Quienes trabajamos o hemos trabajado con las empresas y su seguridad de la información, sabemos que uno de los principales mitos a destruir cuando se trata del mundo corporativo es que la seguridad de la información no se trata únicamente de “protegerse contra los hackers“. Y cuando hablamos de “hacker” no hablamos en el término que quienes trabajan en seguridad entienden, sino al cibercriminal que se conectará remotamente a la red de la empresa y generará daños, porque le gusta o porque obtiene una ganancia. De lo que estamos hablando es de la creencia de que la seguridad de la información solo debe ocuparse de los ataques externos por parte de atacantes maliciosos. Sobre este tema, aparecía la semana una interesante noticia relacionada a este tema: el popular diario New York Times se convirtió en emisor de spam al enviar más de 8 millones de correos no deseados. ¿Cómo ocurrió este incidente de seguridad? Todo se ha dado por este peculiar personaje presentado en el título de este post: el inocente atacante interno.

Tal como indica el reporte del diario, el correo fue enviado por accidente por un empleado (supuestamente el correo estaba destinado solo a 300 personas). El mismo indicaba que el usuario había pedido la cancelación del servicio y ofrecía un 50% de descuento para renovar el uso del mismo. De esta forma, por un pequeño error, uno de los diarios más importantes del mundo fue acusado de spammer durante muchas horas en redes sociales, como así también se inundó de sospechas sobre posibles “hackeos” al diario.

Entre los impactos, también debe considerarse la exposición de información confidencial: la costumbre del diario de ofrecer descuentos a quienes cancelen su suscripción, lo cual puede motivar a muchos usuarios a pedir la misma para recibir el descuento, lo cual podría impactar en una pérdida económica para la organización.

Este pequeño incidente de seguridad, por el cual el diario envió 8 millones de correos de spam, pone en evidencia lo presentado en la introducción: los incidentes de seguridad no siempre son ocasionados por atacantes externos, como así tampoco no siempre son causados con fines maliciosos, sino que muchas veces se trata simplemente de un error. Estos incidentes (los internos y no intencionados) también son un problema de seguridad de la información que muchas compañías suelen obviar.

Una correcta gestión de la seguridad en las empresas debe abarcar los cuatro posibles incidentes:

1. Riesgos por incidentes externos y maliciosos (aquí se encuadra el cibercrimen).
2. Riesgos por incidentes externos y no maliciosos
3. Riesgos por incidentes internos y maliciosos
4. Riesgos por incidentes internos y no maliciosos

Sin embargo, en muchos casos solo se considera el primero de ellos, subestimando o directamente obviando los riesgos asociados a los otros tipos de incidentes.

Los responsables de seguridad de las empresas deben considerar todas estas variables si planean gestionar eficientemente la seguridad de la información en el entorno corporativo. El “atacante” interno y no malicioso también debe ser tenido en cuenta al momento de evaluar los riesgos. Si no pregunten al New York Times.

Sebastián Bortnik
Coordinador de Awareness & Research

Categories: Curiosidades, Spam
No Comments »

Una de las noticias más importantes de la última semana, fue el anuncio de Hotmail relacionado a nuevas funcionalidades de seguridad en su servicio de correo electrónico. Desde la semana pasada, existen nuevas características en el webmail que aportan mayores niveles de protección para que los usuarios no sean víctimas de un ataque de hijacking del correo, que robe la cuenta al usuario y utilice su identidad o robe información dentro de la cuenta. Algunas de estas funcionalidades son muy sencillas, pero aportan bastante seguridad al sistema, aunque vale destacar que algunas de ellas, en el año 2011, no tienen mucho de novedoso. Veamos…

En primer lugar, desde el blog de Microsoft anunciaron una nueva funcionalidad para reportar que un “amigo fue hackeado“. De ahora en más, cuando recibas un correo electrónico que sospeches es un spam o amenaza informática, pero que provenga de una cuenta de un contacto conocido, será posible alertar a Hotmail sobre la posible intrusión a la cuenta de correo:

De esta forma, cuando se denuncie una cuenta Hotmail analizará la situación y, en caso de determinarse que es probable que la cuenta haya sido controlada por un atacante, se disparan en ese momento dos acciones:

• En primer lugar, la cuenta no puede ser más utilizada por un spammer.
• Cuando el usuario se vuelva a loguear, será sometido a un proceso de recuperación de la cuenta.

Ver más… »

Categories: Phishing, Spam
No Comments »

Uno de los primeros y principales beneficios de Internet fue la posibilidad de poder enviar correos electrónicos. Rápidamente esto se torno una actividad muy popular la cual comenzó a ser utilizada cada vez con mayor frecuencia. Hoy en día ya se trata de una actividad diaria realizada por millones de personas.

Como era de esperarse, este medio de difusión masivo no tardo en convertirse en el blanco de usuarios malintencionados. Es así como surgieron las famosas cadenas de correo, mensajes enviados de forma masiva cuyo contenido varia desde llamados a la solidaridad en busca de niños perdidos hasta la recolección de firmas en contra de la publicación de películas inexistentes.

Por lo general, y lamentablemente, la gente cree lo detallado en las cadenas de correos ya que estas poseen una gran cantidad de datos y supuestos hechos que avalan el mensaje en cuestión.  El problema es que la tendencia del lector normal es no verificar esta información y simplemente hacer clic en el botón “Reenviar” (Forward) para luego hacer llegar este mensaje a todos sus contactos.

Ver más… »

Categories: Educación, Informes, Spam
1 Comment »

Los famosos spam (o correo no deseado), comenzaron a mediados de los 90, en el auge de la generalización de Internet y, con el tiempo, se han convertido en uno de los principales canales de comunicación abusivos. Se estima, según el Grupo de Trabajo de Anti Abuso de Mensajes (MAAWG), que en los últimos 18 meses los mensajes no deseados conformaron entre el 88 y el 91% de los correos electrónicos existentes en el mundo. Según sus estadísticas, sólo 1 de cada 10 mensajes, fue enviado con un fin legítimo.

Estos estafadores se hacen con listas de correos electrónicos y envían indiscriminadamente correos no solicitados. La pregunta es, ¿cómo es posible que obtengan esas direcciones si las personas no las proporcionaron? Para eso, existen varias alternativas. Algunas de ellas, las trataremos a continuación:

Cadenas de correos: Los famosos correos conocidos como hoax, con mensajes sobre niños desaparecidos que nadie conoce, grandes organizaciones que donan 0,01 centavos cada vez que el e-mail se reenvíe, personas con raras enfermedades, entre otras. Estos correos son reenviados masivamente en la red, es decir, mucho del spam viene de contactos conocidos y por eso, es un mayor desafío filtrarlo. En el encabezado de los mismos, normalmente se acumulan visiblemente las direcciones, ya que muy pocos utilizan el CCO (BCC en inglés).  Debido a eso, nunca se puede estar seguro que ese correo no será reenviado por muchas personas, tantas veces, hasta que termine en manos de alguien que se dedique a vender direcciones a los delincuentes.

Ver más… »

Categories: Curiosidades, Spam
No Comments »

Sin lugar a duda el spam es una de las técnicas que se ha sostenido a lo largo de los años por los delincuentes informáticos. Dicha técnica consiste en el envío masivo de publicidad no solicitada por el usuario. Ya hace algún tiempo atrás, uno de los servidores desde donde se enviaba masivamente spam fue dado de baja gracias al FBI. En este nuevo post vamos a compartir con ustedes un nuevo mensaje de spam que se encuentra propagando a nivel mundial.

Por lo pronto, es importante que al recibir estos correos de dudosa procedencia estén atentos los usuarios. Les recomendamos utilizar los mecanismos para descubrir enlaces engañosos.

Claudio Cortés Cid
Especialista de Awareness & Research

Categories: Malware, Spam
No Comments »