El 40% de los teléfonos inteligentes en venta tienen información de su anterior propietario

Actualmente, la información que almacenamos en nuestros teléfonos es muchísima, y también, privada. De acuerdo a un estudio realizado por NAID (National Association on the Destruction of Information of the United States), casi el 50% de los teléfonos analizados de segunda mano que encontraron en venta, contenían información personal del vendedor. 

El estudio tuvo un universo de 250 equipos, en el que 2 de 5 equipos revisados contenían información de su antiguo propietario, lo cual claramente facilita el accionar de los delincuentes quienes acceden a dicha información sin proponérselo. 

La información personal es muy fácil de borrar en los smartphones, aunque debe hacerse con minucia para evitar que alguna información que haya sido alojada en la nube pueda ser recuperada, como por ejemplo los passwords que llevamos sin cambiar por una eternidad. 

Para las organizaciones es obligatorio que los equipos móviles sean reseteados de manera tal que se restablezcan los equipos a su configuracion de fabrica, borrando así toda la información que haya podido ser almacenada en tales dispositivos. Los cybercriminales buscan tener en sus redes a cualquier persona que les pueda inadvertidamente generar beneficios o un redito economico. La recomendación es obvia: antes de vender y/o regalar un smartphone, hay que restablecer el equipo a su configuracion de fabrica. Puede sonar difícil de hacer pero es muy fácil, y en internet hay guías para hacerlo en cualquier marca y modelo. 

 FUENTE

WhatsApp esta bloqueando cuentas de por vida!

Aunque pareciera que por WhatsApp se puede compartir cualquier clase de contenido sin control, los hechos demuestran lo contrario: está bloqueando cuentas inclusive sin que hayan compartido algo indebido: ya existen reportes de bloqueos masivos a usuarios por pertenecer a grupos de whatsApp en los que inclusive no se comparte nada indebido sino por el título del grupo! Si a algún gracioso se le ocurre cambiar el título del grupo por algo que sea alusivo a algo ilegal, puede hacer que tanto a el como a TODOS los integrantes del grupo les bloqueen el uso de whatsapp de manera irreversible. 

WhatsApp tiene algoritmos que buscan este tipo de grupos, escanean sus nombres y fotos de contacto, y bloquea las cuentas de todos sus integrantes. La empresa ha dejado claro que no piensa rebajar su política de tolerancia cero con estos grupos. Esto tiene sentido dado que hasta ahora sus algoritmos han permitido la eliminación de grupos que realmente compartían material infantil ilegal.

Esto es algo que podría pasar en cualquier grupo, motivo por el cual empieza a ser buena idea salir de cualquiera que no tengamos plenamente controlado, o usar las funciones actuales para bloquear la inclusión en grupos.  

¿Es posible recuperar la cuenta?

El problema de este tipo de bloqueos es que WhatsApp es el resultado de incumplir los términos y condiciones de uso de la aplicación, y aunque no hayamos sido directamente nosotros los infractores, el estar vinculados a un grupo infractor nos cataloga de inmediato como cómplices. 

Existe una remota posibilidad de desbloqueo, enviando un email a support@whatsapp.com o por medio del formulario web presentando el caso, pero hasta ahora no se han conocido casos en los que se levante la sanción. 

Como defenderse de la Ingeniería Social?

Esta es la segunda entrega sobre la Ingeniería Social, y en la primera se le definió como la manipulación de la tendencia humana a confiar en los demás con el propósito de obtener información que otorgue el acceso a información valiosa.

Por donde empezar? Definición de Políticas de Seguridad

Los ataques de ingeniería social pueden tener dos aspectos diferentes: el físico o el sitio donde se realiza el ataque, como los puestos de trabajo, en línea, al atender el teléfono, el Dumpster diving o búsqueda en la basura, la suplantación, y la amistad; así que para combatir la ingeniería social hay que fortalecer ambas debilidades, teniendo como uno de sus mayores componentes el entrenamiento a los empleados. La base de una buena defensa esta cimentada en la correcta definición de unas políticas y procedimientos de seguridad El error mas común de las organizaciones es planear únicamente como defenderse en el sitio de trabajo, lo cual deja abierta una brecha enorme que aprovechan los atacantes con la ingeniería social. Así las cosas, para empezar hay que entender desde la Gerencia o Dirección de la Organización que todo el dinero que se invierta en parches de seguridad, hardware de seguridad, auditorias, etc, serán una pérdida de dinero sino se acompaña de las mencionadas políticas y procedimientos de seguridad para proteger a la Organización. Una de las ventajas de establecer políticas de seguridad es eliminar responsabilidades de los usuarios para eventualmente atender una solicitud de un atacante. Si la acción solicitada por el atacante esta prohibida dentro de una política, el empleado no tiene alternativa diferente a ignorar tal solicitud.

Políticas adecuadas pueden ser generales o especificas, pero es ideal manejar un término medio, dando una flexibilidad para un adecuado desempeño de las actividades pero aun asi, buscando evitar que los empleados se relajen con las prácticas de seguridad que deben ejecutar diariamente. Las políticas de seguridad deben involucrar controles de acceso a la información, creación de cuentas de usuario, permisos de acceso, y cambios de contraseñas entre otras. Puertas aseguradas, utilización de carnets de la empresa y un destructor de papeles (inclusive de CDs y DVDs) tienen que ser implementados y utilizados. Cualquier violación que se presente de las políticas debe ser estudiada, publicada y eliminada.

Previniendo vulnerabilidades de Seguridad Física

En teoría la seguridad física debería impedir cualquier fuga de información, pero tratando de cumplir con dicho cometido, hay que tomar precauciones adicionales. Toda persona que ingrese a las instalaciones debe portar en un lugar visible su carnet de funcionario o de visitante SIN EXCEPCIONES. Todos los documentos que contengan información sensible deben ser almacenados bajo llave, y sus llaves deben ser también almacenadas en lugares seguros. Los documentos que contengan información sensible y que deban ser desechados deben ser procesados en una trituradora de papel. Todos los medios de almacenamiento digital que se vayan a desechar deben ser desechados quizás contratando una empresa que los destruya (claro esta, suscribiendo un acuerdo de confidencialidad). Las canecas de basura deben mantenerse bajo llave en aéreas que estén monitoreadas por los servicios de seguridad con que cuente la Organización.

Hablando sobre los equipos dentro de la Organización (incluyendo equipos remotos) necesitan estar protegidos con salvapantallas protegidos con contraseñas (Futura entrada del blog), y no esta de mas contar con programas de encriptación de datos para una teórica máxima protección.

Teléfonos y Conmutadores

Una estafa común es hacer llamadas a través de los teléfonos o conmutadores (PBX) de una organización. Los atacantes pueden realizar una llamada haciéndose pasar por un funcionario, pedir que sea transferido a una línea externa y desde esta hacer llamadas a todo el mundo las cuales tendrá que pagar la Organización que fue víctima del engaño. Esto puede ser prevenido con la implementación de políticas que prohíban la transferencia de llamadas, restringiendo las llamadas de larga distancia y rastreando llamadas sospechosas. Si se llega a recibir una llamada de una persona argumentando ser empleado de la empresa de teléfonos y que además solicita algún password para obtener acceso a la red de la Organización, CUIDADO, está mintiendo!!! Todos los empleados deben ser informados de esta modalidad de estafa para evitar ser víctimas de esta táctica.

Como se menciono en la entrada previa de Ingeniería Social, los Help Desk son las presas favoritas de los atacantes principalmente por que su trabajo es divulgar información de utilidad para los usuarios. La mejor manera de proteger un Help Desk es el entrenamiento. Los empleados de un Help Desk siempre deben rechazar cualquier solicitud de entregar un password por teléfono o email, únicamente en persona a las personas autorizadas. La devolución de llamadas, el uso de tokens de seguridad y el uso de passwords son recomendaciones que incrementaran los niveles de seguridad. Cuando se presenten dudas, a los empleados de los Help desk se les alienta a pedir apoyo, o también a decir simplemente "no".


Entrenar, Entrenar y Re-entrenar

La importancia de entrenar a los empleados no solo recae en el Help Desk sino en toda la organización. Los empleados tienen que ser entrenados en como identificar información que se deba considerar como confidencial, y entender por completo sus responsabilidades para protegerla. Una organización para ser exitosa debe involucrar la seguridad en todos los puestos de trabajo que genere. Todos los empleados de la Organización deben entender por que es crucial clasificar la información como confidencial, como esto beneficia a la Organización, y les da sentido de responsabilidad en la seguridad de la organización.

Todos los empleados deben ser entrenados en cómo mantener la información segura. Hay que involucrarlos en el alcance de la política de seguridad. Se debe exigir que todos los empleados nuevos asistan a una capacitación en seguridad. Actualizaciones anuales refrescan conocimientos y suministran actualizaciones en temas de seguridad. Otra manera de involucrar a los empleados es mediante la realización de boletines mensuales con reportes de los incidentes de seguridad que se puedan presentar, que hayan ocurrido o que se hayan evitado. Esto mantiene a los empleados informados sobre los peligros que representa bajar la guardia en la gestión de la seguridad. Una mezcla ideal de entrenamiento combina la realización de videos, boletines, afiches, señales, fondos de pantalla, pad mouse, emails, calcomanias e inclusive camisetas; pero hay algo importante al respecto: todo esto debe ser cambiado con cierta regularidad o de lo contrario dejara de tener valor para los empleados.

Detectar ataques de Ingeniería Social

Para frustrar un ataque de Ingeniería Social, es muy útil poder reconocer uno de ellos. Síntomas de que se está potencialmente siendo víctima de uno de estos ataques es rehusarse a dar información de contacto, pedir ser atendidos con la mayor rapidez posible, mencionar el nombre de algún funcionario de alto rango dentro de la organización, intimidación, pequeños errores de ortografía, preguntas inapropiadas, y claro está, pedir información confidencial. Hay que estar atento a situaciones que estén fuera de lugar, hay que intentar pensar como el atacante: para entender al enemigo, hay que pensar como el.

Las organizaciones pueden ayudar a incrementar la seguridad realizando programas de prevención, utilizando medios como la intranet para enviar emails informativos, juegos de entrenamiento en seguridad (sopa de letras, crucigramas, etc) y requerimientos obligatorios de cambios de contraseñas cada cierto periodo de tiempo. El mayor riesgo en seguridad es que los empleados se vuelvan complacientes en el tema y dejen de lado las prácticas de seguridad.

Defenderse de ataques de Ingeniería Social

En el evento de que un empleado detecte algo extraño, el o ella necesitara conocer los procedimientos para reportar el incidente. Es necesario que exista una persona que se responsabilice por la gestión de tales incidentes, por ejemplo un Oficial de Seguridad de la Información si la Organización cuenta con uno de ellos. También es importante que el empleado que detecte la situación la comunique a todos los demás empleados que tengan sus mismas funciones pues también podrían ser víctimas de ese ataque. De alli en adelante, el encargado de la seguridad de la información coordinara la respuesta adecuada al incidente detectado.

A continuación, un listado de los ataques más comunes y algunas estrategias para prevenirlos:

• Al teléfono: Suplantación de Identidad, para impedirla hay que entrenar a los empleados para que nunca entreguen información confidencial por teléfono.
• Acceso a las instalaciones: Acceso no autorizado, para prevenirlo hay que disponer de un equipo de vigilantes mezclado con entrenamiento en seguridad para todos los empleados
• En la oficina: Shoulder surfing, Se evita teniendo precaución al escribir usuarios y/o contraseñas cuando alguien este observando, o si hay que hacerlo, que sea muy rápido!!!
• En los Help Desk: Suplantación de identidad, para minimizar este riesgo hay que asignarle a cada empleado un PIN o token de seguridad que pueda utilizarse para comprobar la identidad de la persona que llama.
• En las instalaciones de la oficina: Visitantes sin acompañamiento de ningún funcionario, para evitar problemas se debe exigir acompañamiento en todo momento a los visitantes cuando estén en las instalaciones de la Organización.
• Centros de Cómputo: Intentos de acceso, de extraer equipos o de ingresar elementos que puedan capturar información confidencial. Se recomienda contar con un centro de cómputo bajo llave permanentemente, de preferencia con controles de acceso biométricos, y tener un inventario actualizado de todos los equipos que se encuentren allí almacenados.
• Canecas de basura: Se debe tener la basura en cuartos con llave, monitoreadas por las fuerzas de seguridad de la organización, se debe contar con trituradoras de papel, y de procedimientos de borrado de información adecuados.
• Intranet/Internet: Inserción de keyloggers para obtener nombres de usuario y contraseñas, para evitarlo hay que hacer rutinas de mantenimiento de las redes, así como dar entrenamientos a los empleados en la creación de contraseñas.

Prevención Realista

Como es de suponer, la prevención real es una tarea de enormes proporciones, y una gran cantidad de organizaciones no disponen de los recursos humanos o financieros para poseer todas las medidas de control mencionadas previamente. La amenaza es real, así que lo más recomendable es aprovechar los recursos con los que se cuente, manteniendo la moral alta y un buen ambiente de trabajo sin sacrificar la seguridad. Cambiando levemente las reglas del juego, los intrusos no podrán cumplir con su cometido.

Familiarizándonos con la Ingeniería Social

Una Historia Verdadera...

Hace unos años, un grupo de extraños ingreso en las instalaciones de una Compañía y consiguieron acceso a toda la red interna de dicha Empresa. Como lo consiguieron? Obteniendo pequeñas cantidades de información, bit a bit de múltiples empleados de la compañía. Lo primero que hicieron fue conseguir información de la compañía por dos días seguidos antes de intentar ingresar a la Compañía. Consiguieron los nombres de los empleados relevantes de la Compañía por medio de Recursos Humanos, luego fingieron perder su llave de ingreso a la compañía, y otro empleado los dejo ingresar. Luego "perdieron" sus carnets de empleados cuando entraron al área segura del tercer piso, sonrieron y de nuevo otro empleado los dejo ingresar.

Los extraños sabían que el Gerente Financiero estaría fuera de la ciudad, así que pudieron ingresar a su oficina para obtener toda la información financiera sin encriptar o proteger de su computador. Revisaron toda la basura que salió de la compañía encontrando toda clase de información valiosa. Le pidieron a uno de los empleados de mantenimiento una de sus canecas y así pudieron salir del edificio con toda la información y documentos que encontraron. Estos extraños también pudieron imitar la voz del Gerente Financiero, hicieron una llamada simulando una emergencia y argumentando haber olvidado su clave de acceso. Ya con esta clave, utilizaron herramientas de hackeo y obtuvieron un acceso de súper usuario en el sistema.

Lo único positivo de esta historia, es que los extraños eran en realidad consultores realizando una auditoria para el Gerente Financiero sin que nadie más en la compañía lo supiera. Este equipo nunca recibió información privilegiada por parte de este Gerente pero obtuvieron todo el acceso que deseaban por medio de la Ingeniería Social.

Definiciones:

Definiciones de Ingeniería Social se pueden encontrar muchas: El arte y ciencia de hacer que la gente haga lo que se desea", o "Ataque realizado por un hacker con trucos psicológicos en usuarios de una red para que entreguen información de acceso al sistema" y para terminar "Conseguir información importante (un password por ejemplo) de una persona en lugar de intentar acceder a su PC". En realidad la Ingeniería social puede ser todo esto, dependiendo la óptica con que se mire. En lo único en que todas las personas coinciden es en que la Ingeniería Social es la manipulación de la tendencia humana de la confianza, y el objetivo de la persona que ejerce esta acción es obtener la información necesaria para acceder a la información sensible de una compañía.

La seguridad se fundamenta en la confianza: confianza en la protección y en la autenticación. Generalmente aceptado como el eslabón mas débil en la cadena de la seguridad, las personas y su tendencia a confiar en las demás personas abren las puertas a muchísimas vulnerabilidades. No importa cuantos artículos se publiquen sobre vulnerabilidades en redes, parches de actualización y firewalls, siempre podremos reducir las amenazas hasta Luisa en Ingeniería mantener la seguridad de las red en la Compañía.

Objetivos y ataques
El propósito básico de la Ingeniería Social es el mismo que el de un hacker: obtener acceso no autorizado a un sistema o a información con el propósito de cometer un fraude, una intrusión, espionaje industrial, robo de identidad, o simplemente inhabilitar los sistemas. Los blancos usuales de estos ataques incluyen proveedores de internet, grandes multinacionales, bancos, agencias militares y gubernamentales, y hospitales.

Encontrar buenos ejemplos de la vida real de ingeniería social es complicado. Las empresas que han sido víctimas de estos ataques pueden no querer admitirlo (una falla en seguridad no solo es vergonzoso, también afectaría el buen nombre de la compañía), y también es muy probable que el ataque no esté bien documentado por lo cual no hay forma de estar seguros de que haya sido un ataque de ingeniería social o no.

Los ataques de ingeniería social se ejecutan en dos niveles; físico y sicológico. Enfoquémonos inicialmente en la parte física de estos ataques: el sitio de trabajo, el teléfono, su cesta de basura, o inclusive ataques en línea. En el sitio de trabajo el hacker puede simplemente entrar por la puerta y simular ser un empleado de mantenimiento quien puede entrar a la Compañía. Una vez el intruso lograr acceder a la Compañía, simplemente con desplazarse por los corredores podrá encontrar escritos usuarios y contraseñas los cuales aprovechara desde la seguridad de su casa.

Ingeniería Social Telefónica
Este es el tipo de ingeniería social que más se realiza. Un atacante puede llamar e imitar la voz de un funcionario con cierto nivel de autoridad y obtener información de un supuesto subalterno. Los Helpdesk son particularmente vulnerables a este tipo de ataques. Los atacantes simulan llamar desde el interior de la compañía atacando el PBX o la compañía de teléfonos, con lo cual un identificador de llamadas queda burlado por completo.

Los Helpdesk son particularmente vulnerables por que su principal función es ayudar, un hecho que puede ser fácilmente explotado por un individuo buscando obtener acceso no autorizado. Los empleados de los Helpdesk están entrenados para ser amigables y entregar información, así que esta es una mina de oro para la Ingeniería Social. Muchos empleados de los Helpdesk son mínimamente entrenados en seguridad y mal pagos, así que tienden a responder preguntas listos para responder la siguiente y la siguiente llamada, convirtiéndose así en una enorme vulnerabilidad de seguridad.

Ingeniería Social en la red
Internet es el sitio predilecto por los atacantes que buscan obtener nombres de usuario y passwords. La debilidad principal de los usuarios es repetir el mismo password en todas las aplicaciones, páginas, etc que utilizan. Una vez que el atacante obtiene un password probablemente podrá acceder a múltiples sitios bajo la identidad de su víctima. Una forma que utilizan los atacantes para obtener passwords es a través de un formulario en línea en el cual le piden a la victima que digite sus datos como email y un password, y asi obtienen acceso a todos los sistemas, redes sociales, email corporativo, etc de dicha persona.

Persuasión
Los atacantes siempre realizan sus ataques enfatizando en crear el ambiente psicológicamente perfecto para el ataque. Métodos básicos de persuasión incluyen la suplantación, simular ser una persona muy agradable o la falsa amistad. Sin importar el método que se utilice, el objetivo principal es convencer a la victima de que el atacante es en realidad una persona a quien confiarle información sensible. Otro punto importante en estos ataques es que no buscan obtener toda la información en un solo ataque, pero si conseguirla toda en varios ataques en diferentes ocasiones.

La suplantación generalmente significa crear uno o varios personajes e interpretar sus roles. Entre mas sencillo el personaje, mejor. Usualmente los atacantes estudian a sus víctimas, esperando por ejemplo que se ausenten de la ciudad para suplantarlos al teléfono.

Algunos de los papeles mas comúnmente interpretados por los atacantes es el de un reparador, soporte en Sistemas, un Gerente, un tercero de toda confianza (por ejemplo, el presidente de una compañía) o un compañero de trabajo. En una compañía grande, esto no resulta tan difícil de realizar, pues no hay forma de conocer a todos los empleados, los carnets pueden ser falsificados, etc. Un factor común que se puede obtener de estas suplantaciones es el de personas con algún rango o posición jerárquica en la compañía, lo cual nos lleva a la complacencia. Todo empleado desea impresionar a su jefe, asi que suministrara sin problema cualquier información que le sea solicitada por un superior.

Espionaje Basura (Dumpster Diving)
El Espionaje Basura es otro popular método de ingeniería social. Una gran cantidad de información puede ser encontrada entre la basura de una compañía. Que información puede llegar allí? Agendas telefónicas, organigramas, manuales de las políticas de la compañía, agendas de trabajo, eventos o vacaciones, manuales de sistemas, planos de las instalaciones, impresiones de códigos fuente, CDs, DVDs, y hardware desactualizado.



Toda esta "basura" se puede constituir en una enorme fuente de información para el atacante. Las agendas telefónicas pueden dar información de posibles blancos o personas a suplantar. Los organigramas revelan quienes están en cargos con autoridad en la organización. Manuales de políticas pueden darle idea de que tan segura o insegura es una compañía. Los calendarios pueden indicar que empleado va a estar fuera de la oficina. Los manuales de sistemas pueden brindar información exacta de como desbloquear una red. El hardware desactualizado, por ejemplo discos duros pueden ser restaurados para obtener toda clase de información.

Ingeniería Social Inversa
Para terminar, el método mas avanzado de obtener acceso no autorizado a un sistema o información es conocido como "Ingeniería Social Inversa". Esta se realiza cuando el atacante suplanta a una persona que se encuentra en una posición con autoridad suficiente para que los empleados le pidan a el información en vez de el pedir información. Si se investiga, planea y ejecuta adecuadamente, este ataque puede brindarle al atacante mayores oportunidades de obtener información valiosa de los propios empleados; sin embargo este ataque requiere de un alto grado de preparación e investigación para culminarlo con éxito.

Este ataque frecuentemente se compone de 3 etapas: sabotaje, intromisión, y el ataque en si. Veamos como es el asunto: Un atacante sabotea una compañía de la cual quiere obtener información, ocasionando que se presente un problema. Al materializarse el problema, el mismo atacante se presenta en la Organización argumentando que es el candidato ideal para solucionar ese problema (Intromisión), y una vez que se le da acceso a la Organización realiza su ataque obteniendo la información, acceso a la red o lo que esté buscando. Lo más asombroso del ataque es que en la Organización víctima del ataque son incapaces de identificar al atacante como tal por que el problema del que fueron víctimas fue solucionado y se recupero la normalidad; o peor aún, no saben que fueron víctima de un ataque por que todo está operando normalmente.

Epilogo
Un artículo de Ingeniería Social no seria lo mismo sin mencionar a Kevin Mitchnick, así que finalizamos con una de sus frases: "Ud puede gastar una fortuna en tecnología y servicios mas actualizados de seguridad... pero su Organización aun puede ser vulnerable a ser manipulada a la antigua". Pendientes de una próxima entrada que será de Estrategias para intentar combatir la Ingeniería Social.