Lo que más me ha llamado la atención es la utilidad que puede llegar a tener el conocer la dirección IP de un ordenador en concreto para, en función de las páginas web que visite, mostrarle una determinada publicidad ya sea en formato banner o cualquier otro. Yo estuve haciendo prácticas en una agencia de publicidad, era gestor de cuentas, y los clientes contrataban entre otros servicios el diseño e implementación de banners y en ningún caso se nos pidió nada relacionado con la utilización de las direcciones IP. Me sorprende porque era una compañía de prestigio.

Algunos son sofisticados y otros no …

Los intentos de Phishing han crecido, como ya comentamos la semana pasada, varios enteros con respecto al ejercicio anterior, al menos esa es la impresión que nos queda después de leer las cifras y los casos por la red, pero sin omitir la experiencia personal, ya que cada semana se producen varios ataques y da igual la entidad financiera que se desea suplantar. El fenómeno es muy sencillo de explicar. Es una página Web que simula a la del banco, pero que en el fondo no lo es. La vía de comunicación es por correo electrónico. Recibes el mensaje, crees que tienes que cambiar los datos, acudes a la Web falsa y adiós dinero. Se ha mejorado con los años. Estos portales han afinado en la ortografía, apenas tienen errores sintácticos, conservan imágenes muy parecidas a las reales utilizadas por los bancos y ofrecen una impresión más seria con el paso de los años. Sin embargo, no todas las personas que se dedican a esta actividad delictiva utilizan las mejores herramientas, ya que en el último correo recibido, se aprecian errores de ortografía y la imagen en sí deja mucho que desear. Ya se sabe, algunos ataques son más sofisticados y otros no, pero que nadie abra ningún mensaje que venga con el remitente de cualquier entidad financiera. Lo mejor es tirarlo a la papelera y procurar leer sólo aquellos que sean de remitentes conocidos. Por otro lado, el rastreo de estás Web no es sencillo. Utilizan servidores y direcciones IP que no están en España, por lo que se tarda mucho y la Guardia Civil no dispone de todos los medios a su alcance y los permisos de solicitud de baja son lentos. La Sociedad de la Información quizás debería de buscar un modelo internacional de cooperación en estos casos.

La semana pasada recibimos un correo de, en teoría, la entidad financiera Bankinter. Era más sofisticado. La imagen estaba creada en Flash y el hipervínculo que te redireccionaba a la sospechosa Web estaba bien programado, ya que o manipulabas la foto con Adobe Photoshop, o no había forma de quitarlo para dejarla limpia.

Por lo tanto, estábamos hablando de un intento de Phishing de calidad, donde los detalles estaban cuidados y se notaba que el trabajo había sido desarrollado por un conjunto de profesionales.

Otros, sin embargo, no gozan de la misma calidad, efectividad y se notan los errores a simple vista. Son cutres. De hecho, cuando recibes el mensaje, te das cuenta de que existen errores de escritura, como si hubiesen traducido el texto de la Web. Los acentos, los fallos sintácticos, los puntos, la no utilización de la “ñ”, o bien, otros detalles, como la no justificación del texto, o el uso de una tipografía distinta a la del banco, en este caso Caja Madrid, te ponen en alerta y sabes que la comunicación de la entidad financiera contigo no se puede establecer por medio del correo electrónico.

Es una forma de asustar, de aumentar la incertidumbre en el uso de las Tecnologías de la Información y la Comunicación (TIC), que en ocasiones deja resultados que conllevan una serie de problemas para los clientes y para los propios bancos. Lo mejor, como se ha ido comentado a lo largo de 2008, es tirar los correos directamente a la papelera y eliminar su contenido. No dejar huella. Bueno, siempre está aquella persona que lo desea denunciar, por lo tanto el servicio de la Guardia Civil tiene una página Web especializada en la recepción de este tipo de casos para su posterior estudio, aunque según han declarado algunas personas relacionadas con el cuerpo, los problemas vienen cuando tienen que rastrear las direcciones IP, solicitar la baja de estas páginas en los servidores alojados en países extranjeros y combatir contra la lentitud burocrática que genera este tipo de delitos, ya que no existe un convenio internacional para poder hacer frente al aumento delictivo de los últimos años con respecto al uso de las TICs.

Al final, es un problema que nos compete a todos, y que tiene que ver con la seguridad en la red. Bancos, usuarios, clientes, personas relacionadas con el mundo de la informática y, sobre todo, los funcionarios que verán como el día de mañana contarán con más personal, porque este tipo de casos se ha triplicado con respecto al ejercicio anterior.   

A continuación os dejamos el texto recibido:

“Por razones de seguridad sabia enviado este mensaje como un archivo adjunto. Esta medida se adopto para evitar el robo de informacion personal y la perdida de datos. Por favor,no responda a este e-mail.E-mail enviado a esta direccion no puede recibir respuesta. Para obtener ayuda, introduzca su linea CajaMadrid enlace y elige “Ayuda” de la pagina. Para recibir notificaciones por correo electronico en texto sin formato en lugar de HTML, por favor actualice sus preferencias”.

(c) Caja Madrid. 2001 – 2009. Espana. Todos los derechos reservados.

Fuente: Internet

Fecha: 18 de febrero de 2009

Nota: texto extraído de un correo electrónico recibido el 17 de febrero de 2009.

Jorge Hierro Álvarez

Consultoría de Nuevas Tecnologías e Internet

http://www.jorgehierro.es

http://www.jorgehierro.wordpress.com

http://www.jorgehierro.blogspot.com

Un escaparate en el que se habló de seguridad, educación, problemas con el software actual, dificultades para reducir el cibercrimen y otros asuntos de interés

Sin lugar a dudas, es difícil saber cuales son los métodos para controlar el sistema, tanto el físico como el virtual, ya que no es sencillo estar encima de todas las cosas que pasan, ni siquiera con los amplios sistemas de comunicaciones que se han introducido en los últimos años y las herramientas creadas para controlar los accesos a la información en las organizaciones, instituciones o empresas. La tecnología crece, pero también aquellas personas que viven fuera del sistema y crean redes para sustraer datos (caso de Monster Inc en Estados Unidos), o bien, para sustraer dinero de las cuentas de algunos clientes que pican cuando abren un correo electrónico (Phishing), que en el fondo son dos prácticas delictivas que traen de cabeza, por ejemplo, a los Cuerpos y Fuerzas de Seguridad del Estado en el caso español. El I Encuentro Internacional de Líderes en Seguridad Informática (1st Security Blogger Summit) organizado por la empresa Panda en el Círculo de Bellas Artes (Sala de Columnas) fue un acto que nos supo a poco debido a la amplitud de temas relacionados que se abordaron en función de la esencia de la reunión, que es la preocupación que tenemos todos acerca de la seguridad informática dentro de Internet (navegaciones, uso de las redes sociales, transacciones financieras, virus, aparición de malware en los equipos), y qué conjunto de medidas podemos adoptar para mejorar las comunicaciones, seguridad y confianza entre los internautas, empresas, desarrolladores y probadores de Software. Entre los ponentes, destacaron los comentarios de la mayoría de profesionales que nos acercaron a la complejidad de algunos de los procesos desde la llegada de Internet como plataforma de comunicación para las empresas, o bien, para captar nuevos clientes y poder llegar al mayor número de personas para despertar el interés en la información que damos o producto que vendemos.

Bruce Schneier, autor de numerosos libros sobre seguridad y articulista en numerosos medios de comunicación, despertó un concepto relacionado entre seguridad y le economía actual del mercado, por la sencilla razón del pertinente crecimiento de la demanda de acceso a Internet y adquisición del equipamiento necesario para poder trabajar conectado y utilizando los programas habituales.

Andy Willingham y Steve Regan, ambos provenientes del mundo de la consultoría y expertos en temas de seguridad (empresas, proyectos de encriptación de datos), mencionaron el control de los procesos, los motivos del estancamiento en la investigación y dotar de soluciones al sistema para paliar los problemas derivados de los virus informáticos, con especial mención a la educación, factor que suscitó opiniones diversas acerca de qué agentes sociales tienen la obligación y potestad de acercar los peligros del uso de las tecnologías (Estado, iniciativa privada, cambios en el sistema educativo).

Byron Acohido, experto en diversos medios de comunicación (USA Today, Seatle Times) se sensibilizó con los fraudes de datos, siguiendo el esquema presentado por Steve Regan y el ejemplo expuesto acerca del caso de Monster Inc en Estados Unidos, sociedad dedicada a la captación de trabajadores y búsqueda de empleo (ofertas, demanda, foros especializados).

Y, en el caso de los ponentes españoles, se contó con la participación de Javier Villacañas (periodista de COPE), Sebastián Muriel (Director General de Red.es), Francisco A. Lago (INTECO), Antonio Ortiz (Error 500), un representante de la Guardia Civil experto en delitos informáticos y José Franco, que se encargo de moderar el acto (Panda) e introdujo el inglés en toda la jornada para moderar el congreso.

Las claves, como hemos comentado, se centraron en entender cómo es posible disminuir los ataques informáticos que atentan contra la seguridad de los sistemas, es decir, de los equipos informáticos y servidores, pero sin olvidarnos de las nuevas formas de almacenamiento vía Internet o de todos los procesos que desde hace unos años para acá estamos desarrollando en la red.

Por lo tanto, enumerando algunos de los temas expuestos (seguridad online, confianza, educación, búsqueda de soluciones globales para paliar los delitos, mejora del software, integración de un conjunto de soluciones dentro del sistema operativo) nos hemos encontrado con unas estadísticas enunciadas por el representante del Instituto Nacional de Tecnologías de la Comunicación (INTECO), en las que se comenta que de cuatro usuarios hay tres que conviven con malware u otro tipo de peligros en su equipo informático.

Una de las preguntas es, ¿cómo podemos estar a salvo de virus u otros errores detectados por le uso de determinados programas que ya vienen instalados? Por lo tanto, la solución no pasa por la selección de un adecuado software antivirus, sino en tener cuidado cuando navegamos por la red, o bien, que dispositivos compartimos en red, o que tipo de archivos abrimos a través del correo electrónico (etc). El uso de las redes sociales levantó alguna que otra ampolla con respecto a la finalidad y captación de los datos. En definitiva, el encuentro sirvió para conocer algunas de las tendencias y problemas conocidos por todos.

En la preocupación quedan los problemas técnicos que tiene, en este caso la Guardia Civil en el caso español, para rastrear las direcciones IP, dominios o portales que han sido desarrollados en otro país fuera de la Unión Europea (UE) y que se dedican a actividades relacionadas con los ciberdelitos y el cibercrimen.

Asimismo, se solicitó la coordinación de todas las policías internacionales para paliar o reducir este tipo de actividades, aunque como se planteó, Internet sigue creciendo de forma desmesurada y no hay leyes iguales en todos los países con respecto a un código de conducta universal en materia de Sociedad de la Información.

Para más información:

http://www.securitybloggersummit.com

Jorge Hierro Álvarez

Consultoría de Nuevas Tecnologías e Internet

http://www.jorgehierro.es

http://www.jorgehierro.wordpress.com

http://www.jorgehierro.blogspot.com

La nueva variante del caballo de troya es OSX.Trojan.iServices.B. Dicha variante afecta a algunas copias de Adobe Photoshop que se están distribuyendo a través de varios sitios de software pirata. Según indica Intego, “el instalador actual de Photoshop está limpio, pero el caballo de troya se encuentra en una aplicación de crack que se encarga de serializar el programa.”

Esta aplicación de crack instala una puerta trasera en el directorio /var/tmp, copia un ejecutable a /usr/bin/DivX y guardar la contraseña hash del usuario root en el archivo /var/root/.DivX/, según indica Intego. Entonces escucha en un puerto TCP aleatorio e intenta realizar conexiones de una forma repetida a dos direcciones IP. Intego concluye que el creador del malware utiliza este sistema para ser avisado y para acceder a los mac afectados de modo que pueda realizar diversas tareas en remoto.

Tal y como se indica en el aviso de seguridad de Intego, “el caballo de troya también puede descargar componentes adicionales sobre el Mac infectado”.

Europa se informatiza

Sobre cinco ejes, la Sociedad de la Información, término acuñado por la Comisión Europea para definir el impulso necesario para informatizar a la sociedad del viejo continente, se han construido un programa que pretende hacer llegar a la ciudadanía, instituciones, empresas y al sistema en sí un desarrollo necesario con el fin de que todos los agentes sociales participen en un modelo integrador y no único, ya que en Estados Unidos y Canadá se ha tomado ejemplo de una iniciativa que lleva más de ocho años sobre la mesa. Parece que en el año 2010, con motivo de los cambios de protocolo, asunto que ya adelantó la Comisionada de la UE para los temas relacionados con esta área, los esfuerzos se centrarán en cinco ejes, como procuraremos detallar, y que son las claves del futuro.

El Plan de Acción sobre Administración Electrónica i2010 está destinado a hacer más eficaces los servicios públicos, a modernizarlos y a ajustarlos mejor a las necesidades de la población, según el texto que hemos extraído de la Comisión Europea.

Por otro lado, se proponen una serie de prioridades así como una hoja de ruta con objeto de acelerar la implantación de la administración electrónica en Europa. Siguiendo la lectura, el programa cuenta con cinco ejes prioritarios:

·        Acceso para todos.

·        Mayor eficiencia.

·        Servicio de administración electrónica de gran impacto.

·        Establecer las herramientas claves.

·        Mayor participación en el proceso democrático de decisión.

Siguiendo estas directrices, observamos por donde van a ir algunas de las ideas de negocio, que es el de acercar Internet y las nuevas plataformas de comunicación a los ciudadanos. La participación social en el proceso democrático es una realidad vistas las conclusiones de los últimos congresos, ya que en la red se ha conseguido crear una respuesta en tiempo real acerca de un contenido publicado en, por ejemplo, un medio de comunicación o Blog, así como una respuesta por medio de los foros e incluso en las redes sociales, que han facilitado el intercambio de ideas y conocimientos, al menos las más profesionales.

Por su parte, no podemos olvidar el concepto de brecha digital, término que implica un desbarajuste en el nivel de entendimiento, provocado por la dificultad en los accesos y por el nivel de formación de algunos colectivos en esta materia.

La eficiencia de la administración electrónica dependerá muy mucho de la aceptación y asimilación del concepto, el cual es clave para conocer e interpretar la realidad de nuestro tiempo.

No es sencillo que todas las empresas y entidades estatales versen su lenguaje en una misma aplicación contable, pero en el futuro se intentará crear una plataforma por igual, para que se puedan traducir los distintos códigos y la información esté almacenada y organizada por sencillos sistemas de búsqueda.

De esta manera, para antes de 2010, la Comisión Europea pretende crear la figura del archivo electrónico, que procurará sintetizar la información. Dentro de los retos, es evidente que el protocolo de comunicación debe de mejorar, es decir, que las direcciones IP, que corren el riesgo de agotarse, así como las aplicaciones que manejamos en la actualidad precisan de un soporte y una mayor adecuación a la demanda de la sociedad, sobre todo aquellas empresas que se dedican a los sistemas de comunicación. Vistas las claves, ha llegado la hora de hacer negocio y adecuarnos a un sistema novedoso.  

Jorge Hierro Álvarez

Consultoría de Nuevas Tecnologías e Internet

http://jorgehierro.wordpress.com