Etiqueta: Seguridad informática

Ciberseguridad: ¿Qué es el rogueware? La amenaza que supone un falso antivirus.

en por Donnie Rocken Ciberseguridad-Privacidad, InformáticaDeja un comentario

Seguimos con el tema de la ciberseguridad y hablamos de nuevo de cosas relacionadas con el tema de las apps maliciosas, pues el rogueware es algo similar: acabamos instalando software malicioso que creemos que es legítimo.

Imagen de una web de seguridad
Photo by Pixabay on Pexels.com

Seguro que si has utilizado alguna página para ver partidos de fútbol o series pirateadas en una de las miles de molestas ventanas de publicidad que te salen alguna vez te ha saltado un aviso que decía «Tu equipo podría estar infectado por un virus«, o tal vez te haya aparecido la publicidad de un complemento bloqueador de publicidad para tu navegador a pesar de que dicha web te bloquea el acceso si tienes uno activado. En ambos casos en enlace te llevará a una página para descargar dicho software. Esto es el rogueware: un software que se hace pasar por un antivirus, que instalamos tras haber sido engañados para creer que nuestro ordenador está infectado y que realmente será el que nos infectará. Existen otras estrategias para infectarnos, pero a día de hoy el método más utilizado es através de esos enlaces web.

¿Cómo actuará este rogueware cuando nos haya infectado?

Hay muchas varientes: en algunos casos puede que nos salte un aviso diciendo que se ha detectado contenido ilegal (pornografía, software pirateado) en nuestro equipo y nos pida un dinero en concepto de extorsión para no denunciarlo (recordemos el llamado «Virus del FBI» que secuestraba el navegador), en otros casos deshabilitará nuestro antivirus legítimo u otras herramientas anti-malware para dejarnos más vulnerables antre otro tipo de ataque que se ejecutará posteriormente, en ocasiones nos instalará un adware que es un software malicioso que nos abre constantemente ventanas de publicidad (seguro que recordáis hace años el pesado Lollipop), también puede que nos instale un software que mine criptomonedas sin que seamos conscientes de ello o que transforme nuestro equipo en parte de una red zombie.

¿Cómo nos protegemos?

Bueno, un bloqueador de publicidad legítimo en nuestro navegador como AdBlock ayudará a que no aparezcan estos mensajes, aunque ese tipo de páginas para streamings ilegítimos suelen bloquear el acceso a los usuarios que usan estas herramientas. Lo importante es pensar que si necesitamos un antivirus no hay que descargarlo nunca de un enlace de una publicidad que nos salte en un pop-up de una página web, si queremos un antivirus debemos descargarlo directamente del sitio del fabricante o de su cuenta oficial en una tienda de software online.

¿Y si ya nos infectamos?

Depende del tipo de infección a la que nos enfrentemos, en algunos casos una herramienta anti-malware como Malwarebytes puede ser suficiente para eliminarlo. Si nos ha secuestrado el navegador a veces bastará con reinstalarlo. En el peor de los escenarios podríamos vernos obligados a tener que reinstalar el sistema operativo.

Ciberseguridad: Cryptojacking ¿Qué es y cómo protegernos?

en por Donnie Rocken Ciberseguridad-Privacidad, Informática, SoftwareDeja un comentario

En la entrada sobre apps maliciosas os hablaba de aplicaciones que pueden usar vuestro dispositivo sin consentimiento para minar criptomonedas. Esto en principio no representa un riesgo para nuestra seguridad o privacidad, pero no quita que sea un fastidio: penalizará el rendimiento de nuestro dispositivo por tener el procesador y la memoria ocupadas en el minado, esto puede desembocar en un consumo excesivo de energía, en el sobrecalentamiento del dispositivo y un acortamiento de su vida útil, incluyendo daños en el disco duro, en los ventiladores o en la batería en caso de teléfonos móviles o tablets.

Logo de Bitcoin
Photo by Karolina Grabowska on Pexels.com

Para utilizar nuestros equipos los atacantes recurren a distintos medios: por un lado aplicaciones y otros programas que podemos instalar como si fuesen legítimios pero que lo que hacen es ejecutarse en segundo plano de forma constante para minar monedas, por otro lado también fue muy habitual durante un tiempo servirse de aplicaciones escritas en javascript que se abrían en segundo plano cuando visitábamos una web maliciosa y se quedaban minando monedas.

¿Cómo nos protegemos?

Bueno, empezamos con el clásico consejo de «ojo con lo que instalas y con las webs que visitas» de toda la vida, pero que por otra parte es muy importante extremar precauciones cuando nos conectamos a sitios poco legítimos o cuando instalamos algún software. En cualquier caso, incluso siendo cuidadosos podemos vernos atacados, nadie está libre. Instalar un antivirus y tenerlo actualizado es otro de los consejos esenciales, estos criptomineros son un problema conocido desde 2017 así que todos los antivirus modernos ya suelen detectarlos. Si crees estar infectado la herramienta Malwarebytes es bastante efectiva para detectar este tipo de programas maliciosos, puedes instalarla desde la web del fabricante y revisar que tu equipo esté libre de amenazas. Para evitar los scripts maliciosos cuando visitamos un sitio web tenemos distintas extensiones para el navegador, por ejemplo la extensión libre NoCoin o la extensión minerBlock que está disponible para Firefox y para Chrome.

Ciberseguridad: Apps maliciosas en dispositivos móviles

en por Donnie Rocken Ciberseguridad-Privacidad, Informática, sistemas y redes, SoftwareDeja un comentario

Empezaré esta entrada sobre ciberseguridad contando una historia propia, que el cuento y la leyenda han sido siempre buenos instrumentos educativos para advertir de peligros, aunque en este caso la historia es real pero debidamente anonimizada.

Hará menos de un mes un familiar me comenta que el conocido de un amigo le va a pasar un app para ver «todo el fútbol gratis» desde su tablet Android. La simple descripción de la aplicación hace que en mi hombro izquierdo un pequeño duende con un trébol de tres hojas grite «Danger! Danger!» (y no está cantando la canción de Electric Six), luego os explico por qué ya desconfío de entrada. El app debe ser de confianza porque el conocido del amigo es un tío que sabe mucho de estos temas. Como os podéis imaginar el app no está en la tienda oficial de aplicaciones de Android, es un fichero apk que le envían por Whatsapp, fichero que le pido, me descargo y desempaqueto con el Android Studio. Lo primero que hago es echarle un ojo al Android Manifest para ver qué permisos pide: ¿Ver estado de la red? Bueno, esto entra en la lógica ¿Usar datos móviles? Vale, si no estás conectado a una wifi los necesitará para el streaming ¿Ver información de la Wifi? Esto me mosquea, una cosa es ver si hay red y otra ver los detalles. Entonces empiezo ya a ver cosas que no deberían estar ahí: Acceso a los SMS, acceso a los contactos, acceso a las llamadas, acceso a la ubicación, acceso al GPS, acceso al almacenamiento, acceso al Bluetooth, acceso a pagos desde la aplicación, acceso al micrófono… Esos permisos no tienen ningún sentido para la finalidad de la aplicación, de hecho el combo SMS+Pagos me provoca hasta terror y sudores fríos. Recomiendo no instalarla porque el riesgo potencial de dicha aplicación es muy alto.

Imagen de un teléfono móvil
Photo by cottonbro on Pexels.com

¿Por qué me mosqueó la aplicación ya de entrada y antes de haber visto nada? Pensemos un momento de forma crítica y analítica: hacer una aplicación requiere invertir tiempo en diseñarla, programar el código, hacer pruebas, actualizarlo cuando haya problemas de seguridad o cambios en el núcleo de Android… En este caso además se trata de una aplicación que muestra una información que hay que actualizar a diario, todos los días hay que subir los enlaces de los partidos de la jornada, así que estamos ante una aplicación que requiere que alguien invierta muchas horas en mantenerla fucionando. Además, hoy por hoy con la ley en la mano lo que hace dicha aplicación es ilegal, por lo que la persona que mantiene el app se podría ver envuelto en problemas legales con empresas muy grandes y ricas, que tienen todos los recursos legales del mundo para amargarte la vida. Entonces ¿por qué alguien dedicaría tanto tiempo y se arriesgaría a tener problemas con la ley si no va a conseguir un retorno económico? Puede que sea alguien con mucho tiempo y dinero que pretende empezar una guerra contra los gigantes del contenido, pero es más probable que sea alguien que busque conseguir un retorno económico con dicha aplicación.

¿Qué son las apps maliciosas?

El ejemplo que he puesto con la historia que os he contado es una buena definición de un app maliciosa: una aplicación que teóricamente parecía legítima pero que realmente era una trampa para acceder a un montón de permisos dentro de nuestro teléfono. ¿Qué puede conseguir un ciberdelincuente con eso? Pues depende de los permisos que le hayamos dado: infectar nuestro dispositivo para ser parte de una red zombie en un ciberataque, usar nuestro teléfono para minar criptomonedas, robar nuestros datos, suscribirnos a servicios de sms premium o llamar a números de tarificación especial, tomar el control de nuestro dispositivo… Se roban tantos datos a día de hoy que en la deep web los de un solo individuo llegan a venderse por cantidades ridículas. ¿Crees que los datos de un ciudadano medio, incluyendo acceso a sus cuentas de correo, a la web de su seguro médico y al app de su banco, valen miles de euros? No, hoy por hoy hay paquetes de información así vendiéndose por 10 euros en la deep web.

¿Cómo me protejo de estas apps maliciosas?

Bueno, en este caso la única solución es no instalarla. Es una respuesta de perogrullo, pero eso es así. Entonces me diréis «¿no instalamos nada por si acaso?«, pues no… pero sí, me explico: si no lo necesitas no lo instales, esto es una máxima que suelo aplicar, tener aplicaciones por tener solo implica malgastar capacidad de almacenamiento en nuestro dispositivo y aumentar las posibilidades de sufrir un problema de seguridad. Si llegamos a la conclusión de que sí necesitamos esa aplicación entonces el siguiente punto es ¿desde dónde la descargamos? Pues lo mejor es hacerlo desde la tienda oficial de apps de nuestro sistema operativo (Apple, Google, Amazon, la que toque), pero cuidado, a veces alguna aplicación maliciosa logra colarse ahí, así que aunque esté en un sitio legítimo puede ser ilegítima por lo que debes siempre revisar los permisos que te pide la aplicación y pensar «¿esta aplicación necesita esto para lo que a hacer?» Yo entiendo que puede ser confuso en muchos casos, pero hay que hacer el esfuerzo por nuestro propio bien y pensar en qué le estamos permitiendo, por ejemplo ¿una aplicación para enviar dinero a mis amigos necesita acceder a mi lista de contactos? Bueno, eso tiene cierta lógica. ¿Esa misma aplicación necesita acceder a mi GPS? Pues eso en cambio ya no tiene ninguna explicación en principio coherente.

Hay otras medidas de seguridad proactivas que podemos tomar por si nos viéramos afectados por una de estas aplicaciones como tener copias de seguridad de nuestros datos, por si sufriéramos un ataque que las destruyese o secuestrase, o cifrar nuestro dispositivo para evitar que en caso de robo de datos estos fueran legibles. También aplicaciones como el CONAN de INCIBE nos permitirán comprobar la seguridad de nuestro dispositivo ¿Qué pasa si ya nos hemos infectado? Pues lo primero es eliminar la aplicación maliciosa, después ya con el equipo libre de ese malware lo mejor sería cambiar nuestras contraseñas en los distintos servicios que utilizásemos para evitar sustos por si hubieran sido robadas. La OSI tiene una infografía muy chula resumiendo todo esto.

Ciberseguridad ¿Qué es el shoulder surfing?

en por Donnie Rocken Ciberseguridad-Privacidad, InformáticaDeja un comentario

Vamos a seguir hablando un poco de ciberseguridad y vamos con formas de ataque que no requieren de ningún conocimiento técnico, como cuando hace unos días vimos en qué consistía la técnica de la «manguera de goma«. Hoy hablaremos del «shoulder surfing«, empezando con un ejemplo real, algo anecdótico pero que será un buen inicio:

Principios de 2015, al salir del trabajo me estoy tomando una cerveza en la barra del bar donde trabaja una amiga mía y charlamos animadamente, pues no hay más clientes. Me pregunta algunas cosas sobre ciberseguridad porque sabe que soy programador y hace poco ha visto a Chema Alonso en la tele, en una entrevista, y piensa que hay mucho sensacionalismo con la seguridad informática, que se montan «muchas películas» sobre el tema, pero que realmente no es tan fácil realizar un ataque informático. Le pregunto si me invita a la cerveza si logro desbloquear su teléfono, acepta estando segura de que no podré. Me da el teléfono y lo desbloqueo al momento, birra gratis. ¿Cómo he logrado desbloquearlo? Pues haciendo uso de esta técnica del «Shoulder surfing«, que en castellano podríamos traducir como «mirar por encima del hombro«: bloqueaba su teléfono con un código numérico, solo tuve que fijarme en qué números había pulsado, me había quedado cierta duda con el último dígito, pero era fácil deducirlo porque era su año de nacimiento. Conste que ella reclamó diciendo que «eso no es un ataque informático, solo has visto la contraseña«, pero independientemente del método usado yo había logrado acceder a su dispositivo.

Imagen con ejemplo de espionaje
Photo by Noelle Otto on Pexels.com

Aunque pueda sonar como algo mundano, como algo que podríamos llamar cutre, obtener una contraseña por mera observación es bastante simple y más habitual de lo que creemos. Suele encuadrarse dentro de la llamada «ingeniería social«, pero yo hasta pienso que calificarlo de ingeniería en muchos casos es demasiado. Si bien es cierto que en casos de espionaje se ha recurrido a algunas medidas técnicas (cámaras ocultas o prismáticos), lo más habitual suele ser que simplemente el atacante se coloque cerca de su víctima y observe cómo teclea el código para acceder.

¿Cómo nos protegemos de este ataque?

Bueno, como comentamos en la entrada sobre ataques contra contraseñas, las opciones de activar la validación por múltiples factores o de usar un gestor de contraseñas son importantes. Para el desbloqueo de dispositivos móviles se puede contar con el desbloqueo por reconocimiento facial o por huella dactilar. En este caso, además, tendríamos que sumar como medida de seguridad el asegurarnos de que nadie está viendo nuestra pantalla ni nuestras manos al teclear e intentar no hacerlo en lugares públicos y llenos de gente (la barra de un bar, el transporte público, etc.)

Ataques informáticos contra contraseñas: fuerza bruta y diccionario.

en por Donnie Rocken Ciberseguridad-Privacidad, InformáticaDeja un comentario

Desde hace años las contraseñas protegen muchos de nuestros datos en la red: acceso a servicios económicos, tiendas en línea, redes sociales, correos… Por lo que para un ciberdelincuente las contraseñas son objetivos jugosos, pues le permiten acceder a información o funciones muy valiosas: acceder a nuestro dinero, acceder a nuestros correos, suplantar nuestra persona…

Existen muchas formas de hacerse con una contraseña, en el pasado ya hablamos de técnicas de ingeniería social como el smishing, de cómo se pueden servir de correos fraudulentos, incluso de métodos no informáticos como la coacción o la tortura (ataque de manguera de goma). Aquí vamos a ver dos formas de hacerlo sin tener que contactar con la persona atacada para engañarla, simplemente «forzando» la contraseña. Tenemos principalmente dos posibilidades: fuerza bruta pura y ataque con diccionario.

Código fuente de un script
Photo by luis gomes on Pexels.com

El ataque por fuerza bruta es bastante sencillo: consiste en bombardear nuestra contraseña con todas las opciones posibles. Prueba y error, así de sencillo. Dependiendo de la robustez de nuestra contraseña y de las medidas de seguridad del sitio al que intenten acceder tardará más o menos, pero con el tiempo suficiente cualquier contraseña acabaría por caer.

El ataque con diccionario es una versión sofisticada de la fuerza bruta: utiliza un software que prueba distintas combinaciones de caracteres más usuales o más probadas. Estos diccionarios suelen complementarse con listas de contraseñas ya utilizadas que se han sacado de alguna filtración. Como curiosidad, también se sirven de los requisitos de seguridad que nos imponen los servicios para crear una contraseña: por ejemplo, si creamos un diccionario para un sitio que exige como mínimo 6 caracteres, con un número y una mayúscula, ya no se probará ninguna contraseña que no coincida con ese patrón.

Ya que hablamos de filtraciones de contraseñas para los diccionarios debemos hablar de las tablas rainbow o arcoíris también. En su momento ya hablamos de las funciones de resumen o hash, que son muy utilizadas para almacenar contraseñas y también comentamos el problema de la colisión (dos contraseñas distintas pero que casualmente producen el mismo hash, lo que permite hace un ataque basado en la paradoja del cumpleaños). Muchas veces cuando hay una filtración de contraseñas estas no están en texto plano sino que se filtran estos hashes, las tablas arcoíris son una herramienta que nos permite buscar contraseñas que generen el mismo hash. Aunque en principio los ataques por fuerza o por diccionario suelen ser más sencillos y menos costosos computacionalmente, las tablas arcoíris han sido una solución muy usada para atacar contraseñas de mucha longitud.

¿Cómo podemos protegernos de estos ataques?

Bueno, a nivel desarrollador hay múltiples opciones, como añadir un «salt» (una cadena de texto aleatoria) a la contraseña durante el proceso de validación antes de generar el hash, de forma que dificulta el uso de tablas arcoiris, usar un captcha para evitar sistemas automatizados, ralentizar la respuesta de error un par de segundos para aumentar la espera en caso de ataque automatizado, bloquear temporalmente una cuenta en caso de recibir múltiples errores con un tiempo de bloqueo que crezca progresivamente, utilizar cookies para bloquear intentos recurrentes desde un mismo equipo… Eso en caso de portales web, para otras aplicaciones, como las de uso corporativo, incluso se puede limitar el rango de ip‘s para acceder y obligar a los usuarios a usar una VPN.

Como usuario es recomendable no usar contraseñas débiles, cortas y fáciles de recordar ni usar datos personales como nuestro nombre o fecha de nacimiento como contraseña. Tampoco se recomienda usar patrones muy sencillos, como la primera letra en mayúscula y acabada en un número, que son fáciles de recordar pero al ser tan populares ya muchos diccionarios los contemplan. La autenticación con varios factores (por ejemplo, que envíe una confirmación a nuestro teléfono) es una solución que debemos habilitar siempre que esté disponible, de hecho Google ha empezado a hacerla obligatoria. Además es muy recomendable usar un gestor de contraseñas, existen muchos tanto de pago, como totalmente gratis o con versiones limitadas gratis. Si no quieres pagar la opción libre KeePass aunque tenga una interfaz algo anticuada está en permanente actualización y es fiable y segura.

Criptoanálisis de manguera de goma o de tubo de goma

en por Donnie Rocken Ciberseguridad-Privacidad, Informática, ReivindicacionesDeja un comentario

Seguramente muchos ayer leisteis la noticia del secuestro de Zaryn Dentzel, el fundador de Tuenti que alega que unos encapuchados le secuestraron y torturaron, en principio para conseguir sus claves de su cartera de criptomonedas (aunque algunos medios señalan que en su declaración oficial omitió ese dato, tal vez fuera un rumor lo de las criptos, tal vez le tenga miedo a la Agencia Tributaria, insondables misterios). Las criptomonedas son muy difíciles de rastrear y garantizan un alto grado de anonimato en sus operaciones, eso que muchos de sus defensores venden como una de sus grandes virtudes tiene también un gran peligro para su poseedor: si alguien te roba el control de la cuenta dile adiós a tu dinero. Esto nos lleva a que haya casos en los que una cantidad obscena de dinero esté protegida tan solo por una contraseña.

Imagen representando criptomonedas
Photo by David McBee on Pexels.com

Es evidente pues que la necesidad de una seguridad informática potente se convierte en un punto crítico, estos sistemas suelen tener cifrados muy fuertes, políticas de auntenticación de varios factores, exigen contraseñas complejas, actualizan y revisan constantemente su seguridad… en resumen, que robar una cuenta a través de un ataque informático suele ser técnicamente complejo y costoso en tiempo y recursos, en esta estructura el eslabón más débil sería el usuario, el factor humano. Por eso cuando hablaba ayer de la noticia con unos compañeros, hacía referencia al término «criptoanálisis de manguera de goma» o «método del tubo de goma«.

Foto de una consola de Linux
Photo by Pixabay on Pexels.com

El término se dice que fue enunciado por primera vez a principios de los 90 por el especialista en ciberseguridad Marcus J. Ranum, investigador del proyecto DARPA, y es un eufemismo para hablar de conseguir una contraseña no através de un ataque técnico informático, sino sirviéndose de presiones psicológicas, coacción o incluso tortura para que la persona que conoce la clave nos la entregue. El nombre haría referencia a una técnica de interrogatorio por tortura concreta, el bastinado con una manguera de goma (literalmente, golpear a alguien con una manguera de goma hasta que confiese). Aunque originalmente el nombre haga referencia a una forma de tortura física, cuando hablamos de «manguera de goma» podemos referirnos a todo tipo de presiones y coacciones: amenazas de cárcel, de revelación de secretos comprometedores para la imagen pública de la persona, de consecuencias legales, de multas, presiones a familiares… Incluso no siempre tiene que tratarse de métodos ilegales o brutales, como ya hemos visto hablamos de un concepto amplio consistente en presionar a quien tiene la clave para que la entregue, puede incluso referirse a la obtención de beneficios penitenciarios por colaborar con una investigación. Imaginemos que hacienda investiga las cuentas de un evasor fiscal y necesita la clave de cifrado de un disco duro para poder hacerlo, clave que tiene el contable de dicho evasor: ofrecerle una rebaja en su condena entraría dentro de este concepto también.

Exodus Privacy: Controla quién te rastrea desde las apps de tu móvil Android

en por Donnie Rocken Ciberseguridad-Privacidad, Informática, sistemas y redes, SoftwareDeja un comentario

Hay un dicho: en internet si algo es gratis tú no eres el cliente sino el producto. Aunque no es así el 100% de las veces sí que es habitual que las empresas que nos proveen un servicio «gratis» realmente se estén lucrando comerciando con nuestros datos, ya sea a un nivel individualizado o usándolos de forma anonimizada en la elaboración de estadísticas y estudios. ¿Podemos saber quién está rastreándonos desde un app que tengamos instalada en nuestro teléfono? Podemos. Hablemos de Exodus Privacy.

Exodus Privacy es una ONG francesa cuyo objetivo es hacer a los usuarios conscientes del rastreo al que pueden ser sometidos a través de las apps de sus teléfonos móviles. Para ello se sirven tanto de canales de comunicación en redes sociales a través de los cuales hacer didáctica como de una herramienta de análisis, una herramienta que nos informa sobre que rastreadores trae incorporada una aplicación.

Captura ejemplo del app de Exodus Privacy

Disponemos de dicha herramienta en dos formatos: app y web. A la versión web podemos acceder a través de este enlace, en ella veremos un cuadro de texto donde podemos buscar apps por el nombre, o incluso pegar la url de un app del Google Play Store si queremos algo muy concreto, para obtener un informe sobre qué permisos solicita y qué rastreadores incorpora. La otra opción pasa por instalar la propia app de Exodus en nuestro teléfono, ya sea a través de la propia Play Store o de F.Droid. En su web además disponemos de otras cosas como un blog corporativo, informes sobre los distintos rastreadores que han detectado o explicaciones de los conceptos sobre los que hablan.

Privacidad: cómo crear alertas de Google sobre nuestros datos de forma efectiva

en por Donnie Rocken Ciberseguridad-Privacidad, Informática, SoftwareDeja un comentario

Hace años que Google lanzó su servicio de alertas, un servicio pensado para que podamos solicitar que nos envíen a nuestro correo un aviso cada vez que se publique algo sobre un tema que nos interese. Esta herramienta se vuelve interesante no tanto para estar informados de nuestras aficiones como para poder saber si se ha publicado algo sobre nosotros, por ejemplo para que un grupo musical pueda saber qué se publica sobre su último disco, para que una empresa de fontanería pueda ver si alguien ha dicho algo sobre su servicio, etc… y también a nivel individual nos permite saber si hay nueva información accesible públicamente relativa a nuestra persona.

Si accedemos al enlace de http://google.es/alerts nos encontraremos un cuadro de búsqueda en el que meter el término sobre el que queremos crear la alerta y podremos un desplegar un cuadro de detalles para acotar más nuestra búsqueda. Podéis verlo en la captura que viene a continuación

Como podéis ver podréis elegir la frecuencia de la notificación (diaria, semanal o al momento), las fuentes en la que revisar (todas, solo blogs, solo noticias, solo webs oficiales), el idioma y la región (todo el mundo o solo un país en concreto), además de poder definir si queréis ver todos los resultados o solo los más destacados. La combinación de estos parámetros bien usados con unos términos de búsqueda adecuados será lo que nos permite usarlo de forma eficiente. Pero ¿qué términos de búsqueda serían los adecuados?

  • Nuestro nombre. Yo recomendaría buscar nombre y apellidos entre comillas (para que busque esa combinación exacta) y hacer dos alarmas, uno para el formato «Nombre Apellido1 Apellido2» y otra para el formato «Apellido1 Apellido2, Nombre» que se usa en muchas comunicaciones oficiales. Por jemplo «María Martínez Martínez» y «Martínez Martínez, María«.
  • El número de nuestro documento de identidad también entre comillas, en el caso de España sería el DNI o el NIE para residentes extranjeros (en otros países pues ya no sé, cada cual tiene su sistema). Creo que para evitar contaminaciones en esta alerta sería mejor acotar la búsqueda a la región de la que es oficial el documento (por ejemplo España si ponemos el DNI).
  • Nuestro número de teléfono, también entre comillas y también tres formatos: sin separación, separando con espacios en bloques de tres en tres dígitios y separando los tres primeros dígitos en un bloque de tres y el resto de dos en dos, por ser los formatos más habituales. Por ejemplo, usando un número que imagino que será ficticio: «900000000», «900 000 000» y «900 00 00 00». De nuevo en este caso recomendaría acotar por región.
  • Nuestro correo electrónico.

De esta forma recibiríamos un aviso cuando se publique cualquier cosa en la red en la que aparezca la coincidencia

¿Qué es el «smishing» y cómo protegerse?

en por Donnie Rocken Ciberseguridad-Privacidad, Informática, SoftwareDeja un comentario

Si os digo «Smishing» es posible que penséis que es un sonido onomatopéyico para llamar la atención de un gatete, pero aunque me encanten los felinos hoy de lo que hablamos es de ciberseguridad y cibercrimen. La palabra «smishing» nace al mezclar los términos «sms» y «phishing» y, como te puedes imaginar tras esta explicación, hace referencia a las estafas informáticas que se sirven de mensajes sms para engañar a sus víctimas.

¿Qué puede conseguir el delincuente a través de estos mensajes? Pues desde engañar a la víctima para que llame a un número de tarificación especial pasando por suscribir a su objetivo a servicios de sms premium y llegando a cosas tan graves como robarle las credenciales de acceso a alguna aplicación (como la del banco).

Consejos

  • Antes de abrir un enlace plantéate si tiene sentido que hayas recibido ese mensaje ¿es un notificación de un premio y no recuerdas haber participado en ningún sorteo? ¿Te informan de una oferta de trabajo de la que no sabías nada? ¿Te quieren cobrar una multa de tráfico y tú no tienes coche? ¿te llega una cita médica de un centro del que no eres paciente? Si suena sospechoso lo mejor es no abrir el enlace.
  • Un familiar que hoy por hoy siempre te escribe por Whatsapp o Facebook te manda un sms con un enlace digiéndote a una oferta en uan tienda online o similar… Sospecha y pregúntale siempre qué es lo que te envía antes de abrirlo, por si fuera un envío automatizado tras secuestrar su cuenta o teléfono (esto de hecho es aplicable a toda mensajería, no solo a los sms).
  • Tu banco a veces usará sms para confirmar operaciones, por ejemplo enviado un código para que teclees en la web, pero si el banco te manda un sms con un enlace para hacer algo y tú no estabas realizando ninguna operación en ese momento mejor desconfía, ignora ese enlace y abre el app oficial del banco o la web del mismo por tu propia cuenta, puede que te quieran dirigir a un portal falso para copiar tu usuario y contraseña y acceder a tu cuenta.
  • Si te informan de que te has suscrito a un serivicio premium y que tienes que contestar a ese sms para darte de baja, desconfía también. Contacta con tu compañía telefónica para ver si tienes algo contratado que no debería estar dado de alta o con la supuesta empresa que te envía el sms a través de su teléfono.

Firefox Monitor: herramienta para saber si tus datos han sido expuestos en Internet.

en por Donnie Rocken Ciberseguridad-Privacidad, Informática, SoftwareDeja un comentario

Mozilla sigue con su plan de esgrimirse adalid de la seguridad y la privacidad en internet y nos trae un nuevo producto: Firefox Monitor.

Esta herramienta nos pedirá que introduzcamos una dirección de correo y comprobará en diversas fuentes públicas si esta se ha visto expuesta en alguna filtración de datos de algún servicio a la que esté asociada.

Su funcionamiento es simple, basta con acceder a este enlace a la web de Firefox Monitor, introducir nuestro correo y pulsar en Buscar Filtraciones. Nos llevará a una ventana con los resultados de la búsqueda similar a esta:

Si algún servicio que uses aparece en esa lista ya sabes lo que toca, cambiar la contraseña.

Monitor además incluye un directorio actualizado con todas las filtraciones de las que tienen conocimiento y una sección con consejos de seguridad. Además ofrece un servicio de registro que nos enviará una alerta por correo electrónico si nuestro correo se ve expuesto en una filtración.