Archivo de la etiqueta: Seguridad de Datos

Facebook cumple 15 años: ¿Qué significa esto para los equipos de seguridad?

La red social más popular del mundo ha cumplido 15 años. En los últimos años, su tendencia a recoger los datos personales de sus usuarios le ha causado graves problemas, exponiendo a decenas de millones de clientes a publicidad política específicamente dirigida y al robo de identidad a gran escala. Incluso es cuestionable que sin Facebook y empresas como ésta, los legisladores nunca habrían sentido la necesidad de crear el GDPR.

Pero, ¿cuáles son los principales retos de seguridad para los equipos de TI en el futuro? Estos, de hecho, giran principalmente en torno al shadow IT.

Una sombra sobre la seguridad

Hace quince años todo el mundo hablaba del riesgo de BYOD (Bring Your Own Device) en la empresa. Hoy en día, no es necesariamente el dispositivo el que representa el mayor riesgo para la seguridad corporativa en este contexto, sino las aplicaciones que se ejecutan en esos dispositivos. Cuando hablamos de la amenaza de BYOA (Bring Your Own Applications) hay dos aplicaciones de Facebook que se sitúan en primer plano: WhatsApp y Messenger.

El problema, como ocurre con la mayoría de las TI ocultas, o shadow IT, es que estos productos de consumo son están tan extendidos y se utilizan tanto que, a menudo, los usuarios empresariales evitan los equivalentes corporativos. Se estima que el año pasado hubo aproximadamente 1.500 millones de usuarios mensuales de WhatsApp y más de 1.300 millones de usuarios de Messenger. ¿Por qué molestarse en usar un producto inferior cuando es más rápido y más fácil a la hora de configurar grupos en plataformas como ésta con colegas? En ocasiones, pueden salvar vidas: se dice que los médicos del Servicio Nacional de Salud (NHS) de Reino Unido han confiado mucho en estas plataformas en el pasado para colaborar rápidamente en situaciones de emergencia.

Sin embargo, a pesar de su facilidad de uso y de sus capacidades de cifrado seguro de extremo a extremo, estas aplicaciones representan un riesgo para las TI corporativas. ¿Por qué? Porque los equipos de TI no supervisan lo que se comparte a través de estas plataformas. Podría ser una IP corporativa altamente sensible, tratarse de datos de propiedad intelectual, o de datos de clientes/empleados, que ahora están regulados por el GDPR. Es poco probable que los consumidores hayan dado su consentimiento explícito para que sus datos sean compartidos en dichas plataformas de terceros.

El uso generalizado de plataformas de mensajería de consumo como estas expone a la organización a ciberriesgos por varios motivos. Las cuentas pueden estar protegidas con contraseñas débiles o con credenciales reutilizadas en otros sitios. Esto significa que podrían ser fácilmente descifradas,  adivinadas o forzadas en ataques de relleno de credenciales. El año pasado, incluso surgió la noticia de una nueva táctica que apuntaba a las debilidades de los sistemas de correo de voz de los operadores para acceder ilegalmente a las cuentas de WhatsApp. El phishing también sigue siendo una táctica popular para difundir malware y obtener acceso a cuentas de mensajería. Justo a principios de febrero, se advirtió a los diputados ingleses sobre una nueva estafa de phishing que se estaba llevando a cabo después de que se comprometiera la cuenta de WhatsApp de un miembro del partido conservador.

Aunque el año pasado WhatsApp mejoró la granularidad de los controles que se dan a los administradores de grupos de chat, el riesgo de fuga de datos sigue existiendo. Es cierto que se podría dejar a los individuos en grupos mucho tiempo después de que estos hayan dejado la organización, ofreciéndoles la oportunidad de enviar información corporativa sensible a su nuevo empleador, o de hacerla pública en caso de que tuvieran algún tipo de resentimiento.

Recuperar el control

Todo ello debería plantear algunas cuestiones importantes para los responsables de seguridad TI. Lo que sucede a continuación es crítico porque las organizaciones no pueden seguir adelante durante los próximos 15 años permitiendo a un gran número de empleados manejar datos confidenciales a través de canales no regulados. Si es así, es posible que terminen siendo una de las más de 60.000 empresas que ya han reportado brechas de datos a los reguladores de GDPR.  

Los responsables de TI necesitan acercarse a sus usuarios. Necesitan aceptar por qué los empleados están utilizando esas apps e intentar, al menos, fomentar un uso más seguro. Esto podría incluir la autenticación multifactor (2FA) para un acceso seguro a la cuenta, y garantizar que los dispositivos móviles tengan un borrado remoto y se bloqueen automáticamente con un código de acceso después de unos segundos de inactividad. Se debe instar a los administradores de grupos a auditar a los miembros en todos los chats grupales para asegurarse de que solo se incluya al personal legítimo. El NHS de Reino Unido ya ha publicado una guía para su personal: otras organizaciones deberían hacer lo mismo.

Esto podría requerir un cambio de mentalidad en nombre de las TI. Pero hay que ser conscientes de que si no se innova, los empleados lo harán, en detrimento de la seguridad y el cumplimiento. 

En el lado positivo, Facebook está haciendo sus propios movimientos hacia el espacio de la mensajería empresarial con su plataforma Workplace. Se trata de un paso positivo, dado que las herramientas de seguridad de terceros están disponibles para conectarse a las instalaciones a través de las API, lo que proporciona a los departamentos de TI una mayor visibilidad y control sobre la mensajería y la colaboración. Podría valer la pena ofrecer esto al personal como una alternativa segura a WhatsApp y Messenger. Sin embargo, mientras los usuarios sigan favoreciendo las apps de consumo más populares, los administradores de TI tendrán que ser más proactivos.

Un pequeño número de empresas ha intentado facilitar aún más las cosas a los usuarios finales utilizando los inicios de sesión de Facebook para sus aplicaciones empresariales. No obstante, esta es una tendencia que no nos gustaría ver crecer en los próximos años. Hay un equilibrio entre usabilidad y seguridad, y como demostró la brecha de Facebook del año pasado, consolidar los inicios de sesión en un solo proveedor de plataforma puede en realidad aumentar el ciberriesgo.   

Facebook no es en sí mismo el problema aquí, por supuesto. Las herramientas de Google, Slack y otros proveedores representan desafíos similares para la seguridad TI de las empresas. Es el único nombre más grande que existe. Y si sabemos algo sobre los ciberdelincuentes, es que siempre gravitarán hacia los grupos más grandes de usuarios.

La ventaja de jugar en casa: BANLOAD se une al Mundial de la FIFA

Por Fernando Mercês (Senior Threat Researcher)

La semana pasada escribí un artículo en el blog sobre sitios web fraudulentos que estafan a usuarios que quieren comprar entradas para el tan esperado Mundial de Brasil. Hace poco encontré otra amenaza que utiliza el Mundial como gancho de ingeniería social, en esta ocasión se trata de un troyano bancario.
Sigue leyendo

Todo el mundo tiene un secreto

por

La gente rara vez es un libro  abierto. Es de sentido común mantener algunos asuntos como los registros financieros y médicos lejos de miradas indiscretas. Esto va desde algo trivial y tonto (como puedes ser, por ejemplo, un gusto vergonzoso en la música) a algo más grave (como un acontecimiento traumático del pasado) .

Con tantas formas de compartir , mantener las cosas en privado resulta cada vez más difícil. Los sitios web a menudo piden información personal para realizar después un seguimiento de los hábitos on line de los usuarios y así poder proporcionar una experiencia más «a medida» . A pesar de los métodos de intercambio de información dentro de un grupo seleccionado , compartir on  line , se ha convertido en sinónimo de compartir con el público. No importa el nivel de privacidad de la cuenta , cualquier cosa publicada on line, tarde o temprano encontrará su camino hacia el público.

Este tipo de actividad está impulsando a algunos usuarios a reconsiderar la cantidad de información que están dispuestos a compartir. En 2014 ,  los usuarios se esforzarán más en proteger sus datos y controlar lo que comparten. Este año será el de  asegurarse de que los secretos se mantienen precisamente así, en secreto .

No son sólo las personas las que tienen secretos que guardar. Ocurre lo mismo en las empresas. Estos inlcuyen estrategias y planes de futuro, procedimientos de trabajo actuales , registros de empleados y clientes. Expuesto al público – y sus competidores – éstos pueden costar millones de negocios , y tal vez en el pero de los casos, suponer la ruina.

La protección de los datos debe convertirse en la principal prioridad de todas las organizaciones de este año, teniendo en cuenta que habrá un incidente mensual grave violación de los datos . 2013 estuvo marcado por varias violaciones de datos importantes y  este tipo de incidentes continurña este año.

Como parte de nuestras predicciones 2014 , hemos desarrollado este video, con la ayuda de  Raimund Genes, CTO de Trend Micro para hablar de lo que  usuarios y las organizaciones pueden hacer para protegerse a sí mismos y mantener su secretos secretos en el paisaje digital de hoy :

http://about-threats.trendmicro.com/us/security-predictions/2014/blurring-boundaries/video/secrets/

Entonces, ¿qué podemos hacer para proteger nuestros secretos? Nuestro consejo a los usuarios : evitar sobrecompartir en los medios sociales . No hacer compras on line en los sitios que no sean de confianza . Llevar un registro de los datos, donde quiera que esté – ya sea en la nube o en uno de sus dispositivos. En definitiva, ser un buen ciudadano de  Internet le ayudará a mantener sus secretos lejos de los cibercriminales y otros malos actores que estén on line.

Para los pasos más concretos que describen lo que puede hacer para proteger sus secretos , se puede visitar la página web de los Secretos, que forma parte de nuestras más amplias 2.014 predicciones.