Archivo de la categoría: casos reales

Snapchat reacciona ante los fallos en la privacidad. Fuente ITexpresso

A partir de ahora, Snapchat permitirá optar por no vincular los números de teléfono con los nombres de usuario, para impedir nuevos robos de datos.

El servicio de fotomensajería Snapchat ha empezado a tomar medidas después de que a finales de diciembre un grupo de hackers filtrara los datos asociados a 4,6 millones de sus cuentas. A partir de ahora, Snapchat va a permitir a sus usuarios no vincular sus números de teléfono con los nombres de usuario.
Para ello, Snapchat ha actualizado sus aplicaciones de Android e iOS para ofrecer a sus usuarios la opción de no asociar su número de teléfono con su nombre de usuario, impidiendo a otras personas que les encuentren por esta vía. Esta opción está disponible en Configuración/Móvil. La compañía también está reduciendo las posibilidades de uso malintencionado, al exigir que se verifique su número de teléfono cuando se utiliza la función Encuentra Amigos.
En el anuncio de las mejoras de Encuentra Amigos, realizado hoy, Snapchat ambién aprovecha la ocasión para pedir disculpas por la violación de la privacidad de sus usuarios y por cualquier problema que el ataque pueda haberles causado.
La medida, si bien puede parecer menor, es muy importante, ya que afecta a esta función de Encontrar Amigos, que era en parte culpable de la filtración de los datos filtrados obtenidos por los hackers. Estos revelaron los números de teléfono asociados a las cuentas asaltadas y justificaron su acción precisamente en ejercer una “mayor presión pública” sobre Snapchatpara que mejorase su seguridad.
Algunos usuarios aseguran que esta solución dista mucho de ser perfecta, ya que algunos preferirían que la opción fuera incluir el número de teléfono en lugar de excluirlo, es decir, que no apareciera vinculado a su cuenta por defecto. No obstante, la plataforma ha afirmado que está trabajando en más mejoras para prevenir futuros intentos de abusar de su API, consciente de que hay más trabajo por hacer antes de que sus usuarios puedan sentirse realmente seguros.

DATOS SENSIBLES EN PELIGRO Heartbleed, el error que ha puesto en jaque a los servidores seguros de internet

Publicado en Libertad Digital hoy.

Un fallo en OpenSSL deja al descubierto datos sensibles de las web seguras que usan cifrado, como bancos, redes sociales o correo electrónico.El error afecta a los servidores de internet, no a los ordenadores de los usuarios. | Corbis 

DANIEL RODRÍGUEZ HERRERA SEGUIR A @ESMULTIVAC 2014-04-09

Numerosas empresas de internet estuvieron este martes actualizando sus sistemas con un parche para el software de cifrado OpenSSL, que padece un problema serio de seguridad desde la versión 1.0.1, lanzada el 14 de marzo de 2012. El fallo, bautizado como Heartbleed, fue localizado por ingenieros de Google y de la empresa de ciberseguridad Codenomicon la semana pasada y el lunes por la noche los responsables de OpenSSL dieron a conocer el problema al tiempo que publicaron una actualización que lo soluciona.

En principio, los ordenadores domésticos no suelen emplearlo, pero un porcentaje considerable de los sitios web seguros, los queemplean el protocolo https en lugar del tradicional http, podrían sufrirlo. En concreto, aquellos que emplean Apache o ningx como servidor web, que son dos tercios de todos los servidores del mundo y entre los que se incluyen, por ejemplo, Google, Facebook, Youtube, Twitter, Yahoo, Blogspot, Amazon, WordPress o Pinterest. De hecho, estas empresas padecían el problema y ya lo han solucionado. Existeuna página para comprobar si una web concreta padece el problema. En el momento de redactar esta noticia, sitios web como la Agencia Tributaria y un buen número de bancos estaban ya limpios.

Heartbleed (o CVE-2014-0160, que es su nombre oficial) permitía a los ciberdelincuentes acceder a un bloque de 64kb de memoria del servidor afectado. Aunque puede parecer poco, en un momento determinado esa porción de memoria podría contener información confidencial como contraseñas, datos financieros, etc. Además, un atacante podría hacer varias intrusiones al mismo servidor y obtener diferentes bloques de memoria con información distinta.

¿Debemos preocuparnos?

El problema es que aunque a partir de ahora el software capaz de detectar intrusiones puede ser modificado para detectar un intento de explotar este fallo, su naturaleza hace imposible detectar si alguien se ha aprovechado del error en el pasado, de modo que no se sabe si se ha empleado este ataque con éxito o no, ni en qué sitios web.

Desde la red Tor, que permite acceder a internet de forma segura y anónima, y que se ha visto afectada por el error de software, se advirtió de que el fallo era tan alarmante que recomendó a las personas que “necesiten elevado anonimato y privacidad en internet” que se mantuvieran “alejados de internet totalmentedurante los próximos días hasta que las cosas se calmen”.

Sin llegar a estos extremos, sí es aconsejable cambiar las contraseñas más sensibles que tengamos, especialmente las de banca electrónica, y sobre todo si las hemos usado a lo largo del lunes y el martes. Aunque este error ha estado disponible para ser aprovechado por los ciberdelincuentes desde 2012, es posible que no se hayan producido ataques. Además, por su naturaleza, en el peor de los casos sólo habrán conseguido un número relativamente pequeño de todas las contraseñas. Aún así, con el dinero de cada uno la prudencia manda.

Protege tus sistemas con nuestro producto cyber

 

El 85% de las pymes tiene problemas de backup

Las dificultades relacionadas con los costes de backup y recovery, la falta de funcionalidad y su complejidad son las principales quejas de las pymes.

Publicado el 5 de junio de 2013 por Juan Miguel Revilla en www.itespresso.es

El ‘Informe sobre protección de datos virtualizados para pymes‘, elaborado por Veeam Software, revela que las pequeñas y medianas empresas se enfrenta a importantes problemas de costes, complejidad y falta de prestaciones de sus sistemas de protección de datos. Concretamente, el 85% de las pymes tiene dificultades relacionadas con los costes de backup y recovery; el 83% con la falta de funcionalidad, y el 80% con la complejidad.

El estudio de Veeam Software, realizado entre 500 pymes de Estados Unidos y Europa, también muestra que actualmente, por término medio, el 33% de las infraestructuras virtuales de las pymes no dispone de backup.

Entre las empresas que sí cuentan con esta función, el 76% encuentra dificultades para administrar los agentes de las herramientas de backup, experimenta lentitud y fallos demasiado frecuentes, tanto de backup como de recovery. Y el 63% de las pymes opina que sus herramientas de backup y recovery serán menos eficaces a medida que aumente el número de datos y servidores de sus organizaciones.

 

“Las pymes sufren unos problemas de TI y unas presiones comerciales cada vez más parecidos a los de las grandes empresas”, explica Ratmir Timashev, presidente y consejero delegado de Veeam. “Por tanto, toda interrupción en sus infraestructuras de TI puede acarrear graves consecuencias”.

“Por esta razón”, continúa Timashev, “es especialmente preocupante que la gran mayoría de las pymes haya declarado tener problemas de costes, complejidad y funcionalidad en sus procesos de backup y recovery. Si además tenemos en cuenta que una de cada seis recuperaciones simplemente no funciona, está claro que el problema de la protección de datos es una bomba de relojería para las pequeñas y medianas empresas”.

Ante esta situación, las pymes dedican cada vez más esfuerzos a solucionar los problemas de backup de datos. El 55% tiene previsto cambiar la herramienta de backup que utiliza para servidores virtuales en breve, siendo el plazo medio de 10 meses. Las razones esgrimidas son principalmente: coste total de propiedad (46%), complejidad (44%) y falta de funcionalidades en cuanto a tiempo de recuperación (30%) y punto de recuperación (21%). Esta tendencia avanza a medida que crece la virtualización.

Los 10 errores de ciberseguridad más frecuentes en las pymes

Cada año, las pymes europeas pierden millones de euros por incidencias de seguridad, causadas por errores como creer que su tamaño no interesa a los hackers.

Publicado el 29 de mayo de 2013 por Juan Miguel Revilla en www.itespresso.es

Aunque muchos pequeños y medianos empresarios no sean conscientes de ello, las pymes también están bajo la amenaza de los ciberdelincuentes. Cada año, las pymes europeas pierden millones de euros a causa de incidencias de seguridad como pérdidas de información o ataques informáticos. Muchas de esta incidencias podrían evitarse si las pequeñas empresas corrigieran algunos de sus fallos de ciberseguridad más comunes. Los 10 errores más frecuentes según la firma S2 Grupo son estos:

1. Creer que por ser pequeña, no interesa a nadie. La mayoría de las pymes considera que su pequeño tamaño las hace poco atractivas para los hackers, lo que supone un gran problema para su seguridad. Cualquier equipo es útil para las botnets o redes de ordenadores zombis controlados remotamente para divulgar spam o atacar sistemas. Además, muchas organizaciones infravaloran el valor que su información puede tener para la competencia (acceso a sus balances contables, tarifas de precios, márgenes, etc.).

2. Creer que la seguridad es sólo asunto de los informáticos. Limitar la seguridad a los controles técnicos conduce a descuidar aspectos tan importantes como los legales y organizativos. Gestionar las incidencias, definir responsabilidades o abordar los requerimientos de carácter legal son aspectos vitales para evitar amenazas como el phishing.

3. Pensar que un antivirus y un firewall son suficientes. Actualmente, pocas organizaciones carecen de un antivirus e incluso de un cortafuegos. Sin embargo, esto conduce a una falsa sensación de seguridad que hace olvidar que existen otras muchas amenazas que requieren la adopción de medidas específicas.

4. Considerar que la seguridad es un producto y no un proceso. Como cualquier otra persona o departamento, en lo todo lo relacionado con la seguridad hay que llevar a cabo un mantenimiento diario, ya sea actualizando los conocimientos, manteniendo los sistemas, implantando nuevos procesos o adaptando su funcionamiento a nuevos requerimientos legales. Con frecuencia, esto se deja en segundo plano, lo que supone un peligro para la empresa.

5. La confidencialidad es algo de espías y grandes multinacionales. Es fundamental garantizar la protección de la información de la organización a través de acuerdos de confidencialidad tanto con proveedores y clientes como con los trabajadores y cualquier persona física o jurídica que vaya a acceder a la información de la empresa.

6. No contemplar la seguridad en los contratos corporativos. La seguridad en los contratos que muchas pymes firman con sus proveedores y/o clientes es inexistente. Es frecuente que se concierten productos o servicios directamente a través de una simple hoja de pedido, la cual carece de cláusulas de confidencialidad o requerimientos legales como los marcados por la Ley Orgánica de Protección de Datos.

7. Desconocer la Ley Orgánica de Protección de Datos. A pesar de que la LOPD lleva en marcha desde 1999, muchas empresas ignoran sus obligaciones en esta materia o directamente deciden no emprender ninguna acción. Ya sea por evitar sanciones o por responsabilidad social con las personas que confían sus datos, cualquier empresa debería adoptar las medidas para garantizar la seguridad de los datos de carácter personal de sus clientes, empleados o proveedores.

8. Mirar sólo hacia fuera. La mayor parte de los problemas de seguridad proviene de dentro de la propia empresa. En algunos casos, por usuarios malintencionados pero en muchos otros por simple desconocimiento, como el caso de un empleado que utilice un USB infectado o tire a la papelera información confidencial. Por ello es imprescindible adoptar una estrategia permanente de concienciación en seguridad de la información.

9. Ofrecer servicios a través de Internet sin tener en cuenta su seguridad. Un servicio ofrecido a Internet es accesible virtualmente por miles de millones de personas, por lo que es necesario asegurarse de que las webs contienen formularios que no sean vulnerables a ataques o que los servidores web estén correctamente configurados antes de exponerse a la Red.

10. Descuidar la gestión de la red y los sistemas. Muchas empresas todavía descuidan el mantenimiento de la seguridad de sus servidores y redes, lo que conduce a dispositivos de red vulnerables, puntos WiFi que permiten acceder a la red corporativa, bases de datos de uso interno accesibles a Internet o servidores sin actualizar desde hace años.

Cuatro de cada diez pymes sufren fugas de información confidencial

Con la crisis, las pymes han reducido su inversión en seguridad y control de documentos. La principal causa de estas fugas son los errores humanos.

Publicado el 11 de junio de 2013 por Juan Miguel Revilla en www.itespresso.es

Más de cuatro de cada 10 pequeñas y medianas empresas de nuestro país han sufrido en algún momento fugas de información confidencial, de acuerdo con los datos manejados por el servicio de protección de archivos Prot-On.

La principal causa de esa fuga de datos hay que buscarla en el error humano; esto es, los comportamientos poco seguros por parte de los trabajadores de las pymes. Existen casos malintencionados o de espionaje industrial, pero son menos numerosos.

Entre los fallos más habituales que se encuentran detrás de esas fugas de información, están losdispositivos extraíbles infectados que se conectan al ordenador de trabajo, los ordenadores y tabletas perdidos o que son robados, o el envío de información confidencial por error.

Un ciberataque cuesta 38.000 euros a una pyme

A las pérdidas derivadas de la fuga de datos críticos, se unen los costes de reparación y prevención de nuevos ciberataques y las pérdidas no financieras.

Publicado el 4 de julio de 2013 por Juan Miguel Revilla En www.itespresso.es

Una pyme que sufra un ciberataque puede llegar a perder 38.000 euros como consecuencia del mismo. Es uno de los preocupantes datos que aporta la ‘Encuesta Global sobre seguridad TI corporativa 2013′, llevada a cabo por B2B Internacional junto a Kaspersky Lab, y que evalúa las pérdidas sufridas como resultado directo de los incidentes de seguridad.

Aunque los costes de un ciberataque sufrido por pequeñas y medianas empresas son más bajos que en las grandes compañías, la pérdida media resultante de los incidentes de seguridad TI en estas empresas es de aproximadamente 38.000 euros. De ellos, 28.000 euros corresponden al ataque en sí, mientras que los restantes 10.000 provienen de otros gastos asociados, informa Europa Press.

En el coste causado por el ciberataque en sí, se incluyen las pérdidas derivadas de la fuga de datos críticos, la continuidad de negocio y los costes de recurrir a especialistas para solucionar el problema. Además, están los costes no planificados, de menor cuantía, derivados de la prevención de futuros ataques similares, incluyendo el personal de contratación y formación, el hardware, el software y otros cambios de infraestructura.

La encuesta también señala que en algunos casos, las pérdidas financieras sufridas por las pymes van acompañadas de otras pérdidas que alcanzan aproximadamente el 5% de los ingresos anuales.