Archivo de la categoría: Redes Sociales

Redes sociales seguras para adolescentes y familias: consejos sobre las últimas apps

Cualquier padre con hijos adolescentes se preocupa por sus hábitos en las redes sociales, la seguridad y privacidad (o la falta de ella). Al igual que la lectura de un buen libro, su hijo puede transportarse a un lugar diferente con tan sólo  hacer clic gracias a las conexiones facilitadas por las plataformas de redes sociales.

Debido a que las redes sociales han abierto las puertas de par en par apersonas que desean conectarse, compartir y crear su propia presencia online, ha aparecido toda una generación de adolescentes que buscan un lugar en el que puedan crear su realidad en sus propios términos. Esto cuenta con múltiples beneficios pero también tiene sus riesgos.

Vea: Cómo mejorar nuestra privacidad y seguridad en las redes sociales

Sigue leyendo

Cómo detectar fraudes en las redes sociales

Por Cedric Pernet, Trend Micro Threat Researcher

LinkedIn, con 364 millones de usuarios activos en todo el mundo, se ha convertido en uno de los servicios de redes sociales profesionales más populares a día de hoy. Viadeo, un servicio similar, también está registrando un constante aumento de su base de usuarios, que ya ronda los 65 millones. Contanta gentepublicando susperfiles profesionales online, es naturalque los atacantestomen nota y hagan algo conesos datos.En las manos equivocadas, ese tipo de información puede ponerle a usted o a su empresa en riesgo.

A continuación, Trend Micro ofrece una serie de consejos para detectar si alguien está tratando de engañarle para que divulgue información confidencial de la empresa.

¿Quién querría engañarle en las redes sociales profesionales?

  1. Los atacantes / creadores de APT. Estos agentes buscan obtener cualquier tipo de información que puedan utilizar para infiltrarse en la red de la Utilizarán técnicas de ingeniería social para tratar de llamar la atención para que acepte sus invitaciones. Es probable que también envíen mensajes de correo electrónico con archivos adjuntos o enlaces maliciosos, que terminarán infectando tu equipo con malware. Una vez instalado, el malware, que sirve de puerta trasera, otorgará estos atacantes el acceso a tu sistema y a la red de corporativa. A partir de ahí, pueden hacer casi cualquier cosa: desde robar secretos de la compañía hasta manipular la infraestructura, etc
  2. Competencia. Utilizando identidades y empresas falsas, estas personas solicitan amistad en las redes sociales para estar en contacto, siendo muy amables y ganándose la confianza poco a poco. Una vez que lo han logrado, abusarán de esa confianza. Le pedirán que revele la información que necesitan o hacer el trabajo por ellos cuando comparta demasiados datos sobre su trabajo o sus empleados. Los competidores pueden utilizar esta información para obtener ventajas y ponerse por delante de su compañía.
  3. Cazatalentos y empresas de selección de personal. Estas personas querrán recopilar tantos contactos como sea posible. Lo hacen para crear bases de datos completas acerca de su empresa, sus empleados y de los proyectos específicos en los que están trabajando. Utilizan estas bases de datos para reunir talento y encontrar a los candidatos adecuados para contratar o hacer contraofertas a la competencia.

Aunque sus motivaciones son diferentes, el objetivo final es siempre el mismo: conectar para recoger. Generalmente, estas personas comienzan con el envío de una invitación. Fingen ser compañeros de trabajo, clientes o un jefe. Si aceptas, serán capaces de ver tu perfil y tener acceso a tus contactos. Quieren añadirte o unirse a los grupos privados a los que perteneces para así poder conocer lo más posible tu compañía.

Caso de Trend Micro Francia

Como gran proveedor de seguridad de TI, Trend Micro es a menudo blanco de atacantes y cazatalentos en las redes sociales.

Recientemente, la compañía ha identificado una oleada de invitaciones de Viadeo que llegan a Trend Micro Francia y que involucran un perfil de esta red social que está dirigido a varios empleados. La persona detrás del perfil fingía ser un director de TI de 18 años de Trend Micro Australia. El perfil de esta persona estaba bastante vacío y contenía sólo 4 contactos.

El perfil decía que esta persona estudió en “havard, new yord”, una errata obvia para “Harvard, New York”. Esto fue suficiente para levantar sospechas, y una comprobación rápida en el directorio de empresa confirmó que no había ningún empleado con el nombre que aparecía en este misterioso perfil. Se hizo otra comprobación para asegurar que la persona no era un ex-empleado; tampoco estaba.

Este ha sido un intento claro de recopilar contactos e información de Trend Micro.

Como respuesta inmediata, se lanzó una alama internamente para informar de este perfil a todos los empleados y evitar cualquier problema.

¿Qué convierte en sospechoso un perfil en una red social?

  • ¿El perfil contiene toda la información? Las redes sociales profesionales se utilizan para hacer contactos y mejorar la visibilidad ante posibles empresas de contratación y head hunters. ¿Quién registraría una cuenta en este tipo de redes sólo para poner su nombre y el de la empresa, pero sin dar más detalles sobre sus actividades pasadas o actuales?
  • ¿El perfil contiene errores tipográficos y faltas de ortografía? Un perfil en páginas como LinkedIn o Viadeo es casi similar a un currículum Tiene que contener buena información acerca de la persona y también debe estar bien escrito, es decir, sin faltas de ortografía u otro tipo de erros gramáticos. Un perfil lleno de errores no es atractivo para ningún potencial empleador.
  • ¿El perfil tiene muy pocos contactos?En general, los estafadores crean estas cuentastemporales para dirigirse a las entidadeso individuosobjetivo;no necesitan añadir demasiados contactos. No obstante, y dado que hay personasrealescon muy pocoscontactos,este indicadoren particular debeser considerado solamente como algo orientativo y después de detectarotros signoso actividades
  • ¿El perfil muestra inconsistencias en la trayectoria profesional de la persona? Si bien es probable que un empleado puede hacer grandes cambios en su perfil, un perfil que cambia constantemente y lo hace de forma drástica, y en un lapso corto de tiempo, es más probable que se utilice como un señuelo. Cuando el estafador quiere apuntar a un tipo de empresa o sector, sólo añade un nuevo trabajo que podría ser relevante para alcanzar sus objetivos. Así que durante unos meses puede ser director de recursos humanos, después un experto en marketing, acto seguido un ingeniero de software, etc.
  • ¿El perfil contiene actividad sospechosa? Algunas redes sociales profesionales permiten ver todo el historial de las acciones que hace el propietario del perfil. Si de repente un nuevo perfil aparece y añade a personas sin relación que proceden de diferentes mercados verticales, o se une a una gran cantidad de grupos que parecen completamente ajenos entre sí, podría ser un ejemplo de actividad sospechosa.

¿Qué debe hacerse cuando se ven estos signos?

  • Leer los perfiles con cuidadoytratar de buscaranomalías yseñales de alarmacomo las mencionadas
  • Cruzar la información para verificarla. Si la persona dice ser dela misma empresa, eche un vistazo y compruebe el directorio de la empresa,yno dude enverificarlocon Recursos
  • Preguntar a la persona. Una vez verificada la identidad de la persona, llámele o envíele un correo electrónico para ver si, de hecho, envió la invitación. No hay nada de malo en Incluso podría salvarle por si alguien copia el perfil de un compañero o usurpa su cuenta real. Si el perfil es de otra compañía, trate de llegar a alguien que trabaje allí y que pueda hacer estas comprobaciones.
  • Evite descargar o hacer clic en archivos o enlaces sospechosos.

Si después de esto, no está seguro de si aceptar una invitación, es mejor que no lo haga. En realidad no es un gran problema. Más vale prevenir que curar.

Las implicaciones de seguridad de los portables. Parte 3

por David Sancho (Senior Threat Researcher)

En el segundo post de esta serie, hablamos de los dos primeros tipos de ataques que implican a elementos portables. Ahora vamos a pasar a la tercera clase de ataque, que puede ser considerado el más dañino de los tres.
Alto Riesgo de usuario, baja fiabilidad de los ataques

Estos ataques son considerados los más peligrosos, pero estos también los menos probables. Si un atacante logra comprometer con éxito el hardware o la red de protocolo de un dispositivo portátil, no sólo tendrá acceso a los datos en bruto en los dispositivos ‘IN’ sino también la capacidad de mostrar contenido arbitrario en dispositivos ‘out’.
Estos escenarios van desde el robo de datos personales hasta destrozar la realidad de una cámara. Estos ataques pueden afectar negativamente al usuario e incluso impedir el desempeño de sus rutinas diarias. Estos ataques también pueden tener un gran impacto si estos dispositivos se utilizan en un entorno profesional: una sencilla denegación de servicio podría prevenir a un médico de operar a un paciente o prevenir a un agente de la ley de adquirir datos de entrada para atrapar delincuentes.
Dado que el protocolo más utilizado por estos dispositivos es Bluetooth, será de gran ayuda una explicación rápida. Bluetooth es un protocolo inalámbrico de corto alcance similar a Wi-Fi en usos, pero con una gran diferencia. Considerando que el Wi-fi tiene una filosofía de “punto de acceso” en la mente, Bluetooth funciona como un tipo de comunicación de extremo a extremo.

Necesita emparejar dos dispositivos con el fin de hacer que dos dispositivos “hablen” entre sí a través de Bluetooth. En este proceso de emparejamiento, los dispositivos intercambian una clave de cifrado que servirá para establecer la comunicación entre los dos dispositivos. Otra diferencia con el Wi-Fi es que Bluetooth intenta minimizar las interferencias de radio saltando de una banda a otra en una secuencia preestablecida.
Este tipo de configuración tiene dos efectos principales sobre la piratería a través de Bluetooth. Uno, un atacante tiene que adquirir la clave de cifrado que se utiliza al escuchar a los dispositivos vinculados la primera vez que estos se sincronizan. Si se tarda más en la comunicación solo habrá ruido para el intruso. Dos, un ataque de denegación de servicio necesita para transmitir el ruido una amplia gama de frecuencias utilizadas por el protocolo con el fin de que tenga un impacto. Esto no es imposible, pero un ataque de ese tipo implica un esfuerzo mayor que contra cualquier otro protocolo de radio.
Los ataques siguen siendo posibles, pero las probabilidades son mucho más bajas en comparación con otros tipos de ataques. El hecho de que el atacante tiene que estar físicamente cerca de los dispositivos limita los objetivos que un ataque de ese tipo tiene que tener. Estos ataques serán probablemente un ataque altamente apuntado que los datos que se intercambian es de uso particular para el atacante o alterando la percepción de la víctima es de suma importancia. El alcance de estos posibles ataques es muy estrecha: no monetario y muy centrados.
En el escenario más improbable, un atacante que sería capaz de tomar más de uno de estos dispositivos sería capaz de utilizarlo para realizar otros ataques desde allí. Una vez que el atacante tiene el control completo sobre el dispositivo, pueden usarla – por lo menos – para acceder a las páginas web. Esto puede permitir al atacante para realizar el fraude de clics mediante el acceso a la publicidad o cualquier otra página web o incluso realizar ataques de denegación de servicio contra otros sistemas. Tal ataque requeriría la capacidad para que el atacante de entender la forma de ejecutar código en el dispositivo en particular y que por lo general no es posible o factible por lo que este escenario particular, pertenece a la categoría improbable.
smart-wearables-3

1. Atacantes controlando el dispositivo portable

Atacando a la Capa de App

Otra posible vía de ataque es atacar la capa de aplicación y secuestrar los datos que van a la nube.Este ataque puede permitir a los chicos malos lo siguiente:

• Escuchar la información que se envía por la aplicación local.

•Tocar los datos que se almacenan en el dispositivo móvil.

Hemos probado algunas aplicaciones para comprobar la viabilidad de un ataque de ese tipo. Tanto Fitbit y Pebble cifran sus sesiones con SSL (HTTPS) y también comprueban los certificados SSL de los sitios remotos. Por lo tanto, la suplantación de la comunicación mediante el uso de un certificado auto-firmado diferente no funcionará. Debido a que estas aplicaciones no pueden ser engañadas con ataques man-in-the-middle, la información permanece protegida en su camino a la nube. Esto sigue siendo un vector de ataque válido porque las aplicaciones móviles de otros fabricantes podrían no estar protegiendo sus datos de la misma manera.

Nuevos dispositivos, nuevas posibilidades

Nuevos dispositivos significan nuevas posibilidades para los atacantes. Aunque pueden producirse no todos los escenarios que presentamos, algunos de estos ataques son bastante fáciles de quitar o al menos intentarlo. Los investigadores de seguridad deben tener en cuenta estas nuevas vías de ataque y mirar hacia fuera para los nuevos desarrollos en portables y otros nuevos campos con el fin de estar preparados siempre y cuando cualquiera de estos ataques conceptuales finalmente suceda.

Puede leer las entradas anteriores de “las implicaciones de seguridad de los portables:” •

Parte 1

Parte 2

 

Para obtener más información acerca de elementos portables, puede revisar el artículo “¿Está preparado para los portables?” y la infografía, “The In and Out of Wearable Devices “. Para obtener más información acerca de los dispositivos inteligentes, puede visitar nuestro Internet of Everything hub

Estar seguro en el nunca antes mejor conectado Mundial de Fútbol

por Ryan Certeza

Los eventos deportivos están cada vez más conectados, y el Mundial de Brasil que acaba de concluir no podía ser una excepción. El proveedor brasileño de telecomunicaciones Oi asegura que no se han escatimado gastos en “conectar” en la Copa del Mundo, e incluso ha asegurado que el evento del año es, de hecho, de los más conectados en la historia del Mundial de Fútbol.

Sigue leyendo

Ey, eBay! Tengo cinco preguntas para ti…

por Rik Ferguson, Vice President of Security Research

Si está haciendo una lista de violaciones de datos de alto nivel, ahora tiene un nuevo nombre que añadir: eBay. En un artículo en la sección “en las noticias ” de su sitio web eBay aclaró en cierta medida, la magnitud de la brecha, aunque incluso el título parece incapaz de decir las cosas como son.
Sigue leyendo