Tag Email

Se advierte sobre un fallo en una librería de código abierto expuso el historial de preguntas de otros usuarios, además de información de pago de suscriptores a ChatGPT Plus.

ECUADOR – ESET, analiza el fallo que permitió por un lapso de tiempo que usuarios puedan ver preguntas del historial de búsqueda de otros usuarios de ChatGPT y expuso información personal de un pequeño porcentaje de suscriptores al plan pago de este servicio, como nombre y apellido, dirección de correo asociada al pago, los últimos cuatro dígitos de la tarjeta de crédito y la fecha de expiración.

Todo comenzó el pasado 20 de marzo cuando usuarios a través de Twitter y Reddit comenzaron a reportar que en su historial preguntas aparecían consultas realizadas por otros usuarios. En algunos casos en otros idiomas. Según confirmó OpenAI en un comunicado, todo esto provocó que se suspendiera el servicio de ChatGPT por un tiempo hasta que se corrigió el fallo y luego el servicio se reestableció.

Todo comenzó el pasado 20 de marzo cuando usuarios a través de Twitter y Reddit comenzaron a reportar que en su historial preguntas aparecían consultas realizadas por otros usuarios. En algunos casos en otros idiomas.

@OpenAI why are you giving me foreign languages in my chat history side column this morning?

Have you been hacked?#ChatGPT pic.twitter.com/UdhVQxSKzK

— Joseph Hollak (@jhollak) March 20, 2023

Además del historial de consultas, algunas personas también reportaron que en la página de pagos para ChatGPT Plus aparecía la dirección de correo de otros usuarios:

@OpenAI on payment page for ChatGPT Plus, it originally stated it had sent an SMS to a number I did not recognise. Then when selecting to send an email instead, it is showing an email address that I have never heard of. Form field is also pre-filled with the unknown email address pic.twitter.com/B4X5cZv2kn

— Elliot (@elliotm_95) March 20, 2023

En el caso de los datos de pago, según explicó OpenAI, el fallo afectó al 1.2% de suscriptores activos a ChatGPT Plus y si bien confirmó que parte de la información expuesta incluía los últimos cuatro dígitos de las tarjetas de crédito, en ningún caso quedaron expuestos los números completos.

La compañía detrás de ChatGPT aseguró que se contactó con los usuarios afectados por la exposición de esta información y confía en que los datos personales de los usuarios ya no está en riesgo.

En cuanto a la corrección del fallo, OpenAI no solo confirmó que lo que provocó esta exposición de información fue un fallo que radicaba en el cliente de la librería Redis, sino que envió un parche al equipo de mantenimiento de Redis que corrigió el error.

Corrigen vulnerabilidad en ChatGPT que permite el secuestro de cuentas

Además del fallo que permitió la exposición de información, Gal Nagli reportó a OpenAI una vulnerabilidad que permite realizar ataques de Web Cache Deception. Según explicó en Twitter, la vulnerabilidad, que ya fue corregida, permitía robar cuentas de terceros, ver el historial de consultas y acceder a los datos de pago de las cuentas.

The team at @OpenAI just fixed a critical account takeover vulnerability I reported few hours ago affecting #ChatGPT.

It was possible to takeover someone's account, view their chat history, and access their billing information without them ever realizing it.

Breakdown below 👇 pic.twitter.com/W4kXMNy6qI

— Nagli (@naglinagli) March 24, 2023

ChatGPT es el blanco de cibercriminales

Recientemente alertamos sobre distintas estafas y engaños que han estado circulando aprovechando el éxito de ChatGPT. Entre los ejemplos mencionamos lo que fue el hallazgo reciente de una falsa extensión para Google Chrome llamada “Quick access to Chat GPT” que los cibercriminales estuvieron utilizando para robar cuentas de Facebook, las cuales eran a su vez utilizadas para crear bots y desplegar publicidad maliciosa. Sin embargo, esta no fue la única extensión maliciosa que se descubre aprovechando el nombre de ChatGPT, ya que investigadores de Guardio revelaron la semana pasada que descubrieron una nueva variante de la misma extensión maliciosa que roba cuentas de la red social. En este caso se trata de una versión troyanizada de una extensión legítima llamada “ChatGPT for Google”.

“Como podemos ver, ChatGPT es atractiva para los actores maliciosas, ya sea para utilizar la herramienta con fines maliciosos, así como también para suplantar su identidad y engañar a personas desprevenidas. Probablemente esta tendencia continuará y seguiremos viendo casos donde se intente explotar vulnerabilidades o realizar fraudes en su nombre”, agrega Camilo Gutiérrez Amaya, Jefe del Laboratorio de investigación de ESET Latinoamérica.

Fuente: www.welivesecurity.com

Se conoce por email spoofing a la suplantación de la identidad a través del correo utilizando una dirección de remitente fraudulenta. Una técnica común en ataques de phishing y spam.

Email spoofing es una técnica que utilizan los atacantes para ocultar la verdadera dirección del remitente en un correo malicioso y sustituirla por una legítima suplantando la identidad de una empresa o un usuario al utilizar un dominio auténtico. Los atacantes suelen utilizar esta técnica en campañas de phishing o spam maliciosas para mejorar su eficacia al evadir controles antispam y hacer que los correos tengan una apariencia más creible.

Pero para comprender cómo funciona el email spoofing es importante dar un paso hacia atrás para entender los mecanismos involucrados en las comunicaciones.

Comunicaciones en el envío de correos electrónicos

Los sistemas que gestionan el envio y recepción de correos utilizan tres protocolos principales: en el envío se utiliza el protocolo SMTP (Simple Mail Transfer Protocol), y para la recepción se implementan los protocolos IMAP o POP, dependiendo del servidor que se use.

El protocolo SMTP se basa en transacciones entre remitente y receptor, emitiendo secuencias de comandos y suministrando los datos necesarios ordenados mediante un protocolo de control de transmisión de conexión (TCP). Una de estas transacciones cuenta con tres secuencias de comando/respuesta: La dirección de retorno o emisor (MAIL), la dirección del destinatario (RCPT) y el contenido del mensaje (DATA).

Estos datos generalmente son completados de manera automática por el servidor de nuestro proveedor de correo, en donde todos los usuarios cuentan con autenticación previa, con lo cual el protocolo no exige ningún tipo de verificación de identidad en su uso. Si bien hay algunos proveedores de correo como Gmail u Outlook que no permiten suplantar la identidad de correos dentro de su dominio, la mayoría de direcciones existentes pueden llegar a ser víctimas de este ataque.

Repasamos cuáles fueron los mensajes y los asuntos de correo que más efectivos resultaron para los cibercriminales al momento de llevar adelante sus ataques de ingeniería social en 2019.

Al igual que en otros años, este 2019 uno de los ataques más efectivos han sido los de ingeniería social, entre ellos los ataques de phishing. Si bien ya hemos hablado anteriormente en varias oportunidades acerca de este tipo de ataque, a continuación, vamos a repasar algunos de los conceptos que explican el porqué de este fenómeno.

Un detalle, que no es nuevo, sino que se ha mantenido a lo largo de los últimos años, inclusive en 2019, es el hecho de que los cibercriminales permanentemente están buscando mejorar sus técnicas para llevar adelante ataques cada vez más ingeniosos y elaborados. Esto lo hemos visto, por ejemplo, en una gran cantidad de campañas de phishing analizadas durante el 2019 en las cuales se incorporaron certificados SSL en los servidores, logrando de esta manera que el mismo navegador le informe al usuario que está navegando en una página “segura”. También han sido una constante los mensajes que apuntan directamente a dispositivos móviles, en los cuales la URL completa es muy difícil de ver, al igual que el crecimiento de los ataques homográficos, donde la dirección del sitio al que se invita a acceder es prácticamente la misma que el sitio real.

Los mensajes más efectivos a la hora de buscar captar posibles víctimas, según el último reporte de KnowBe4, son los relacionados a los problemas se seguridad de los usuarios finales; principalmente los dirigidos a entornos corporativos. Entre ellos, los que utilizan algunas de las siguientes excusas:

• Verificación de contraseña requerida de forma inmediata
• Un intento de entrega fue realizado
• Desactivación de la [dirección correo] en proceso
• Nuevos “food trucks” llegan a la [nombre de la empresa]
• Nuevos beneficios para los empleados
• Política de vacaciones y licencias por enfermedad revisada
• Tiene un nuevo mensaje de voz
• Nuevos cambios en la organización
• Cambio de contraseña requerido de forma inmediata
• Revisión de personal [año]

El uso de mensajes de tipo corporativo se explica a partir de la intención de buscar comprometer sistemas de empresas para así lograr exfiltrar su información.

Otra modalidad que estuvo muy presente este año fue la que se conoce como Business Email Compromise (BEC), que no se trata de otra cosa que de correos dirigidos en los que los cibercriminales suplantan la identidad de la cuenta de correo de una empresa (ya sea mediante técnicas de spoofing o directamente habiendo conseguido acceso a la misma) con la finalidad maximizar la efectividad del mensaje enviado al hacerse pasar por un remitente conocido. Generalmente, el contenido de estos mensajes está relacionado a temas de injerencia directiva o decisoria en cuanto; por ejemplo, un mensaje que reciben todos los empleados desde una supuesta casilla de recursos humanos, o bien un departamento determinado (financias por nombrar alguno) que recibe un pedido urgente por parte de su superior.

Según el reporte al respecto de la empresa Barracuda, este tipo de ataques son veinte veces más efectivos que los phishing convencionales y han generado pérdidas superiores a los 26 mil millones de dólares en los últimos 4 años.

Volviendo al tema de los mensajes que incluyen en el asunto de los correos de phishing, algunos de los asuntos que más clics generaron durante 2019 en correos que apuntaban a cuentas no corporativas, son los siguientes:

• Nuevo mensaje de voz en Skype
• Reembolso de la transacción
• [Nombre de un contacto] compartió un documento contigo
• Microsoft Teams: por favor autentificar su cuenta
• Bonos para empleados seleccionados
• Cisco Webex: su cuenta de ha sido bloqueada
• Amazon: dirección de facturación no coincide
• USPS: Paquete de alta prioridad: ¡Verifique por dónde va!
• Verizon: actualización seguridad
• Adobe Cloud: compartieron un documento con usted

En la mayoría de los casos los ciberdelincuentes buscan enviar correos con este tipo de mensaje en el asunto para robar credenciales de acceso a servicios masivos, ya sea con la finalidad de obtener datos sensibles de las víctimas almacenados en los mismos o generar bases de datos para luego comercializarlas en el mercado negro.

En el caso de los mensajes que buscan captar credenciales de redes sociales, el reporte muestra que LinkedIn, la red social de perfiles corporativos y laborales, recibe casi la mitad de los intentos, con el 48% de los envíos con mensajes del tipo: “Agrégame”, “Su cuenta aparece en nuevas búsquedas”, “Su perfil fue visitado”, “Reseteo de contraseña” o “Pedido de desactivación”.

Redes sociales más apuntadas

En el caso de Facebook, los mensajes más frecuentes son del tipo: “Alguien te mencionó en una publicación”, “Tus amigos te etiquetaron en las siguientes fotos”, “Cuenta de correo principal modificada”.

En menor medida, en el caso de Twitter los mensajes que se registraron con mayor frecuencia son del tipo: “Alguien te envió un mensaje directo” o los servicios online de Motorola con “Alerta de acceso de Chrome en Motorola Moto X”.

Cómo estar protegido ante este tipo de ataques

Algunas de las prácticas recomendadas para estar protegidos ante este tipo de ataques, son:

• Verificar la dirección del remitente. Si bien los cibercriminales en algunas oportunidades utilizan técnicas como el spoofing de remitente, a través de las cuales pueden hacerse pasar por una dirección real, si se verifica el encabezado del mismo se puede llegar a detectar que el envío se realizó a través de otro servidor.
• En caso de que el remitente sea el real, pero se dude de la veracidad del mensaje, contactarlo por otro medio y validar si el mensaje realmente existió.
• De la misma manera que es necesario verificar el remitente, se debe analizar minuciosamente el enlace al cual se invita a hacer clic. En general no se recomienda acceder directamente a un enlace que viene incluido en un mensaje. Si se trata de un caso real y el usuario debe acceder a su cuenta, es recomendable que lo realice de la manera tradicional, desde su acceso directo, a través de una app o ingresando manualmente la URL del servicio al cual desea acceder en el navegador.
• Es sumamente importante activar en todas las cuentas que así lo permitan el Doble Factor de Autenticacion, ya que, de esta manera, en caso de que el usuario se haya visto afectado por una filtración de sus credenciales, este código aleatorio que llega al dispositivo móvil vía aplicación o SMS, es muy difícil de adivinar u obtener.
• Para los usuario de Google Chrome es posible activar la extensión de verificación de contraseñas, la cual permite recibir alertas en tiempo real si se quiere utilizar una contraseña que ha formado parte de alguna filtración.

Como siempre decimos, el primer paso para los usuarios es aprender a reconocer este tipo de correos y tomarse unos minutos para corroborar que no hay nada sospechoso. Para eso, recomendamos leer 8 señales que indican que eres un blanco fácil de las estafas por Internet, un artículo en el que encontrarás una guía con algunas de las técnicas más comunes utilizadas por los cibercriminales para engañar a los usuarios. Por último, para el próximo año plantéate la meta de utilizar mejores contraseñas. Para ello te recomendamos leer el siguiente artículo: Contraseñas, la llave maestra de tu información.

Fuente: www.welivesecurity.com

En el 40% de los casos el incidente se produjo por hacer clic en enlaces que redirigían a sitios infectados, mientras que un 23% fue por abrir adjuntos infectados.

Hoy se celebra el “Día Mundial del Correo” por ser el aniversario de la Unión Postal Universal (UPU, por sus siglas en inglés), la agencia especializada de las Naciones Unidas establecida en 1874, en Suiza, que dio inicio a una revolución en las comunicaciones al introducir la posibilidad del envío de cartas a todo el mundo al regular el sistema de correspondencia internacional. Según Naciones Unidas, el propósito de conmemorar esta fecha es generar conciencia acerca de la importancia del servicio postal en la vida diaria de las personas y de los negocios, así como para el desarrollo de los países; un rol que hoy ocupa en mayor medida el correo en formato electrónico.

Tomando como punto de partida la importancia que ha tenido el correo para el desarrollo de los países y el rol clave que ocupa en esta misma línea el correo electrónico, realizamos una encuesta a nuestra comunidad de usuarios para saber cómo utilizan este servicio desde la perspectiva de la seguridad.

Un dato interesante que arrojó la encuesta es que el 53% de los usuarios dijo utilizar una cuenta de correo exclusivamente para suscribirse a sitios y servicios, lo cual resulta útil para evitar recibir spam en la cuenta de correo principal. Otra alternativa posible a esta estrategia para proteger tu dirección de correo es mediante el uso de direcciones de correo electrónico temporales.

Por otra parte, más del 60% manifestó que utiliza su dirección de correo principal para ingresar a la mitad de los otros servicios online que utiliza y 1 de cada 5 usuarios aseguró que utiliza la misma contraseña de su cuenta de correo para servicios como Twitter, Facebook, LinkedIn Instagram o Netflix, entre otros. La reutilización de contraseñas es una práctica no recomendada porque atenta contra la seguridad de los usuarios, ya que con frecuencia vemos que populares servicios resultan víctimas de incidentes que derivan en filtraciones de cuentas y contraseñas de los usuarios, las cuales luego pueden caer en manos de cibercriminales que las utilizan para realizar ataques de credential stuffing o para comercializarlas en el mercado negro. De hecho, existen servicios que permiten a un usuario averiguar si la contraseña que utilizan fue filtrada en alguna brecha.

Otro dato que aportó la encuesta es que el 44% de los encuestados aseguró haber sufrido un incidente de seguridad a través del correo electrónico. De este porcentaje, un 40% sufrió un incidente al hacer clic en un enlace que luego redireccionaba a un sitio infectado, mientras que un 23% se infectó por abrir un archivo adjunto malicioso y un 27% por caer en un engaño a partir de un correo que suplantaba la identidad de una empresa o servicio legítimo.

En cuanto al phishing, un mecanismo utilizado por los cibercriminales que tiene varias décadas pero que sigue aún vigente dada la efectividad que tiene para los atacantes, según los usuarios encuestados el 58% de los correos de phishing que reciben suplantan la identidad de sitios de compras online, mientras que en un 40% de los casos simulan ser correos de entidades bancarias y en un 30% de compañías de viaje.

Como hemos visto en reiteradas ocasiones, el correo electrónico como vector de propagación de amenazas informáticas no es una novedad. Por eso la importancia de aprovechar fechas como esta para informar acerca de los riesgos de seguridad que existen alrededor de una herramienta clave para la sociedad moderna como es el correo electrónico y aprender a hacer un uso más seguro de la misma para evitar dolores de cabeza. A continuación, compartimos una infografía que elaboramos a partir de los datos que dejó la encuesta.

Fuente: www.welivesecurity.com