentren vulnerables, lo que exponen una gran cantidad de credenciales. En estos casos se suele comerciar, además, bases de datos confidenciales como correos electrónicos, identificadores gubernamentales, nombres completos.

Las credenciales, como los nombres de usuario y contraseñas, son un objetivo valioso para los ciberdelincuentes. Estos datos pueden utilizarse para acceder a cuentas personales y comerciales, lo que puede dar lugar a robo o suplantación de identidad y a fraudes financieros. Es por eso que desde ESET recomiendan seguir consejos simples que pueden evitar grandes dolores de cabeza:

• Tener cuidado con el phishing: Ante la recepción de un correo electrónico, mensaje o llamada inesperada que solicite información personal o financiera, se debe verificar la autenticidad de la fuente antes de responder o hacer clic en enlaces.

• Evitar hacer clic en enlaces sospechosos: Se recomienda evitar hacer clic en enlaces que lleguen en comunicaciones no solicitadas, o en links que aparezcan en resultados de búsquedas que no tengan el dominio de la compañía, u organización.

• Mantener los sistemas actualizados: Es fundamental mantener instaladas las últimas actualizaciones de seguridad en la computadora y los dispositivos móviles para prevenir posibles vulnerabilidades conocidas.

• Utilizar contraseñas seguras: Es importante emplear contraseñas robustas que combinen letras mayúsculas y minúsculas, números y caracteres especiales. También, evitar el reciclaje de contraseñas para disminuir el daño en caso de sufrir una filtración de credenciales.

Fuente: Departamento de Comunicación ESET Ecuador

ESET, advierte que actividad de grupos de ransomware en América Latina incrementó en 2023 con un aumento de ataques dirigidos a los ámbitos corporativos y gubernamentales en la región.

Ecuador – Se analiza grupos de ransomware muy activos en América Latina en el 202, explica cuáles son los principales actores y cómo deben prepararse las empresas y entidades.

Según ESET Security Report, el 96% de las organizaciones señalaron su preocupación por el ransomware como una amenaza latente, el 21% reconoce haber sufrido un ataque con este tipo de malware en los últimos dos años. De este último grupo, el 77% pudo recuperar su información gracias a las políticas de respaldos con las que cuentan, por el contrario, el 4% afirmó haber pagado para su rescate. El 84% de las organizaciones encuestadas negó estar dispuesta a negociar el pago por el rescate de sus datos.

“Uno de los principales desafíos a enfrentar en el futuro cercano será el aumento de las campañas de spearphishing (dirigidas apuntando a un objetivo específico). Deberá tenerse en cuenta el aumento de los riesgos asociados al mayor del uso de las tecnologías en el periodo pospandemia, y la necesidad de mejorar el nivel de concientización de colaboradores de las empresas en todos los niveles.”, comenta
David González Cuautle, Investigador de Seguridad Informática de ESET Latinoamérica.

La implementación de ciberseguridad en América Latina depende del tipo de organización, y conforme a las encuestas realizadas del ESET Security Report hay problemáticas en las que existe una convergencia sin importar el tipo de sector: El robo o fuga de información en las compañías es la que representa la mayor preocupación, con un 66%, y está asociada a un acceso indebido a sistemas, es decir, el aumento de ataques que buscan explotar alguna vulnerabilidad a través de campañas de phishing dirigido (spearphishing) o la instalación de códigos maliciosos como el ransomware o troyanos de acceso remoto.

Los grupos más activos de ransomware en lo que va del año para la región de América Latina según ESET, son:

SiegedSec: Este grupo es reconocido es por su lema de asediar la seguridad de la víctima, de ahí su nombre, en inglés siege, que puede traducirse al español como asediar o sitiar. Su modus operandi es extorsionar a la víctima a tal grado de solo dejarle la salida de pagar por el rescate de su información o, en el peor de los casos, venderla en foros de la Dark web o Telegram.

Desde el inicio de sus actividades en febrero de 2022, vinculadas con el grupo de ransomware GhostSec, ha demostrado que no tiene preferencia en sus blancos, pues ha logrado afectar a sectores en todo el mundo tales como atención sanitaria, tecnologías de la información, seguros, contabilidad, derechos y finanzas. En lo que respecta a su actividad en América Latina, SiegedSec logró obtener documentos de intranet, bases de datos, información de usuarios y detalles de las organizaciones vulneradas en varios sectores en Colombia, con entidades de gobierno y salud entre los más afectados.

SiegedSec es caracterizado porque en todos sus banners para liberación de la información integran un gato como si se tratara de su mascota oficial.

Nokoyawa: De origen ruso, e iniciada su actividad en febrero del año pasado, se caracteriza porque es el único grupo en utilizar un cifrado de amplia sofisticación (criptografía de curva elíptica, o ECC, por sus siglas en inglés), añadiendo su propia extensión de archivo homónima (NOKOYAWA). Este grupo logró conseguir una enorme cantidad de información, un laboratorio de en el sector de salud de Brasil en lo que va del tercer cuatrimestre del 2023.

Captura de pantalla en donde se puede observar el mensaje del rescate de la información. Fuente: Watchguard

ALPHV: También conocido como Blackcat; la forma en que opera este grupo desde su aparición en noviembre del2021, es a través del Ransomware-as-a-Service (RaaS, por sus siglas en inglés) debido a que sus ataques no se hacen aleatoriamente o por campañas de tipo spam, sino que, sus objetivos son determinados mediante los asociados con los que cuenta, es decir, que reúnen esfuerzos para realizar ataques a objetivos ya perfilados. Esto hace que su modus operandi sea específico para cada caso de uso, así como las técnicas empleadas durante sus ataques.

A la mitad del 2023, ALPHV publicó información confidencial de la exfiltración de datos de una de las empresas más grandes de México a través de su canal de Telegram, de igual manera el sector público no se vio exento de este ataque.

Logo del grupo ALPHV (Blackcat). Fuente: Itwarelatam.

Stormous y su alianza con GhostSec: El grupo Stormous tuvo su aparición a mitad del 2021. El grupo, de origen árabe, en un principio publicitaba a través de sus canales en Telegram y en sus foros de la Dark web, ataques hacia Estados Unidos. Debido al conflicto Rusia-Ucrania, sus objetivos se modificaron y a mediados de julio de este año declararon oficialmente asociarse con el grupo de hacktivistas GhostSec para atacar no solo a Estados Unidos, sino también a países de América Latina y entre ellos al gobierno de Cuba.

Captura de pantalla de la Dark web de cuando Stormous cambió su objetivo. Fuente: Portal.cci-entel.cl.

Vice Society: Fue uno de los grupos con mayor actividad a finales del 2022 y principios del 2023. La mayoría de las incidencias fueron hacia industrias de la educación y atención médica pero también se tiene evidencia de que otro sector al que está apuntando este grupo de ransomware es al manufacturero en países como Brasil, Argentina, Suiza e Israel. Cabe mencionar que han identificado que tienen su propio generador de ransomware personalizado optando por métodos de cifrado más sólidos, lo que significa que el grupo se está preparando para su propia operación de ransomware como servicio (RaaS).

Sitio oficial en la Dark web de Vice Society. Fuente: Tripwire.

Desde ESET Latinoamérica comparten algunas recomendaciones que pueden ayudar en la protección de la información:

• Contar con una política para realizar copias de seguridad periódicas: Esto permitirá que los datos, en caso de verse afectados por algún ransomware, puedan ser restaurados. Conforme al ESET Security Report en América Latina, el 88% de las organizaciones encuestadas han implementado este tipo de recomendación.

• Establecer una política para la actualización y parches en cada uno de los activos (operativos y de red): Al tener todos los sistemas, aplicaciones y dispositivos actualizados, la brecha para que los ciberdelincuentes puedan explotar vulnerabilidades de software o protocolos obsoletos se reduce considerablemente. En el ESET Security Report en América Latina, el 45% de las organizaciones aseguraron realizar actualizaciones de seguridad más de dos veces al año, lo que indica que aún falta mucho esfuerzo por realizar.

• Educación y concientización: La capacitación constante a colaboradores y colaboradoras en todos los niveles sobre las mejores prácticas de seguridad y  las tendencias de vectores de ataque en la región, son fundamentales para que un ciberdelincuente no lleve a cabo su cometido. Un área de oportunidad para las organizaciones, y donde muchos de los ataques de ransomware son exitosos, es que no cuentan con un programa de capacitación y concientización (solo 28% de los encuestados en el ESET Security Report de América Latina afirma contar con este programa).

• Contar con una política sobre el principio del mínimo privilegio: Al establecer únicamente los privilegios suficientes para que el colaborador pueda realizar sus actividades, se limita la capacidad de que el ransomware se propague hacia otros sistemas o aplicaciones.

• Seguridad en la red: Los firewalls, la segmentación de red junto con las reglas de acceso y uso de VPN limitaría la posibilidad de que pueda extenderse cualquier malware.

• Plan de respuestas a incidentes y de continuidad del negocio: Es importante saber cómo responder ante cualquier incidente o contingencia que se pueda dar en la organización, haciendo que el impacto al negocio sea lo mínimo posible y siga funcionando. El 42% de los encuestados indicó que cuenta con un plan de respuesta a incidentes, mientras que un 38% no tienen un plan de continuidad del negocio.

• Contar con soluciones de seguridad avanzadas: La implementación de soluciones de seguridad que detecten y bloqueen comportamientos anómalos o sospechosos, como un EDR (Endpoint Detection and Response, por sus siglas en inglés) y soluciones antimalware, permitirían la continuidad del negocio obteniendo una ventaja comercial ganando la confianza de los y las clientes al saber que su información está protegida debidamente.

Fuente: Departamento de Comunicación ESET Ecuador

ESET, advierte que su API (interfaz de programación de aplicaciones) y el chatbot experimentaron cortes que se confirmaron como producto de un ataque DDoS que se encuentra mitigado.

Ecuador – ESET, analiza el ataque de denegación de servicio distribuido (DDOS) que afectó a ChatGPT y otros servicios.

OpenAI, la empresa de inteligencia artificial detrás del desarrollo de ChatGPT, confirmó que sus servicios se vieron afectados por un ataque DDoS. Desde el martes 7 de noviembre de 2023 venía experimentando cortes intermitentes en su API (interfaz de programación de aplicaciones) y el chatbot, que luego se confirmaron como producto de un ataque DDoS.

Este tipo de ataques se basan en el envío de solicitudes desde varias fuentes y en gran cantidad a un servidor o servicio web, para sobrecargar la capacidad de procesamiento de estos y provocar la caída del servicio atacado.

Al ser un ataque distribuido, desde ESET destacan que utilizan varios flancos de ataque y que la detección del origen de las solicitudes para sobrecargar el servidor se hace más difícil, por lo que un DDoS tiene más probabilidades de evadir los bloqueos que si se trata de una sola fuente son más efectivos.

“Estamos experimentando cortes periódicos por un patrón de tráfico anormal que refleja un ataque de DDoS. Estamos trabajando para mitigarlo”, había alertado la empresa en su registro de incidentes.

Desde el jueves 9 de noviembre, asegura la plataforma, los servicios volvieron a la normalidad y se pudo resolver el incidente de seguridad.

Todo había comenzado el martes previo con problemas que experimentaron los usuarios del chatbot de OpenAI, ChatGPT, que se atribuían a una «alta demanda excepcional del servicio“, algo que ocurre naturalmente por el uso intensivo que existe en la plataforma. Pero al día siguiente los problemas se intensificaron, y en la investigación de OpenAI finalmente se pudo determinar que estaban bajo un ataque DDoS que los había dejado fuera de juego durante varias horas.

Motivaciones más frecuentes detrás de un ataque DDoS

Según publica el sitio BleepingComputer, el grupo que se atribuyó el ataque sería Anonymous Sudan -que en el pasado ha tenido la responsabilidad sobre este tipo de ataque sobre OneDrive, Outlook y Azure Portal-, pero no hay una confirmación oficial de que haya sido este grupo; sí existen difusiones en Telegram sobre esta atribución.

“Este tipo de ataques son muy utilizados por los llamados hacktivistas, que presionan a organizaciones motivados por una disidencia ideológica o política. En los últimos años, el cibercrimen también ha virado hacia obtener un rédito económico, mediante extorsiones y pedidos de rescate a cambio de no ejecutar este tipo de ataques, algo que se conoce como Ransom DDoS, a la vez que la práctica, o amenaza de un DDoS, se convirtió en parte del conjunto de coerciones que los grupos Ransom ejercen sobre sus víctimas.”, comentó Camilo Gutiérrez Amaya, Jefe del Laboratorio de Investigación de ESET Latinoamérica.

Fuente: Departamento de Comunicación ESET Ecuador

Te damos consejos útiles para actuar rápidamente si has detectado que mordiste el anzuelo, y fuiste víctima de un correo electrónico de phishing. 10 cosas que puedes hacer inmediatamente para minimizar el daño.

Las faltas de ortografía, la gramática extraña, el lenguaje urgente o amenazador, la falta de contexto… todos ellos son indicios comunes de los ataques de phishing. Sin embargo, algunas amenazas de phishing son más difíciles de detectar, ya que implican una importante inversión de tiempo y una planificación meticulosa por parte de los atacantes, que incluso examinan las comunicaciones anteriores del objetivo, lo que en última instancia hace que el ataque sea muy convincente y tenga éxito.

Una táctica popular utilizada por los estafadores en campañas fraudulentas a gran escala consiste en explotar acontecimientos de actualidad. Por ejemplo, lo que parecía un correo electrónico del Servicio Nacional de Salud del Reino Unido para ofrecer una prueba gratuita de COVID-19 era, en realidad, una forma de obtener los datos personales de las víctimas a través de un formulario falso.

Solo se tarda unos instantes en ser víctima de una estafa y ni siquiera los profesionales informáticos están exentos de este riesgo. Simplemente, recibes un mensaje de correo electrónico aparentemente inofensivo que contiene un enlace en el que debes hacer clic “antes de que sea demasiado tarde”. Pero, ¿y si, justo después de hacerlo, te invade una sensación de inquietud y te das cuenta de que todo era una estafa? 

¿Qué debe hacer ahora?

Aquí algunos consejos sobre qué hacer después de haber mordido el anzuelo.

• No des más información

Supongamos que recibiste un correo electrónico de una tienda online que, aunque te generó algunas sospechas, hiciste clic en el enlace adjunto sin pensarlo demasiado, o por curiosidad, y aunque te lleva a un sitio web que parece legítimo, sigues dudando.

Lo más sencillo es abstenerse de compartir información adicional: no introducir credenciales ni facilitar datos bancarios u otros de igual sensibilidad. Si los estafadores solo querían tus datos y no comprometieron tu dispositivo con malware, lo más probable es que puedas esquivar el anzuelo, o zafarte de él.

• Desconecta tu dispositivo de Internet

Algunos ataques de phishing pueden hacer que les des acceso a tu computadora, teléfono móvil u otro dispositivo. Pueden desplegar malware, recopilar información tuya y de tu dispositivo, u obtener el control remoto.

Para mitigar los daños, es imprescindible actuar con rapidez. Lo primero que debes hacer es desconectar el dispositivo de internet. Si utilizas un PC con conexión por cable, simplemente desenchúfalo. Si estás conectado a través de Wi-Fi, desactiva esa conexión en los ajustes del dispositivo o activa la función modo avión.

• Haz una copia de seguridad de tus datos

Desconectarse de Internet evitará que se envíen más datos al servidor malicioso, pero tus datos siguen estando en peligro. Deberías hacer una copia de seguridad de tus archivos, principalmente de los documentos sensibles o de aquellos archivos con un alto valor personal, como fotos y vídeos.

Hacer una copia de seguridad de tus datos después de haber sido comprometidos puede ser arriesgado, ya que es posible que ya hayan sido comprometidos por el malware.

En lugar de eso, deberías hacer copias de seguridad de tus archivos de forma regular y preventiva. Si el malware afecta a tu dispositivo, puedes recuperar tus datos desde un disco duro externo, una memoria USB o un servicio de almacenamiento en la nube.

• Realiza un análisis en busca de malware y otras amenazas

Realiza un análisis completo de tu dispositivo con un software antimalware de un proveedor de confianza, mientras el dispositivo está desconectado de Internet.

Lo ideal sería ejecutar un segundo escaneado utilizando, por ejemplo, el escáner gratuito en línea de ESET. Descarga el escáner en el ordenador o en un dispositivo independiente, como un disco duro USB, que puedas insertar en el ordenador infectado e instalar el software desde allí.

No uses el dispositivo durante el escaneado y espera los resultados. Si el escáner encuentra archivos sospechosos, seguí sus instrucciones para eliminarlos.

Si el proceso de escaneado no encuentra ningún riesgo potencial, pero sigues teniendo dudas, ponte en contacto con tu proveedor de seguridad. 

• Considera un restablecimiento de fábrica

Restablecer los valores de fábrica significa devolver el teléfono a su estado original eliminando todas las aplicaciones y archivos instalados. Sin embargo, algunos tipos de malware pueden persistir en el dispositivo incluso después de un restablecimiento completo, de todas formas, lo más probable es que al borrar el dispositivo móvil o el ordenador se elimine con éxito cualquier amenaza. Recuerda que un restablecimiento de fábrica es irreversible y borrará todos los datos almacenados localmente. Nunca se insistirá lo suficiente en la importancia de realizar copias de seguridad periódicas.

• Restablezca sus contraseñas

Los correos electrónicos de phishing pueden engañarte para que divulgues tus datos confidenciales, como números de identificación, datos bancarios y de tarjetas de crédito o credenciales de inicio de sesión. 

Si crees que este es el caso, sobre todo si los correos electrónicos de phishing te piden que facilites un nombre de usuario específico —por ejemplo, con una estafa con temática de LinkedIn-, deberías cambiar inmediatamente tus credenciales de inicio de sesión, muchos más si reciclas la misma contraseña en varias cuentas como tu correo electrónico, banca online y/o redes sociales.

Estas situaciones ponen de relieve la importancia de utilizar nombres de usuario y contraseñas únicos para los distintos servicios en línea. Usar las mismas credenciales en varias cuentas facilita a los atacantes el robo de datos personales o dinero.

• Ponte en contacto con bancos, autoridades y proveedores de servicios

Si proporcionaste datos bancarios o de su tarjeta de crédito o los datos de acceso a un sitio web con acceso a tus tarjetas, comunícate inmediatamente con la entidad que las proporciona. Ellos podrán bloquear tu tarjeta o congelarla para prevenir futuros fraudes, y así minimizas el daño financiero. Consulta si tu banco (o servicios de pago) tiene una política de reembolso para víctimas de estafas.

Para evitar que otras personas caigan en esta estafa, avisa también a las autoridades locales. 

• Detecta las diferencias

Cuando los delincuentes consiguen entrar en uno de sus dispositivos o cuentas, es posible que cambien tus datos de acceso, direcciones de correo electrónico, números de teléfono o cualquier cosa que pueda ayudarles a afianzarse en su cuenta y apoderarse de ella por más tiempo.

Revisa tu actividad en las redes sociales, la información bancaria y el historial de pedidos de sus compras en línea. Si, por ejemplo, detectas algún pago que te parezca raro, desconocido o no autorizado, denúncialo, cambia tus credenciales de inicio de sesión y, si es el caso, solicita un reembolso.

• Busca dispositivos no reconocidos

Si los piratas informáticos robaron los datos de tu cuenta, es probable que intenten iniciar sesión desde su propio dispositivo. La mayoría de las plataformas de redes sociales guardan un registro de tus sesiones iniciadas en la configuración de privacidad. Haz esa comprobación y fuerza el cierre de sesión en cualquier dispositivo que desconozcas.

• Notifica a tus amigos, contactos, proveedores de servicios y empleador

A veces, los estafadores utilizan tu lista de contactos en una cuenta comprometida para difundir enlaces de phishing o spam. Tenlo en cuenta y toma medidas para evitar que otros caigan en la misma estafa.

Si un ciberataque está relacionado con cuentas de trabajo o dispositivos proporcionados por tu empresa, sigue las normas e informa inmediatamente al departamento de TI. Los principales servicios de correo electrónico, como Outlook o Gmail, también ofrecen herramientas para informar de correos electrónicos de phishing directamente desde su bandeja de entrada.

Reflexiones finales

Morder el anzuelo y hacer clic en un enlace de phishing puede hacerte sentir avergonzado, e incluso alarmado, pero este tipo de amenaza es cada vez más frecuente. De hecho, le ocurre a cientos de miles de personas cada año solo en Estados Unidos, y las cifras van en aumento. Si mantienes la calma y sigues los consejos anteriores, estarás un paso por delante de las amenazas a las que podrías enfrentarte.

Fuente: www.welivesecurity.com

¿Contraseñas con emoticonos? ¡Por qué no! Las ventajas y desventajas de usar emojis en las contraseñas.

A nadie le gustan las contraseñas. Uno demora años en introducirlas, son difíciles de recordar y la necesidad de un número, un símbolo, una letra mayúscula y un par de dientes de gallina solo hace que crearlas sea aún más difícil. Pero, si usas la misma contraseña en todas partes o te limitas a contraseñas sencillas y cortas (fáciles de leer, débiles), tarde o temprano serás víctima de piratería. ¿Cómo combinar la practicidad de escritura, la facilidad para recordarlas y la resistencia a la piratería? Una forma interesante, aunque inusual, es usar emojis. Sí, esos mismos emoticonos 😁 y otros iconos lindos 🔐 que nos encanta usar en chats y publicaciones.

En los ordenadores y teléfonos inteligentes de hoy, los emojis son símbolos tan completos como las letras de los alfabetos y los signos de puntuación. Esto se debe a que son parte del estándar Unicode (consulta aquí para obtener una lista completa de emojis estandarizados). Por lo tanto, en teoría, se pueden usar en cualquier texto, incluidas las contraseñas.

Por qué usar emojis en las contraseñas

Como existen tanto emojis, tu contraseña puede ser el doble de corta. Cuando los intrusos intentan forzar una contraseña que contiene letras, números y signos de puntuación, hay menos de cien variaciones para cada símbolo que deben elegir. Sin embargo, hay más de 3600 emojis estandarizados en Unicode, por lo que añadir uno a tu contraseña obliga a los piratas informáticos a pasar por alrededor de 3700 variantes por símbolo. Entonces, en términos de complejidad, una contraseña compuesta por cinco emoticones diferentes equivale a una contraseña regular de nueve caracteres, mientras que siete emojis equivalen a una contraseña segura de 13 caracteres “comunes”.

Algunos emojis nuevos en Unicode.

Los emojis son más fáciles de memorizar. En lugar de un utilizar un puñado de letras y números sin sentido, puedes componer una frase lógica y crear un rompecabezas de emojis sobre la base de esta. Para esto, puedes usar un traductor de emojis o un chatbot como ChatGPT.

Un traductor de emojis o ChatGPT puede crear una contraseña de acertijo basada en emojis sobre un tema determinado.

Los piratas informáticos no utilizan los emojis en los ataques de fuerza bruta. Varias herramientas de piratería y diccionarios para descifrar contraseñas incluyen combinaciones de palabras, números y sustituciones comunes como E1iteP4$$w0rd, pero (¿por ahora?) no incluyen emojis. Entonces, cuando un atacante atraviesa una base de datos de contraseñas filtradas, es probable que tu cuenta, que está protegida con una contraseña como: 👁️🐝🍁👁️🥫🪰 (“I believe I can fly”), esté segura.

Parece demasiado bueno para ser cierto. Entonces, ¿cuáles son las desventajas de las contraseñas con emojis? Por desgracia, son considerables.

¿Por qué no usar emojis en las contraseñas?

No todos los servicios aceptan contraseñas con emojis. Llevamos a cabo un pequeño experimento de creación de cuenta usando una contraseña que tenía varios emojis estándar. Fue rechazada tanto por Microsoft/Outlook como por Google/Gmail. Sin embargo, Dropbox y OpenAI la aceptaron con gusto, así que básicamente es una cuestión de experimentar.

No todos los servicios aceptan contraseñas con emojis.

Debes probar tu contraseña con emojis inmediatamente para asegurarte de que funcione. Aunque puedas crear una cuenta con esa contraseña, es posible que no pase la verificación al iniciar sesión.

Los emojis son más difíciles de introducir. En los teléfonos inteligentes, introducir emojis es la simplicidad en sí misma. En los ordenadores de sobremesa, sin embargo, puede ser un poco más problemático, aunque no demasiado (consulta los detalles a continuación). En cualquier caso, tendrás que encontrar los emojis que necesitas en una lista larga y asegurarte de elegir la imagen correcta entre varias similares. Si es multiplataforma, recuerda verificar que puedas introducir estos emojis tanto en tu ordenador como en tu teléfono inteligente para todos los servicios que usas.

Los emojis recientes te delatan. Muchos teclados de teléfonos inteligentes muestran los emojis de uso frecuente en la parte superior de la lista. Es poco probable que esta información ayude a los piratas informáticos en línea, pero es posible que amigos o familiares puedan adivinar o espiar tu contraseña.

Los emojis recientes pueden decir mucho sobre ti a miradas indiscretas.

Cómo crear una contraseña con emojis

Un compromiso razonable sería añadir uno o dos emojis a tu contraseña para aumentar su complejidad. El resto de la contraseña puede ser alfanumérica y menos sofisticada. Por supuesto, el uso de emojis no sustituye los consejos de seguridad tradicionales: el uso de un administrador de contraseñas y la autenticación de dos factores (2FA). Hablando de eso, Kaspersky Password Manager puede almacenar contraseñas con emojis y generar códigos de 2FA.

Contraseña con emojis y código de 2FA en Kaspersky Password Manager.

Cómo introducir contraseñas con emojis

El método de introducción depende de tu dispositivo y sistema operativo. Los teléfonos inteligentes tienen una sección de teclado especial para esto, mientras que en los ordenadores puedes usar una de estas opciones:

• En Windows 10 u 11, pulsa la tecla Win y la tecla de punto simultáneamente para abrir la tabla de emojis en cualquier campo de entrada. En muchos diseños, la combinación de teclas Win + ; también funciona.
• En macOS, la tabla de emojis está disponible en cualquier aplicación en Editar → Emoji y símbolos. Para abrir la tabla desde el teclado, mantén pulsadas las teclas Comando + Control + Barra espaciadora al mismo tiempo.
• En Ubuntu Linux (versión 18 y posteriores), puedes introducir emojis haciendo clic con el botón derecho en el campo de entrada y seleccionando Insertar emoji en el menú contextual. Para abrir la tabla desde el teclado, al igual que en Windows, pulsa Win + punto al mismo tiempo.
• Entrada por código de carácter. Por lento y aburrido que parezca, esta es una forma fiable de introducir cualquier carácter Unicode, no solo emojis. Primero, busca el código del carácter correspondiente en la tabla y, a continuación, introdúcelo usando una combinación de teclas especial. En Windows, mantén pulsada la tecla Alt e introduce el código decimal de la lista en el teclado numérico lateral. Para otros sistemas operativos, el proceso se describe en más detalle aquí.
• La forma más sencilla de introducir contraseñas con emojis es guardarlas en Kaspersky Password Manager e insertarlas en los campos de entrada requeridos de forma automática.

Fuente: latam.kaspersky.com

Ejemplos de cómo se utilizan los códigos QR en los correos electrónicos de phishing.

Cada vez hay más casos de usuarios que reciben correos electrónicos aparentemente de grandes empresas de Internet (por ejemplo, Microsoft o su servicio en la nube, Office 365) que contienen códigos QR. El cuerpo de estos correos electrónicos tiene una llamada a la acción: en pocas palabras, escanear el código QR para mantener el acceso a tu cuenta. En esta publicación, analizaremos si vale la pena reaccionar a esos correos.

Escanea el código QR o enfréntate a lo inevitable

Un correo electrónico típico de este tipo contiene una notificación que indica que la contraseña de tu cuenta está a punto de caducar y que perderás el acceso a tu buzón de correo y, por lo tanto, tendrás que cambiar la contraseña. Para cambiarla, debes escanear el código QR en el correo electrónico y seguir las instrucciones.

La contraseña se debe restablecer al escanear el código QR.

Otro correo electrónico podría advertir al destinatario que “La sesión del autenticador ha caducado hoy”. Para evitar esto, se recomienda al usuario que “escanee rápidamente el código QR a continuación con su teléfono inteligente para volver a autenticar la seguridad de su contraseña”. De lo contrario, podría perder el acceso al buzón de correo.

“La sesión del autenticador ha caducado”; escanee el código QR para obtener una solución rápida.

Otro ejemplo sería el mensaje que le informa amablemente al lector de lo siguiente: “Este correo electrónico es de una fuente fiable”. Ya hemos hablado de por qué los correos electrónicos con el sello “verificado” deben tratarse con precaución. La idea central del mensaje es que, supuestamente, “3 correos electrónicos importantes” no se pueden entregar al usuario debido a la falta de algún tipo de validación. Por supuesto, escanear el código QR a continuación solucionará el problema.

Los correos electrónicos importantes solo se pueden enviar al escanear el código QR para su “validación”.

Claramente, los autores de estos correos electrónicos quieren intimidar con palabras pretenciosas a los usuarios sin experiencia.

También es probable que esperen que el destinatario haya escuchado algo sobre las aplicaciones de autenticación, que de hecho usan códigos QR, para que el solo hecho de mencionarlo logre asociaciones en la mente.

¿Qué sucede si escaneas el código QR en el correo electrónico?

El enlace en el código QR te lleva a una réplica bastante convincente de una página de inicio de sesión de Microsoft.

Escanear el código QR te lleva a un sitio de phishing que roba las credenciales introducidas.

Por supuesto, todas las credenciales introducidas en esas páginas de phishing terminan en manos de los ciberdelincuentes. Esto pone en peligro las cuentas de los usuarios que caen en esos trucos.

Un detalle interesante es que algunos enlaces de phishing en códigos QR conducen a recursos IPFS. IPFS (InterPlanetary File System) es un protocolo de comunicación para compartir archivos que tiene mucho en común con los torrents. Te permite publicar cualquier archivo en Internet sin registro de dominio, alojamiento ni otras complicaciones.

En otras palabras, la página de phishing se encuentra directamente en el ordenador del autor de phishing y se puede acceder a ella a través de un enlace mediante una puerta de enlace IPFS especial. Los autores de phishing utilizan el protocolo IPFS porque es mucho más fácil publicar y mucho más difícil eliminar una página de phishing que bloquear un sitio web malicioso “normal”. De esa forma, los enlaces se mantienen activos durante más tiempo.

Cómo protegerte contra los códigos QR de phishing

Ningún sistema de autenticación decente sugiere escanear un código QR como su única opción. Por lo tanto, si recibes un correo electrónico que te pide confirmar algo o iniciar sesión en tu cuenta nuevamente, restablecer tu contraseña o realizar alguna acción similar, y este correo electrónico solo contiene un código QR, es probable que se trate de phishing. Puedes ignorar y eliminar de forma segura ese correo electrónico.

Para esos momentos en los que necesites escanear un código QR de una fuente desconocida, recomendamos nuestra solución de seguridad con su función de escáner de código QR seguro. La herramienta verifica el contenido de los códigos QR y te advierte si hay algo falso en el interior.

Fuente: latam.kaspersky.com

El registro en muchas cuentas distintas, con una clave para cada una, puede parecer tedioso, sobre todo cuando puedes hacerlo con tus credenciales de Facebook o Google. Te contamos cuáles son los pro y contras de usar este tipo de inicio de sesión conocido como SSO y a qué debes prestar atención.

“Continuar con Google” es una forma muy sencilla de registrarse e iniciar sesión en un sitio web o una aplicación. Todo lo que tienes que hacer es pulsar o hacer clic en el botón y permitir que algunos de los datos personales de tu cuenta se compartan con el servicio online de terceros.

Muchos sitios te permiten iniciar sesión con tu cuenta de Facebook, Google, Microsoft, LinkedIn, Apple u otra cuenta de una gran empresa tecnológica; hoy se busca la comodidad y no suelen faltar opciones para elegir y satisfacer todos los gustos.

Cuando vinculas tu acceso a Google con otro servicio, estás autorizando a Google a compartir tu información personal a cambio de facilidad de acceso y comodidad. ¿Hasta qué punto puede ser seguro?

Para ayudarte a encontrar un equilibrio entre seguridad y comodidad, te contamos los pros y los contras de utilizar este método de autenticación denominado inicio de sesión único (SSO), también conocido como inicio de sesión social, para tus cuentas personales online.

Figura 1. Ejemplo de opciones SSO para iniciar sesión o crear una cuenta

Figura 2. Más opciones de SSO

Un único inicio de sesión para todos

Primero lo primero: ¿qué es exactamente el SSO? Es un esquema de autenticación que permite a una organización obtener acceso consentido a tu información personal al tiempo que te permite registrarte e iniciar sesión en sus servicios en lugar de exigirte que te registres a través de un formulario independiente.

No es de extrañar que esta práctica sea tan común en todo Internet:

• Facilidad de registro y acceso. En lugar de tener que rellenar otro formulario con su nombre, apellidos, número de teléfono o dirección de correo electrónico, solo tiene que hacer clic en su opción SSO preferida y compartir esos datos (y posiblemente también otros) con la nueva aplicación o sitio web. [Es importante destacar que su contraseña nunca se comparte con el sitio web, sino que su identidad se verifica mediante un token de autenticación]
• Atracción y captación de usuarios. Los servicios en línea saben muy bien que cuanto más fácil te resulte registrarte e iniciar sesión, más probable es que lo hagas y vuelvas a hacerlo.
• Se acabó el cansancio de las contraseñas. Diferentes sitios web tienen diferentes requisitos de contraseña; además, debemos utilizar una combinación única de nombre de usuario y contraseña cada vez. Pero gracias a esta implementación de SSO, establecer una contraseña segura con una sola de las grandes plataformas de Internet puede darte acceso a cientos de otros sitios web, reduciendo enormemente el número de contraseñas que necesitas crear y memorizar.
• Mejor prevención de los compromisos de cuentas autoinfligidos (en algunos casos). A medida que nuestras listas de contraseñas se vuelven demasiado extensas para recordarlas, muchas personas pueden llevar un registro de sus credenciales en papel o en una hoja de cálculo Excel. Pero, ¿qué ocurre si alguien se hace con esa lista de contraseñas? Tener que recordar únicamente la contraseña de tu cuenta de Google y proteger la cuenta adecuadamente puede reducir la necesidad de generar, y luego depender, de una lista de contraseñas mal protegida (por ejemplo, si los gestores de contraseñas no son lo tuyo).

Entonces, ¿deberías utilizar siempre SSO?

La respuesta es clara: no.

Aunque el SSO ofrece algunas ventajas importantes al usuario, le expone a riesgos que pueden no revelarse hasta que sea demasiado tarde. ¿Cuáles son algunas de las implicaciones?

• Todos los huevos están en la misma cesta. Si tus credenciales de Facebook o Google caen en las manos equivocadas, los ciberdelincuentes no solo tendrán acceso a esa cuenta, sino también a todos los sitios web a los que la hayas vinculado. Lo que nos lleva al siguiente punto…
• Protege tu cuenta principal “como si tu vida dependiera de ello”. Una contraseña segura —quizá en forma de frase de contraseña que consista en una frase que mezcle mayúsculas, minúsculas y números— puede ser clave para proteger tus cuentas y datos personales. Si por alguna razón no usas un gestor de contraseñas, quizá puedas plantearte elegir una frase de contraseña en un formato que te permita añadirle el nombre del sitio web, pero sin que toda la cadena sea demasiado predecible.
• Cuestiones de privacidad. Cuando vinculas cuentas, estás permitiendo que tu información personal se transmita al sitio web y, debido a lo fácil que es configurarlo, podrías estar consintiendo la transferencia de más información de la que te imaginas. Y aunque Facebook, Google, Microsoft o Apple te permiten comprobar todas tus conexiones con terceros, revocar el acceso no significa que también estés revocando el consentimiento de un sitio web para utilizar tus datos. Además, si después de “eliminar conexiones” vuelves a entrar en el mismo sitio web y utilizas tu login social preferido, te dejarán entrar igual que antes, como si nunca hubieras revocado el acceso.

Figura 3. Revocación del consentimiento para que Google vincule tus datos

• Atracción y captación de usuarios (y las implicaciones para tu huella digital). Es cierto que hemos mencionado la captación eficaz de usuarios como una de las ventajas del SSO para aplicaciones y sitios web, pero puede ser un arma de doble filo. Si acabas registrándote en aplicaciones o sitios web que nunca has necesitado tanto, ¿cuánto tardarás en olvidarte de ellos? Para evitarlo, asegúrate de llevar un registro de todos los sitios web en los que te registraste y de la información personal que guardan sobre ti; por ejemplo, la información de tu tarjeta de crédito puede estar almacenada en un sitio web que hayas utilizado una vez y del que te hayas olvidado. Aunque esto puede ocurrir independientemente de cómo inicies sesión, la naturaleza sin fricciones del método “exprés” puede hacerte más propenso a olvidarte de todas esas aplicaciones o sitios web en los que una vez iniciaste sesión con tu cuenta de Google o Facebook.

Entonces, ¿con SSO o sin SSO?

Cuando se combinan con otras medidas de seguridad y privacidad, los inicios de sesión sociales pueden ahorrar mucho tiempo. Pero en el caso de los sitios web que guardan tu información personal, como tu nombre completo, dirección, datos bancarios o números de tarjeta de crédito, es más seguro optar por una cuenta independiente protegida por una frase de contraseña compleja y única, junto con la autenticación de dos factores (2FA).

En resumen, considera el uso de SSO solo si:

• habilitas la autenticación de doble factor (2FA) en la cuenta principal, ya que así será más difícil que alguien se haga pasar por ti en Internet,
• confía en la plataforma que utilizas para acceder al otro sitio web; no obstante, la confianza es algo voluble y debes tomar otras precauciones,
• utiliza servicios de pago como PayPal o una tarjeta de crédito virtual como opciones de pago para cualquier sitio web al que hayas accedido utilizando SSO; esto te ayudará a evitar que se filtren tus datos bancarios,
• utiliza la configuración de tu cuenta principal para realizar un seguimiento de todos los sitios web a los que la has vinculado.

Figura 4. Gestión de aplicaciones de terceros y autorizaciones SSO en Google

¿Hay alguna otra forma?

Equilibrar el fácil acceso a todas tus cuentas online y mantenerlas seguras puede ser todo un reto. Existen otras formas de conseguirlo además de los inicios de sesión sociales:

Una alternativa obvia consiste en crear una cuenta independiente para cada servicio y utilizar un gestor de contraseñas que te evite el dolor de cabeza que supone crear, gestionar y rellenar automáticamente tus credenciales de inicio de sesión. Otra opción es usar una dirección de correo electrónico desechable, sobre todo para sitios web que no te interesan demasiado o que no piensas volver a utilizar. Además, algunos gobiernos han creado una identificación única de ciudadano que da a la gente acceso en línea a servicios ofrecidos por algunas organizaciones públicas y privadas.

Sea cual sea el método que elijas, podrás disfrutar de tu presencia en Internet sin demasiados problemas (o prisas) siempre que sigas las prácticas generales de ciberhigiene, como evitar revelar tus credenciales, activar el 2FA y ser consciente de toda tu huella digital.

Fuente: www.welivesecurity.com

ESET, compañía de seguridad informática, acerca recomendaciones para un regreso a clases seguro

Quito, Ecuador – Con el regreso a clases presenciales, los niños y adolescentes volverán a utilizar sus dispositivos electrónicos para realizar tareas escolares, conectarse con sus amigos y acceder a contenido en línea. En este contexto, es importante que los padres y docentes tomen medidas para proteger a los estudiantes de los posibles riesgos cibernéticos.

Por esta razón, ESET, compañía líder en detección proactiva de amenazas, brinda una serie de consejos de ciberseguridad para tener en cuenta en la vuelta a clases.

1. Establecer reglas de uso responsable: Fomentar la educación de los menores y generar buenos hábitos tecnológicos mediante un control adecuado del tiempo de conexión, ayudará a enfrentar mucho mejor las situaciones de riesgo. Existen muchas herramientas disponibles para evitar la exposición excesiva de los niños y adolescentes.
2. Darle importancia a las contraseñas: Las contraseñas fuertes son la primera línea de defensa contra los ataques cibernéticos. Por ello, los padres deberán ayudar a sus hijos a crear contraseñas sólidas y seguras, evitando así poner en riesgo su información.
3. Actualizar las aplicaciones: Es necesario revisar constantemente si los sistemas operativos, software y aplicaciones de todos los dispositivos a los que los menores tienen acceso se encuentran actualizados. Esto porque las actualizaciones brindan acceso a las funciones más nuevas y mejoran la seguridad y estabilidad del sistema y las apps, dando una mayor protección frente al desarrollo de las tareas o proyectos escolares.
4. Conversar sobre los riesgos del internet: Puede parecer evidente, pero es de vital importancia tener una conversación con niños y adolescentes sobre las amenazas que se pueden encontrar en internet, en redes sociales y aplicaciones. Esta conversación debe ser abierta y honesta sobre los riesgos que implica su uso.
5. Contar con una solución de seguridad: Para reducir la posibilidad de que cualquier dispositivo electrónico se infecte, se recomienda instalar una solución de seguridad confiable que permita escanear constantemente los dispositivos de tus hijos.

“Desde ESET creemos que los padres, los docentes y los propios alumnos tienen que comprender la importancia de acceder de forma segura a Internet, considerando que esto requiere de un uso consciente, responsable y seguro, sobre todo si se trata de la vuelta a clases, que implica un mayor tiempo de conexión. Aunque muchas recomendaciones y soluciones parezcan obvias, son los que muchas veces suelen pasarse por alto”, indicó Camilo Gutiérrez Amaya, Jefe del Laboratorio de Investigación de ESET Latinoamérica.

Fuente: ESET – Ecuador