Perú Ciberseguro

  • Pronósticos de seguridad/ciberseguridad 2021

    Pronósticos de seguridad/ciberseguridad 2021

    Reflexiones en medio de un entorno asimétrico e inestable

    Créditos

    Jeimy Cano (*)

    Introducción

    Las tensiones globales que se han generado por cuenta de la emergencia sanitaria internacional y la revelación de nuevos actores en la carrera geopolítica para concretar una vacuna que permita inmunizar a la población mundial, establece los inéditos “normales” emergentes de la dinámica social, económica, tecnológica y política que cambia la aparente calma que se tenía antes del mes de marzo del 2020.

    Este escenario asimétrico e inestable plantea desafíos emergentes y novedosos que confunden y retan los mejores pronósticos de los analistas internacionales sobre lo que puede suceder en los próximos años. Mientras el virus continúe sin un mecanismo de contención efectivo, habrá muchos espacios para mantener la desinformación, los inciertos, los miedos y la manipulación de la información en las relaciones sociales, con impactos inesperados y no previstos en los demás sectores de sociedad (Interpol, 2020).

    Así las cosas, establecer una marco de trabajo para ilustrar un pronóstico acerca de la seguridad/ciberseguridad para el 2021 resulta una apuesta compleja y ambigua, que más que tratar de acertar en un blanco en movimiento, busca identificar algunos patrones y tendencias que marcan la diferencia en el escenario actual, sin perjuicio de su actualización posterior, dada la volatilidad de las condiciones y los cambios que se van a suscitar en el desarrollo de los próximos 365 días.

    La seguridad/ciberseguridad como conceptos complementarios y convergentes en la actualidad, plantean desafíos para los profesionales de seguridad y control tradicionales, comoquiera que rompen con la acostumbrada lectura técnica de los mismos, habida cuenta que el valor de la información se configura cada vez más como ese elemento fundamental que atraviesa la estrategia de las organizaciones, lo cual motiva una transición de habilidades y capacidades basadas en la protección de los datos, ahora centradas en las personas y el tratamiento de la información.

    Para realizar este ejercicio se han consultado diversas fuentes de información especializadas, documentos elaborados por centros de pensamiento, artículos científicos, comentarios de expertos en el tema y sobremanera una visualización de líneas de acción que se reiteran al cruzar los datos recolectados hasta la fecha. En este sentido, este documento presenta una propuesta incompleta y limitada de las condiciones y retos que la seguridad/ciberseguridad puede manifestar para el año siguiente.

    En consecuencia, las reflexiones que se plantean a continuación representan un mapa incompleto sobre un territorio inestable y cambiante, que trata de ubicar algunos puntos de referencia para construir posturas y tomar decisiones sobre seguridad/ciberseguridad de las organizaciones modernas, ahora más expuestas y abiertas que antes, dada la acelerada digitalización de sus procesos y la transformación digital de su modelos de negocio.

    Pronósticos de seguridad/ciberseguridad 2021

    A continuación se presentan los cinco (5) pronósticos que se advierten para el 2021 en las temáticas de seguridad/ciberseguridad, así como algunos temas complementarios que apalacan dinámicas particulares que pueden ser de interés para las organizaciones y las naciones en general.

    1. El fearware – Un escenario de manipulación social

    El uso masivo de redes sociales y mecanismos de acceso a información es una tendencia que confirma el aumento de la conectividad en la sociedad y la democratización de los servicios y productos digitalmente modificados. El uso extensivo a nivel de global de dispositivos “inteligentes” y ecosistemas digitales revela el aumento de flujos de información conocidos y desconocidos que ahora hacen parte de la lectura social del mundo actual (Valdez-de-Leon, 2019).

    Con ocasión de la emergencia sanitaria se ha producido un tsunami de información y desinformación que advierte una dinámica de inciertos y contradicciones, la cual termina afectando y reconfigurando los imaginarios de las personas. Dichos cambios generan emociones y sentimientos de miedo, dudas y ansiedad que son capitalizados por agentes nocivos, para crear desestabilización, desconcierto y erosión de la confianza con el fin de marcar una agenda oculta de intereses que pasa desapercibida frente a los titulares de la realidad (Jones, 2019).

    El fearware, como estrategia consolidada de la manipulación social, es la base de una guerra social virtual, donde diferentes actores toman posiciones y generan tendencias para movilizar a la población respecto de una temática particular, para desestabilizar naciones, para debilitar o manejar democracias, para concretar operaciones encubiertas que impacten las representaciones sociales y sobremanera, como una nueva amenaza a la integridad de la información, donde el reto y objetivo del adversario, es y será erosionar la confianza y la confiabilidad de una opinión informada (Mazarr, Bauer, Casey, Heintz & Matthews, 2020).

    2. La cadena de suministro – Los terceros de des(confianza)

    Los adversarios han venido observando y analizando que las empresas cada vez más dependen de terceros para operar. Con el escenario actual, muchas de ellas tuvieron que migrar rápidamente para contar con proveedores de servicios en la nube y algunos otras, ampliar sus contratos con los terceros para manejar, entre otros temas, servicios de monitoreo y control de sus plataformas (Europol, 2020).

    Los atacantes han evidenciado que las empresas han fortalecido sus perímetros de seguridad y control, así como sus estrategias de monitorización y analítica, lo cual no les permite concretar parte de su estrategia natural para “pasar desapercibidos” y crear el incierto en los modelos de protección vigentes. En esa lectura, saben que deben continuar buscando aquel sitio que puedan ubicar con el menor nivel de aseguramiento y desde allí, establecer el pivote requerido para apalancar sus acciones contrarias (Ponemon-CyberGRX, 2020).

    Casos recientes demuestran que los terceros que apoyan las organizaciones, cuentan con prácticas de seguridad y control que no están armonizadas con las de sus clientes, mantienen una visión de “isla” independiente basada en los términos y condiciones del contrato, y pocas veces se hace seguimiento sobre la realidad misma de sus estándares y posturas de protección de sus infraestructuras. En este sentido, se convierten en los nuevos focos de atención de los atacantes, como estrategia para llegar a organizaciones claves para ingresar sin ser notados y basados, muchas veces, en conexiones autorizadas desde aplicaciones debidamente registradas por sus clientes.

    3. El secuestro de datos – Una amenaza vigente y latente

    Los datos y la información se han convertido en uno de los activos más importantes de las organizaciones en la actualidad. Reconocer donde se ubican aquellos que resultan más valiosos y saber cómo se están protegiendo, debería ser una prioridad para las organizaciones del siglo XXI. Sin embargo, muchas veces la información de mayor relevancia termina en los lugares menos indicados o más inesperados, comoquiera que su uso resulta de manejo diario o muchas veces compartido entre diferentes personas.

    En este contexto, los activos críticos de información terminan expuestos a las prácticas propias de las personas que son sus custodios naturales y por lo tanto, no es la probabilidad de la materialización de un evento adverso, lo que cuenta, sino la posibilidad concreta de una brecha o un secuestro de los mismos con ocasión de un “click” o una “descarga” de un archivo que venía adjunto a un correo electrónico, un enlace a un sitio no conocido o un mensaje en un sistema de mensajería con una url maliciosa (Vuggumudi & Wang, 2020).

    El ransomware como ese código malicioso que se descarga e instalada en el sistema informático, sólo tiene que ser paciente para esperar su oportunidad, para concretar el pivote que necesita para desplegar las acciones necesarias que permitan tomar el control del dispositivo, para deshabilitar las medidas de seguridad, establecer posiciones en la infraestructura donde está conectada la máquina y ejecutar sus rutinas de cifrado escalonado que termina con el temible anuncio del pago de una extorsión (Europol, 2020).

    4. El modo “radar” y el modo “crisis” – Dos capacidades claves

    Considerando las inestabilidades actuales a nivel global y local, los ejecutivos de seguridad poco le ayudan contar con la implementación de prácticas y estándares internacionales para anticipar o pronosticar nuevas formas de ataques o estrategias emergentes para comprometer las medidas de seguridad vigentes en las empresas. En este sentido, debe activar el modo “radar” que le permitan no solamente revisar lo que le indican las alertas de eventos conocidos, sino comenzar a establecer patrones de amenazas en medio de los datos hasta ahora consolidados tanto por el servicio de SOC (Security Operation Center), como por los mecanismos instalados en su perímetro de seguridad (Ponemon-CyberGRX (2020).

    El modo “radar” lo que le  permite es establecer un marco de revisión y exploración que lo habilita para monitorizar sus contornos, buscando inconsistencias, rarezas y contradicciones que le indiquen que algo fuera de lo común ocurre y que deberá revisar para establecer el nivel de atención que merece tal “anormalidad”. En consecuencia, las organizaciones deben tener claridad de lo que significa que algo funciona de forma “normal” con lo cual cualquier evento que se revele más allá de los umbrales definidos, sea catalogado como “inusual” y luego de su revisión y validación, pasar a ser “sospechoso” para su exploración en profundidad.

    Si bien el modo “radar” es relevante y clave, pueden pasar desapercibidos eventos que terminen comprometiendo el modelo de seguridad y control de la organización, por lo tanto deberá tener listo el modo “crisis”, que lo que conlleva es un tratamiento de riesgos que no solo busca mitigar los impactos del eventos, sino moverse de forma coordinada para evitar caer en el juego del atacante, y responder con un “libro de jugadas” (playbook) claro (Bollinger, Enright & Valites, 2015), que cierre la brecha de inciertos que la situación pueda ocasionar.

    5. Aceleración digital – Mayor superficie de ataques

    No hay duda que la emergencia sanitaria internacionales aceleró la transformación digital de las empresas, muchas de ellas de forma accidentada y por lo tanto, con muchos vacíos desde la perspectiva de seguridad y control. Se pasó de forma urgente de un modelo centralizado de operaciones y aseguramiento, a uno ampliamente basado en terceros (desconectados del marco de seguridad empresarial), con una cultura organizacional de seguridad de la información basada en personas informadas (algunos más conscientes que otras) y con un marco de trabajo en casa que responde a la práctica individual de higiene informática vigente en el hogar.

    Este escenario plantea una superficie de conectividad e interacción digital que privilegia la funcionalidad sobre los mínimos de seguridad y control requeridos para un trabajo remoto. Lo anterior, habilita el escenario para crear un tejido digital con numerosos puntos de acceso y posibilidades, que un adversario puede aprovechar desde la inherente y natural forma de actuar de los individuos, hasta las vulnerabilidades técnicas de las plataformas utilizadas por los terceros o sus protocolos, los cuales pueden no estar actualizados o no parchados, lo que sugiere múltiples puntos candidatos para ser pivotes de un ataque, que generalmente termina siendo silencioso y encubierto por conexiones habilitadas y autorizadas (Culot, Fattori, Podrecca & Sartor, 2019).

    Si bien la transformación digital es un proceso que habilita una dinámica ágil y eficiente de las experiencias de las personas, dadas las condiciones y necesidades actuales y futuras (HBR, 2019), es necesario que se incorporen y analicen los retos y capacidades requeridas, para dar cuenta con el apetito de riesgo de la empresa, para incorporar las innovaciones que demandan sus clientes, y así  conectar con los exigentes objetivos estratégicos empresariales, que buscan posicionar a la empresa en un lugar privilegiado de su mercado definido.

    Propuestas para enfrentar los pronósticos 2021

    1. Cultura organizacional de seguridad de la información – COSI

    Si hay un año donde las personas tendrán  más relevancia en el contexto de la seguridad y el control será a partir del año entrante dada la alta dependencia de las acciones humanas para el desarrollo de las operaciones de las empresas. Un mayor trabajo remoto, el uso masivo de medios de comunicación, las reuniones bajo la modalidad de videoconferencia, los sitios para compartir información, entre otras actividades, harán evidente el nivel de compromiso, conocimiento, entendimiento y apropiación que los individuos tienen sobre el valor de la información de la empresa.

    Tener claridad sobre el nivel de madurez de la COSI deberá ser un indicador clave en la gestión y gobierno de la ciberseguridad/seguridad de la empresas, dado que en la medida que la madurez no avance, la posibilidad que se estanque o retroceda será el riesgo más relevante que se deberá mitigar y anticipar, para continuar incubando los nuevos pivotes que los atacantes van a aprovechar por cuenta del eslabón más fatigado de la cadena: las personas (Cano, 2019).

    2. Desarrollo de Playbooks o “libros de jugadas”

    Dado que tarde o temprano el atacante tendrá éxito se hace necesario desarrollar estrategias distintas para el tratamiento de los riesgos. Más allá de establecer medidas de mitigación técnicas, es necesario reconocer una vista holística de la dinámica que representa la materialización de un evento adverso, para no actuar de forma errática, que es lo que pretende en últimas el atacante (Bollinger, Enright & Valites, 2015).

    Por tanto, diseñar, desarrollar y simular un playbook establece una forma alterna de atender el incierto que generar dicho evento lo que lo define en sí mismo como:

    • una estrategia para actuar de forma coordinada,
    • una estructura para la toma de decisiones,
    • una respuesta a escenarios conocidos y latentes,
    • una forma de gestionar riesgos.

    3. Aseguramiento de API – Application Program Interfase

    La transformación digital que se adelanta por las organizaciones a nivel global está habilitada técnicamente hablando por terceros de confianza clave y por el uso de API, como fuente de interconexión entre los dispositivos y mecanismos en manos de las personas, y las infraestructuras de los terceros o las organizaciones. En este sentido, el aseguramiento y resistencia a los ataques que deben surtir las API deberán ser parte de la pruebas de mal uso que éstas deben soportar para concretar un nivel de confiabilidad mayor al que se tiene en la actualidad (Ponemon-CyberGRX, 2020).

    En consecuencia, se deben tomar las mejores prácticas disponibles a la fecha como pueden ser las guías del OWASP, el SANS o el CISecurity, combinadas con marcos de trabajo para modelar amenazas con el fin de elevar el nivel de confiabilidad de la ejecución de estos mecanismos, y así mejorar la confianza digital necesaria para motivar mejores experiencia en los clientes.

    4. Simulaciones y juegos de guerra

    Las organizaciones que mejor estén preparadas para asumir el incierto que genera un evento adverso por cuenta de la acelerada transformación digital, son las que mejor van a mantenerse en un escenario altamente conectado. Por tanto, se hace necesario practicar y exponer con frecuencia a la organización a este tipo de contextos a través de simulaciones y juegos de guerra (incluyendo a los terceros claves en su cadena de suministro), como una forma de preparar las respuestas y habilitar a la empresa para enfrentar las inestabilidades que ocasiona estas situaciones (Cano, 2020).

    En estos ejercicios se requiere la participación de toda la organización, con el fin de abordar la totalidad de la dinámica empresarial y de esta manera, todos los diferentes perfiles sabrán qué hacer para mantener una actuar y accionar coordinado de la empresa, haciendo más resistente a la organización como un todo, y limitando la configuración zonas grises o puntos ciegos de respuesta, donde un tercero lo suficientemente motivado y entrenado puede exponer la reputación corporativa por un “no sabía que debía hacer”.

    5. Habilitar la resiliencia cibernética

    Muchos informes ya no hablan de la probabilidad de un ciberataque, sino de cuándo va a ocurrir. Un ciberataque está diseñado para crear incierto e inestabilidad en el modelo de seguridad y control de una organización, con lo cual ninguna organización está exenta de manejar y superar un acción agresiva como esta. Así las cosas, toda empresa requiere ajustar sus modelos de operación basados en mitigación de riesgos, a una lectura de umbrales de operación que le permitan márgenes de actuación y estrategias de resistencia y recuperación eficientes a pesar de haber sido impactadas (Björck, Henkel, Stirna & Zdravkovic, 2015).

    De manera que,  se requiere desarrollar y habilitar la resiliencia cibernética (ciber-resiliencia) como una capacidad organizacional requerida para anticipar, resistir, recuperar, aprender y evolucionar frente a la materialización de eventos cibernéticos adversos, y continuar asegurando la promesa de valor empresarial protegiendo la reputación de la compañía. Lo anterior, demanda comprender la dinámica corporativa de forma holística y ecosistémica para configurar una protección dinámica por capas y así proveer estrategias de “falla segura”, como un requisito básico que reconoce el error como parte del proceso y no como resultado (Bodeau, Graubart, Heinbockel & Laderman, 2015; Denyer, 2017).

    Reflexiones finales

    Desarrollar reflexiones alrededor de posibles pronósticos de seguridad/ciberseguridad para los próximos 365 días, es siempre una apuesta incierta comoquiera que muchas veces es posible quedar asombrados por una “sorpresa predecible” como la emergencia sanitaria que tenemos en la actualidad, amenazados por “misiles balísticos nucleares” oxidados y sin mantenimiento en algunas zonas del mundo, por una “guerra híbrida” que se desarrolla por debajo del nivel de la fuerza, por un mal uso de tecnologías emergentes que cambian y afectan la dinámica de las sociedades abiertas y democráticas, o por cambios climáticos inesperados que terminan con desastres que afectan una comunidad local o todo el mundo (Cano, 2020; WEF, 2020).

    Por tanto, las apuestas desarrolladas en este documento no buscan marcar un camino o convertirse en referente de toma de decisiones, sino convertirse en una excusa académica y práctica que motive un diálogo estratégico al interior de las organizaciones, para darle forma a los escenarios que se pueden plantear a partir de esta propuesta, y así, definir algunas prioridades de acción particulares y propias, para movilizar de forma prospectiva a las empresas en medio de las volatilidades que se ven delante de la curva.

    Los pronósticos de seguridad/ciberseguridad son un ejercicio que buscan detectar algunos patrones de actividad relevante para los modelos de seguridad y control de las empresas. Si bien no son exactos, como son los pronósticos del clima, si buscan configurar un mapa parcial de reconocimiento sobre un territorio de inciertos y cambios permanentes para triangular las posibles posiciones de los adversarios y así, crear inestabilidades en sus modelos de gestión de riesgos (Raban & Hauptman, 2018).

    Muchos teóricos y académicos coinciden que no es posible “predecir” el futuro, por lo tanto todos aquellos ejercicios que permitan ver opciones y oportunidades en prospectiva serán de utilidad para mejorar la imaginación, aumentar las posibilidades y así darle mejor forma al futuro, desde el presente. En este sentido, los pronósticos que se plantean en este texto sólo son parte de ese insumo para pensar e imaginar, pues ya cada uno de los lectores tendrá el reto de darle forma concreta en las circunstancia de tiempo, modo y lugar en cada una de sus organizaciones.

    Referencias

    Björck, F., Henkel, M., Stirna, J. & Zdravkovic, J. (2015). Cyber Resilience – Fundamentals for a Definition.  En Á. Rocha et al. (eds.) New Contributions in Information Systems and Technologies. Advances in Intelligent Systems and Computing 353. 311-316. Doi: 10.1007/978-3-319-16486-1_31

    Bodeau, D., Graubart, R., Heinbockel, W. & Laderman, E. (2015). Cyber Resiliency Engineering Aid –The Updated Cyber Resiliency Engineering Framework and Guidance on Applying Cyber Resiliency Techniques. MITRE Corporation.  De: https://www.mitre.org/sites/default/files/publications/pr-15-1334-cyber-resiliency-engineering-aid-framework-update.pdf

    Bollinger, J., Enright, B. & Valites, M. (2015). Crafting the InfoSec Playbook. Sebastopol, CA. USA: O’Reilly.

    Cano, J. (2019). The Human Factor in Information Security: The Weakest Link or the Most Fatigued? ISACA Journal. 5. Recuperado de: https://www.isaca.org/Journal/archives/2019/Volume-5/Pages/the-human-factor-in-information-security.aspx

    Cano, J. (2020). Retos de seguridad/ciberseguridad en el 2030. Reflexión sobre un ejercicio prospectivo incompleto. Revista SISTEMAS. Asociación Colombiana de Ingenieros de Sistemas. No. 154. 68-79. https://doi.org/10.29236/sistemas.n154a7

    Culot, G., Fattori, F., Podrecca, M. & Sartor, M. (2019). Addressing Industry 4.0 Cybersecurity Challenges. IEEE Engineering Management Review. 47(3). 79-86. Doi: 10.1109/EMR.2019.2927559

    Denyer, D. (2017). Organizational resilience. A summary of academic evidence, business insights and new thinking. BSI-Crandfield University. De: https://www.cranfield.ac.uk/som/case-studies/organizational-resilience-a-summary-of-academic-evidence-business-insights-and-new-thinking

    Europol (2020). Internet organised crime threat assessment. Report. https://www.europol.europa.eu/activities-services/main-reports/internet-organised-crime-threat-assessment-iocta-2020

    HBR (2019). IT Talent strategy: new tactics for a new era. CIOs Share How to Compete in 2020 and Beyond. White Paper. Harvard Business Review. Analytic Services

    Interpol (2020). Cybercrimen: Covid-19 Impact. August. Report. De: https://www.interpol.int/es/content/download/15526/file/COVID-19%20Cybercrime%20Analysis%20Report-%20August%202020.pdf

    Jones, K. (2019). Online Disinformation and Political Discourse. Applying a Human Rights Framework. Research Paper. Chatham House. London, UK. https://www.chathamhouse.org/publication/online-disinformation-and-political-discourse-applying-human-rights-framework

    Mazarr, M., Bauer, R., Casey, A., Heintz, S. & Matthews, L. (2020). The Emerging Risk of Virtual Societal Warfare. Social Manipulation in a Changing Information Environment. Rand Corporation. https://doi.org/10.7249/RR2714  

    Ponemon-CyberGRX (2020). Digital transformation & cyber risk. What you need to know to stay safe. Sponsored by CyberGRX. https://get.cybergrx.com/ponemon-report-digital-transformation-2020

    Raban, Y. & Hauptman, A. (2018). Foresight of cyber security threat drivers and affecting technologies. Foresight. 20(4). 353-363. https://doi.org/10.1108/FS-02-2018-0020

    Valdez-de-Leon, O. (2019). How to Develop a Digital Ecosystem: a Practical Framework. Technology Innovation Management Review. 9(8): 43-54. http://doi.org/10.22215/timreview/1260

    Vuggumudi, S. & Wang, Y. (2020). Sophisticated tools alone cannot prevent advanced persistent threats: What’s next? ISSA Journal. June. 33-39 

    WEF (2020). The Global risk report 2020. World Economic Forum. Report. https://www.weforum.org/reports/the-global-risks-report-2020

    (*) Fuente: https://insecurityit.blogspot.com/2020/10/pronosticos-de-seguridadciberseguridad.html

  • Ciberdelincuencia aprovecha el Coronavirus

    Ciberdelincuencia aprovecha el Coronavirus

    Cuando en el 2017 el mundo se vio convulsionado por un “Malware” (software malicioso diseñado para alterar el funcionamiento de un ordenador o dispositivo móvil) denominado “Wannacry”, el mismo que afectó empresas eléctricas de Gran Bretaña, la compañía Telefónica en España e incluso hospitales en Estados Unidos, se entendió que ataques de tal magnitud constituían un inminente peligro, en la medida en que los mismos empezaban a producirse a diario.

    La preocupación que ha generado el avance del virus SARS-CoV-2, conocido bajo el nombre de la enfermedad como COVID-19, ha puesto las barbas en remojo a usuarios y empresas del orbe, que ahora deben estar atentos a engaños que crecen día a día, sobre todo en momentos como los actuales donde muchas empresas han tomado la medida de que los empleados trabajen de manera remota para permanecer en sus casas.

    Hasta la fecha, el sector financiero ha sido el más afectado, tema de pobre difusión para evitar alarma entre los usuarios de la banca. Lo terrible del caso, es que los ciberdelincuentes empezaron a enfocar sus ataques en instalaciones sensibles, como las clínicas privadas, en donde hackearon sistemas, secuestraron información vital y, de no responder a la demanda de dinero solicitada en un tiempo muy corto, amenazaron con eliminar la información que podía decantar en la pérdida de vidas humanas.

    Según El Diario de España, la pandemia de COVID-19 ha disparado en las últimas semanas el software maligno o malware, que se ha adaptado a la crisis sanitaria camuflándose como herramienta útil frente al coronavirus.

    La siguiente es una relación de los nuevos ciberataques más comunes que se hacen pasar por herramientas contra la COVID-19, elaborada en base a informes de Nokia, Microsoft y agencias de ciberseguridad:

    TROYANO CORONAVIRUS

    Este troyano va dirigido a usuarios de Windows e imita los mapas que muestran los casos de coronavirus por ciudades y regiones a tiempo real, que se han popularizado en las últimas semanas. Con esta supuesta información como anzuelo, los piratas informáticos intentan que el usuario se descargue el software maligno que, una vez en el ordenador, logra acceso a sus credenciales de usuario y otros datos personales.

    E-MAILS DE LA OMS

    Se trata de un claro caso de “phishing”, es decir, de ganarse la confianza del usuario haciéndose pasar por un emisario fiable para sustraerle información. En este caso, los correos electrónicos fingen provenir de entidades sanitarias que se encuentran en primer plano en la lucha contra la COVID-19, como la Organización Mundial de la Salud (OMS) o los Centros para el Control de Enfermedades.

    EE.UU. (CDC, en inglés).

    “COVID-19. Actualización especial. OMS”, reza el asunto de uno de los e-mails más populares que está circulando estos días. En el cuerpo del mensaje, que lleva el membrete de la OMS, aparece un enlace para acceder a esa supuesta “información” y al hacer click en él, el aparato se infecta de malware.

    COVIDLOCK (RANSOMWARE)

    Es una aplicación para sistemas operativos Android que asegura ofrecer a los usuarios la ubicación de pacientes cercanos de COVID-19 y rastrear la propagación del virus en todo el mundo. Sin embargo, la instalación de la aplicación en el móvil bloquea el dispositivo y exige al usuario un rescate de 250 dólares (casi 230 euros) en bitcoines para poder volver a usarlo.

    CORONA SAFETY MASK (SMS)

    Se presenta ante el público como una aplicación que ayuda a los usuarios de Android a encontrar mascarillas, pero, en realidad, los piratas informáticos la usan para robar información al usuario y obtener sus SMS, cuyos contactos utilizan posteriormente para enviar más mensajes fraudulentos e incrementar la cifra de víctimas.

    “ZOOM-BOMBING” Y NOTICIAS FALSAS

    Aunque no son estrictamente ataques con malware, la pandemia de COVID-19 también ha tenido como consecuencia el incremento sustancial de noticias falsas relacionadas con la crisis sanitaria, así como la aparición del fenómeno bautizado como “Zoom-bombing”, consistente en acceder sin permiso a videoconferencias que están manteniendo otros usuarios.

    MEDIDAS DE PRECAUCIÓN

    Aunque el principal consejo a seguir para no ser víctima de los piratas informáticos en tiempos de COVID-19 es, como siempre, guiarse por el sentido común, la mayoría de especialistas coincide también en los siguientes puntos:

    • Visitar solo páginas web de reputación conocida y que sean fuentes de información fiable sobre la pandemia.
    • Instalar únicamente aplicaciones que se encuentren en tiendas digitales oficiales como las de Apple, Google y Microsoft.
    • Usar un programa de antivirus también en el teléfono móvil y mantenerlo actualizado.
    • No abrir los contenidos adjuntos de correos electrónicos cuyo emisor es desconocido.
    • No facilitar a las aplicaciones o páginas web acceso a datos personales si no está clara la razón por la cual los solicitan.

    PIRATAS DEL ECUADOR

    Según El Comercio de Ecuador, para revisar el avance del brote por el mundo se elaboraron varios mapas que registran el número de casos del nuevo coronavirus y el lugar en el que se encuentran, pero los piratas informáticos se están aprovechando de esto: La Agencia de Cyber Seguridad Nacional de Reino Unido (NCS) publicó en su página web una investigación acerca de los malwares que se están utilizando para infectar computadoras y robar información.

    Quienes acceden a los mapas del COVID-19 a través de otros portales que no están verificados son los afectados. Los piratas diseñan sitios web relacionados al COVID-19 y le piden al usuario descargar una aplicación para tener acceso a las cartografías del registro de la enfermedad. Sin embargo, hacer eso no es necesario, los planos que ofrecen información respecto del COVID-19 ingresan directamente sin necesidad de descargar herramienta alguna. Cuando la persona descarga lo que le pide el portal falso, automáticamente, en la computadora se instala un software malicioso identificado como AZORult.

    “El malware AZORult recopila información almacenada en navegadores web, en particular cookies, historiales de navegación, ID de usuario, contraseñas e incluso claves de criptomonedas”

    Shai Alfasi, investigadora de ciberseguridad de Reason Labs

    Con la información robada mediante el malware, los ciberdelincuentes pueden tener acceso a tarjetas de crédito, credenciales de inicio de sesión y todos los datos que se alberguen en el computador. El AZORult, según menciona la publicación del NCS, es una herramienta utilizada para recopilar archivos confidenciales. Además, es capaz de generar cuentas de administrador ocultas en las máquinas que infecta para dar acceso a conexiones a través de escritorios remotos. La investigadora Alfasi señala que el malware generalmente está incrustado en el siguiente archivo Corona-virus-Map-com.exe. Al ingresar se encuentra diversa información relacionada al COVID-19 entre la cual está el ‘mapa de infecciones’ similar al elaborado por la Universidad de Johns Hopkins. Para evitar ser pirateado la NCS sugiere utilizar un antivirus y prestar más atención a los portales que se ingresa para estar informado sobre el coronavirus. Además, acceder solo a paneles verificados que no pidan instalar aplicaciones.

  • Perú Ciberseguro se une al “Llamado de París”

    Perú Ciberseguro se une al “Llamado de París”

    Perú Ciberseguro, organización promotora de la seguridad informática, se suscribió al “Llamado de París” (Paris Call), por la confianza y seguridad en el ciberespacio, iniciativa efectuada por el presidente de Francia, Emmanuel Macron.

    Con la adhesión a este importante foro, Perú Ciberseguro reafirma su compromiso con la navegación segura y su propósito de concientizar a la sociedad sobre la necesidad de aplicar buenas prácticas en ciberseguridad

    El foro reconoce las responsabilidades de los principales actores del sector privado para mejorar la confianza y la estabilidad en el ciberespacio, y alienta las iniciativas destinadas a fortalecer la seguridad de los procesos y productos digitales en toda la cadena de suministro.

    Presidente Emmanuel Macron lidera el “Llamado de Paris”

    El “Paris Call” establece varios principios y directrices importantes para la ciberseguridad internacional.

    Entre las medidas que propone la declaración están: prevención y recuperación de actividades online maliciosas que amenacen o causen daño significativo o indiscriminado a individuos e infraestructuras críticas; prevenir actividades que dañen de manera sustancial e intencionada la disponibilidad general del núcleo público de Internet.

    Busca, asimismo, reforzar la capacidad de prevenir interferencias malignas de terceros que intenten influir en procesos electorales a través de actividades maliciosas; o desarrollar sistemas para prevenir la proliferación de ataques y prácticas centradas en causar daño. Actualmente se registra que los miembros del grupo incluyen 67 estados, 139 organizaciones internacionales y de la sociedad civil, así como 358 empresas del sector privado.

  • Pornografía infantil: Los códigos del horror

    Pornografía infantil: Los códigos del horror

    Créditos

    Fidel Quevedo Linares

    Cuando le informaron por celular que todo estaba listo para la intervención a los delincuentes –dentro y fuera del país–, el Coronel Raúl Alfaro Alvarado, al frente del operativo “Destierro 2018”, asintió brevemente con el mentón adusto. Se aflojó la corbata y llevó su mano izquierda a la cintura. En milésimas de segundo, su mente hizo un veloz recorrido por aquellas imágenes de niños, muy pequeños, víctimas de las aberraciones sexuales de aquellos depredadores que la sociedad debería erradicar.

    Aquellas visiones, que se agolpaban una tras otra en su mente, a la velocidad de la luz, le producían una mezcla de tristeza e ira que, por fortuna, su entrenamiento le había enseñado a controlar. Al recuperarse de aquel vértigo fugaz e inadvertido por sus subalternos, y sin perder el aplomo y la seguridad en su voz, pronunció la orden esperada por más de trescientos policías y cuarenta fiscales: ¡Procedan!, exclamó.

    El golpe asestado contra los criminales consumidores de pornografía infantil, la mayoría pedófilos, logró arrestar a 33 miembros integrantes de una red que producía, compartía y comercializaba, desde el Perú, imágenes y videos sobre violaciones sistemáticas a menores a través de un grupo de WhatsApp denominado “Little princess” (pequeña princesa).

    Dicho grupo de WhatsApp estaba integrado por 256 usuarios de treinta países de América, Europa, Asia y África. Desde Colombia, el administrador de la red era quien aprobaba el ingreso de nuevos contactos no sin antes hacerles saber que, para permanecer en el grupo, debían “producir” sus videos en un tiempo determinado y que los mismos, debían incluir a menores de cinco a trece años de edad.

    Los primeros consumidores de pornografía infantil (y virtuales pedófilos) capturados en el operativo “Destierro 2018”, cayeron en Arequipa. Un patrón detectado por la policía en los indeseables que comercializan el aberrante material en las redes, es que todos suelen ser homosexuales. FOTO: Correo

    “Destierro 2018”, fue una operación exitosa promovida por la División de Delitos de Alta Tecnología (DIVINDAT), de la Policía Nacional del Perú, en coordinación con la Interpol, y efectuada entre el 19 y 20 de julio último. El sistema que permitió ubicar a dicha red de indeseables, es conocido como “Cyberpratullaje”, que viene desplegando una importante estrategia de detección de estas bandas criminales en la web. Sin embargo, los esfuerzos de la DIVINDAT aún resultan insuficientes para erradicar a toda una industria del mal, como es la pornografía infantil, que opera con suma impunidad en el Internet.

    Simbología criminal

    Gracias a una investigación de largo aliento del FBI norteamericano, se logró reconocer los símbolos y el léxico encriptado que usan los ciber depredadores o pedófilos en la red. El reconocimiento oportuno de éstos íconos y terminología, puede ayudar a prevenir un eventual ataque contra niños y adolescentes, evitando así lesiones físicas y psicológicas que, en muchos casos, devienen en problemas mentales irreversibles.

    Los términos y símbolos que utilizan estos criminales les permite reconocerse entre sí en su monstruoso círculo, de forma en que puedan transmitir sus preferencias, gustos y debilidades con respecto a un menor.

    Muchos han podido ver e incluso usar algunos de estos íconos grabados en un juguete, pendiente, collar, sortija, etc., sin saber el significado real del símbolo. Las figuras son usadas en las nefastas reuniones dentro de su comunidad para identificar las preferencias entre los miembros de su grupo.

    Dichos símbolos están compuestos por signos que contienen siempre a uno dentro del otro. El más grande representa al adulto y el pequeño al menor.

    La diferencia de tamaños y formas muestra la preferencia de estos pervertidos por menores según su edad y sexo. Incluso algunos de estos indeseables lo utilizan para dar a conocer que el niño o niña está disponible.

    Los códigos que utilizan

    “Boys lovers” o amantes de los niños: Está representado por un triángulo pequeño dentro de uno más grande el cual quiere decir que el depredador sexual (pedófilo) es atraído por los niños. Pero aquí hay un detalle: si el triángulo está correctamente dibujado (izquierda) significa que tiene simpatía por niños de cualquier edad. Pero si el triángulo no tiene bien definido sus lados (derecha) es que siente predilección por niños pequeños o infantes.

    Símbolos de la crueldad y bestialidad.

    Estos símbolos también han sido encontrados en monedas, aros, dijes tal como se muestra.

    “Girl lovers” o amantes de las niñas: Un símbolo en forma de corazón que envuelve otro corazón significa que indica que el pedófilo tiene predilección por las niñas

    Este símbolo, indica la predilección por las niñas, por parte del pedófilo.

    Amantes de todos los niños: Está representado por una mariposa la misma que indica que el depredador sexual no tiene preferencia especial por el sexo del menor, siempre y cuando sea menor, es decir le gustan ambos géneros.

    Este símbolo indica que el depredador sexual ataca tanto a niños como niñas.

    Por último, se ubica el símbolo de los pedófilos que se declaran luchadores activistas en blogs, foros, etc., de esta detestable causa: Luchan por la libertad de poder “amar” a los niños y niñas sin restricciones, así como por la legalización de la pornografía infantil.

    De terror: existen activistas que promueven la pedofilia en redes y foros. Este es su símbolo.

    Vocabulario Criminal

    Pero esta comunidad criminal ha inventado nuevas formas de comunicarse entre sí, usando acrónimos (siglas) para intentar pasar inadvertidos en sus conversaciones por las redes sociales y así intercambiar información en su círculo sobre sus preferencias en cuanto a gustos por niños se refiere.

    Incluso cuando desean abastecerse de pornografía infantil, estos indeseables criminales usan palabras clave para no crear alarma entre los demás cibernautas. Acrónimos como CP (Child Porn) -que hace referencia a pornografía infantil por sus siglas en inglés- es lo más usado, al igual que palabras cuyas iniciales contenga esas siglas como Código Postal, Cultura Peruana, Caldito de Pollo, Club Penguin etc.

    Mezcladas en una oración pasaban totalmente inadvertidas, logrando de esta manera obtener, compartir y hasta negociar pornografía infantil entre otros depredadores sexuales.

    Aquí, una recopilación de las palabras clave que son usadas en la red:

    AF – Amigo adulto amigo (de un niño)
    AL – Amante adulto
    AOA – Edad de atracción
    AOC – Edad de consentimiento (edad a la que uno puede legalmente tener
    relaciones sexuales, difiere según los países)
    Novio BF – (utilizado principalmente acerca de las relaciones homosexuales)
    BC – BoyChat – chat de niños
    BoyChatter – niño que chatea
    BI (bi) – Bisexuales (atraídos por ambos sexos)
    BL – Boylover (una persona amante de los niños)
    BLL – Amante boylover (un boylover en una relación romántica con otro boylover)
    BLN – BoyLover.net (foro de la comunidad boylover desarticulado en una operación internacional contra la pornografía infantil en la que también participó el Grupo de Delitos Telemáticos de la Guardia Civil de España)
    BLR – Boylover
    BM – Momento especial
    CG – Web o punto de reunión y de comunicación entre boylovers y girllovers
    CL – Childlover (una persona que ama a los niños de ambos sexos o miembro de un movimiento de unidad entre boylovers y girllovers)
    CM – (despectivo) abusador de menores
    CP – Pornografía Infantil (también KP)
    CSA – Abuso sexual infantil
    GL – Girllover (amante de las niñas)
    GTG – Reunión real entre varios boylovers
    PK – Porno infantil, también CP
    LB – Niño querido
    LBL – Amante de los niños pre-púberes (menores de 8 años) comparar con TBL
    PRF – Informar de un problema (en BoyChat)
    Sadvocate – (despectivo) Persona que piensa que él sabe mejor que nadie acerca de los niños
    SGL – Amor del mismo sexo
    Siggy o sigpic – (Imagen opcional asociada con un apodo o Nick en un foro o chat)
    SO – Delincuentes sexuales
    SYF – Niño amigo especial, con este acrónimo los pedófilos definen a sus niños preferidos
    TA (BRE) culo apretado, (AME), culo apretado (un término de Pokémon para sus detractores)
    TBL – Teenboy amante (que ama a los adolescentes); comparar LBL
    TV – Travesti
    YF – Joven amigo
    YIF – Joven amigo imaginario

    La élite pedófila

    Según una investigación ciudadana realizada por la comunidad Reddit y 4chan, luego del escándalo de los #Pizzagate, publicaron una serie de códigos utilizados en la élite de pedofilia en Estados Unidos, usaban los mismos para hacer referencia al gusto sexual por los menores, lo hacían así para no levantar sospechas.

    Estos serían los términos más usados por ese círculo “VIP” de pedófilos:

    Hot dog = Boy (salchicha = niño)
    Pizza = Girl (pizza = niña)
    Cheese = Little girl (queso = niña pequeña)
    Pasta = Little boy (pasta = niño pequeño)
    Walnut = Colored person (nuez = persona de color)
    Map = semen (mapa = semen)
    Sauce = Orgy (salsa = orgía)

    “La advertencia debe ser directa al menor”

    Cifras en aumento. La policía, a través de la DIVINDAT, ha salido a cazar a los pedófilos, mediante el ciberpatrullaje. se estima que a fines de año, la cifra de detenidos por intercambio de pornografía infantil en las redes, podría superar los setenta.

    El coronel Raúl Alfaro Alvarado -oficial de la policía, investigador criminal y abogado- actual jefe de la DIVINDAT habla fuerte y claro sobre el aumento silencioso de la pedofilia a través del grooming y lo que esta unidad de la Policía Nacional viene desarrollando para contenerla.

    “Para poder evitar el Grooming se pueden hacer varias cosas: un conjunto de acciones que al final van a dar como resultado la seguridad de los menores contra este tipo de amenazas, por ejemplo, la comunicación que debe haber entre padres e hijos. La sociedad actual no deja muchos espacios para que los padres estén realmente con los hijos; están fuera casi todo el día y ese tiempo solos, hace que muchos menores –a través de su teléfono de alta gama– accedan a conectarse en la red desde una edad temprana”

    Coronel PNP Raúl Alfaro Alvarado, Jefe de la DIVINDAT

    Alfaro señala que otro aspecto es la “Concientización del menor” respecto a los peligros que hay en la red. Las familias disfuncionales constituyen otro factor de riesgo, los padres están ausentes por alguna razón, o tienen algún tipo de problema legal o conductual.

    El jefe de la DIVINDAT, Coronel PNP Raúl Alfaro Alvarado, sostiene que la labor de prevención debe iniciar con advertir a los menores sobre el riesgo que corren al contactar a extraños en las redes, quienes generalmente se hacen pasar por niños, niñas o adolescentes, configurando los típicos casos de “grooming”.

    “El tema de los padres drogadictos o alcohólicos, que no asumen como deberían el rol que les corresponde, hacen al menor doblemente vulnerable”, afirma el coronel Alfaro quien señala que otro elemento de vulnerabilidad que es muy bien explotado por los atacantes a través de las redes, son las necesidades económicas.

    “Es en los sectores más vulnerables y zonas desfavorecidas económicamente, donde hay mayor incidencia de hogares disfuncionales, allí habría que llegar con programas o a través de los colegios”, indica el coronel.

    “Lo que yo creo, como jefe de la DIVINDAT, es que el mensaje de advertencia sobre estos riesgos, debe ser dirigido al menor, antes que a los padres”, mencionó el especialista.

    “El mensaje directo y principal debería ser para los menores porque son las víctimas de este delito, y si se llega a concretar el abuso sexual, las consecuencias son irreversibles, pues tales episodios marcarán siempre al menor e incluso, en algunos casos, el trauma puede inducir a una desviación. Los padres vendrían a ser un tipo de agraviados colaterales. Hemos descubierto, también, que la mayoría de las personas que consumen o fabrican pornografía son homosexuales”, indicó Alfaro.

    Sobre el Grooming, el coronel opinó que éste aparece porque los depredadores se presentan como benefactores, gente bondadosa, o amigos que tratan de crear un vínculo afectivo de fidelidad con el menor para convencerlo rápidamente ofreciéndole regalos. “Enmascaran su identidad para hacerse pasar por un niño, una mujer o simplemente la omiten”, enfatizó.

    Pedofilia en aumento

    “Ahora nosotros salimos a cazarlos (a los pedófilos), a buscarlos… no los esperamos, eso ha hecho que se dispare la cantidad de detenidos.”, explica el jefe de la DIVINDAT.

    “La DIVINDAT detuvo a cuatro personas por pornografía infantil en el 2016, tres criminales en el 2017 y en lo que va el 2018 hemos detenido a 48 personas en todas las regiones, hay un aumento de 1600% en comparación al año pasado, tenemos proyectados mega operativos, con lo cual podríamos llegar o pasar a 70 detenidos por pornografía infantil. Ahora nosotros salimos a cazarlos, a buscarlos no los esperamos, eso ha hecho que se dispare la cantidad de detenidos.
    La empresa privada puede apoyar con capacitación a la policía, al estado. Empezamos conversaciones con Microsoft para unas capacitaciones”, señaló el jefe de la DIVINDAT.

    Alfaro indicó que “las entidades públicas y privadas tienen que dialogar y coincidir para que el tema de ciberseguridad y ciber delito mejore, afinar y corregir el marco legal, pues no basta con la parte penal sino también la procesal y administrativa”.

    “No existe Fiscalía especializada en delitos informáticos”

    El jefe de la DIVINDAT también refirió que la inexistencia de una fiscalía especializada, hace que la información se diluya y no se encuentre con facilidad una data ordenada. “Tener una fiscalía especializada ayudaría a brindarle agilidad a los procesos, pero parece que el problema pasa por un tema presupuesta”, anotó.

    “Pese a algunas limitaciones, hemos podido sacar adelante operativos, como el de la organización criminal que se dedicaba a hacer compras por internet con tarjetas robadas y datos personales que las obtenían haciéndose pasar por una call center. Pero nuestro mayor logro en lo que va del año ha sido el mega operativo Destierro 2018”, afirmó el coronel.

    El operativo logró detener a 33 personas de 17 regiones del país. “Nosotros coordinamos totalmente este operativo internacional y ha sido el primero de esa magnitud en el Perú. Little Princess era una comunidad de WhatsApp que traficaba pornografía infantil y fue totalmente desarticulada aquí en nuestro territorio. En Paraguay capturaron a dos criminales y la prensa paraguaya indicó que la captura fue posible gracias a que el Perú compartió esa información”, comentó con justo optimismo el coronel Raúl Alfaro.

    “Sólo hay que aplicar la ley”

    Dr. Guillermo Ruíz, sobre el tráfico de pornografía infantil en las redes: “No necesitamos una solución legal, lo que se necesita, es hacer que el estado actúe”.

    “Tenemos una legislación ya bastante avanzada en la Constitución, donde señala claramente como norma vital que la comunidad y el Estado protege especialmente al niño, adolescente, a la madre y al anciano en situación de abandono” indicó el Dr. Guillermo Ruiz Secada, abogado del prestigioso estudio Muñiz.

    “Tenemos el artículo 4 de la ley 27337 que es el código de los niños y adolescentes, esta ley indica claramente el derecho a que se respete su integridad moral psíquica y física. Estas normas son bastante contundentes sobre los derechos de los niños” señaló el especialista

    Sobre los delitos Informáticos, indicó que “La Ley 30096 Cap. III Art. 5, habla claramente sobre la protección al menor en cuanto a la pornografía infantil se trata, y las penas que recibirían quienes, a través de las tecnologías de la información o de la comunicación, contacten a menores de 14 años para solicitar u obtener del él material pornográfico o para llevar a cabo actividades sexuales con él, será reprimido con penas que van de cuatro a ocho años de cárcel” enfatizó.

    “La Leyes están dadas, ahora hay que hacerlas cumplir. No necesitamos una solución legal, lo que se necesita, es hacer que el estado actúe; el problema es como el narcotráfico, el contrabando, la evasión tributaria, la falsificación de cheques, la venta de facturas… todo está a la vista, pero nadie dice nada, todo eso abunda, las leyes ya están dadas sólo que no se aplican como deberían”, recalcó el jurista.

  • 8.8 en Lima: Fiesta y preparación contra ciberataques

    8.8 en Lima: Fiesta y preparación contra ciberataques

    Compartir el conocimiento en Ciberseguridad y democratizarlo, fue el principal objetivo de la reunión anual “Ocho punto Ocho (8.8)”, celebrada en Lima el 12 de setiembre último en la Alianza Francesa de Miraflores, en un clima de sana distención y confraternidad.

    Ciberseguridad y cultura pop

    Según Gabriel Bergel, fundador y principal impulsor de la cita, celebrada en distintos países de América Latina, el “8.8” apuesta por las tecnologías abiertas y en compartir el conocimiento, crear comunidad y ocupar el poder de la colaboración colectiva y “todo esto en un ambiente relajado y siempre aludiendo a la cultura pop”.

    Confraternizar y compartir conocimientos, es la principal norma que anima la realización del 8.8, indica Gabriel Bergel.

    El nombre de la cita “8.8”, fue así denominada luego del terremoto acaecido en Chile en el 2010 y que tuvo tal magnitud en la escala de Ritcher (8.8). Bergel, experto en seguridad informática, y quienes lo secundaron en la gesta, decidieron nombrar de esa forma a la reunión pues “queríamos producir un remezón en la comunidad con una conferencia hacker”.

    En ésta última reunión celebrada en Lima, y cuya denominación completa fue “8.8 Computer Security Conference, Infinity”, expertos en ciberseguridad de México, Argentina, Colombia y Perú analizaron e intercambiaron experiencias relacionadas a los ciberataques que viene soportando el sector financiero en nuestra región.

    Los participantes, atentos a cada exposición, las mismas que pugnaron por cubrir todas las expectativas.

    “El rubro financiero siempre ha sido el más atacado y a la vez, es el más regulado, ya que posee el activo más preciado por los ciberdelincuentes, el dinero”, afirmó Gabriel Bergel a propósito de la temática planteada en la mayoría de las conferencias.

    “No fue un tema escogido con antelación, sin embargo, las ponencias que llegaron mostraron una marcada tendencia en este rubro y es porque desde hace tres años –me atrevería a decir–, hemos sufrido muchos ciberataques y brechas en este ámbito, este año le tocó a México, Chile y Perú entre otros… lo más alarmante es que esta tendencia no va a bajar, al contrario, sucederán más ciberataques y debemos estar preparados”, afirmó el fundador del Ocho punto Ocho.

    La intervención de Patricia Pantigoso, puso en relieve la participación de la mujer en temas de ciberseguridad.

    En ese contexto, la conferencia denominada “Domain Admin, en donde empieza todo” los expertos peruanos Patricia Pantigoso y Jorge Córdova, analizaron la situación de la seguridad informática del sector financiero (Banking Security), bajo la tesis “es posible acceder a otros sistemas y aplicaciones mediante técnicas de escalamiento de privilegios y movimiento lateral, entre otras”.

    Otro experto peruano en ciberseguridad, César Farro, brindó la conferencia “¿Por qué monitorear tu red?”, en donde expuso la necesidad de una actitud de prevención e investigación de incidentes por parte de los responsables de la seguridad, luego de los ataques informáticos contra las entidades financieras y otras empresas en Latinoamérica.

    En alguna ocasión, la ronda de preguntas generó un auténtico y cordial debate.

    En la misma línea de exposiciones, plantearon sus participaciones en el “8.8” el colombiano Jaime Restrepo y su disertación “Malware Bancario, historia de un robo real”, el mexicano Paulino Calderón y su charla “Derrotando a changos con scanners”, o el argentino Gaston Toth y su conferencia “Web apps… little mistakes, big problems” (Aplicaciones web… pequeños errores, grandes problemas).

    Por su parte, el experto peruano Jean Del Carpio Foronda expuso el tema “Analizando el comportamiento de un Ransomware Zero Day – En Vivo”, presentación orientada a mostrar de manera práctica cómo un ransomware ataca un sistema. Del Carpio analizó las acciones que éste realiza al infectar una PC, como la encriptación de archivos, envío de mensajes, creación de otros malwares, registros y demás.

    Como es tradición en el 8.8, al final de cada exposición, se sortearon libros sobre ciberseguridad. Claro, el feliz ganador, debía responder una pregunta para demostrar que estuvo atento a la conferencia.

    Hackeando autos

    Aunque apartada del tenor de las otras conferencias –pero no menos importante–, fue la ponencia “The Bicho: An Advanced Car Backdoor Maker”, planteada por el argentino, experto en ciberseguridad, Claudio Caracciolo.

    El experto argentino, Claudio Caraciolo, sentó auténtica cátedra con la puesta en evidencia de la posibilidad de hackear automóviles.

    La tesis del especialista inició con la interrogante “¿Alguna vez te imaginaste la posibilidad de que tu auto sea atacado automáticamente en base a sus coordenadas GPS, su velocidad actual o cualquier otro conjunto de parámetros?”, el experto demostró, tras una extensa investigación, el exitoso desarrollo de un hardware “backdoor” para el bus CAN, llamado “The Bicho” que hace posible este tipo de hacking.

    “La magia está en el firmware que desarrollamos para un microcontrolador PIC18F2580. Adicionalmente, ‘The Bicho’ cuenta con un software llamado ‘Car Backdoor Maker’ que permite la personalización de los payloads de ataque a través de una interfaz gráfica muy intuitiva”, explicó Caracciolo.

    Gabriel Bergel: “La cita en Lima, cumplió con sus objetivos y expectativas”.

    Jaime Restrepo: “Aunque queda mucho tramo por recorrer, la comunidad latinoamericana empieza a tomar en serio la seguridad informática”

    Jean Del Carpio: Analizó, en vivo, el comportamiento de un Ransomware”

    César Farro: “Ante los constantes ciberataques, monitorear la red en forma permanente, es una necesidad”.

    Patricia Pantigoso: Aunque fue su primera vez como ponente, reafirmó la presencia de la mujer en el campo de la ciberseguridad.

    Paulino Hernández: “No se está haciendo el esfuerzo necesario para capacitar a las nuevas generaciones en seguridad informática”.

    Jorge Córdova: “Los ataques al sector financiero, serán cada vez más frecuentes y más especializados”.

  • Sharenting, el enemigo silencioso

    Sharenting, el enemigo silencioso

    Muchos padres cometen un grave error al pretender inmortalizar la imagen de sus hijos cuando comparten sus fotos en las redes sociales. Cada registro de la gracia, movimiento peculiar o los primeros pasos del bebé, al ser expuestos en público, corren el riesgo de ser utilizados por los ciberdelincuentes.

    Fotos de alto riesgo

    La tendencia es compartir todo por la red y bajo esta premisa aparece el “Sharenting”, que deriva de la fusión de dos palabras inglesas, “Share” (compartir) y “Parenting” (paternidad), y que consiste en la tendencia de los padres en publicar en forma continua las imágenes de sus hijos en las distintas redes sociales existentes, exponiéndolos al ciberacoso, ciberbullying, e incluso a la acción de criminales pederastas y a la pornografía infantil.

    Muchas veces, las imágenes expuestas en público, corren el riesgo de ser utilizadas por los ciberdelincuentes.

    La casi obsesión o manía de los padres en registrar y publicar casi todo, desde –prácticamente- su concepción, seguidas de ecografías, nacimiento, primer baño, cambio de pañal, primeros pasos, primeros dientes, cumpleaños, vacaciones, actividades escolares y un largo etcétera, es donde los progenitores colocan en riesgo a sus niños, a quienes corresponde –paradójicamente— protegerlos.

    Mami, quítame la cámara

    Y en toda esta divulgación de información no se considera el permiso del menor para compartir sus imágenes audiovisuales, quedando todo este material como una huella digital, es decir todas las imágenes audiovisuales quedaran en la nube para siempre. Así, cuando un tercero digite el nombre del menor en la red ahora o en 10 años aparecerá todo lo que sus padres han compartido sobre él.

    Sharenting
    Los padres pueden estar cometiendo un grave error al compartir, de manera compulsiva, las imágenes de sus bebés.

    Ciertas fotografías o informaciones publicadas pueden afectar a la reputación del niño, perjudicándole en su entorno social o en el colegio, hasta puede considerar que sus padres han violado su derecho a la intimidad y de alguna manera su honor ha sido perjudicado, ya que muchas veces los padres comparten imágenes que el menor las pueda considerar incómodas y pueden generar algunas burlas entre sus amistades.

    Prevención con información

    “Los padres deberían conocer los peligros que genera exhibir la imagen de sus hijos al público en general, exponiéndolos de esta manera a invitaciones por redes sociales de personas con trastornos de personalidad, pedófilos, psicópatas, que no dudan ni un segundo en persuadir y engañar a sus hijos para que estén en contacto con ellos. Si no hay una buena comunicación con los hijos, ellos buscarán afecto y atención en esta clase de personas, poniendo en riesgo su vida” Acotó la psicóloga Roxana Nakaoka, del Centro Integral de Salud Familiar “Vida Nueva”, quien dijo “la prevención empieza con información”.

    Roxana Nakaoka - Centro Integral de Salud Familiar "Vida Nueva"
    Roxana Nakaoka – Centro Integral de Salud Familiar “Vida Nueva”

    “Se deben dar charlas a los padres de familia en los colegios sobre los peligros que esconde el Sharenting”, recomienda la psicóloga Roxana Nakaoka.

    “Es por ello –prosiguió la especialista- que debemos tomar los cuidados necesarios y precisos para salvaguardar la integridad de nuestros hijos”.

    “Se deben dar charlas a los padres de familia en los colegios sobre los peligros que esconde el Sharenting, informarles de qué se trata y cuáles serían las consecuencias al abusar de dicha práctica”, indicó la especialista.

    La psicóloga recomendó limitar el acceso a las imágenes que se postean en las redes sociales, ya que los mismos contactos pueden -sin saber- seguir exponiendo las imágenes del menor a personas desconocidas.

    Asimismo, sugirió formar hábitos de uso de los dispositivos y “no estar constantemente tomándose fotos de todo cuanto hacen o donde están y publicarlo, porque en esas fotos familiares exponen a sus hijos”.

    “Hay que evitar la instalación de los dispositivos en los dormitorios, pues si ya alguien, con una personalidad enferma los captó, los padres podrán tener el control en ello… por eso es muy importante que formen parte de sus contactos”

    Roxana Nakaoka

    “Hay que enseñar a los niños y adolescentes temas sobre cómo cuidar su intimidad y el respeto a su derecho a negarse a ser expuestos en público”, señaló.

    Gobierno y colegios deben trabajar juntos

    Asimismo, indicó que el gobierno debería dar prioridad a la salud mental, e invertir en instituciones o empresas que la promuevan.

    “Los colegios hoy en día no cuentan con el apoyo de psicólogos a tiempo completo para evaluar, orientar y ayudar a los padres y alumnos. El gobierno debe obligar a incorporar de forma permanente a éstos especialistas en el staff de los planteles”, demandó Nakaoka al puntualizar que la cantidad debe ser acorde al número de alumnos del centro educativo.

    “Hoy la sociedad peruana está pasando momentos de inseguridad, violencia contra la mujer y la niñez, intolerancia, bullying, etc. El apoyo y tratamiento por parte de profesionales en salud mental (psicólogos y psiquiatras) en la etapa estudiantil, ayudaría a detectar de manera temprana comportamientos inadecuados. De igual forma hay que promover campañas para que se tome conciencia y se fomente el uso seguro de las redes sociales” concluyó la psicóloga.

    Tenga en cuenta

    Si aún así se desea compartir en la red las imágenes de los hijos, se pueden seguir algunas recomendaciones técnicas dadas por los especialistas en ciberseguridad:

    • Conocer al pie de la letra las políticas de privacidad y configuración de las redes sociales en las que se desea publicar las fotos.
    • Mantener activas todas las notificaciones de alerta cuando el nombre del menor haya sido buscado en Google.
    • Verificar la red de amigos. Compartir las imágenes sólo con personas conocidas y que gocen de toda confianza.

  • Encuentro de hackers en Lima: PERÚHACK

    Encuentro de hackers en Lima: PERÚHACK

    La sexta edición de PERÚHACK, conferencia anual de ciberseguridad ofensiva que reúne a hackers peruanos y extranjeros con el propósito de intercambiar conocimiento sobre las últimas técnicas de hacking y ataques informáticos, constituyó un “éxito total”, según los organizadores del certamen.

    Al encuentro, realizado el 11 de mayo último en el distrito limeño de San Isidro, acudieron consultores, profesionales en TI, administradores, técnicos y estudiantes, todos interesados en intercambiar, aprender y actualizar conocimientos.

    Más de 220 informáticos participantes de PERÚHACK, agotaron las localidades en la última versión del encuentro de hackers en Lima.

    PERÚHACK se caracteriza por compartir datos netamente técnicos. Los hackers invitados dictan las charlas de seguridad desde el punto de vista del atacante indicando a los informáticos asistentes cómo proceder para proteger la información de su organización.

    Estas charlas y talleres también sirven para colocar a la empresa en el lado ofensivo. Es decir, ya no esperan ser atacados para defenderse sino más bien ya están listos y preparados antes del ataque.

    Este año la programación de los ponentes y los temas fueron pensados para que el público asistente tome conciencia que la ciberseguridad debe existir, no solo en el ámbito laboral sino también en todos los aspectos de su vida cotidiana.

    Juampa Rodríguez y Ariel Guzmán de Bolivia dictaron la conferencia sobre “pentest” (pruebas de penetración) a través de la herramienta “Infayer Framework” la misma que se puede conseguir en forma gratuita a través del sitio web “github.com/infayer”.Desarrollado por el equipo de “Moebius Security”, “Infayer Framework” es una herramienta que permite automatizar tareas rutinarias del pentesting, permitiendo agilizar todo el proceso dentro de una auditoria de seguridad.
    “La principal virtud de Infrayer Framework es hacer totalmente todo veloz, simplemente hay que darle la orden de lo que se quiere hacer y lo hace”, indicaron los desarrolladores bolivianos.

    El experto en ciberseguridad y fundador de PERÚHACK, Walter Cuestas, en distendido y notable speech, previa presentación de los hackers bolivianos Juampa Rodríguez y Ariel Guzmán.

    Según Juampa Rodríguez, lo único que se necesita para el manejo de la herramienta es “saber leer, no tiene que tener ningún nivel, la herramienta es bastante sencilla, va por codificación de números, si te pide cero, mayúscula etc. tienes que darle lo que pide”.

    El informático Ricardo Berrospi fue el primer “Ethical Hacker” peruano certificado en Estados Unidos, quien expuso sobre la explotación de vulnerabilidades en “Oracle WebLogic”, que es un servidor de aplicaciones Java, utilizado para alojar servicios, páginas webs, etc. “Es un producto bien posicionado dentro del mercado que ofrece protección, manejo grande de usuarios, que son usadas por bancos, mineras, entre otros”, indicó el experto.

    Patricio Castagnaro, de Argentina, fue otro de los invitados a PERÚHACK, quien brindó alcances sobre una aplicación denominada “FRIDA”, la cual permite hacer una instrumentalización en lo que son las aplicaciones tanto “Mobile” como también para aplicaciones multiplataforma, es decir, para Windows, Linux, Unix, etc.

    El experto argentino, Patricio Castagnaro, posa para Perú Ciberseguro tras finalizar su conferencia

    La culpa es del programador, fue el tema que dictó Saúl Mamani de Bolivia, quien analizó el grado de responsabilidad que tiene el programador en el diseño seguro de las aplicaciones.

    “Cuando el desarrollador no valida datos en los formularios, ocurren problemas como SQL injection (ataque a una base de datos), cross site scripting (agujeros de seguridad) entre otros. Es fácil evitar esta situación si tan solo el programador se enfocara en la seguridad de la aplicación y no solo en cumplir requerimientos funcionales”, explicó Mamani.

    “Hoy presenté -dijo- una herramienta de mi autoría llamada Muña, la cual pueden conseguir a través de la siguiente dirección web: github.com/muña; esta aplicación se encuentra llena de agujeros de seguridad, que sirven, básicamente, para aprender a atacar aplicaciones vulnerables. Tiene dos opciones, ataque y defensa, para que cualquier expositor, profesor o alumno, pueda practicar y utilizar la aplicación a su gusto”, indicó el experto boliviano.

    Elise Cieza y Vitor Esperança, ambos de Brasil, dictaron la charla “Soy administrador de dominio, ¿y ahora?”.

    “Muchas pruebas terminan cuando eres el administrador o controlador del domino, pero lo que hacemos no termina cuando logras la obtención de esa credencial que es la máxima permisión dentro de una red –comenzó su intervención Elise- nuestro trabajo empieza cuando recién se obtiene esa permisión. Tienes que llevar un resultado óptimo para que el cliente entienda cómo un hacker, un atacante en la vida real, pueda hacer daño dentro de la organización”.

    “Es una tarea difícil –prosiguió- las empresas son un poco reacias cuando el administrador les pide potestad para hacer las pruebas de intrusión y así tener la libertad de atacar, no solo la tecnología, sino también a las cuentas personales, haciendo llamadas y enviando correos falsos, etc. Es un poco raro ver compañías que acepten hacer ese tipo de pruebas pues hay mucho temor de parte de los clientes, toda vez que está de por medio mucha información sensible y confidencial”, señaló Cieza.

    Las conferencias de ésta última versión de PERÚHACK, a cargo de expertos informáticos peruanos como William Marchand “Desplazamiento Lateral 101”, Juan Oliva “Attacks In Depth for Web Applications”, y Óscar Martínez “Pentesting de Aplicaciones Móviles”, serán consignadas en las siguientes ediciones de Perú Ciberseguro.

  • Hackers por encargo

    Hackers por encargo

    La seguridad en las tecnologías de la información se ha convertido en una de las mayores preocupaciones para las empresas.

    La eterna bronca

    Desde tiempos inmemorables la lucha del bien contra el mal –la luz y la oscuridad, el ying y el yang, etc.– se ha librado de manera constante a lo largo de la historia de la humanidad. Tales enfrentamientos se han volcado al ámbito informático actual, en lo que llamamos la guerra por la información.

    En los últimos años el Internet ha ingresado de manera arrolladora en la vida diaria de empresas, negocios, casas, etc. Con la red controlando prácticamente todo, la seguridad en las tecnologías de la información (TI), se ha convertido en una de las mayores preocupaciones de las empresas y del público en general.

    Siendo el sector empresarial el más preocupado en resguardar su información ante cualquier ataque malicioso (como el ransomware), actualmente existe la necesidad de contar con una completa plataforma de seguridad, que sea capaz de proteger toda su infraestructura empresarial, datos e información sensible e importante ya que podría ser usado en su contra por la competencia si son hackeados.

    Los servicios de los denominados “Hackers de sombrero blanco”, o informáticos que vulneran los sistemas de seguridad por encargo de la propia empresa , tienen cada vez mayor demanda.

    Hacking ético

    Para prevenir estos peligros, las empresas se hallan en la necesidad de contratar los servicios de profesionales en seguridad de la información, quienes hacen una “auditoría” al sistema. A dicha actividad se le conoce como “hacking ético” o “pruebas de penetración”, las mismas que detectaran dónde se encuentra el peligro o la vulnerabilidad de la empresa.

    Estos “hackers de sombrero blanco” (llamados así porque en las películas del lejano oeste norteamericano, “far west”, el bueno siempre suele llevar uno así), asumen el papel de un ciberdelincuente simulando, mediante sus programas, atacar a la empresa con el objetivo de evaluar cuál es el estado real de su seguridad TI.

    Es imprescindible contar con la autorización de la empresa, mediante un contrato donde queden plenamente estipuladas las obligaciones que debe cumplir el auditor como es la confidencialidad, integridad, secreto profesional, límites de la auditoría, etc. El resultado final indicará los puntos débiles de la empresa y qué pasos deben realizar para eliminar dichas debilidades o mitigarlas.

    PERUHACK

    PERUHACK es una conferencia anual sobre ciberseguridad dedicada a instruir en técnicas avanzadas de hacking y ataques informáticos.

    Anualmente se realizan conferencias sobre el Hacking Ético en diversas partes del mundo, congregando cada año mayor cantidad de asistentes, que encuentran en estos eventos, respuestas a sus inquietudes. Grupos de hacker de sombrero blanco dictan una serie de charlas sobre distintos temas relativos a la seguridad TI. En Argentina tenemos el “Ekoparty”, en Chile el “8.8”, en Colombia el “Colombia 4.0” y en Perú el “PERUHACK”.

    “Luego del éxito de años anteriores, PERUHACK se consolida como la única conferencia 100% técnica, que muestra la seguridad desde la perspectiva de un atacante, lo que permite a los profesionales de seguridad informática y seguridad de la información, conocer sus técnicas y cómo actuar para proteger a sus organizaciones. Esta conferencia va dirigida a personas interesadas en seguridad de la información, desarrolladores de sistemas, estudiantes, hackers, y otros… este año el PERUHACK se realizará el 11 de mayo en el Hotel Meliá”, finalizó.

    Grover Córdova, gerente general de Security Labs y miembro del comité organizador del certamen.