Category Noticias

Te contamos la función que podría tener esta tercer paloma en tus mensajes

WhatsApp, empresa de mensajería líder en el mundo, se ha caracterizado los últimos meses por implementar diversas funciones que la vuelvan una aplicación más versátil. En las últimas semanas, aumenta el rumor de la posible incorporación de un tercera paloma (ticket) azul que se uniría a las dos que ya existen para indicar si algún mensaje ha sido enviado a otro chat.

Olvida el compartir mensajes a otros

Actualmente, WhatsApp utiliza un sistema de doble check para indicar el estado de los mensajes enviados. Una paloma gris significa que el mensaje fue enviado correctamente; dos indican que llegó al destinatario y como la que ha sido implementada recientemente, dos checks azules que confirman que el mensaje fue leído, siempre que la función de confirmación de lectura esté activada. De acuerdo a las filtraciones, el supuesto tercer check azul iría un paso más allá, señalando si el destinatario realiza una captura de pantalla del mensaje o lo ha reenviado a otro chat, lo que buscaría reforzar la privacidad en las conversaciones.

Cabe señalar que aún no existe confirmación oficial por parte de WhatsApp. Incluso, la compañía ha desmentido en varias ocasiones la existencia de esta función, calificándola como una noticia falsa. No obstante, el interés por esta posible herramienta refleja la creciente preocupación de los usuarios por proteger la privacidad en sus interacciones digitales.

La idea de notificar capturas de pantalla no es nueva en el ámbito de la mensajería. Aplicaciones como Snapchat ya incluyen alertas similares, lo que ha llevado a algunos usuarios a especular que WhatsApp podría adoptar una estrategia parecida. Aunque esto podría significar un avance en términos de seguridad, también se plantean dudas sobre la viabilidad y el impacto en la experiencia del usuario.

De implementarse el tercer check azul, podrían haber diversas reacciones. Por un lado, podría disuadir la captura indiscriminada de mensajes, mejorando la confianza y privacidad. Por otro, algunos usuarios podrían percibirlo como una medida invasiva, afectando la comodidad al utilizar la aplicación. Además, técnicas como fotografiar la pantalla con otro dispositivo o utilizar versiones no oficiales de WhatsApp podrían sortear esta funcionalidad, limitando su efectividad.

Fuente: www.fayerwayer.com

El grooming sigue siendo un problema alarmante en la era digital actual, ESET comparte consejos para que madres, padres y tutores puedan proteger a los más pequeños de este peligro.

 Ecuador – El Grooming no es una problemática nueva, pero tiene un crecimiento alarmante en la era digital actual. Especialmente después de la pandemia de COVID-19 y el aumento de la actividad de los niños en línea, se identificó un gran aumento de casos. ESET, comparte consejos para abordar la temática y proteger a los más pequeños de los depredadores en línea.

“El mundo digital ofrece una gran cantidad de oportunidades para el aprendizaje, el entretenimiento y la conexión, pero también presenta nuevos riesgos que requieren nuestra atención urgente. Es crucial que los padres, educadores y legisladores comprendan las amenazas que plantea el grooming en línea y tomen medidas proactivas para proteger a los niños de estos peligros.”, comenta Camilo Gutiérrez Amaya, Jefe del Laboratorio de Investigación de ESET Latinoamérica.

El grooming es un proceso en el que un individuo construye una conexión emocional con un niño para ganarse su confianza con fines de abuso sexual o explotación. Ocurre en línea, pero el grooming también puede suceder en persona.

Según un informe de la Internet Watch Foundation (IWF), la aparición de imágenes de abuso sexual que involucran a niños en edad escolar primaria aumentó en un 1000% durante los confinamientos inducidos por la pandemia de COVID-19. Esta cifra alarmante subraya la urgencia de abordar el problema del grooming en línea, una forma de explotación que a menudo comienza con interacciones manipuladoras en línea y puede llevar a graves consecuencias.

El grooming a menudo se asocia con plataformas de redes sociales, pero también puede ocurrir en foros, aplicaciones de mensajería y juegos en línea multijugador. Según la National Society for the Prevention of Cruelty to Children (NSPCC), las plataformas propiedad de Meta se utilizan en más de la mitad de los casos registrados de grooming en línea en el Reino Unido. Sin embargo, Snapchat también se usa con mucha frecuencia. Todas estas plataformas tienen cifrado de extremo a extremo en los mensajes entre dos personas, lo que significa que solo los participantes de la conversación pueden ver el contenido. No tienen acceso a las mismas, ni la plataforma ni las fuerzas del orden. Si bien es un rasgo excelente para la privacidad, también hace que el trabajo de identificar a los depredadores (groomer) sea más desafiante.

Los juegos en línea también son muy populares entre los depredadores. La naturaleza interactiva de muchos juegos en línea multijugador proporciona la oportunidad perfecta para que el groomer contacte a un niño a través de la función de chat, que a menudo se incluye. La BBC destaca cómo las plataformas de juegos en línea se han convertido en un nuevo espacio para los posibles groomers, con varios casos de grooming reportados en los últimos años. La historia de Amelia, compartida por la Child Rescue Coalition, es un ejemplo revelador de este fenómeno. Amelia fue acosada por un adulto que conoció mientras jugaba un videojuego en línea, demostrando las formas insidiosas en que los groomers en línea pueden infiltrarse en aspectos aparentemente inocentes de la vida de un menor.

ESET comparte algunos consejos para que madres, padres y tutores puedan proteger a los niños de estos peligros:

1. Comunicación Abierta: Hablar con los y las niñas y fomentar un ambiente que promueva la comunicación abierta y honesta, para que sientan que puede hablar sobre cualquier cosa sin ser juzgado.
2. Establecer Límites: Implementar reglas sobre cuándo y cómo se puede usar internet. Establecer límites de tiempo y asegurarse de saber qué sitios está visitando el menor. Una buena práctica es que los más pequeños usen sus dispositivos en un área poblada del hogar para que siempre se pueda monitorear la actividad, sin ser demasiado invasivo.
3. Lecciones de Privacidad: Explicar la importancia de no compartir información personal en línea. Una analogía puede ser: Cualquier cosa que no quisieras que tu abuela o abuelo viera, no debería ir en internet.
4. Fomentar Hábitos Saludables: Fomentar descansos regulares del tiempo frente a la pantalla y promover la actividad física y la interacción social cara a cara.
5. Revisar las Calificaciones de Edad: No todas las aplicaciones, juegos y sitios web son adecuados para todas las edades. Siempre revisar la calificación de edad antes de permitir su uso.
6. Enseñar a ser Críticos: Enseñarles a los más pequeños a no creer todo lo que lee en línea. Animarlos a ser críticos y a verificar la información de fuentes confiables.
7. Monitorear su Actividad: Acompañar regularmente la actividad en línea del menor. Esto no significa espiar, sino más bien, mostrar interés en lo que está haciendo y asegurarse de que está usando internet de manera responsable.
8. Dar el Ejemplo: Los niños a menudo imitan el comportamiento de los adultos, así que asegurarse de estar demostrando un uso responsable. Mostrarles cómo se protege la información, el uso de contraseñas fuertes y evitar compartir demasiado en las redes sociales.

Fuente: Departamento de Comunicación ESET Ecuador

ESET Latinoamérica acerca los nuevos retos en ciberseguridad que traerá el 2025: amenazas potenciadas por IA generativa y la creciente vulnerabilidad de tecnologías operativas (OT) exigirán regulaciones y defensas más robustas.

 Ecuador ­– Este 2024 diferentes tendencias de ciberseguridad como el crecimiento del malware as a Service, que facilitó el despliegue de ataques a gran escala, el uso de Telegram por parte de cibercriminales, así como el ransomware como una de las amenazas más preocupantes a nivel empresarial y gubernamental, marcaron la agenda. Partiendo de este contexto y considerando los nuevos avances tecnológicos e implementaciones vistas durante el año, el Laboratorio de Investigación de  ESET, compañía líder en detección proactiva de amenazas, expone las posibles tendencias que serán centrales en la escena de la ciberseguridad para el próximo año.

“El 2025 teorizamos que estará marcado por la creciente necesidad de protección de los sistemas OT (Tecnología Operativa), esenciales para infraestructuras críticas. Además, el uso malicioso de la IA generativa planteará nuevas amenazas. Estas cuestiones estarán ligadas a desafíos legales y éticos que plantean la necesidad de regulaciones más claras y efectivas.”, asegura Fabiana Ramirez Cuenca, Investigadora del Laboratorio de ESET Latinoamérica.

Usos de la IA Generativa

La IA generativa es quizás inteligencia artificial más implementada de la actualidad, destacándose por su capacidad para generar contenido como textos, imágenes, videos, música, voces, entre otros, lo que por ejemplo permite mejorar la creatividad y eficiencia en diversas industrias.  Sin embargo, los cibercriminales también la aprovechan para fines maliciosos, como la creación de deepfakes y la automatización y perfeccionamiento de ataques cibernéticos. A través de este tipo de IA también se puede acceder a algoritmos de fuentes abiertas, adaptarlos, modificarlos y aprovecharlos para distintos fines. La posibilidad de automatizar tareas, generar o perfeccionar código malicioso, planificar campañas, entre otras, hacen atractiva esta tecnología para actores maliciosos, incluso los más inexpertos.

Recientemente OpenAI, la compañía detrás de ChatGPT, ha emitido un informe Influence and cyber operations: an update en el que detalla cómo diversos cibercriminales han utilizado sus modelos de IA para realizar tareas de fases intermedias en los ciberataques – luego de haber adquirido algunas herramientas básicas, pero antes de desplegar sus ataques, sean de phishing o distribución de malware, por distintos medios. En el mismo informe, la empresa identifica que distintos grupos APT (Amenazas Persistentes Avanzadas) han utilizado la tecnología para, por ejemplo, el debugging de código malicioso, la investigación de vulnerabilidades críticas, el perfeccionamiento de phishing, generación de imágenes y comentarios falsos, entre otras.

“Podríamos esperar para el 2025 la continuidad del uso de la IA generativa para la mejora de campañas que inicien con ingeniería social; el aprovechamiento de los algoritmos para el diseño de códigos maliciosos; el posible abuso de aplicaciones de compañías que usen algoritmos IA open source y, por supuesto, la sofisticación de los deepfakes y la posible interacción con la realidad virtual.”, agrega Ramirez Cuenca.

Desafíos Legales y Éticos de la IA

Frente al crecimiento de la IA generativa y su potencial uso malicioso, aparecen desafíos legales y éticos que en su mayoría aún no han sido eficientemente abordados. Entre estos se encuentran interrogantes como quién es el responsable por los actos de la IA, qué limites debería imponerse a su desarrollo, o qué organismo es competente para juzgarlo. En la actualidad existen muy pocas normas a nivel internacional que aborden las problemáticas emergentes del uso de la IA y aquellas que existen muchas veces resultan insuficientes frente a un panorama de desarrollo acelerado de esta tecnología.

Entre las normas más destacadas se encuentra el Acta de IA de la Unión Europea (existente desde 2023) que pretende garantizar la ética y transparencia, así como el desarrollo seguro y protección de derechos humanos, abordando la IA desde un enfoque basado en riesgos, clasificando algoritmos según su peligrosidad. En paralelo, los EEUU cuentan con varios abordajes, desde una iniciativa nacional de IA, una Orden Ejecutiva para el uso seguro y confiable de la IA y un proyecto de carta de derechos de la IA que se encuentra en tratamiento.

A nivel Latinoamérica no ha habido grandes avances durante el 2024 aunque la mayoría de los países cuentan al menos con decretos, salvo el caso de Perú que cuenta con una ley. Recientemente el PARLATINO ha propuesto una Ley Modelo que quizás inspire legislaciones a nivel interno.

“Para el 2025 es probable que a nivel regulatorio haya un mayor escrutinio en Algoritmos y Modelos de IA para garantizar transparencia y explicabilidad -que sus decisiones puedan ser comprendidas por las personas-, esto de la mano de la protección de datos para garantizar la privacidad en el uso de la IA. Veremos la búsqueda de soluciones para los daños generados por la IA y la promoción desde lo regulatorio de la ética en el uso y desarrollo de esta tecnología. También seguirán los avances en regulaciones sobre ciberseguridad aplicadas a la temática y en materia de cooperación internacional.”, comenta la investigadora de ESET Latinoamérica.

Sistemas de Control Industrial u OT (Tecnología Operativa)

Los OT son sistemas informáticos y dispositivos utilizados para controlar procesos industriales y físicos en diversos sectores, como la energía, manufactura, agua y gas, entre otros. Estos sistemas gestionan equipos como PLC (Controladores Lógicos Programables), SCADA (Sistemas de Control Supervisorio y Adquisición de Datos) siendo su función principal la automatización de procesos.

La digitalización y conectividad de estos sistemas los ha vuelto interesantes y vulnerables a ciberataques.  De hecho, ya se han visto códigos maliciosos que tienen como objetivo estos sistemas entre los que podemos destacar a “Aurora” (una prueba del gobierno de EEUU que demostró, por primera vez, que un ciberataque podía causar daños físicos a un generador de energía) y “Blackenergy, Industroyer” (usados en Ucrania para atacar su red eléctrica), aunque por supuesto no son los únicos. El NIST (Instituto de Estándares y Tecnología, del gobierno de EEUU) considera a la seguridad en OT un problema creciente y ha creado una guía que actualiza con regularidad.

En 2025, las OT serán cada vez más relevantes en el ámbito de ciberseguridad por varias razones entre las que se destaca la ya mencionada conectividad entre dispositivos OT y la gran cantidad de datos que recopilan. También, muchos de estos sistemas son fundamentales para el funcionamiento de infraestructuras críticas con lo cual es atractivo para los criminales un ataque a esta tecnología, dado que tiene el potencial de causar grandes daños.

“Estas son las tendencias que teorizamos serán centrales en la ciberseguridad para el próximo año, un escenario desafiante marcado por el crecimiento del uso de la inteligencia artificial generativa por parte del cibercrimen. Esto exigirá adaptar los sistemas de defensa y avanzar en marcos legales que aborden los interrogantes abiertos por estas tecnologías, incluso en sus usos legítimos y beneficiosos. Además, los ataques a infraestructuras críticas seguirán siendo una preocupación. Los sistemas OT serán el objetivo clave, por su interconexión y su rol esencial en sectores estratégicos. Fortalecer su ciberseguridad será prioritario, considerando su vulnerabilidad demostrada en conflictos recientes, donde su explotación ha tenido graves consecuencias para las poblaciones afectadas.”, concluye Ramirez Cuenca, de ESET Latinoamérica.

Fuente: Departamento de Comunicación ESET Ecuador

Fuente: www.reuters.com

¿Echabas en falta un asistente de inteligencia artificial en Firefox? Ya lo tienes. O casi, porque Mozilla sigue trabajando en ello. Hablamos de Orbit, un proyecto todavía en fase beta, pero que ya puedes probar, si es que te apetece probar, valga la redundancia, la receta de la casa.

Y es que poner un asistente de IA en Firefox, al estilo de lo que se puede obtener en cualquier otro navegador web, es tan sencillo como hacer lo propio: instalar alguna de las cada vez más comunes y populares extensiones que brindan dicha funcionalidad. ¿Y una integración más profunda, como la que ofrecen Microsoft Edge, Opera o Brave con Copilot, Aria o Leo, respectivamente? También la hay.

Sobre cómo activar el soporte de IA en Firefox ya me explayé hace un tiempo en ese artículo donde lo explico todo. Se trata de una función experimental, pero disponible para todos los usuarios y bastante apañada en mi opinión, por cómo se ha implementado. Sin embargo, esa función se apoya en chatbots de terceros, mientras que Orbit es un desarrollo interno de Mozilla para Firefox.

El invento nos lo descubren, una vez más en OMG! Ubuntu! y para probarlo no hay que activar nada, sino instalar una extensión oficial, todavía en fase beta. «Ahorra tiempo con Orbit mientras haces malabarismos con correos electrónicos, lees extensos documentos, hojeas artículos o miras videos. Orbit ofrece resúmenes concisos que te ayudan a comprender la información esencial rápidamente sin sacrificar tu privacidad«, su descripción.

Como otras extensiones de su estilo, Orbit permite resumir el contenido de una página concreta, incluyendo texto y vídeo, así como plantearle preguntas al asistente, de igual modo relacionadas única y exclusivamente con el contenido estricto de la página. Esto es importante recalcarlo, porque a diferencia de otros asistentes, este se restringe al contenido indicado y tampoco profundiza mucho en el mismo.

Todo ello se hace a través de un menú flotante un poco molesto, aunque se puede configurar para hacerlo más discreto y que permanezca visible al centro derecha de la pantalla, junto a la barra de desplazamiento. En todo caso, se trata de una extensión en desarrollo, a la que muy probablemente le esperan unos cuantos cambios y, por lo tanto, mejoras.

Hay que darle tiempo a Orbit, pero que lo hayan hecho en la forma de extensión, y no integrando la funcionalidad en el navegador, me parece un acierto. Además, toda consulta está El único gran pero por el momento es que -puedes pedir resúmenes de páginas y preguntar en en otros idiomas, incluido el español- solo responde en inglés.

Orbit se basa en Mistral 7B, un LLM de código abierto bastante potente. Para más información acerca de Orbit, esa y esta otra página; y, por supuesto, aquí para instalar la extensión.

Fuente: www.muylinux.com

ESET comparte una serie de recomendaciones para gestionar el control sobre la información personal que circula en internet

Ecuador ­– ¿Alguna vez has buscado tu nombre en internet? Tanto si te preocupa la privacidad o si simplemente quieres gestionar tu presencia en la red, ESET, compañía líder en detección proactiva de amenazas, advierte por qué puede ser importante reducir la huella digital, incluso en los resultados de búsqueda de Google, y cómo proteger los datos.

El ejercicio de realizar una búsqueda con el propio nombre en internet, resulta útil para saber cómo aparece la información personal e identificar cualquier posible problema de privacidad. Generalmente, lo primero que aparecerá son las cuentas de redes sociales, blog o sitio web relacionados con el trabajo. Pero si se ajustan algunos parámetros, el resultado puede llegar a ser mucho más específico hasta mostrar direcciones o incluso sitios visitados con frecuencia.

“Si alguien tiene una cuenta en una red social con una configuración de privacidad débil, un blog con su nombre real o una dirección de correo electrónico en la web de una empresa, estos datos pueden recopilarse fácilmente para construir una imagen completa de la identidad digital, a menudo con sus intereses, hábitos y afiliaciones. Esta agregación de información puede ser un problema por varias razones.”, comenta Camilo Gutiérrez Amaya, Jefe del Laboratorio de Investigación de ESET Latinoamérica.

Según un Informe de Verizon sobre investigaciones de filtraciones de datos de 2024, hasta el 68% se debieron a errores humanos. De esta cifra, un gran porcentaje ocurrieron por personas que cayeron en tácticas de ingeniería social tales como el phishing, el pretexting, las estafas por correo electrónico y la extorsión. La riqueza de información disponible públicamente es utilizada, justamente, para perfeccionar y refinar las tácticas de ingeniería social con el objetivo de engañar a la gente para que envíe dinero o revele datos confidenciales, como credenciales de cuentas.

Teniendo presente este panorama, motores de búsqueda como Google cuentan con una serie de formularios y en su caso una herramienta llamada Resultados sobre ti (que por el momento solo se encuentra disponible en algunos países) para que los usuarios puedan solicitar la eliminación de su información. Es por esto que ESET detalla cómo se realiza este proceso y en qué casos es aplicable.

El mecanismo consiste en enviar una solicitud directa a Google para que revise y elimine los resultados de búsqueda que cumplan determinados criterios, como la exposición de la dirección de correo electrónico o de un domicilio, las credenciales de acceso u otros datos personales. Se debe iniciar una solicitud de eliminación completando el formulario que se observa en la imagen de abajo y disponible en este enlace.

Si el problema planteado no llegara a ser claro o Google necesitara información adicional para identificarlo, el usuario recibirá un correo electrónico solicitando más aclaraciones.

“Hay quienes pueden sentirse a gusto con que sus datos públicos estén disponibles en Internet, pero otras personas pueden preocuparse por su privacidad. Incluso los personajes públicos y las organizaciones conocidas deberían mantener ciertos datos confidenciales para evitar posibles riesgos de privacidad y seguridad. Al final, todo se reduce a saber qué información personal está visible y permanecer alerta para que los actores maliciosos no te encuentren desprevenido.”, concluye el investigador de ESET.

soporte local, mantiene a los usuarios seguros y a las empresas funcionando sin interrupciones. Un panorama digital en constante evolución exige un enfoque progresivo de la seguridad: ESET® está comprometido con una investigación de clase mundial y una potente inteligencia sobre amenazas, respaldada por centros de I+D y una sólida red global de socios.

Fuente: Departamento de Comunicación ESET Ecuador

ESET Latinoamérica afirma que el ransomware fue uno de los actores principales de este año en el campo de la seguridad informática, con nuevas cifras de rescates y ataques que pusieron en jaque la información sensible de millones de personas.

Ecuador ­– ESET, segura que el 2024 fue un año récord para el ransomware tanto desde su nivel de alcance hasta las ganancias que obtuvieron los atacantes por sus golpes. Para comprender cómo esta amenaza tuvo un papel determinante en el devenir de la seguridad de la información de las empresas y organizaciones, la compañía detalla cuáles fueron los ataques más paradigmáticos del año, y qué impacto tuvieron en América Latina.

“El ransomware sigue siendo una de las mayores amenazas para la ciberseguridad a nivel mundial. Un informe de Rapid 7 afirma que se registraron más de 2.500 ataques de ransomware solo en la primera mitad de 2024. Lo que se traduce en casi 15 ataques reivindicados públicamente por día. Además, nuestro ESET Security Report de este año, reveló que en América Latina el 14% de las organizaciones afirmó estar dispuesta a pagar un rescate.”, comenta Camilo Gutiérrez Amaya, Jefe del Laboratorio de Investigación de ESET Latinoamérica.

El 2024 se perfila para establecer el récord respecto de los ingresos pagados por ataques de ransomware. Según Chainalysis, los rescates pagados hasta julio rozaban un total de 460 millones de dólares. Además, se registró la cifra más alta pagada por un rescate de ransomware por un total de 75 millones de dólares.

“Es realmente paradójico que pese al desmantelamiento de grupos dominantes como Lockbit, el ransomware se siguió reinventando en manos de grupos más pequeños y flexibles. De hecho, una de las principales características de estos actores emergentes es que trabajan a través de varios grupos de ransomware, consolidando así la llamada democratización del ransomware.”, agrega Gutiérrez Amaya de ESET Latinoamérica.

Los grupos de ransomware siguen explorando nuevas técnicas y tácticas, por ejemplo la incorporación de herramientas que buscan anular tecnologías de seguridad como son los EDR. El equipo de investigación de ESET descubrió este nuevo kit de herramientas desplegado por el ransomware Embargo, que consiste en un loader y un killer EDR, llamados por ESET como MDeployer y MS4Killer. “El ransomware, al igual que las otras amenazas, se volvió mucho más sofisticado con la implementación de herramientas de Inteligencia Artificial. Esto dio por resultado ataques mucho más personalizados, dificultando así la prevención y la respuesta.”, destaca el investigador de ESET.

Situación del ransomware en América Latina

En la región, hubo ciertos grupos como LockBit 3.0, Vice Society, ALPHV (BlackCat) y Medusa que se destacaron por su constante actividad. Un actor decisivo fue RansomHub, grupo que ofrece ransomware como servicio y que desde su aparición a principio de este año afectó a más de 200 organizaciones. Por su servicio cobra el 10% de los pagos obtenidos por sus afiliados en cada ataque, y sus principales víctimas suelen ser instituciones y empresas de alto perfil y gran capacidad de pago.

Otro grupo muy activo en la región fue LockBit 3.0, que entre sus víctimas se destaca una cadena mexicana que vio afectadas 1.800 de sus tiendas en todo el país, perjudicando su operatoria por un periodo de tres meses.

El ransomware fue protagonista de varios ataques en la región. Universidades, Centros de Salud, empresas y organismos gubernamentales de Argentina, Brasil, Chile, Colombia, México, Perú y muchos otros países fueron blanco de ataques de algún grupo de ransomware.

¿Cómo protegerse contra el ransomware?

Para protegerse del ransomware, según ESET, es necesario aplicar un enfoque transversal, que abarque integralmente todas las aristas de una organización. Para eso es aconsejable:

• Implementar la autenticación multifactor (MFA) que fortalece la seguridad y reduce en gran medida el riesgo de accesos indebidos, en caso de compromiso de contraseñas.

• Realizar backups periódicos es clave para minimizar el impacto del ransomware.

• Mantenerse actualizado sobre las últimas amenazas y tendencias de seguridad.

• Capacitar al personal en buenas prácticas de seguridad para prevenir riesgos y amenazas

Fuente: Departamento de Comunicación ESET Ecuador

Amenazas a los datos almacenados en Sync, pCloud y otras alternativas cifradas a Dropbox.

Resulta innegable la comodidad de los servicios de almacenamiento de archivos en la nube como Dropbox o OneDrive. El único inconveniente es que los ciberdelincuentes, los organismos de inteligencia o el propio proveedor de alojamiento pueden ver tus archivos guardados en la nube sin necesidad de autorización. Pero hay una alternativa más segura: el almacenamiento de archivos cifrados en la nube. Hay quien lo denomina cifrado de extremo a extremo (E2EE), y es similar al funcionamiento de Signal o WhatsApp. Según la propaganda de marketing, los archivos se cifran en tu dispositivo y se envían a la nube ya de forma segura: la clave de cifrado permanece en tu poder y en el de nadie más. Ni siquiera el proveedor puede acceder a esa información. ¿Pero es así realmente?

Cifrado como un queso suizo

El Grupo de Criptografía Aplicada de ETH Zurich analizó los algoritmos de cinco populares servicios de almacenamiento cifrado: Sync.com, pCloud, Icedrive, Seafile y Tresorit. En cada uno de ellos, los investigadores encontraron errores en la implementación del cifrado que permitían, en diversos grados, la manipulación de los archivos e, incluso, el acceso a fragmentos de datos no cifrados. Anteriormente ya habían descubierto fallos en otros dos conocidos servicios de alojamiento: MEGA y Nextcloud.

En todos los casos, los ataques se llevan a cabo desde un servidor malicioso. El escenario es el siguiente: los intrusos piratean los servidores de alojamiento cifrado o, al manipular los enrutadores a lo largo de la ruta del cliente al servidor, obligan al ordenador de la víctima a conectarse a otro servidor que imita al servidor de alojamiento cifrado auténtico. Si esta complicada maniobra tiene éxito, los atacantes en teoría podrían hacer lo siguiente:

• En el caso de com, añadir carpetas y archivos con información incriminatoria y cambiar los nombres de los archivos y los metadatos de la información almacenada. Además, el servidor pirateado puede enviar nuevas claves de cifrado al cliente y, posteriormente, descifrar cualquier archivo descargado. Igualmente, la función integrada para compartir permite al servidor malicioso descifrar cualquier archivo compartido por la víctima, ya que la clave de descifrado está incluida en el enlace que se envía al acceder al servidor.
• En el caso de pCloud, añadir archivos y carpetas, mover archivos arbitrariamente y cambiar el nombres de los archivos, eliminar fragmentos de archivos y descifrar los archivos descargados después del pirateo.
• En el caso de Seafile, obligar al cliente a utilizar una versión anterior del protocolo, lo que facilita los ataques de fuerza bruta para descifrar las contraseñas, intercambiar o eliminar fragmentos de archivos, añadir archivos y carpetas, y editar los metadatos de los archivos.
• En el caso de Icedrive, añadir archivos que sean fragmentos de otros archivos ya cargados a la nube, cambiar el nombre y la ubicación de los archivos almacenados, y reordenar los fragmentos de los archivos.
• En el caso de Tresorit, manipular los metadatos de los archivos almacenados, incluida su autoría.
• En el caso de Nextcloud, manipular las claves de cifrado, lo que permite descifrar los archivos descargados.
• En el caso de MEGA, restaurar las claves de cifrado y descifrar así cualquier archivo. También es posible añadir archivos incriminatorios.

En cada caso, el servidor malicioso es un componente del ataque difícil de implementar, pero no puede afirmarse que sea imposible. A la luz de los ciberataques contra Microsoft y Twilio, la posibilidad de que un servicio importante se vea comprometido es real. Y, por supuesto, el E2EE debe ser por definición resistente a las acciones maliciosas del lado del servidor.

Sin entrar en detalles técnicos, observamos que los desarrolladores de todos los servicios parecen haber implementado el E2EE de buena fe y emplean algoritmos robustos y reconocidos como AES y RSA. Pero el cifrado de archivos crea muchas dificultades técnicas en lo que respecta a la colaboración y la coautoría de los documentos. Las tareas necesarias para superar estas dificultades y tener en cuenta todos los posibles ataques relacionados con claves de cifrado modificadas siguen sin resolverse, pero Tresorit es quien mejor trabajo ha hecho.

Los investigadores señalan que los desarrolladores de los distintos servicios cometieron errores muy similares de forma independiente unos de otros. Esto significa que la implementación del almacenamiento en la nube cifrado está plagada de matices criptográficos no triviales. Lo que se necesita es un protocolo bien desarrollado sometido a pruebas exhaustivas por la comunidad criptográfica, como TLS para sitios web o el Protocolo de señal para los servicios de mensajería instantánea.

Arreglos costosos

El mayor problema de la reparación de los errores identificados es que no solo es necesario actualizar las aplicaciones y el software del servidor, sino que también, en muchos casos, es necesario volver a cifrar los archivos guardados por los usuarios. No todos los proveedores de alojamiento pueden permitirse este enorme gasto computacional. Además, el nuevo cifrado solo es posible en cooperación con cada usuario, por lo que no puede hacerse de forma unilateral. Esa es la razón por la que probablemente las correcciones tardan en llegar:

• com respondió a los investigadores después de seis meses, y solo una vez que habían aparecido los informes en la prensa. Tras haber reaccionado finalmente, anunciaron una solución para el problema de la pérdida de claves al compartir enlaces, y dijeron que también corregirían el resto de fallos, pero sin mencionar el plazo en que lo harían.
• Tresorit prometió solucionar el problema en 2025 (pero el problema es menos grave para ellos).
• Seafile solucionó el problema de la degradación de la versión del protocolo sin comentar nada sobre el resto de fallos.
• Icedrive decidió no abordar los problemas identificados.
• pCloud no respondió a los investigadores hasta que no aparecieron los informes en la prensa. Fue entonces cuando afirmó que los ataques son teóricos y que no requieren una acción inmediata.
• Nextcloud solucionó el problema y modificó en gran medida el enfoque general del E2EE en la versión 3.12. El esquema de cifrado actualizado aún no se ha analizado.
• MEGA redujo significativamente la probabilidad de un ataque al introducir comprobaciones del lado del cliente.

Qué deben hacer los usuarios

Si bien los problemas identificados por el Grupo de Criptografía Aplicada no pueden considerarse puramente teóricos, no representan una amenaza masiva que los ciberdelincuentes puedan explotar fácilmente. Por lo tanto, no es necesario adoptar medidas de manera apresurada; más bien, el usuario debería hacer una evaluación detenida de su situación:

• ¿Cómo de sensibles son los datos que tiene en el almacenamiento y cómo de tentadores son para terceras personas?
• ¿Cuántos datos almacena en el servicio cifrado? ¿Resultaría sencillo moverlos a otro?
• ¿Qué importancia tienen las funciones de colaboración y para compartir archivos?

Si la colaboración no es importante y los datos almacenados son críticos, la mejor opción es pasarse al cifrado local de los archivos. Puedes hacerlo de varias maneras, por ejemplo, almacenando los datos en un archivo contenedor cifrado o en un archivo comprimido con una contraseña segura. Si necesitas transferir datos a otro dispositivo, puedes cargar un archivo ya cifrado al servicio de alojamiento en la nube.

Si quieres combinar la colaboración y la comodidad con unas garantías de seguridad adecuadas, y la cantidad de datos almacenados no es tan grande, merece la pena mover los datos a uno de los servicios que resistió mejor las pruebas de ETH Zurich. Tresorit sería entonces la primera opción, pero tampoco hay que descartar MEGA o Nextcloud.

Si ninguna de estas soluciones se ajusta a tus necesidades, puedes optar por otros servicios de alojamiento cifrado, pero tomando precauciones adicionales, como por ejemplo: no almacenar datos muy confidenciales, actualizar siempre las aplicaciones cliente, comprobar periódicamente tus unidades en la nube y eliminar la información obsoleta o superflua.

En cualquier caso, recuerda que el ataque más probable contra tus datos será a través de un ladrón de información que simplemente comprometerá tu ordenador o tu teléfono. Por eso, el alojamiento cifrado debe ir de la mano de una protección antimalware integral para todos los teléfonos y ordenadores.

Fuente: latam.kaspersky.com

Mientras disfruta las fiestas de fin de año, los ciberdelincuentes podrían estar preparándose para su próximo gran ataque, por lo que es fundamental asegurar que las defensas de su empresa estén listas.

Fuente: www.welivesecurity.com

La apelación de emergencia lleva a los jueces a una pelea de alto perfil entre el Congreso, que ha expresado preocupación por la seguridad nacional sobre el control de la aplicación por parte de China, y los usuarios y ejecutivos de la plataforma, que argumentan que la prohibición viola la Primera Enmienda.

La solicitud de emergencia a la Corte Suprema se produce después de que un tribunal federal de apelaciones confirmara por unanimidad la prohibición en un fallo que decía que el gobierno tenía un interés de seguridad nacional en regular la plataforma en Estados Unidos. La prohibición entrará en vigor el 19 de enero, un día antes de que el presidente electo Donald Trump asuma el cargo. Trump parece haber apoyado la disponibilidad de la aplicación en EE.UU.

La apelación llegó al expediente de emergencia del tribunal superior, que los críticos llaman el “expediente en la sombra”, días después de que el Tribunal de Apelaciones del Circuito de Washington rechazara la solicitud de la empresa de bloquear temporalmente la ley, lo que le dio otra derrota a la empresa en su intento de evitar que se aplique la prohibición el próximo mes.

Los abogados de TikTok piden a la Corte Suprema que bloquee temporalmente la prohibición para darle tiempo a la empresa de pedir a los jueces que revisen su impugnación. Si los jueces están de acuerdo, la ley, como mínimo, permanecería en suspenso hasta que el tribunal decida si escuchará el caso.

La prohibición “cerrará una de las plataformas de expresión más populares de Estados Unidos el día antes de la posesión presidencial”, escribieron los abogados de TikTok. “Esto, a su vez, silenciará la expresión de los solicitantes y de los muchos estadounidenses que utilizan la plataforma para comunicarse sobre política, comercio, arte y otros asuntos de interés público”.

Los abogados pidieron a la Corte Suprema que decida sobre su solicitud de emergencia antes del 6 de enero para darle a la empresa tiempo suficiente “para coordinarse con sus proveedores de servicios para realizar la compleja tarea de cerrar la plataforma TikTok solo en Estados Unidos”. También sugirieron que el tribunal podría aceptar escuchar el caso sin necesidad de recibir presentaciones adicionales.

“Las restricciones a la libertad de expresión sobrevivieron a las normas más exigentes de la Constitución solo en circunstancias excepcionales y limitadas”, escribieron. “Este Tribunal debería asegurarse de que esta protección fundamental no se haya diluido con una decisión que confirma una ley que prohíbe una plataforma de expresión utilizada por la mitad del país”.

La prohibición fue aprobada por el Congreso con apoyo bipartidista a principios de este año y firmada como ley por el presidente Joe Biden en abril. La ley responde a años de preocupación en Washington por el riesgo que representa para la seguridad nacional la empresa matriz china de la aplicación, ByteDance.

La ley exige que la plataforma se venda a un nuevo propietario no chino o que se prohíba su uso en Estados Unidos. Después de la fecha límite de enero, si TikTok no se vende, las tiendas de aplicaciones y los servicios de Internet estadounidenses podrían enfrentarse a fuertes multas por alojar la aplicación.

Según la legislación, el presidente puede emitir una extensión única del plazo.

Los abogados de la empresa no perdieron tiempo en señalar a la administración entrante y los comentarios de apoyo de Trump sobre la aplicación en su presentación del lunes. Bloquear la entrada en vigor de la ley, dijeron, es “apropiado” porque daría “tiempo a la administración entrante para determinar su posición, debido a que el presidente electo y sus asesores han expresado su apoyo a salvar” TikTok.

“El fundamento del miedo sobre la seguridad nacional no puede ocultar la amenaza que la Ley en sí misma plantea a todos los estadounidenses”, dijeron los abogados a la Corte Suprema.

Más temprano este lunes, Trump dijo a los periodistas que tiene “un pequeño lugar cálido en mi corazón” por TikTok porque lo ayudó a conectarse con los votantes jóvenes. No respondió directamente cómo o si podría intentar impedir que la prohibición entre en vigor.

El Circuito de Washington dijo en su fallo del 6 de diciembre que la ley no violaba la Constitución, y afirmó que satisface un estándar legal conocido como escrutinio estricto que debe cumplirse para que las restricciones gubernamentales a la libertad de expresión se mantengan.

“La ley fue la culminación de una amplia acción bipartidista por parte del Congreso y de sucesivos presidentes. Fue cuidadosamente elaborada para abordar únicamente el control por parte de un adversario extranjero, y fue parte de un esfuerzo más amplio para contrarrestar una amenaza a la seguridad nacional bien fundamentada planteada por la (República Popular de China)”, dice el fallo. “En estas circunstancias, las disposiciones de la ley que tenemos ante nosotros resisten la revisión más minuciosa”.

ByteDance ha indicado anteriormente que no venderá TikTok.

La Corte Suprema ha profundizado reiteradas veces en las luchas sobre las redes sociales y la Primera Enmienda en los últimos años, incluida una decisión importante en junio en la que una mayoría de la Corte señaló que creía que las plataformas gozan de cierta protección bajo la Primera Enmienda.

“Al construir ciertos feeds, esas plataformas toman decisiones sobre qué discurso de terceros mostrar y cómo mostrarlo”, escribió la jueza Elena Kagan, miembro del bloque liberal de la Corte, a quien se le unieron tanto conservadores como liberales en su opinión. “Hemos sostenido en repetidas ocasiones que las leyes que limitan las opciones editoriales deben cumplir con los requisitos de la Primera Enmienda”.

El tribunal de apelaciones citó repetidamente esa decisión en su fallo en el caso de TikTok. Pero las protecciones de la Primera Enmienda no son absolutas, y el Circuito de Washington confirmó por unanimidad la ley por motivos de seguridad nacional.

Fuente: www.cnnespanol.cnn.com