FinSpy: Malware que espía servicios de mensajería

Investigadores de la empresa de ciberseguridad Kaspersky han descubierto una nueva versión de un malware conocido en antaño como FinFisher, el cual es utilizado por ciberdelincuentes para espiar a sus víctimas.

La última versión de este spyware, ahora mejor conocido como FinSpy, está diseñada para rastrear casi todas las interacciones en un dispositivo móvil, y es altamente probable que se estén creando nuevas versiones fuera de los auspicios de sus desarrolladores originales.

Las nuevas versiones, que están dirigidas a teléfonos con Android e iOS, han estado en uso desde 2018, y las muestras de FinFisher más recientes se descubrieron activas hasta el mes pasado, en Myanmar, un país en medio de múltiples escándalos de abuso de derechos humanos, sin embargo se han detectado smartphones infectados en más de 20 países.

Las versiones actualizadas de FinFisher (FinSpy) ahora pueden recopilar y filtrar una gran variedad de datos personales de smartphones infectados, como contactos, mensajes SMS / MMS, correos electrónicos, calendarios, ubicación de GPS, fotos y datos de la memoria RAM del teléfono, así como datos de los servicios de mensajería más populares como son WhatsApp, Facebook Messenger o Viber.

Además, las muestras también pueden grabar llamadas telefónicas y descargar imágenes y mensajes de clientes populares de mensajería instantánea.

FinFisher siempre ha tenido versiones para sistemas operativos de escritorio y móviles, pero estas nuevas versiones dirigidas a smartphones los ponen a la par con las versiones de escritorio más avanzadas.

¿Cómo me protejo?

Kaspersky recomienda no dejar desprotegidos los smartphones o dispositivos móviles, bloquearlos cuando no estén en uso y asegurarse de que nadie pueda ver su contraseña.

Por otro lado, aconseja que solo se instalen aplicaciones móviles desde tiendas oficiales, como Google Play, no acceder a enlaces sospechosos que le envían desde números desconocidos (phishing) y nunca almacenar  archivos o aplicaciones desconocidos en su dispositivo, ya que podrían perjudicar su privacidad.

En la configuración de su dispositivo, bloquee la instalación de programas de fuentes desconocidas y evite revelar la contraseña o el código de acceso a su dispositivo móvil, incluso con alguien de confianza.

Youtube retira listas de reproducción con nombres lascivos que sexualizaban vídeos de menores

De acuerdo con un informe del organismo catalán Consell de l’Audiovisual de Catalunya(CAC) se detectaron ocho listas de reproducción con vídeos explícitos de menores y nombres obscenos en YouTube. La plataforma, las ha retirado y se le ha instado a adoptar nuevas medidas para evitar que esto suceda.

YouTube señaló que «ningún tipo de contenido que pone en peligro a menores es aceptable en la plataforma y tenemos políticas claras que lo prohíben». La compañía eliminó las listas y canceló las cuentas de los autores. La mayoría de ellos, según YouTube, no viola sus políticas, por lo tanto siguen presentes, muchos con millones de visualizaciones.

Roger Loppacher, presidente del CAC, ha recomendado a los usuarios que extremen la prudencia con los vídeos protagonizados por menores.
«Conviene subrayar el hecho de que en el mismo momento en que se sube un contenido personal o familiar en una plataforma se pierde el control, y la imagen de nuestros hijos o hijas puede terminar, sin saberlo, en una lista de tipo sexual», ha advertido.

Según el CAC, con la retirada de estas listas son ya 108 los contenidos perjudiciales de internet que las plataformas han retirado a instancias del Consell Audiovisual de Catalunya en ámbitos como la pornografía infantil, la anorexia y la bulimia, la violencia machista, la incitación al suicidio, la pedofilia o la homofobia.

La tecnología de reconocimiento facial se está fortaleciendo, gracias a tu cara

Según el diario New York Times, compañías e investigadores están compilando bases de datos de rostros de personas sin su conocimiento. Estas imágenes se comparten por todo el mundo, lo que ha permitido que se construya un vasto ecosistema que alimenta la difusión de la tecnología de reconocimiento facial.

Estas bases de datos se concatenan con imágenes de redes sociales, sitios web de fotos, servicios de citas como OkCupid e incluso cámaras colocadas en restaurantes y en quads universitarios. Si bien no hay un recuento preciso de los datos recopilados, activistas de la privacidad han identificado repositorios que fueron construidos por Microsoft, la Universidad de Stanford y otros, con datos que alcanzan hasta los 10 millones de imágenes.

¿Para qué se compilan?

El reconocimiento facial aprende a identificar personas mediante «redes neuronales», que son sistemas matemáticos complejos que requieren grandes cantidades de datos para construir el reconocimiento de patrones. Hay organizaciones como Facebook y Google, que en el papel no distribuyen estos datos, sin embargo existen otras compañías y universidades que sí comparten sus imágenes con investigadores, gobiernos y empresas privadas en Australia, China, India, Singapur y Suiza para el entrenamiento de inteligencia artificial, según académicos, activistas y periódicos públicos.

Se tienen identificadas brechas de datos, tan es así que Microsoft y la Universidad de Stanford, eliminaron sus bases de datos de Internet debido a problemas de privacidad. Pero dado que las imágenes ya estaban distribuidas, lo más probable es que todavía se estén usando en los Estados Unidos y en otros lugares, señalan investigadores y activistas. De hecho, la gente a menudo no tiene idea de que sus caras están circulando por la red.

Las preguntas sobre estas bases de datos se están incrementando porque las tecnologías que se han habilitado se están utilizando de manera potencialmente invasiva.

Este tipo de tecnología no tiene un uso reciente, funcionarios de Inmigración y Control de Aduanas de los Estados Unidos han empleado tecnología de reconocimiento facial para escanear las fotos de los automovilistas con el fin de identificar a los inmigrantes indocumentados. El FBI tiene más de una década utilizando estos sistemas para comparar la licencia de conducir y las fotos de VISAS con las caras de presuntos delincuentes .

FaceApp y tu privacidad

Seguramente habrás notado que en las redes sociales muchos de tus contactos están compartiendo fotografías que procesaron a través de filtros de la aplicación FaceApp, las cuales los presentan muy viejos o muy jóvenes. Si bien las imágenes son muy divertidas, antes de utilizar la app que realiza estas sorprendentes transformaciones, debes estar al tanto de los problemas potenciales relacionados con tu privacidad.

FaceApp es una aplicación rusa que aplica filtros a las fotografías, utiliza inteligencia artificial para procesar sus fotografías en los servidores de la aplicación, que se basan en los Estados Unidos, lo que significa que los datos de los usuarios podrían estar en riesgo.

El nuevo y mejorado FaceApp apareció por primera vez en el mercado en 2017. Se volvió viral nuevamente y es particularmente popular para hacer que los usuarios se vean convincentemente mayores o más jóvenes, junto con otras características como agregar maquillaje, tatuajes y cambiar el color de tu cabello. Todo lo que tienes que hacer es seleccionar la foto y luego jugar con las características. Los resultados son bastante realistas.

Según el portal The Verge, se realizó una investigación exhaustiva que sugiere que FaceApp no ​​está haciendo nada particularmente inusual, ni en su código ni en el tráfico de su red, por lo que si existe alguna preocupación por FaceApp, probablemente haya muchas otras aplicaciones en los teléfonos que hagan lo mismo. Sin embargo, la conversación atrae la atención a las prácticas tecnológicas estándar que podrían ser más invasivas de lo que los usuarios creen.

Para usar la aplicación, los usuarios de iOS seleccionan las fotos específicas en las que desean colocar los filtros, y no hay evidencia de que la aplicación descargue el rollo de fotos completo del usuario. La compañía luego carga las imágenes específicas a sus servidores para aplicar el filtro. FaceApp nunca explica que esté descargando la foto filtrada, pero no es inusual, como lo anotó en Twitter el investigador de iOS y CEO de Guardian Firewall, Strafach. «Sin embargo, parece que cargan imágenes individuales para aplicar los filtros del lado del servidor. Si bien no es tan grave, esto no es obvio y estoy seguro de que muchas personas no están de acuerdo con eso.»

Teóricamente, FaceApp podría procesar estas fotos en el propio dispositivo, pero Yaroslav Goncharov, ex ejecutivo de Yandex y CEO de la compañía rusa que creó la aplicación, le dijo a The Verge que las fotos cargadas en la aplicación se almacenan en los servidores de la compañía para ahorrar ancho de banda si se aplican varios filtros, y que se eliminan no mucho tiempo después.

Por supuesto, no sabemos si FaceApp realmente elimina los datos de las fotos, pero vale la pena recordar que subimos las fotos de nuestras caras a los servidores de las compañías todo el tiempo. 

Por otra parte, hay importantes preocupaciones respecto a la privacidad. Una vez que se aceptan los términos de política de privacidad «Usted otorga a FaceApp una licencia perpetua, irrevocable, no exclusiva, libre de regalías, mundial, totalmente pagada y sujeto a licencia transferible para usar, reproducir, modificar, adaptar, publicar, traducir, crear trabajos derivados, distribuir, realizar públicamente y mostrar «su Contenido de usuario y cualquier nombre, nombre de usuario o imagen proporcionada en relación con su Contenido de usuario en todos los formatos y canales de medios conocidos o desarrollados posteriormente, sin compensación para usted».

Se retiran 190 sitios de la web por delitos en internet en la Ciudad de México

Según el Diario El Heraldo de México, en la capital del país, la Policía Cibernética ha atendido 8 mil 800 llamadas telefónicas y 8 mil correos electrónicos en lo que va del año. Esta unidad de la Secretaría de Seguridad Ciudadana, realiza el monitoreo y patrullaje en redes sociales e Internet. Los delitos que se llevan registrados en 2019 son mil 900 casos de acoso y amenazas; mil 300 por fraude; 400 por delitos contra menores y otros 300 por suplantación de identidad.

Esta situación detonó que se retiraran 190 páginas de Internet por distintos motivos, que van desde el fraude hasta el contenido inadecuado.

Con el fin de generar conciencia sobre amenazas en el ciberespacio, la Secretaría de Seguridad Ciudadana (SSC) se encuentra impartiendo pláticas preventivas en escuelas para prevenir incidentes que se dan a través de Internet. En estas charlas, se dan a conocer las funciones y trabajos de la oficina de Ciberdelincuencia, iniciados el 3 de abril del año 2013. Estas pláticas son dirigidas también para empresas y público general de manera gratuita.

La Policía de Ciberdelincuencia Preventiva de la Ciudad de México pone a tu disposición la siguiente información para presentar denuncias:

  • Teléfono.- 5242-5100 ext. 5086.
  • Email.- policia.cibernetica@ssp.df.gob.mx.
  • Twitter.- @UCS_CDMX #CiberneticaCDMX.

Detienen a banda dedicada a hackear entidades estatales y pornografía infantil

En Perú se logró la detención de una banda de criminales dedicada al hackeo de entidades gubernamentales y a la pornografía infantil. La banda criminal era llamada “Teamkingnet”.

Una de sus labores era la captación de personas que estaban dispuestas a sumarse a sus ciberdelitos, a quienes tomaban pruebas y una vez que los reclutaban les daban órdenes para realizar los ataques.

Tras ser intervenidos por la Policía Nacional, los sujetos reconocieron ser parte de “Teamkingnet”, desde donde habrían concertado los ataques informáticos a diferentes páginas web de entidades del estado. A los sujetos también se les encontró material de pornografía infantil en dispositivos móviles que se presume comercializaban.

Los ciberdelincuentes serán investigados por el delito informático, contra datos y sistemas informáticos, atentado contra la integridad de datos informáticos y delito de acceso ilícito, pues mientras operaban sustrajeron información confidencial y datos de los trabajadores ediles. No se descarta que hayan estado tras el fraude a clientes de bancos y personas que hacen compras por Internet.

Controles parentales

Los niños de hoy en día son como en ninguna otra generación: niños digitales. Son niños que han estado cobijados por la tecnología y conectados a la red durante prácticamente todo su proceso de aprendizaje. Si bien es cierto que esto implica grandes ventajas, inherentemente también trae consigo riesgos y peligros de amenazas latentes ante los cuales debemos responder como padres o sociedad, lo que implica comprender que la solución no consiste en prescindir del uso de estas tecnologías, sino en primera instancia, estar conscientes de que existen riesgos.

Aunque los niños saben cómo conectarse a la red en cualquier lugar, es de suma importancia que iniciando su aprendizaje en casa el niño conozca esos riesgos, aun así es fundamental que como padres tomemos acciones para reducir la probabilidad de exposición a los mismos. Actualmente las diferentes plataformas tecnológicas, ya sean dispositivos o aplicaciones de entretenimiento, cuentan con las funciones de “Controles parentales”.

Pero ¿qué es un Control Parental?

En sentido práctico, es una función que ofrece un mecanismo de seguridad con el cual se limita el acceso a determinado contenido en las diferentes plataformas y dispositivos tecnológicos; es decir, es una función que impide acceder a determinados programas de TV, aplicaciones, páginas web y en general controlar y filtrar contenido. Además algunos controles parentales permiten a los padres configurar horarios de uso, conocer qué contenido fue visto y, en los móviles, con quién se realizan llamadas o la ubicación geográfica de sus hijos (geolocalización).

Actualmente, las principales empresas de tecnología que desarrollan dispositivos electrónicos para conectarse a la red están incluyendo este tipo de herramientas, desde los sistemas operativos como Windows, Mac, iOS o Android, e incluso páginas o buscadores como YOUTUBE y Google. Aquí te dejamos una página web en donde podrás encontrar las instrucciones básicas para configurar el “Control Parental” en tus dispositivos electrónicos.

Adicionalmente, también existen aplicaciones especializadas para tal fin que el Instituto Nacional de Ciberseguridad de España recomienda a través de iS4K (Internet Segura For Kids):

  • SafeKids: Cuenta con versión gratuita y versión Premium es una herramienta de control parental de Kaspersky, permita bloqueo de contenidos, administración de dispositivos y aplicaciones, identificación de comportamiento sospechoso, geolocalización, establecimiento de área segura, incluso, puede controlar el nivel de batería, establecimiento de límites de tiempo, línea de consejos psicológicos infantiles, supervisión de actividad pública en Facebook, informes en tiempo real sobre la actividad que están realizando, así como informes sobre hábitos en línea.
  • Tiempo de uso/Screen Time: para iOS (iPhone/iPad), en español y gratuito. Es una herramienta de control parental integrada en dispositivos Apple disponible a partir de la versión 12 de iOS. Dispone de control de tiempo, filtrado de contenidos, bloqueo de aplicaciones, seguimiento de actividad, alertas y notificaciones, control multidispositivo y geolocalización.
  • Family Link: para Android, en español, gratuito. Es una herramienta de Google que puede ser instalada tanto en Android como en iOS en el dispositivo que ejerce la supervisión, mientras que el dispositivo controlado únicamente acepta Android. Dispone de control de tiempo, filtrado de contenidos, bloqueo de aplicaciones y geolocalización.
  • FamilyTime: para Android e iOS (iPhone/iPad), en español, de pago. Herramienta para dispositivos móviles Android, iOS y Kindle que permite a los padres mantenerse informados sobre la ubicación de sus hijos, así como administrar el tiempo de uso del dispositivo, bloquear aplicaciones que no les parezcan adecuadas, conocer quiénes son sus contactos y con qué números intercambian llamadas, entre otras muchas herramientas. Dispone de control de tiempo, bloqueo de aplicaciones, seguimiento de actividad, alertas y notificaciones y geolocalización.
  • Parental Click: para Android, en español, parcialmente gratuito. Herramienta para dispositivos móviles Android cuyo objetivo es evitar que los menores accedan a contenido inapropiado, compartan datos personales o contenidos que les pueda perjudicar hoy o en el futuro. También proporciona mecanismos para obtener pruebas procesalmente legítimas de hechos ocurridos, obtenidas respetando los derechos fundamentales. Tiene seguimiento de actividad, alertas, notificaciones y geolocalización.
  • Securekids: para Android, en español, gratuito. Herramienta para dispositivos móviles Android, que protege y gestiona la actividad de un menor en Internet, con el fin de mantenerlos exentos de riesgos derivados de su posible uso incorrecto. Tiene control de tiempo, filtrado de contenidos y bloqueo de aplicaciones.
  • Qustodio: para Windows, MAC (Apple), Android, iOS (iPhone/iPad), en español, gratuito. Herramienta que permite proteger y gestionar la actividad de un menor en Internet, tanto en dispositivos móviles como en ordenadores de escritorio, con el fin de mantenerlos exentos de riesgos derivados de su posible uso incorrecto. Dispone de control de tiempo, filtrado de contenidos y bloqueo de aplicaciones.
  • Norton Family: para Windows, Android, iOS (iPhone/iPad), en español, parcialmente gratuito. Herramienta que permite proteger y gestionar la actividad de un menor en Internet, tanto en dispositivos móviles como en ordenadores de escritorio, con el fin de mantenerlos exentos de riesgos derivados de un posible uso incorrecto. Contiene control de tiempo, filtrado de contenidos, bloqueo de aplicaciones.
  • Control familiar: para Windows, en español, gratuito. Herramienta para proteger y gestionar la actividad de un menor en dispositivos con sistema operativo Windows. Dispone de control de tiempo, filtrado de contenidos y bloqueo de aplicaciones.
  • Control Parental “iOS”: para iOS (iPhone/iPad), en español, gratuito. Herramienta para proteger y gestionar la actividad de un menor en dispositivos IOS, cuando se conecte a Internet o en el uso de sus aplicaciones. Tiene filtrado de contenidos y bloqueo de aplicaciones.
  • ESET Parental Control para Android: para Android, en español, gratuito. Herramienta disponible para Android que permite proteger y gestionar la actividad del menor que utiliza móvil, con el fin de mantenerlos exentos de riesgos derivados de su posible uso incorrecto, tanto a nivel de navegación como de aplicaciones disponibles. Dispone de control de tiempo, filtrado de contenidos y bloqueo de aplicaciones.
  • Screen Time: para Android e iOS (iPhone/iPad), en español, gratuito. Herramienta para dispositivos móviles, tanto Android como iOS, que permite establecer control de tiempo de uso y gestionar la actividad de las aplicaciones. Tiene control de tiempo, bloqueo de aplicaciones y seguimiento de actividad.

Finalmente, como lo hemos mencionado en varios artículos, lo fundamental es que como padres, seamos conscientes de los riesgos y amenazas a los que están expuestos nuestros niños y, lejos de prohibir el uso de la tecnología en su proceso de aprendizaje, lo usemos como una herramienta poderosa en ese proceso, tomando las medidas adecuadas para minimizar dichos riesgos. Si desea aprender más sobre este tema de controles parentales le recomendamos leer la “Guía para el uso seguro y responsable de Internet por los menores – Itinerario de Mediación Parental” , una publicación realizada por el INCIBE (Instituto Nacional de Ciberseguridad) y menores de la OSI en España.

Automóviles conectados, ¿tu auto es seguro?

6:00 am. Suena la alarma, te preparas para ir a trabajar, enseguida desde tu smartphone le pides a Bronet (así se llama tu auto), que se autoevalúe: nivel de carga (pues es eléctrico), aceite, presión de llantas, sensores, etc. Instantes después Bronet te envía un informe en el cual te indica que necesitará recargarse al finalizar el día.

7:30 am. Le pides a Bronet que revise el estado del tráfico, determine cuál es la mejor ruta a tu oficina e inicias tu camino mientras Bronet toca tu canción favorita, Confortable Numb de Pink Floyd. Después de unos instantes, Bronet te recuerda que tienes programada una conferencia a las 8:00 am.

8:00 am. Bronet te conecta a la conferencia mientras continúas tu camino; de forma inesperada Bronet te dice que hay una manifestación camino a la oficina y te sugiere una nueva ruta. Una vez ajustada la ruta, continúas. Mientras tanto, Bronet armoniza la temperatura interior y, apenas pasados unos instantes, Bronet te informa que tu presión arterial está elevada e inicia un CheckUp de tus signos vitales. Momentos después Bronet te informa tu estado de salud, al mismo tiempo que informa a tu aseguradora e incluye tu posición geográfica. Bronet desacelerada, busca estacionarse y espera a los servicios médicos que llegan varios minutos después. Afortunadamente, te encuentras bien.

Parece un extracto de la serie de televisión norteamericana de la década  80´s Knight Rider o conocida en México como El auto increíble, en donde KITT, un prototipo de automóvil de alta tecnología, parece tener consciencia, es altamente inteligente y sabe hablar e interactuar como si fuera un humano. Pues bien, ya no es ficción, es una realidad.  Hemos traído a nuestros autos a nuestro entorno gracias a la inteligencia artificial (IA), los hemos hecho inteligentes y los hemos conectado a la red.

En el año 2013 se desarrolló el trabajo de investigación llamado “IoT IN AUTOMOTIVE INDUSTRY: CONNECTING CARS” de TECHNION, el Instituto Tecnológico de Israel desarrollado por Avital Cohen, Luis Arce-Plevnik y Tamara Shor. En él destaca un informe de Machina Research que establece que el porcentaje de autos nuevos que se conectaban a internet apenas alcanzaba el 10%,  pero se estimaba que para el 2020 el 90 % de los nuevos automóviles estarán conectados y que, para el 2022, habrá 1800 millones de conexiones M2M automotriz (Machine to Machine, ‘máquina a máquina’ concepto que se utiliza para referirse al intercambio de información o comunicación en formato de datos entre dos máquinas remotamente conectadas).

Ahora imaginan la escena anterior, en donde Bronet repentinamente comienza a realizar acciones extrañas y tú, al tratar de tomar el control, simple y sencillamente no puedes. Bronet comienza a acelerar y toma un camino completamente diferente, no puedes hacer llamadas telefónicas, los frenos no responden, no puedes tomar control del volante, las puertas y cristales están bloqueadas, en síntesis, has perdido el control total de Bronet y estás completamente expuesto a su control.

Ante esta situación, ¿qué pudo haber pasado?, ¿se trata de una falla en la computadora central de Bronet o ha sido hackeado?

Si bien es cierto que estar conectado trae muchas ventajas, tal y como lo imaginamos y disfrutamos en la primera escena, es una realidad que al estar conectados existe el riesgo latente, y muy alto, de que seamos víctimas de la ciberdelincuencia. Entonces surge la pregunta: ¿cómo es que los fabricantes de autos conectados aseguran dichas aplicaciones contra el riesgo de ciberataques?

La realidad es que, como toda nueva tecnología, la etapa inicial presenta muchas áreas de mejora y por el momento las medidas de seguridad en las aplicaciones de autos conectados están en esta etapa. Por ello, desafortunadamente los ciberdelincuentes:

  • Han encontrado vulnerabilidades que les dan acceso a servidores de las aplicaciones o a los sistemas multimedios del automóvil.
  • Incluso podrían insertar su propio código, programas de tipo troyano en las aplicaciones del auto, reemplazando con ello programas originales, lo que dejaría sin defensas a todo el sistema.
  • Al poder insertar aplicaciones maliciosas podrían robar las credenciales del usuario, lo que se traduciría en un robo de datos de los usuarios.
  • Continúan día a día buscando nuevas vulnerabilidades en dispositivos IoT, así que aún faltan más por descubrir.

Como en toda historia con antagonistas, también existen  héroes que luchan día a día para salvaguardar nuestra seguridad: Kasperky nos ha proporcionado una serie de recomendaciones que los usuarios de autos conectados podemos seguir para proteger nuestros vehículos y principalmente nuestra integridad ante posibles ciberataques. Las recomendaciones son:

  • Evitemos hacer root (activar el control privilegiado o “superusuario”) en nuestros dispositivos Android, ya que esto abrirá posibilidades casi ilimitadas a las aplicaciones maliciosas de instalarse en nuestro equipo.
  • Desactivemos la posibilidad de instalar aplicaciones de fuentes que no sean las de las tiendas de aplicaciones oficiales.
  • Mantengamos actualizada la versión del sistema operativo de nuestros dispositivos para reducir las vulnerabilidades del software y reducir el riesgo de ataque.
  • Instalemos una solución de seguridad probada para proteger nuestros dispositivos.

Conclusión

Es una realidad, todo estará conectado y en un futuro no muy lejano también será común ver en las calles de nuestras ciudades vehículos autónomos apoyando a los humanos a trasladarse, liberándonos del estrés y cansancio de manejar después de una jornada extenuante de trabajo , así como coadyuvando en el monitoreo de nuestra salud; sin embargo, cualquiera que sea el futuro, algo es innegable: la imperante necesidad de prevalencia de la seguridad. Esta condición es  irrenunciable y como humanos debemos hacernos cargo de aquello que nos corresponda para reducir los riesgos de ataque en cualquier contexto en el que nos encontremos.

Por Eleazar Cruz

La app de la liga española de fútbol espía a sus fans

La aplicación de la Liga de Fútbol Española que se utiliza para realizar un seguimiento de los juegos y estadísticas, espía a los fanáticos con el fin de encontrar bares que transmiten ilegalmente sus juegos. La aplicación que utiliza una tecnología similar a la de Shazam, escucha con el micrófono las transmisiones y luego utiliza la geolocalización para averiguar dónde está el smartphone.

La agencia española de protección de datos afirma que ha ordenado a La Liga que elimine esta práctica antes del 30 de junio, ya que los términos de servicio, que nadie lee, no están claros.

La liga planea apelar la sanción, alegando que la agencia no entiende completamente la tecnología de la aplicación.

¿Sabías que pueden secuestrar tu cuenta de WhatsApp a través de un código QR?

Increíble pero cierto. El laboratorio de investigación de la empresa de ciberseguridad ESET ha detectado casos en que cibercriminales acceden de manera deliberada a datos de cuentas de WhatsApp, logrando tener acceso a contactos, archivos y conversaciones de la víctima, todo a través de un código QR.

Primero comencemos explicando qué es un código QR.

Seguramente habrás visto una imagen similar a ésta:

Código QR

Esta imagen es un código de barras bidimensional cuadrado que almacena datos codificados. Usualmente estos datos codificados son enlaces a sitios web. Los códigos QR son muy útiles porque en lugar de de ingresar una dirección de internet (conocida como URL) en tu navegador, solo escaneas el código y automáticamente te redirige al sitio.

Los códigos QR tienen muchos usos y puedes encontrarlos en todo tipo de publicidad, por ejemplo: en revistas, sitios web o apps. A través de ellos es posible brindar información sobre productos y servicios, agregar contactos o enviar correos electrónicos.

Y si son muy útiles, ¿cómo puede afectarme un código QR?

Recordemos que este código QR es usualmente utilizado para dirigirnos a un sitio web. Si un cibercriminal utiliza esta funcionalidad, puede engañar a un usuario para que escanee su código QR y lo redirija a un sitio con contenido malicioso, es decir una ubicación donde se descargue malware en tus dispositivos o se incluya contenido ilegal.

No lo vas a creer pero es común que cibercriminales reemplacen códigos QR en posters o carteles de anuncios publicitarios, por eso debemos prestar mucha atención a los códigos que escaneamos.

¿Cómo funciona el ataque para secuestrar mi cuenta de WhatsApp?

Si utilizas WhatsApp en tu computadora, sabrás que el proceso para registrar tu cuenta es muy sencillo: desde tu Smartphone seleccionas “WhatsApp Web” y en la pantalla aparece la opción de escanear un código QR. Posteriormente abres la página web de acceso a WhatsApp en la computadora (https://web.whatsapp.com) y escaneas el código con tu aplicación. Hasta ese punto todo parece estar muy bien, sin embargo, WhatsApp no cuenta con un proceso de validación adicional, un pequeño detalle que aprovechan los cibercriminales.

Para lograr su cometido, los chicos malos utilizan un tipo de ataque de ingeniería social conocido como QRLjacking, que se enfoca en secuestrar las sesiones de las aplicaciones que utilizan códigos QR. En el caso de WhatsApp, la víctima es engañada simulando el sitio de registro de la plataforma del servicio de mensajería, y en realidad escanea un código QR del atacante, el cual secuestra su sesión y por tanto puede básicamente acceder a toda su información.

Ataque descubierto por ESET

Es importante resaltar que este tipo de ciberataque no es exclusivo de WhatsApp, por lo que puede ser utilizado para engañarte con cualquier otro medio que utilice códigos QR.

Suena mal, ¿cómo me protejo?

Además de las recomendaciones habituales que te hemos compartido con respecto al uso de dispositivos tecnológicos, presta particular atención a lo siguiente para evitar que secuestren tu cuenta de WhatsApp o que caigas en un engaño al hacer uso de un código QR:

  • De la misma manera que no debes hacer clic en un enlace de un sitio web que no es de confianza, no escanees un código QR de dudosa procedencia.
  • Utiliza lectores de códigos QR que te muestren la dirección del enlace antes de abrir el navegador de internet, y valida si la dirección de internet corresponde al sitio al que deseas dirigirte.
  • Habitualmente, las campañas de marketing de productos o servicios divulgan a través de sus canales oficiales el uso de un código QR. Comprueba que es auténtico.
  • No te conectes a Internet en redes públicas y si tienes necesidad de hacerlo utiliza una VPN.
  • Mantén tu computadora y dispositivos protegidos con un antivirus y asegúrate de que siempre esté actualizado.
  • Si tienes dudas, ¡pregunta!

Provehito in altum
Por: Juan Pablo Carsi