Según el Informe de Cibercrimen de Norton 2011 más de dos tercios de los adultos en línea (69%) han sido víctimas de la ciberdelincuencia alguna vez en su vida. Cada segundo, 14 adultos son víctimas de un crimen cibernético, lo que deja como resultado más de un millón de víctimas del cibercrimen todos los días. Por primera vez, el Informe de Cibercrimen de Norton revela que el 10% de los adultos en línea han experimentado la ciberdelincuencia en sus teléfonos móviles. De hecho, el Symantec Internet Security Threat Report revela que en 2010 hubo un 42% más de vulnerabilidades móviles en comparación con la cantidad reportada en 2009, señal de que los cibercriminales están comenzando a focalizar sus esfuerzos en el espacio móvil.

El número de nuevas vulnerabilidades de sistemas operativos móviles aumentó de 115, en 2009, a 163, en 2010. Además de las amenazas en dispositivos móviles, el aumento de las redes sociales y la falta de protección es probable que sean algunas de las principales razones de la creciente cantidad de víctimas de delitos cibernéticos.

Hombre, juventud y movilidad

El estudio identifica que los hombres entre 18 y 31 años de edad que acceden a Internet desde su teléfono móvil corren mayor riesgo de ser víctimas de ciberataques: en este grupo, cuatro de cada cinco hombres (80%) han sido víctimas de delitos cibernéticos en algún momento de sus vidas. A nivel mundial, el delito más común y, a su vez más evitable, son los virus informáticos y el malware donde un 54% de los encuestados dicen haberlo experimentado.

En orden de frecuencia, los virus son seguidos por las estafas en línea (11%) y los mensajes de phishing (10%). A principios de este año, el Symantec Internet Security Threat Report arrojó que hay más de 286 millones de variaciones únicas de software malicioso (“malware”) en comparación con los 240 millones reportados en el 2009, lo que representa un incremento del 19%.

La distancia entre la conciencia y la acción se ilustra con el hecho de que el 74% de los encuestados dice estar siempre al tanto de los delitos informáticos, sin embargo, muchos de ellos no están tomando las precauciones necesarias. El 41% de los adultos indicaron que no realizan una actualización regular de su software de seguridad para proteger su información personal en línea. Además, menos de la mitad revisa el resumen de sus tarjetas de crédito para estar al tanto de posibles fraudes (47%), y un 61% no utiliza contraseñas lo suficientemente complejas ni las cambia con regularidad. Entre los que acceden a Internet a través de su teléfono móvil, sólo el 16% tiene instalada la versión más actualizada para seguridad móvil.

Fuente:

http://www.cioal.com/2011/10/19/el-costo-de-la-ciberdelincuencia-es-de-114-billones-de-dolares-al-ano/

La compra de la división móvil de Motorola, por un valor de 12,5 mil millones de dólares, convierte a Google en un actor aún más relevante en el mercado de los smartphones.

Google indica que la compra es un paso natural debido a que Motorola está totalmente concentrada en la plataforma Android de Google. “El pleno compromiso que Motorola tiene con Android, para unidades móviles, es una de las razones que sustentan la cooperación”, escribe Google, agregando que “juntos crearemos fantásticas experiencias para el usuario y recargar totalmente el ecosistema de Android, en beneficio de los usuarios, desarrolladores y partners”.

La compra se produce en momentos en que Google y Motorola se enfrentan por un tema de patentes para Android.

Google explica que la compra no cambia su estrategia para Android pero que, naturalmente, fortalece la cooperación en torno a la plataforma móvil.

Motorola Mobility operará como una empresa independiente de Google.

Asimismo, asegura a los demás fabricantes de terminales móviles que no les ha olvidado, a pesar de haber comprado al creador de los teléfonos Droid: “Muchos partners fabricantes de hardware han contribuido al éxito de Android, por lo que nos entusiasma seguir cooperando con todos para crear productos aún mejores”.

Fuente: DiarioTI.com

La ley de cookies desarrollada por la Unión Europea, con el objetivo de mejorar la privacidad de los usuarios de Internet, sólo será implantada por dos países por el momento.

Según Jonathan Todd, portavoz de la Comisión Europea, por ahora han sido Dinamarca y Estonia los únicos que han informado de que llevarían a cabo leyes acordes con la reforma de las telecomunicaciones.

Hace unos días se anunciaba desde Bruselas que se estaba desarrollando una nueva normativa para que los usuarios europeos pudieran desactivar la cookies que controla los hábitos de los internautas para ofrecer publicidad dirigida.

Sin embargo, la ley parece que no ha tenido éxito y se cree que, con el tiempo, sólo un tercio de los 27 vayan a tomar medidas para implantarla. Francia, Eslovenia, Luxemburgo y Reino Unido han tomado ciertas medidas pero, de acuerdo con la Comisión, se quedan cortas.

Según ITespresso, otros países quieren aplicar esa ley de forma parcial, y para ello están trabajando con compañías como Microsoft o Mozilla, las cuales son expertas en este tema puesto que ofrecen a sus usuarios la posibilidad de desactivar que se sigan sus pasos por Internet.

Fuente: Channel Insider / Segu Info

Los CAPTCHA, acrónimo de “Completely Automated Public Turing Test to Tell Computers and Humans Apart” (Prueba de Turing pública y automática para diferenciar máquinas y humanos), son pruebas destinadas a identificar si quien está accediendo a un contenido es una persona o por el contrario una máquina que potencialmente pueda automatizar cualquier tarea sobre dicho contenido. Estas pruebas que usualmente constan de un texto que ha sido distorsionado, están empezando a utilizar el formato de audio con ruido de fondo que pueda confundir a la máquina que intente averiguar su contenido. Esto es así porque el CAPTCHA tradicional comienza a no ser suficiente, y existen técnicas para romperlo.

Los investigadores han conseguido diseñar una herramienta capaz de eliminar el ruido de fondo presente en las pistas de audio cuando los sonidos a interpretar no se reproducen de manera continua, lo que lo hace más fácil de tratar que incluso los CAPTCHAs visuales según se afirma en el documento. Esta herramienta, que han llamado Decaptcha, tiene un funcionamiento que recuerda a otras herramientas destinadas a romper los CAPTCHAs basados en texto, puesto que en un primer procesamiento se separa el audio según la energía que sea detectada en cada momento en la onda. Acto seguido se genera una representación de los dígitos extraídos y, finalmente, estas representaciones pasan por una fase de clasificación para reconocer los dígitos. A pesar de las variaciones entre los diferentes sistemas de cada compañía (velocidad de la pronunciación, tiempo entre un dígito y otro, ruido de fondo…) siempre se mantienen los mismos patrones que no pueden ser completamente enmascarados.

Las pruebas realizadas muestran el mayor éxito en los CAPTCHAs de la web de Authorize.net (89% de acierto) y unos resultados no menos reseñables del 82% con el CAPTCHA de eBay y un 49% con el de Microsoft, llegando a obtener un nivel de acierto mayor incluso que los humanos. Estos valores son conseguidos con un entrenamiento de la herramienta utilizando apenas 300 CAPTCHAs ya solucionados y en 20 minutos, llegando a resolver de manera correcta diez CAPTHCHAs en un solo minuto de procesamiento con un simple ordenador de escritorio.

Según se afirma en el artículo publicado, actualmente todos los CAPTCHA auditivos diseñados utilizando los métodos actuales (sin ruido semántico) son inherentemente inseguros si se desea que puedan ser reconocidos por el oído humano.

Más infromación:

The Failure of Noise-Based Non-Continuous Audio Captchas

http://cdn.ly.tl/publications/decaptcha-audio.pdf

Javier Rascón
jrascon@hispasec.com

¿Para qué sirven los certificados?

SSL debería cumplir dos funciones. Establecer una conexión cifrada sobre un canal público y también autentica al servidor. Nos ayuda a estar seguros de que el servidor es quien dice ser y también que pertenece a la empresa a la que debería pertenecer. Para la parte de autenticación, los servidores con SSL activo ofrecen al navegador un certificado para que lo compruebe, que es como una especie de DNI. En él, una autoridad (Verisign, Comodo…) certifica con su firma que la clave pública realmente pertenece al sitio.

El sistema de confianza en certificados tiene una estructura de árbol invertido y las raíces son estos certificados. El sistema confiará en todo lo que emitan. Si esto no ocurriese de esta forma y los navegadores o sistemas operativos no contasen con una serie de certificados raíz por defecto, no podríamos confiar en la identidad de las páginas, puesto que nadie lo acreditaría. Por el contrario (y como ocurre en realidad) se introducen demasiadas autoridades certificadoras en las que se confía (demasiados “Estados” que emitan el DNI), estas se vuelven el punto débil de la cadena, puesto que se confía en ellas y a su vez, en todo lo que ellas confíen. Un árbol con demasiadas “raíces” es más difícil de controlar. Además, las autoridades certificadoras confían en autoridades intermedias que le alivian el trabajo.

Qué ha pasado

Tanto Chrome como Mozilla como Internet Explorer (a través de la Trusted Root Certification Authorities Store) incluyen de serie una serie de certificados raíz en los que se confía, emitidos por autoridades certificadoras. Varios de estos certificados pertenecientes a Comodo han sido revocados porque se ha comprobado que han sido emitidos de forma fraudulenta sin su consentimiento.

Según ha anunciado Comodo (en una nota de prensa tardía, una vez que ya se había descubierto el asunto), un atacante con IP de Irán se hizo con usuario y contraseña de una autoridad secundaria de Comodo en el sur de Europa. El atacante utilizó estos datos para hacerse pasar por esa autoridad secundaria y emitir certificados fraudulentos de páginas como login.live.com, mail.google.com, www.google.com, login.yahoo.com, login.skype.com, addons.mozilla.org… Traducido: un atacante quería obtener certificados de esos dominios para hacerse pasar por ellos. Pero… ¿cómo puede ser, si ya existen? ¿Para qué emitir certificados válidos de dominios a los que no puedes suplantar? Esta es la segunda parte del problema: para que esto le sea útil al atacante, necesita:

• Emitir certificados válidos. Lo consiguió comprometiendo a esta entidad de Comodo.
• Que se le muestren como válidos a la víctima en su navegador. Esto es lo que hacen ya de por sí los navegadores con sus certificados raíz. Ahora que la mayoría los han revocado, esto no sería tan sencillo.
• Interponerse en el sistema DNS de la víctima. Bien por pharming, por “hombre en el medio”, troyanos o por cualquier otro método que redirija la resolución de dominios de la víctima.

Así, el atacante redirige a “otro” dominio a la víctima, e instala ahí el certificado que ha robado. A partir de ahí, podría o bien suplantar a la otra página o bien redirigir a la víctima a la original. El asunto es que, en cualquier caso, tendría acceso a toda la información, cifrada, que se transmita entre la víctima y el dominio al que quiere acceder. Aunque estuviese cifrada, aunque aparezca el candado en el navegador al visitar esta página, o la barra de navegación en verde, e incluso se compruebe la cadena de certificación… no solo el navegador dará por legítima la página, sino que el atacante podrá leer toda la información cifrada que se transmite.

Si unimos que el ataque a Comodo no habrá sido “sencillo” (se trata de uno muy sofisticado y dirigido), que la IP proviene de Irán, que el atacante emitió certificados para páginas muy conocidas, y que necesita además, para que esto sea efectivo, tener acceso a un cambio en los DNS… todo apunta a un ataque que, cuando menos, inquieta.

Más Información:

The Recent RA Compromise

http://blogs.comodo.com/it-security/data-security/the-recent-ca-compromise/

Stable and Beta Channel Updates

http://googlechromereleases.blogspot.com/2011/03/stable-and-beta-channel-updates_17.html

Microsoft Security Advisory (2524375)

http://www.microsoft.com/technet/security/advisory/2524375.mspx

03/06/2008 Mitos y leyendas: “Compruebe el candadito del navegador para estar seguro” I (Phishing)

http://www.hispasec.com/unaaldia/3510

Fuente: Hispasec.com

¿Qué pudo pasar? ¿Habrá sido de nuevo un ataque de ingeniería social como ocurrió con todo lo referente a HBGary y Rootkit.com? ¿Se habrá comprometido a algún trabajador, y su equipo estaba lleno de información suculenta, o tenía acceso a la red interna? No estamos seguros, pero yo personalmente voto a una cadena de acontecimientos, que si RSA no informa sobre los tiempos, podría cuadrar. Aquí va una teoría, que podría cuadrar:

1) En Febrero de este año, tuvo lugar la RSA Conference, congreso de seguridad de mucho prestigio y organizado por RSA. Obviamente, en dicho congreso debería haber algún que otro trabajador de dicha empresa.

2) “Quizás”, alguno de dichos trabajadores no tendría su portátil lo suficientemente configurado y asegurado, o por un momento lo dejó en algún sitio, susceptible a un ataque físico. O “quizás”, en alguno de los stands que tuviese la propia compañía, se encontraban sistemas que luego se enchufarían en su red.

3) Alguien pudo plantar un regalo en alguno de estos sistemas, algún malware, quizás durante alguna de las múltiples fiestas que se celebraron, alguien aprovechó el momento y comprometió alguno de los sistemas.

4) La RSA Conference pasó, todo volvió a su ciclo normal, y el ataque al volver a casa se hizo efectivo, dejando la puerta abierta a los malos para disfrutar de una red tan jugosa desde su propia casa.

¿Podría ser no? Para desmontar esta teoría, únicamente deberíamos conocer cuando pudo ocurrir dicho ataque, o si hay indicios de algún tipo de infección en alguno de los equipos de algún empleado.

Esperaremos ansiosos más información al respecto del ataque, y sobretodo, el alcance real y que podría suponer para sus productos.

Fuente:

http://www.securitybydefault.com/2011/03/intrusion-en-la-compania-rsa-y-robo-de.html

Dicho sistema de transferencias online, acelerará los plazos de las operaciones de manera significativa, ya que en la actualidad la acreditación de esas operaciones demora entre 24 y 48 horas.

Cabe destacar que a través de dicha medida, el BCRA busca reducir la utilización de efectivo mediante un mayor nivel de bancarización de las operaciones, incluyéndose en una primera etapa, las transacciones de menores montos, debido a un pedido efectuado por los bancos.

Fuente: Abogados.com.ar

BitDefender ha anunciado el resultado de un nuevo estudio que se centra en diferentes aspectos de los niños/adolescentes expuesto a material sexualmente explícito encontrado en Internet. La media de edad a la que el niño empieza a buscar sitios con contenido para adultos está en torno a los 11 años de edad.

1,570 padres de cinco países diferentes fueron encuestados sobre el uso que ellos y sus hijos hacen den Internet, especialmente aquellos relacionados con material pornográfico.

El estudio revela que mientras el 97% de los encuestados utiliza software de control parental para bloquear el acceso de sus hijos a sitios con contenido para adultos, el 12% de sus hijos adolescentes logrado desinstalar o desbloquear este software.

“La parte más interesante de este estudio fue la relacionada con el control parental. Incluso si los padres comprenden la necesidad de este tipo de software y la necesidad de vigilar a sus hijos mientras están en redes sociales y en Internet, en general, los niños siempre encuentran la manera de acceder a contenido para adultos”, señala Jocelyn Otero, Responsable de Marketing de BitDefender para España, Portugal y Latinoamérica.

El 62% de los adultos admitieron que habían buscado y accedido a webs con contenido para adultos. Además, el 87% asegura que permitiría a sus hijos buscar este tipo de material en Internet, aunque con una condición: que esa búsqueda se produzca cuando sus hijos tengan 19 años o más.

Fuente: BitDefender / DiarioTI.com

La División de Network Management de Ipswitch reveló los resultados de un estudio que realizó, entre algunos de sus 100.000 clientes, acerca de la inversión en Cloud durante 2011.

El estudio reveló que sólo el 36,3% de las organizaciones no están planeando inversión alguna en cloud; lo que sugiere que los temores previos en torno a la migración hacia cloud quizás hayan desaparecido.

Los resultados exhiben que la seguridad sigue siendo una consideración importante para las compañías que buscan invertir en la nube, y las soluciones orientadas a cloud parecen ser un mejor foco de inversión, en la medida en que son percibidas como más fáciles y seguras de manejar si se desenvuelven en un entorno de nube privada, tal como ha indicado el 29% de los encuestados.

Los resultados completos acerca de la pregunta “¿En cuál de los servicios basados en la nube invertirá más durante 2011?” fueron:

• No planeo ninguna inversión: 36.3%
• Nube privada: 29%
• Nube pública (por ejemplo: Amazon, Microsoft Azure): 13.3%
• Combinación de nube pública y privada: 21.3%

“Estos resultados muestran que el 2011 podría convertirse en el año de la masificación del Cloud Computing, a pesar de que la mayoría prefiere primero migrar hacia una nube privada; lo cual es entendido como una tarea más fácil de gestionar y monitorear en caso de problemas”, expresó el Presidente de la División de Network Management de Ipswitch, Ennio Carboni.

Fuente: Ipswitch / DiarioTI.com

Sophos afirma que el 70% de las empresas han sufrido como mínimo una fuga de datos en el último año. Este y otros datos se han dado a conocer en una webcast que, bajo el título “Implicaciones empresariales de una filtración de datos”, se ha organizado con profesionales de seguridad de la Administración Pública, de empresas privadas y de partners.

Realizada por Pablo Teijeira, Corporate Account Manager de Sophos Iberia, también ha confirmado que el 75% de las filtraciones de datos empresariales son accidentales. Y este dato empeora si se tiene en cuenta que el 86% de los profesionales informáticos afirma que alguien de su empresa ha perdido o le han robado el ordenador portátil y el 61% informa de que, como resultado, sufrieron pérdida de datos.

Estos datos vienen a confirmar la preocupación por una información que es el principal activo de cualquier empresa. Hoy en día la cantidad de datos electrónicos que manejan las empresas crece exponencialmente y, además, cada vez están más dispersos. De hecho, lo que ocurre frecuentemente es que en dispositivos móviles se concentran grandes cantidades de información empresarial confidencial.

La filtración de datos es la preocupación de seguridad empresarial principal para los profesionales informáticos (38%) por delante del cumplimiento de las normas (33%) e, incluso, de los virus informáticos (27%).

Las filtraciones de datos pueden llevar consigo graves consecuencias de muy diferente índole, pero que se agrupan en tres aspectos: financieras, sociales/políticas y legales.

“Esto quiere decir que la fuga de datos puede dejar maltrechas las cuentas de una empresa puesto que el coste medio para resolver un problema de fuga de datos es de 6,6 millones de dólares”, afirma Pablo Teijeira.

En cuanto a los costes sociales/políticos son más difíciles de cuantificar, pero no por ello son menos importantes, ya que puede suponer una pérdida de clientes y dificultades para conseguir otros nuevos por la imagen negativa que provoca, así como la pérdida de reputación en el mercado y de confianza de los clientes.

En cuanto a los costes legales, también puede llegar a ser muy elevados, derivados de condenas por infringir las leyes de protección de datos y posibles demandas interpuestas por los afectados. De hecho, los gobiernos cada vez dan más importancia a la protección de datos y, como resultado de ello, crean nuevas leyes y mayores sanciones para castigar las fugas de datos.

Fuente: Sophos / DiarioTI.com