SOS ingeniería social

Quizá en alguna discoteca (si eres generación X) o en algún antro (si eres más joven) entregaste información personal mientras interactuabas con otras personas. Detente un momento y busca en tus archivos mentales, seguramente encontrarás varios recuerdos. Tal vez lo hiciste con esa persona que te gustaba: le diste tu nombre, le dijiste si estudiabas o trabajabas, en dónde, tus horarios, tu teléfono o WhatsApp, tu Face, y ya más entrados en confianza, hasta tus gustos, tus creencias, tus afinidades, responsabilidades y tal vez hasta alguno que otro miedo. Esto es muy normal en una interacción humana, después de todo, somos una especie social. Ahora bien, imagina este mismo ejemplo, pero con una persona que a través del arte de la manipulación busca obtener esta información con otros fines. Puede que lo haga personalmente, o tal vez utilice alguna de tus redes sociales, lo haga vía telefónica, por correo o a través de alguna aplicación. A esta práctica se le conoce como Ingeniería Social.

Y en palabras simples, ¿qué es la ingeniería social? Según Kaspersky, es “…la ciencia y arte de hackear a seres humanos…”, “…es un conjunto de técnicas empleadas por los cibercriminales para engañar a los usuarios incautos para que les envíen datos confidenciales…”.
Con esta definición en mente y tomando en cuenta las motivaciones de los hackers, podemos concluir que esta práctica tiene como objetivo final ejecutar algún ataque a personas o a organizaciones.

¿Cómo lo hacen?
Parte fundamental es la interacción humana. Los hackers buscan el contacto con las personas para granjearse cierto nivel de credibilidad siendo empáticos, asertivos y amigables. De esta forma logran ganarse la confianza de sus víctimas. O, por el contrario, puede que se muestren coercitivos al plantear un escenario de gravedad, urgencia o algún problema que dará pauta a discursos de manipulación con los que el criminal solicitará a su víctima información útil para perpetrar el ataque. Seguramente has escuchado acerca de las famosas estafas telefónicas o por correo electrónico en donde los criminales se hacen pasar, entre otras cosas, por organizaciones como bancos, agencias o entidades gubernamentales para solicitar datos personales y confidenciales. También están aquellas en las que te piden entrar a alguna página web o descargar archivos y/o aplicaciones desde tu correo o smartphone. Algunas de las técnicas más utilizadas son el phishing y, más recientemente, el vishing.

Todo en este mundo tecnificado y conectado está en constante crecimiento, por lo que día a día observamos nuevos servicios, nuevos productos y nuevas aplicaciones que facilitan la interacción con otras personas y con nuestro trabajo. Asimismo, los hackers también crean día a día nuevas formas, técnicas y herramientas para desarrollar sus actividades ilícitas. Desde hurgar en los cestos de basura de sus posibles víctimas (Dumpster Diving) e infiltrarse físicamente al medio ambiente para ver, escuchar y obtener información confidencial (como usuarios y contraseñas de sistemas y aplicaciones), hasta usar técnicas y herramientas más sofisticadas como software malicioso o malware (acrónimo del inglés malicious software). Estos son programas desarrollados para infiltrarse en los sistemas de las victimas con el objetivo de dañar, robar o secuestrar información.

En nuestros próximos capítulos, hablaremos de algunas de las técnicas y herramientas más utilizadas por los hackers: qué son, cómo funcionan, cuáles son las más famosas y algunos consejos de prevención.

Para terminar, somos una especie social. Disfrutamos compartir momentos con otras personas. Experimentamos sorpresa, miedo, alegría, tristeza e ira. Debemos recordar que son justamente estas emociones las que son explotadas a través de la ingeniería social, por lo que nuestras recomendaciones no son el aislamiento y el miedo, sino SER conscientes de estos riesgos y amenazas latentes y actuar en consecuencia. Sé incrédulo, cuestiona, no confíes en desconocidos, pregúntate si tiene sentido esa llamada telefónica, revisa ese correo o ese mensaje antes de dar clic. Infórmate, pregunta, comparte, pide apoyo, recuerda que “más del 99 por ciento de los ciberataques dirigidos dependen de la interacción humana para tener éxito”, pues el eslabón más débil en la cadena de seguridad somos nosotros, los humanos.

Eleazar Cruz
Consultor en Ciberseguridad Estratégica

Referencias:

El regalo inesperado

Con las nuevas tecnologías, no podemos evitar que los niños estén en contacto con los medios digitales; por lo tanto, debemos tomar precauciones.

En las pasadas fiestas decembrinas, hubo muchísimos regalos y peticiones para Santa; tal vez, los pequeños habían encargado algún dispositivo como: teléfonos inteligentes, consolas, tabletas, etc. Y en algunos casos, muchos pequeños fueron premiados con alguno de ellos.

Hoy, llegan al colegio estrenando y compartiendo que han aprendido cómo utilizarlos al máximo. Es impresionante ver que, a tan corta edad, puedan manipular un dispositivo e incluso, sin haber leído un instructivo previo, haciéndolo todo por intuición. Es ahí donde, como padres debemos estar al tanto de sus actividades, de los accesos que les estamos otorgando o, peor aún: debemos ser conscientes de que les dejamos totalmente abierta la puerta a un mundo digital que está lleno de riesgos y amenazas. Por tal motivo, no debemos bajar la guardia y debemos actualizarnos constantemente, debemos convertirnos en monitores con el fin de proteger la seguridad de nuestros pequeños. Tenemos que concientizarlos acerca del uso adecuado de sus dispositivos y hablarles abiertamente de las consecuencias que existen al manipularlos indebidamente o al jugar con contenido inapropiado.

Cuando nuestros pequeños comienzan a experimentar con aplicaciones populares como las que les permiten crear sus propios videos llenos de contenido inimaginable -hacer caras chistosas, bailar, contar un chiste, imitar a alguien, posar, etc.- y lo hacen sin establecer controles de privacidad adecuados, por lo que corren el riesgo de ser contactados y acosados por personas sin escrúpulos e incluso, con intenciones perversas.

Recuerda que el ciberacoso es una forma de acoso y agresión que se produce entre pares teniendo como medio el Internet, el celular u otra tecnología, con la intención de propagar mensajes o imágenes crueles que son visualizadas por varias personas. La reproducción rápida de mensajes y su permanencia en la web resultan una pesadilla para la víctima.

Lo anterior está demostrado por las estadísticas que indican que el 44.7% de alumnos en México ha sufrido algún acto de ciberacoso como violencia verbal, psicológica y física según la OCDE.

Hay un gran peligro que corren nuestros pequeños al grabarse y compartir el contenido con amigos o al subirlo a sus redes sociales; están permitiendo que su intimidad quede expuesta en la red sin saber que pueden ser víctimas de acoso, burlas o amenazas. Por supuesto, sabemos que el mundo digital no es del todo malo, pero ellos tienen que estar preparados e informados para saber cómo actuar y cómo comunicar cualquier tipo de circunstancia en donde se sientan amenazados, intimidados e inseguros. Fomentemos en casa un sano ambiente de comunicación y de confianza con nuestros chicos, así nunca tendrán la necesidad de ocultarnos nada.
Les dejo algunos consejos para que nuestros niños no corran el riesgo de ser acosados por ciberdelincuentes:

  • Si les obsequias algún dispositivo asegúrate de protegerlo con los controles parentales.
  • Platica abiertamente de las consecuencias que existen si comparten contenido de índole sexual.
  • Recuérdales que su intimidad es privada y que no tiene que exhibirse con nadie, ni con sus amigos.
  • Nadie los puede obligar a hacer retos para poder formar parte del grupo de amigos.
  • Nunca deben acceder a las aplicaciones que no son apropiadas para su edad.
  • Si deciden crear su red social cuando son menores de edad, forzosamente tiene que estar bajo supervisión de algún adulto
  • Por ningún motivo deben aceptar solicitud de amistad de ningún extraño
  • Adviérteles que una vez que comparta contenido inapropiado no lo podrán recuperar.
  • Revisa las políticas de privacidad de las aplicaciones que quieran usar.
  • Revisa periódicamente sus actividades en el dispositivo.
  • Platica constantemente sobre cuáles son las aplicaciones que le llaman la atención y por qué.

Permítete ser un principiante, nadie empieza siendo perfecto.
Por Lupita Mejía

Recomendaciones para instituciones educativas (Segunda parte)

Parte 2

En la entrega anterior describimos algunos riesgos de instituciones educativas cuando deciden introducir plataformas digitales como habilitadores de métodos educativos. Ahora nos centraremos en mayor medida en recomendaciones.

Escuelas Ciberseguras recomienda:

Para la plataforma tecnológica (de un tercero o hecha en casa), ya sea que estén por seleccionarla o ya se encuentre en producción, es necesario:

  • Revisar que el fabricante o proveedor demuestre los controles de seguridad para prevenir un incidente de seguridad (violaciones de privacidad, robo de información, etc.)
  • Solicitar un reporte de análisis de riesgos de la plataforma tecnológica.
  • Validar que cuente con protocolos de actuación y de comunicación en caso de ocurrir un incidente de seguridad.
  • Validar las implicaciones legales, administrativas y de reputación a las que estaría sujeta la institución.

Para los dispositivos móviles, es necesario normar:

  • La edad a partir de la cual está permitido el uso de dispositivos móviles, además de los horarios y tipo de uso dentro de las instalaciones de la institución educativa.
  • El acceso y uso a través de dispositivos móviles de la red e internet que la institución educativa proporciona.
  • Las aplicaciones autorizadas en los dispositivos móviles que se utilizan como un instrumento adicional del proceso educativo.
  • El uso de antivirus en todos los dispositivos que se conecten con la red escolar.
  • El monitoreo de las actividades que ocurren en la red y el filtro de contenidos inapropiados.

Educar en Conciencia y Civismo Digital:

  • Establecer sesiones de civismo digital acordes a la edad de la comunidad educativa y su nivel de interacción con las plataformas digitales.
  • Implementar un programa de concienciación periódico dirigido a padres de familia con el fin de mantenerlos actualizados y de apoyarlos en la toma de decisiones sobre los riesgos y cuidados de su núcleo familiar en el uso e interacción con plataformas tecnológicas.
  • Adoptar políticas y normativas de uso y respeto entre la comunidad a través de plataformas tecnológicas mediante responsivas y cartas compromiso aceptadas y firmadas por todos los miembros de la comunidad educativa.

“Recuerda, el segundo hogar de nuestros niños y jóvenes es la escuela. Edúcalos, hazlos conscientes, guíalos y protégelos en su adopción e interacción con las plataformas tecnológicas.”

Por Ana Cecilia Pérez

Recomendaciones para instituciones educativas

Parte 1

Hoy en día la educación continúa evolucionando gracias a los avances tecnológicos. Estos permiten que los alumnos interactúen con plataformas tecnológicas que proporcionan un aprendizaje interactivo y lúdico de conceptos, teorías y nuevas formas de solucionar problemas y entender el mundo.

Internet: su uso en instituciones educativas se ha vuelto fundamental. Las enciclopedias y bibliotecas físicas que se utilizaban en investigaciones para cumplir con una tarea o como método de estudio para un examen quedaron atrás. Internet se ha convertido en la biblioteca digital más completa (tanto de información cierta como falsa).

Cuando una institución educativa decide introducir plataformas digitales como habilitadores de métodos educativos, es importante que tomen en cuenta las siguientes recomendaciones:

  • Establecer su política de uso de internet
  • Establecer responsabilidades, compromisos y sanciones
  • Implementar controles que permitan filtrar y bloquear contenido no apto o autorizado para la comunidad educativa
  • Implementar sesiones de educación (Civismo digital) y concienciación sobre las amenazas y peligros del internet

Es importante que la institución educativa se asegure de tener las respuestas a las siguientes preguntas:

Si se comete un crimen como los siguientes a través de alguna de sus plataformas digitales, ¿la institución educativa sabe cómo reaccionar?

  • Una extorsión
  • Un fraude
  • Ataques cibernéticos a otras entidades
  • Conspiraciones
  • Robo de información
  • Aprovechamiento de recursos tecnológicos de otra entidad
  • Etc.

Si un miembro de su comunidad realiza alguna de las siguientes acciones, ¿la institución educativa sabe cuáles son sus obligaciones legales?

  • Suplantar la identidad de un compañero
  • Traficar con información del colegio
  • Conspirar con otros miembros para cometer un acto ilícito

Si la comunidad educativa fuera víctima de alguna de las siguientes situaciones, ¿sabe cómo responder?

  • Robo de datos personales de miembros de su comunidad
  • Extorsión a través del secuestro de su información y de la imposibilidad de continuar con sus actividades en sus plataformas digitales
  • Uso de la plataforma tecnológica para la minería de datos, ya sea a través de miembros de su comunidad o personas ajenas a esta

¿Cuenta con políticas de uso de las Plataformas de colaboración?

Estas plataformas ampliamente manejadas en el ámbito profesional son también utilizadas para que los estudiantes trabajen de manera colaborativa, sin embargo, estas a su vez podrían prestarse para:

  • Agredir
  • Humillar
  • Compartir información ofensiva
  • Compartir información no relacionada con el ambiente y objetivos escolares
  • Suplantación de identidad

Al seleccionar las plataformas de colaboración, es importante que la institución educativa revise no sólo las funcionalidades tecnológicas, sino también temas de seguridad como:

  • Los controles y el compromiso del proveedor y fabricante con respecto a la protección de información que se almacenará, procesará y/o transmitirá desde su plataforma.
  • Líneas de acción y sanciones en caso de que el proveedor de la plataforma sea víctima de un robo de información que comprometa a la institución educativa.

Redes sociales: hoy en día uno de los medios de comunicación más utilizado son las diversas plataformas de redes sociales, ya sean propias de la institución o las redes privadas de cada integrante de la comunidad educativa. Por este motivo es importante establecer reglas sobre su uso, publicación, actuación, etc. Por ejemplo, se debe normar qué información SI y qué información NO puede publicarse:

  • Resguardar la información personal de los miembros de la comunidad
  • Evitar comentarios relacionados con temas controversiales como religión, política, etc.  utilizando el nombre de la institución educativa
  • Evitar mensajes inapropiados entre miembros de la misma comunidad
  • Evitar publicar posturas sobre temas públicos en nombre de la comunidad

En nuestra siguiente publicación encontrarás las recomendaciones que Escuelas Ciberseguras brinda a tu institución educativa...

Por Ana Cecilia Pérez

Amor en el ciberespacio: Edición de San Valentín


Nuestros amigos del Center for Cyber Safety and Education nos comparten esta publicación donde nos brindan recomendaciones para protegernos de fraudes cibernéticos en el próximo Día de San Valentín.

Ahh ¡el amor está en el aire! Con el Día de San Valentín a la vuelta de la esquina, los minoristas están en plena vigencia tratando de vender tantas cajas de chocolate y ramos de flores como sea posible. Pero hay otra industria que ve un aumento del tráfico durante este tiempo … ¡aplicaciones de citas y redes sociales! Si está buscando una conexión amorosa en el Día de San Valentín, es probable que esté pensando en probar suerte en una de las muchas aplicaciones de citas ahora disponibles. Si bien queremos que encuentres tu media naranja, es importante tener en cuenta los peligros de las citas en línea a través de estafas de romance. 

La Comisión Federal de Comercio (FTC) de los EEUU muestra que las estafas de romance han generado más pérdidas reportadas que cualquier otro tipo de fraude al consumidor . Teniendo en cuenta los diversos tipos de fraude, esto es sin duda algo de qué preocuparse. Estos estafadores son expertos en construir su confianza y le brindarán atención … y luego pedirán dinero. Por lo general, quieren el dinero por transferencia bancaria o tarjeta de regalo. Podrían afirmar que lo necesitan para una emergencia médica o para visitarlo. Usted envía el dinero y con gusto se lo llevan, pero no hay emergencia médica y no van a verlo. Las excusas pueden volverse infinitas en cuanto a por qué necesitan más y más dinero.

Antes de deslizar hacia la derecha y comenzar una conversación íntima con un admirador secreto para el Día de San Valentín, considere lo siguiente:

  • Nunca envíe dinero o regalos a un contacto en línea que no haya conocido en persona.
  • Tómelo con calma. Haga preguntas y busque respuestas inconsistentes.
  • Verifique la foto de la persona utilizando la función de «búsqueda por imagen» de su motor de búsqueda. Si la misma imagen aparece con un nombre diferente, es una bandera roja. Incluso puede buscar en Google el nombre de la persona y ver si aparece algo que parezca sospechoso.
  • Hable con alguien sobre este nuevo interés amoroso. Y preste atención si sus amigos o familiares están preocupados. Pueden estar notando algo que usted no percibe.
  • Si sospecha una estafa romántica, interrumpa el contacto de inmediato. Luego, informe a la estafa a su banco si realizó una transferencia bancaria y si se encuentra en EEUU a la FTC en  ftc.gov/complaint 
  • ¡No olvide notificar también al sitio de citas donde conoció al estafador!

Si envió dinero con una tarjeta recargable, al menos puede comunicarse con la compañía y explicar la situación. No hay garantía de que puedan ayudar, pero puede intentarlo. No olvide pensar con la cabeza y no con el corazón este día de San Valentín. Si termina en una situación en la que cree que se ha convertido en una víctima de una estafa, recuerde mantener la calma y siga los consejos anteriores. Si se encuentra en los EEUU informe el incidente a ftc.gov/complaint  o llamando al 1-877-FTC-HELP (382-4357). Para obtener más ayuda, visite la información para el consumidor sobre estafas románticas en el sitio web de la FTC.

Hackers más notables

  • Kevin Mitnick
    • Conocido como “El Cóndor”.
    • Calificado como “El criminal informático más buscado de la historia de EEUU”.
    • En 1981, fue acusado de robar manuales de computadora a Pacific Bell.
    • En 1982, pirateó el Comando de Defensa de Estados Unidos (NORAD) que inspiró la película «Juegos de guerra» de 1983.
    • En 1989, pirateó la red de Digital Equipment Corporation (DEC) y realizó copias de su software.
    • Fue arrestado en 1995, condenado y enviado a prisión. Durante su período de libertad condicional, pirateó los sistemas de correo de voz de Pacific Bell.
    • Tras ser puesto en libertad en 2002 se dedica a la consultoría y el asesoramiento en materia de seguridad a través de su compañía Mitnick Security.
Kevin Mitnick.
Fuente: BBC

En el transcurso de su carrera como hacker, Mitnick no utilizó  el acceso ni los datos adquiridos para obtener algún tipo de ganancia personal. Aunque se cree que llegó a hacerse con el control total de la red de Pacific Bell, Mitnick no intentó aprovecharse de los resultados; al parecer, solo quería probar que podía hacerlo. Al final, Mitnick se convirtió en un hacker «bueno», aunque existen versiones que defienden lo contrario.

  • Kevin Poulson
    • Conocido como Dark Dante.
    • En 1983, con tan solo 17 años, pirateó ARPANET (la red informática del Pentágono) y fue atrapado. El gobierno decidió no acusarlo ya que era menor de edad en el momento del incidente, por lo que lo pusieron en libertad con una advertencia a la que haría caso omiso.
    • En 1988, pirateó una computadora federal y logró acceder a archivos que contenían información acerca de Ferdinand Marcos, presidente destituido de Filipinas.
    • En 1990 pirateó las líneas telefónicas de la radio KIIS-FM de Los Ángeles para asegurarse la llamada número 102 y ganar así un Porsche 944 S2, un paquete de vacaciones y 20,000 USD.
    • Fue apresado tras atacar una base de datos del FBI en 1991. Se le prohibió usar una computadora por un período de tres años.
Kevin Poulsen
Fuente: Wikipedia

Desde entonces, se ha reinventado y se le considera un periodista serio que escribe sobre seguridad informática como editor sénior de Wired.  En 2006ayudó a identificar a 744 abusadores de niños vía MySpace.

  • Adrian Lamo
    • Conocido como “El hacker vagabundo” por no tener una dirección fija y realizar todos sus ataques desde cibercafés y bibliotecas.
    • En 2001, con 20 años, utilizó una herramienta de administración de contenido no protegida en Yahoo para modificar un artículo de Reuters y agregar una cita falsa atribuida al ex-fiscal general John Ashcroft.
    • En 2002, se infiltró en la intranet de The New York Times, se incluyó en la lista de fuentes expertas y comenzó a realizar investigaciones sobre personajes públicos de alto perfil.
    • En 2010, ya con 29 años, se enteró de que padecía trastorno de Asperger. Algunos expertos creen que esto explica la entrada de Lamo al mundo de los hackers; se sabe que el trastorno de Asperger se manifiesta con mayor frecuencia en esta comunidad.
Adrian Lamo
Fuente: Wikipedia

Con frecuencia, Lamo infiltraba sistemas y posteriormente notificaba a la prensa y a sus víctimas; en algunos casos, los ayudó a resolver el problema para mejorar su seguridad. Actualmente trabaja como periodista.

  • Michael Calce
    • Conocido como «Mafiaboy».
    • En febrero de 2000, con tan solo 15 años, descubrió cómo tomar el control de las redes de computadoras universitarias y utilizó sus recursos combinados para causar problemas al motor de búsqueda número uno en ese entonces: Yahoo. En el lapso de una semana, hackeó algunos de los sitios web comerciales más grandes del mundo: Dell, eBay, CNN y Amazon. Utilizó un ataque de denegación de servicio distribuido dedicado que saturó los servidores corporativos y causó el colapso de sus sitios web.
Michael Calce
Fuente: CNN

Actualmente trabaja en una empresa de seguridad informática.

  • Anonymous
    • Anonymous inició sus actividades en 2003 en tablones de mensajes de 4chan en un foro sin nombre. El grupo muestra poca organización y en cierta manera se concentra en el concepto de la justicia social.
    • En 2008, manifestó su desacuerdo con la Iglesia de la Cienciología y comenzó a inhabilitar sus sitios web, lo que afectó negativamente su posicionamiento en Google y saturó sus máquinas de fax con imágenes en negro.
    • En marzo de 2008, un grupo de Anonymous llevó a cabo una marcha frente a centros de Cienciología de todo el mundo usando la ahora famosa máscara de Guy Fawkes.
Anonymous
Fuente: El Pais

Como señaló The New Yorker, aunque el FBI y otros organismos de cumplimiento de la ley han intentado seguir el rastro de algunos de los miembros más prolíficos del grupo, la ausencia de una jerarquía real convierte el objetivo de eliminar a Anonymous como entidad en una hazaña casi imposible.

  • Jonathan James
    • Conocido bajo el alias cOmrade con tan solo 15 años.
    • En una entrevista con PC Mag, James admitió que se inspiró parcialmente en el libro El Huevo del cuco, que detalla la persecución de un hacker informático en la década de los ochenta. Sus actividades de pirateo le permitieron acceder a más de tres mil mensajes de empleados del gobierno, nombres de usuario, contraseñas y otros datos confidenciales.
    • En el 2000, James fue arrestado y sentenciado a seis meses de arresto domiciliario; asimismo, se le prohibió usar una computadora para fines recreativos. Además, fue sentenciado a seis meses en prisión por violar su libertad condicional. Jonathan James se convirtió en la persona más joven en ser condenada por infringir las leyes sobre cibercrimen.
    • En 2007, pirateó la cadena de almacenes norteamericanos TJX, comprometiendo una gran cantidad de información privada de los clientes. A pesar de la falta de pruebas, las autoridades sospecharon que James estuvo involucrado.
    • En 2008, Jonathan James se suicidó con un arma de fuego.

Según el Daily Mail, James escribió en su nota de suicidio: «No creo en el sistema judicial. Tal vez mi acto de hoy y esta carta envíen un mensaje más enérgico al público. De cualquier forma, perdí el control de esta situación y esta es la única manera de recuperarlo».

  • ASTRA
    • El término Astra significa «arma» en sánscrito.
    • Este hacker se diferencia de los demás de esta lista porque que nunca se le identificó públicamente. Sin embargo, según The Register, aunque de manera limitada, sí se ha publicado cierta información sobre ASTRA. Por ejemplo, cuando fue capturado por las autoridades en 2008, se supo que se trataba de un matemático griego de 58 años.
    • Presuntamente pirateó el Grupo Dassault por casi cinco años. Durante ese período, robó software de tecnología y datos de armas avanzadas que vendió a 250 personas de todo el mundo.

Sus acciones costaron al Grupo Dassault $360 millones de USD en daños. Nadie sabe con certeza por qué no se ha revelado su verdadera identidad.

  • Jeanson James Ancheta
    • A Jeanson James Ancheta no le interesaba piratear sistemas para obtener datos de tarjetas de crédito ni colapsar redes para promover la justicia social. Él sentía curiosidad por el uso de bots (robots de software que pueden infectar y, en última instancia, controlar los sistemas informáticos). Utilizando una serie de botnets de gran escala, fue capaz de comprometer más de 400,000 computadoras en 2005. Según Ars Technical, posteriormente, alquiló estos equipos a empresas de publicidad y recibió pagos directos por la instalación de bots o adware en sistemas específicos.

Ancheta fue condenado a 57 meses en prisión y su caso se recuerda como la primera ocasión en que un hacker fue enviado a la cárcel por el uso de la tecnología de botnets.

  • Albert González
    • Según New York Daily News, González, apodado «soupnazi», empezó su carrera como «líder de un conjunto de frikis informáticos problemáticos» en su escuela secundaria de Miami. Posteriormente, participó activamente en el sitio de comercio criminal Shadowcrew.com y fue considerado uno de sus mejores hackers y moderadores. Con 22 años, González fue arrestado en Nueva York por el fraude de tarjetas de débito que llevó a cabo al robar datos de millones de cuentas de tarjetas. Para evitar ir a prisión, se convirtió en informante del Servicio Secreto y ayudó a imputar a docenas de miembros de Shadowcrew.
    • Durante el período en que actuó como informante, en colaboración con un grupo de cómplices, reanudó sus actividades criminales y robó más de 180 millones de cuentas de tarjetas de pago a empresas como OfficeMax, Dave and Buster’s y Boston Market. The New York Times Magazine señaló que el ataque de González en 2005 a la tienda estadounidense TJX fue la primera filtración de datos en serie de información de tarjetas de crédito. Se estima que robaron un monto de 256 millones USD solamente a TJX.

Cuando González fue condenado en 2015, el fiscal federal señaló que su victimización humana «no tenía precedentes».

  • Matthew Bevan y Richard Pryce
    • Conocidos como Kuji (Bevan) y Datastream Cowboy (Pryce).
    • Dúo de hackers británicos que piratearon numerosas redes militares en 1996, incluida la de la Base de la Fuerza Aérea Griffiss, la de la Agencia de Sistemas de Información de Defensa y la del Instituto Coreano de Investigación Atómica (KARI).
    • Fueron acusados de estar a punto de desatar una tercera guerra mundial tras volcar información de la investigación del KARI en sistemas militares estadounidenses.

Bevan afirma que pretendía probar una teoría de conspiración OVNI. Intención maliciosa o no, Bevan y Pryce demostraron que incluso las redes militares son vulnerables.

  • David L. Smith
    • Creador del famoso virus Melissa que se propagó con éxito por correo electrónico en 1999.  Fue condenado a prisión por causar daños por más de 80 millones deUSD.
  • Sven Jaschan
    • Creador del virus Sasser, fue detenido en mayo de 2004 tras una denuncia de sus vecinos que esperaban obtener la recompensa que ofrecía la empresa Microsoft, ya que el virus afectaba directamente la estabilidad de Windows 2000, 2003 Server y Windows XP. En ese momento Sven Jaschan solo tenía 17 años.
  • Stephen Wozniak
    • Comenzó su carrera como hacker de sistemas telefónicos con el fin de realizar llamadas gratuitas; se dice que incluso llamó al Papa en los años 70. Formó Apple Computer con su amigo Steve Jobs y hoy apoya a comunidades educativas de escasos recursos con tecnología moderna.
  • Loyd Blankenship
    • Es el autor del ensayo La conciencia de un hacker, mejor conocido en español como el manifiesto hacker, el cual escribió en prisión luego de ser detenido en 1986. También es autor del código para el juego de rol Ciberpunk, por lo que gran parte de su fama se debe también a su vocación de escritor. Actualmente es programador de videojuegos.
  • Robert Tappan Morris
    • En noviembre de 1988 creó un virus informático que infectó cerca de seis mil grandes máquinas Unix, haciéndolas tan lentas que quedaron inutilizables, causando pérdidas millonarias. Este fue el primer hacker en ser procesado por la ley de fraude computacional en Estados Unidos y un disco duro que contiene el código de su virus se exhibe en el Museo de la Ciencia de Boston. Actualmente es profesor asociado del Instituto Tecnológico de Massachussets (MIT).
  • Masters of Deception
    • Era un grupo de hackers de elite de Nueva York que se dedicaba a vulnerar los sistemas telefónicos de Estados Unidos. Entrar al sistema de la compañía AT&T se considera su mayor golpe. Fueron procesados en 1992 y varios miembros del grupo fueron encarcelados.

Eleazar Cruz
Consultor en Ciberseguridad Estratégica

¿Qué es un hacker?

Según la Real Academia Española: Jaquer o del inglés hacker es una “persona con grandes habilidades en el manejo de computadoras que investiga un sistema informático para avisar de los fallos y desarrollar técnicas de mejora”.

Al igual que en todas las áreas, en el mundo de los hackers también encontramos especialidades como los ingenieros, ingenieros civiles, ingenieros mecánicos, ingenieros en electrónica, entre otros; en nuestra serie vamos a centrarnos en tres especialidades de hackers:

Los hackers de sombrero blanco, los hackers de sombrero negro y los hackers de sombrero gris:

  • Los hackers de sombrero negro o Black Hat en inglés son los sujetos antagónicos de nuestra serie; son individuos con altos conocimientos técnicos y con prácticas muy sofisticadas que utilizan para aprovechar las vulnerabilidades y debilidades de los sistemas informáticos con la finalidad de apoderarse de ellos con diversos fines: pueden destruirlos, dañarlos, venderlos y hasta secuestrarlos con el objeto de pedir un rescate por ellos. Sus actividades son consideradas ilegales por lo que se les califica de criminales.
  • Nuestros héroes son los hackers de sombrero blanco o White Hat en inglés, también conocidos como hackers éticos. Son individuos con conocimientos similares a los de los hackers de sombrero negro. Se diferencian porque su trabajo consiste en proteger y asegurar los sistemas informáticos. Usualmente, son contratados por las grandes corporaciones especializadas en seguridad informática para buscar vulnerabilidades en los sistemas y, a partir de sus hallazgos, remediarlas. Sus actividades son consideradas lícitas por lo que son grades aliados en el combate contra los hackers de sombrero negro.
  • La tercera especialización, los hackers de sombrero gris o Grey Hat en inglés, se considera un híbrido, ya que, dependiendo del caso, sus actividades pueden ser consideradas ilegales incluso, aunque sus intenciones sean para el bien colectivo.

La diferencia entre ellos es “su motivación”

Si partimos del postulado entre el bien y el mal la diferencia entonces, es moral.

Cuando hablamos de un hacker de sombrero negro entendemos que en su motivación y actuar hay ausencia de ética, pues utiliza todos sus conocimientos y todas sus habilidades técnicas para obtener un beneficio personal al aprovecharse de las debilidades y vulnerabilidades de los sistemas y de las personas. Cuando esto sucede, tenemos como resultado a quien se conoce como “pirata informático”.

Cuando hablamos de un hacker de sombrero blanco su motivación es hacer el bien al buscar problemas de seguridad o vulnerabilidades en los sistemas que los desarrolladores dejaron abiertos para entonces hallar alternativas de solución y mejora. Esto es la base de sus servicios que pueden incluir o no un pago por ellos.

Cuando hablamos de un hacker de sombrero gris, se trata de individuos con conocimientos y técnicas similares a los anteriores, sin embargo, su motivación es política y social. Ellos penetran en sistemas, extraen y divulgan información sin la autorización de los propietarios y lo hacen porque consideran que esa información es de interés y de utilidad para el público en general. A este tipo de actividad se le conoce también como hacktivismo.

¿Y quiénes son los hackers más famosos?

Se dice que a raíz de que las montañas existen, los alpinistas nacieron. Bajo esta analogía, mientras existan sistemas informáticos, los hackers existirán. A partir de la invención de las computadoras, han existido personas abstraídas de la realidad para centrarse exclusivamente en ellas y en cómo desmenuzar los sistemas: los hackers. Ellos piensan en bites y en bytes; se podría decir que un hacker es más empático con una computadora, con un sistema operativo, con un programa de software que con las personas.

Durante la historia han existido hackers que más allá de sus motivaciones han dejado grandes experiencias y aprendizaje a nuestra sociedad. Aquí te presentamos una recopilación de algunos de los más notables según el diario inglés The Telegraph y Kaspersky, compañía global dedicada a la seguridad informática.

Cómo han influenciado nuestra vida los hackers

Analizando la historia de estos hackers encontramos diversidad de motivaciones; varios de ellos creían en la idea de que podían crear un mundo mejor haciendo lo correcto e informando a la gente sobre temas fundamentales de privacidad, propiedad y libertad; a otros, los llamaba el deseo de investigar y de probar teorías solo por el simple impulso de poder hacerlo. Algunos buscaron un beneficio propio a través de la obtención de dinero y fama, pero independiente de sus motivaciones es innegable el aprendizaje y las experiencias que han dejado a la sociedad. Es gracias a irrupción de los hackers en la sociedad que temas como el derecho a la privacidad, propiedad de datos y libertades tanto de las personas como de las organizaciones en un mundo tecnificado y digitalizado, estos se han posicionado como fundamentales en los últimos años.

Gracias a los hackers, prácticamente todo tipo de entidades están incluyendo estrategias y medidas de seguridad en todos sus sistemas y procesos, desde que son solo ideas y proyectos, hasta que son una realidad.

Gracias a la irrupción de los hackers, muchos países están incluyendo en sus legislaciones la tipificación de delitos informáticos, que independiente de su grado de madurez en cada país, la aceptación de la necesidad imperante de proteger a las personas y a las organizaciones es una realidad.

Gracias a la aparición de los hackers, los líderes de varias naciones han tomado en serio el tema de la ciberseguridad y el potencial peligro global que implica el cibercrimen.

Gracias a la aparición de los hackers hoy más que nunca estamos convencidos de que nada es totalmente seguro y, ante ello, debemos estar conscientes, aprender y estar preparados para cuidarnos a nosotros mismos y a nuestras familias.

En nuestros próximos capítulos hablaremos de las diferentes técnicas y herramientas que los hackers han desarrollado para el logro de sus objetivos, riesgos y amenazas ante los cuales usuarios como usted y como yo, estamos expuestos.

Eleazar Cruz
Consultor en Ciberseguridad Estratégica

Referencias:

Yo, Ciberagente

En Capa8 somos conscientes de los retos y amenazas actuales a los que toda persona y organización está expuesta. Ante ello, nuestra misión es la de generar conciencia y difundir recomendaciones y estrategias necesarias para ayudar a que toda entidad e individuo tengan la capacidad de proteger a su persona, familia y organización de las principales amenazas de ciberseguridad; comprometidos con nuestra misión, te presentamos una serie de artículos enfocados a lo que creemos que es la «capa» más importante en la cadena de seguridad de la información: las personas.

Durante los nueve capítulos de esta serie, vamos a compartir contigo un viaje por el fascinante mundo de la ciberseguridad. Iniciaremos nuestro viaje con una vista al maravilloso mundo de los avances tecnológicos que hoy disfrutamos; te compartiremos información sobre los hackers: quiénes son y cuáles son sus motivaciones; quiénes han sido los más famosos y cómo sus actividades han influenciado nuestra vida. Después, continuaremos con seis capítulos en los que compartiremos cuáles son los principales riesgos y amenazas, así como las diferentes técnicas y herramientas que los hackers han desarrollado para el logro de sus objetivos: qué son, cómo funcionan y cuáles son las más famosas y cómo podemos prevenirla desde nuestra trinchera. En nuestro capítulo final, examinamos toda la serie enfatizando recomendaciones para cuidar nuestro entorno desde el hogar, desde la escuela, desde el trabajo, en la comunidad y principalmente cuidar nuestra persona y nuestras familias.

Introducción

Parte 1: La tecnología en mi vida online
Somos la especie terrestre que ha desarrollado, como ninguna otra, la habilidad para modificar nuestro entorno, desde los primeros hombres hasta nuestros tiempos hemos creado las herramientas que facilitan nuestras tareas, desde dominar el fuego y crear la rueda hasta máquinas interestelares que hoy día surcan el infinito espacio; imagino a Verne, Asimov, Wells, Orwells, Wiliams Gibson y su “Neuromante” y tantos otros asintiendo su cabeza en señal de estar diciendo “Lo sabía”.

Esta habilidad es parte de nuestra naturaleza, está en nuestro ADN independientemente de la raza, género, credo, estatus, etc. Y es justo esta habilidad que hoy nos tiene creando, experimentando y disfrutando nuevos inventos día a día que nos facilitan la vida. ¡Tenemos Internet!. Tenemos un sinnúmero de dispositivos inteligentes: desde teléfonos, televisores, refrigeradores hasta asistentes virtuales que nos ayudan en la vida diaria. Tenemos también un sinfín de aplicaciones, redes sociales, videojuegos, autos conectados, etc. ¿ Te has imaginado un día sin ellos? Incluso, tenemos herramientas de uso médico, industrial, nuclear, aeronáutico, como las que hasta hace poco solo veíamos en películas como Minority Report, Total Recall y, un poco más atrás, en A Space Odyssey. En síntesis, somos la especie a quien nada detiene, ambiciosa, incansable, visionaria y, para bien y para mal, la más influyente.

Así pues, la tecnología está en cada rincón de nuestra vida, respira y palpita a ritmo cardiaco, desde que nos levantamos, mientras nos alimentamos, cuando nos transportamos, mientras trabajamos y hasta cuando dormimos; la tecnología ha estado, está y seguirá estando en toda nuestra vida, incluso más allá de ésta. Es una realidad. En nuestro afán de absorber la tecnología, involucramos todos los sentidos para aprender a dominarlas y aprovechar al máximo su beneficio. Sin embargo, paradójicamente, al hacerlo dejamos algo de lado que también es característico de nuestra especie: ¡La conciencia!

Y, ¿qué es la conciencia? En esencia, sin pretender ser un experto en etimología, según la RAE (Real Academia Española), la Conciencia es la “capacidad del ser humano de reconocer la realidad circundante y de relacionarse con ella”. Teniendo en mente esta definición como premisa, creemos que desafortunadamente, al vivir en un entorno muy tecnificado, en donde una de las virtudes es “vivir conectado, la gran mayoría de las personas no somos conscientes de lo que esto implica, pues al disfrutar de los beneficios de vivir on line desde que nos levantamos hasta que nos acostamos, es muy frecuente que no conozcamos los riesgos y amenazas que se encuentran latentes en el ciberespacio. Sin embargo, la realidad es muy dura: existe una alta probabilidad de que seamos víctima de ello. Cifras recientes emitidas por organizaciones globales expertas en la materia mencionan que “más del 99% de los ciberataques dirigidos dependen de la interacción humana para tener éxito”; y en el ámbito industrial no es diferente, pues los errores humanos causan el 52% de los incidentes de ciberseguridad en este tipo de redes (Redes industriales). Aunado a esto, ante la irrupción en escena del Internet de las cosas (IoT), la perspectiva sobre el incremento de ciberataques no es nada alentadora.

Como lo dije con anterioridad, somos la especie, para bien o para mal, más influyente del entorno, y como en todo, aquí también está la dualidad: es decir, por un lado, hay muchas personas en todo el mundo desarrollando tecnología que nos facilita la vida (desde el entretenimiento, avances científicos, médicos, industriales, hasta avances para el hogar y tantos otros) y en el otro extremo, también hay personas en todo el mundo que busca obtener ganancias a costa de debilidades y vulnerabilidades tanto de las personas como de las nuevas tecnologías. Los hackers o como actualmente se les llaman “cibercriminales” son una realidad. Ellos han desarrollado herramientas igual de poderosas que pueden poner en riesgo al planeta por ejemplo, vulnerando infraestructura nuclear. Ya pasó en años anteriores y también pasó que un ciber criminal fue capaz de sustraer información confidencial de organismos e institutos tanto públicos y privados para buscar obtener alguna ganancia de ello, en especial monetaria. Tal vez estás pensando “yo soy una persona común y es difícil que sea el objetivo de un cibercriminal, pues mi información no tiene mucho valor”, desafortunadamente mi estimado lector, eso es una falacia.
En nuestro próximo capítulo hablaremos de los hackers, piratas informáticos, ciberdelincuentes o cibercriminales entre otros sinónimos con los que hoy se conocen a las personas cuya actividad en la red es explotar las vulnerabilidades de todo tipo de entidades con el fin de obtener un beneficio, y que no necesariamente es monetario.

Eleazar Cruz
Consultor en Ciberseguridad Estratégica

Fuentes:

4 Consejos para compartir con los niños para la seguridad de sus dispositivos

Nuestros amigos del Center for Cyber Safety and Education nos comparten esta publicación donde nos recomiendan cómo deben protegerse a nuestros hijos en el ciberespacio.

Las vacaciones están terminando y sus hijos adoran sus nuevos juguetes y dispositivos favoritos conectados a Internet. Seguramente Usted ha cambiado la contraseña predeterminada en los juguetes y dispositivos de alta tecnología que tienen Bluetooth o Wi-Fi. Ha verificado la sugerencia de edad y las capacidades de conectividad y ha comprado en consecuencia. Es probable que haya seguido adelante y configurado cuentas no administrativas para que sus hijos no puedan cambiar la configuración o descargar o instalar aplicaciones sin su consentimiento. Todos estos son excelentes consejos y absolutamente vitales para regalar dispositivos conectados a Internet que esperamos que haya seguido con nosotros durante todo el año. Pero esto es solo la mitad de la batalla. A medida que los niños reciben dispositivos que tienen acceso al mundo exterior, es importante recordarles algunos consejos clave para asegurarse de que se mantengan seguros en línea.

Los dispositivos van y vienen, pero el conocimiento y la conciencia de ciberseguridad duran toda la vida. Comparta estos 4 consejos con sus hijos para que comiencen con el pie derecho con sus dispositivos nuevos (o existentes) conectados a Internet.

  1. Recuerde a sus hijos que no compartan ninguna información personal, como su dirección, número de teléfono o dirección de correo electrónico. Los depredadores escanean esa información y la usan para rastrear los movimientos de los niños e intentan conectarse con ellos.
  2. Recuerde a sus hijos que denuncien cualquier incidente de ciberacoso y que traten a los demás de la forma en que les gustaría ser tratados. Las vacaciones pueden ser un momento difícil para algunas familias, y los niños pueden recurrir a las redes sociales para expresar sus sentimientos. Esté atento a las señales de que su hijo está siendo intimidado.
  3. Asegúrese de que sus hijos solo sepan conectarse a redes Wi-Fi confiables y evitar iniciar sesión en cuentas confidenciales como el correo electrónico o las redes sociales cuando están lejos de una red segura.
  4. Con tantas fotos preciosas de familiares y amigos tomadas durante la temporada, recuerde a los niños que no publiquen fotos de amigos sin su permiso. Todos merecen el derecho de tomar sus propias decisiones sobre su privacidad.

Con suerte, recordó incluir materiales de seguridad en línea con su obsequio, como actividades y cómics con Garfield y sus amigos. Si te olvidaste, ciertamente no es demasiado tarde. ¡Permítanos ayudarlo a enseñar a sus hijos cómo estar seguros en línea en un increíble especial para comenzar! Si requieres información para materiales en México, por favor ¡contáctanos¡ En la parte superior de la página podrá encontrar varios canales de comunicación con Familias Ciberseguras.

Ha sido un año INCREÍBLE en el Centro , y esperamos que continúen siguiéndonos durante todo el Año Nuevo. Denos Me gusta en Facebook , Twitter e Instagram . Comparte nuestras publicaciones y participa en la conversación . De parte de todos nosotros en el Centro, ¡Feliz Año Nuevo!

Cómo proteger la privacidad de nuestros datos

Nuestros amigos del Center for Cyber Safety and Education nos comparten esta publicación donde nos recomiendan cómo proteger la privacidad de nuestros datos.

Los casos de robo de identidad y violaciones de datos nos han hecho más cautelosos al proporcionar información personal. ¿Cómo se almacena mi información personal? ¿Cómo se va a usar? ¿Por qué necesitan mi información personal? Todas estas son preguntas que debemos hacernos al hacer una compra, completar un formulario o registrarse para un evento.

El 28 de enero, Día de la Privacidad de Datos, es un buen momento para recordar las mejores prácticas de privacidad de datos y explorar oportunidades para difundir acerca de mantener privada nuestra información personal. Como «Campeones del Día de Privacidad de Datos», el Centro ofrece las siguientes ideas:

En tu comunidad:

  • Comparte tu conocimiento de privacidad como voluntario en una escuela local, centro de atención para personas mayores u organización basada en la fe. Usa los recursos gratuitos del Centro para correr la voz.
  • Se parte del Día de la Seguridad Cibernética de Tampa Bay al patrocinar a 30 o 1,000 niños para recibir las Aventuras de Seguridad Cibernética de Garfield de forma gratuita.
  • Use el código de promoción Privacy2020 al finalizar la compra para obtener Garfield’s Cyber ​​Safety Adventures – Lección de privacidad por solo $ 40 USD. ¡Viene con todo lo que necesitas para 30 niños! Si requieres más información para tener las lecciones en México, por favor contáctanos (en la parte superior de la página hay varios canales de comunicación).

En casa:

  • La información personal es como el dinero. Valórala. Protégela. Considera detenidamente cómo se recopila su información personal a través de aplicaciones y sitios web.
  • Comparte con cuidado. Piensa antes de publicar sobre ti y otros en línea. Considera lo que revela una publicación, quién podría verla y cómo podría percibirse ahora y en el futuro.
  • ¿Deseas ver o cambiar tu configuración de privacidad / seguridad, pero no sabes dónde hacerlo? Usa estos enlaces directos para actualizar tu configuración de privacidad en dispositivos populares y servicios en línea.

En el trabajo:

  • Mantén una computadora limpia. Tener el último software de seguridad, navegador web, sistema operativo y dispositivo es la mejor defensa contra virus, malware y otras amenazas en línea.
  • La privacidad es buena para los negocios. Involucra a los empleados con iniciativas como almuerzo y aprendizaje, videos divertidos y concursos.

Recursos proporcionados en asociación con Stay Safe Online.