Un ‘hacker’ roba 68.000 euros de las cuentas municipales de Maria de la Salut

Un hacker que envió un correo fraudulento al Ajuntament de Maria de la Salut consiguió robar 68.000 euros de una de las cuentas bancarias municipales.

El hecho delictivo tuvo lugar hace cuatro meses y salió a la luz en el último pleno municipal cuando las formaciones en la oposición, X Maria y PP, denunciaron «la nula transparencia del alcalde Biel Mas (PI) a la hora de dar a conocer estos hechos».

Tras las pesquisas llevadas a cabo por la Guardia Civil, en colaboración con la entidad bancaria, el importe íntegro ha sido devuelto al municipio. La investigación continúa abierta y desde el Ajuntament no desean hacer ningún tipo de declaración hasta que no se haya resuelto el caso por completo.

El origen de esta estafa se encuentra en el método de phishing (suplantación de identidad) que el delincuente utilizó para apropiarse de los datos bancarios del ayuntamiento.

Según fuentes de la investigación, un trabajador municipal cayó en el engaño al recibir un correo que supuestamente remitía la entidad bancaria y en la que se solicitaban las credenciales para acceder a la banca electrónica. El hacker tuvo acceso a la cuenta bancaria del Ajuntament de Maria de la Salut y realizó una transferencia de 68.000 euros.
La denuncia por parte de los responsables municipales no se hizo esperar, aunque han tenido que esperar hasta hace poco más de un mes para recuperar la cantidad sustraída.

Reacciones

El portavoz de X Maria, Guillem Jordà, critica «la falta de transparencia del alcalde» y asegura que «fue él quien cayó en la estafa. No fue un funcionario como se ha dicho».

Por su parte, el portavoz del PP, Jaume Ferriol, coincide en que «ha sido un acto que demuestra la nula transparencia del equipo de gobierno. Nos hemos enterado de este delito gracias a una conversación puntual».

#robomariadelasalut #phisingmallorca #ataquecibernetico #usoinapropiadodeinformacion #robodedatos #robodeinformacion

Fuente: Ultimahora

Leer nuestras noticias tiene...

¡¡PREMIO!!

Te acabas de llevar10 ENTRADAS para la feria del RAM de 2019. El PRIMERO que nos diga en la publicación de Facebook que las ha encontrado se las lleva!!¡¡CORRE!! 

** Solo se permite un premio por persona **

Las tarjetas bancarias, ya sea de crédito o débito, son cada vez más utilizadas en nuestros días. Es una forma de pago muy cómodo, seguro y que podemos utilizar cada vez en más lugares. En los últimos años se han popularizado especialmente las tarjetas contactless. En España podemos decir que roza el 100% hoy en día. Sin embargo la seguridad es una cuestión muy importante para los usuarios. En este artículo vamos a explicar cómo funcionan las tarjetas contactless y hasta qué punto son seguras. También vamos a dar algunos consejos para evitar problemas. Ya explicamos cómo pagar con seguridad con tarjeta por Internet.

Cómo funciona una tarjeta contactless

La forma en la que funciona una tarjeta contactless es muy sencilla. Básicamente consiste en acercar el plástico (o metal, ya que últimamente están apareciendo este tipo de tarjetas) al terminal compatible. De esta forma se genera una conexión entre ambos y podemos realizar el pago.

Ahora bien, ¿cómo es esto posible? Para ello hay que saber que utilizan NFC. Es la misma tecnología que está presente en muchos teléfonos móviles. Es un medio de transmisión inalámbrica que sirve para identificarnos o realizar pagos, principalmente. En el caso de las tarjetas es justo esto lo necesario.

Las tarjetas en su interior tienen una pequeña antena NFC. Es algo que no podemos apreciar a simple vista, ya que es muy fina y se encuentra dentro. Esta antena es la que permite conectarse a un TPV para realizar el pago. Un proceso que tarda menos de 1 segundo. No hay que confundir esto con el chip visible que tenemos en la tarjeta (EMV).

Teóricamente la tecnología NFC puede funcionar a una distancia máxima de entre 10 y 20 centímetros. Sin embargo en la práctica lo normal es que no funcione más allá de los 4 o 5 centímetros. Es esta la distancia a la que tendremos que poner, como máximo, nuestra tarjeta contactless.

¿Pueden robarnos con una tarjeta contactless?

Ahora bien, algo que preocupa a muchos usuarios es el tema de la seguridad. Como sabemos, con una tarjeta contactless podemos pagar sin introducir el PIN. Eso sí, la cantidad máxima suele ser de 20 euros en España. La mayoría de bancos permiten modificar esta cantidad e incluso algunos bloquean temporalmente la tarjeta si hemos realizado muchos pagos sin introducir el PIN en un mismo día.

Una de las dudas que más preocupa a los usuarios es qué pasaría si pasamos cerca de un TPV y realizamos un pago que no queremos. Incluso si alguien va con un dispositivo por la calle, en lugares muy concurridos, se acerca a nosotros y nos cobra. La realidad es que este proceso es muy complicado. Hay que tener en cuenta que solo se puede cobrar a través de TPV verificados, con un registro previo. En caso de cualquier fraude, siempre podríamos denunciarlo.

Pero claro, lo cierto es que el riesgo existe. Está claro que es una opción muy remota, pero podrían robarnos hasta el máximo que tengamos configurado en nuestra tarjeta. Esto es algo que podría ser un problema si viajamos a otro país donde todo esto esté menos controlado.

Consejos de seguridad para nuestras tarjetas contactless

En nuestra mano tenemos algunas acciones que pueden mejorar la seguridad de nuestras tarjetas contactless. Una de ellas es la de reducir el límite máximo para pagar con este método, si así lo queremos. De esta forma nos pedirían el PIN cuando vayamos a pagar.

ambién podemos hacer uso de fundas con protección RFID. De esta forma incluso aunque la pongamos pegada al lector TPV no funcionaría. Es una manera muy interesante de proteger la tarjeta.

Otra cosa que podemos hacer es apagar la tarjeta cuando no vayamos a usarla. Es algo que muchos bancos ofrecen directamente desde la aplicación del móvil. Simplemente con pulsar el botón esa tarjeta estará encendida o apagada. Muy útil si vamos a ir de viaje y llevamos una tarjeta de reserva en la mochila y no queremos ningún tipo de problemas.

Fuente: Redeszone

¿Puedo recibir una multa de la AEPD por escanear el pasaporte de un cliente?

Un hotel español acaba de recibir una multa de 30.000€ por la Agencia Española de Protección de Datos (AEPD). Todo, por escanear el pasaporte de un turista holandés. La situación ha trascendido en el sector, que se pregunta por las implicaciones a corto y largo plazo de esta manera de actuar. Sobre todo, porque podría afectar a la gestión de los alojamientos turísticos, incluyendo a los campings.

Desde la Confederación Española de Hoteles y Alojamientos Turísticos (CEHAT) han reaccionado con conmoción y desconcierto ante la noticia. Sobre todo, porque aseguran que lo que ha ocurrido se trata de un procedimiento habitual usado por los establecimientos para cumplir precisamente con las exigencias que marca el deber de información.

Al fin y al cabo, hoteles y campings necesitan tener un registro de viajeros. En este caso, aseguran que se trataba de una manera de verificar la identidad del viajero si en algún momento perdía la tarjeta de acceso a su cuarto. Pero es que, además, también es un paso necesario para acceder al resto de servicios que ofrecen en sus instalaciones.

Por tanto, la polémica está servida. En CEHAT han solicitado urgentemente a las administraciones turísticas que se creen otras normas que impidan que esto vuelva a repetirse. Para entender mejor lo que ha ocurrido, vayamos por partes. Así también podremos saber las implicaciones que podría tener este suceso en el futuro inmediato del sector viajes.

¿Por qué se ha producido la multa?

De acuerdo a Protección de Datos, el motivo es que el hotel Marins Playa ha utilizado la foto del pasaporte del cliente para elaborar una ficha digital. En ella, se incluían datos personales del huésped sin que este hubiese dado su permiso. Sin embargo, CEHAT insiste en que es una manera de prevenir el uso fraudulento de la tarjeta de acceso y para comprobar que el titular de la tarjeta de los consumos internos era el mismo cliente.

Este hecho ha sido considerado una infracción muy grave del artículo 6 del Reglamento General de Protección de Datos (RGPD. Por tanto, ha sido sancionada con la cuantía 30.000 euros, que es la mínima para un hecho de este nivel. No hay que olvidar que las sanciones muy graves pueden ascender hasta los 20 millones de euros o a un 4% de la facturación total del establecimiento, dependiendo de cuál sea la mayor de estas dos cantidades.

Lógicamente, habrá establecimientos a estas alturas preguntando cómo se han desencadenado los acontecimientos. En este caso todo surge en el momento en el que el ciudadano holandés pone una reclamación ante la Autoridad de Protección de Datos (AP) de Países Bajos. Según ha contado, el local puso la imagen a disposición de las tablets de los empleados para que verificaran su identidad sin que él hubiese tenido conocimiento previo de ello.

Desde allí luego se ha trasladado la demanda a la AEPD, que es quién ha dictado la sentencia. De no haber sido por la intervención inicial del huésped, es posible que la multa no se hubiese producido. Sin embargo, esto sigue planteando un dilema a los alojamientos, que se arriesgan a que ocurran de nuevo situaciones que podrían derivar en grandes pérdidas económicas y de confianza para campings y hoteles.

¿Cuál ha sido la defensa del hotel?

En base a este hecho, CEHAT denuncia que la decisión de la AEPD se suma a las permanentes quejas sobre la inseguridad jurídica. También han insistido en la sensación de persecución que los empresarios turísticos sienten en materias de protección de datos. Sobre todo, porque las normativas exigen elaborar y facilitar a las empresas turísticas información necesaria para el Ministerio del Interior.

La patronal considera que el sector siempre se ha mostrado abierto a colaborar. De ahí que, a partir de la tecnología, el mecanismo habitual y eficiente para cumplir este requerimiento era el escaneo del documento para que los datos fueran fidedignos. El propio hotel afectado aseguró al cliente holandés que el procedimiento de escaneo era necesario porque seguían las instrucciones de la policía.

De hecho, la AEPD en un primer momento llegó a considerar lícito el tratamiento legal de los datos. Sin embargo, la AP holandesa aseguró que no se estaban valorando bien todas las pruebas. Su argumentación es que el alojamiento podía haber utilizado métodos menos intrusivos para verificar la identidad del titular de la tarjeta del hotel. Por ejemplo, consideran que el apellido, el número de habitación o incluso la firma hubiesen sido buenas alternativas.

Sin embargo, el medio Confidencial Digital asegura que el hotel ha insistido en todo momento que todos estos métodos permiten una suplantación de identidad: si alguien escuchase la información, podría haberla usado en su nombre. Como no hacían alusión a estos métodos en la sección «Política de Privacidad» de su página web, finalmente la AP desestimó sus argumentaciones. En su comunicado oficial aseguran que no habían informado debidamente al huésped y, también, que el tratamiento de datos personales es innecesario y desproporcionado.

¿Entran en conflicto las leyes?

A pesar de todo, la Confederación apunta que esto entraña unos importantes riesgos por la inseguridad jurídica. Consideran que hay una falta de coherencia de interpretación entre lo solicitado por las Fuerzas y Cuerpos de Seguridad del Estado y las normas de protección de datos personales. No solo eso, es que además han manifestado su preocupación por la entrada en vigor del Real Decreto 933/2021 el próximo 28 de abril.

La nueva ley recopila las obligaciones de recogida y comunicación de datos. Sin embargo, todavía no existe un documento de desarrollo específico para hoteles que se ajuste a la tecnología de los sistemas informáticos habituales utilizados. Por eso CEHAT ha manifestado tanto al Ministerio de Turismo como al de Interior la imposibilidad de recoger los datos solicitados en este Real Decreto.

Bien sea porque campings y hoteles no tienen acceso a los mismos o porque están prohibidos por normativa española y europea, lo consideran inviable. Además, esta nueva normativa también contempla importantes sanciones, que podrían entrañar un riesgo. Al mismo tiempo, exige a los hoteleros datos de la transacción económica que son tratados por los proveedores de servicios de pago y plataformas, sin que los establecimientos tengan acceso a ellos por razones de seguridad.

Por su parte, los proveedores de medios de pago, por razones de seguridad y siguiendo protocolos aprobados por el Banco de España, los encriptan de manera que el hotel no tiene acceso a ellos. Es decir, que en los próximos meses podemos encontrarnos con una situación compleja a nivel de legalidad y recogida de datos en los hoteles.

¿Qué riesgos existen para campings y hoteles?

En base a todo lo que hemos comentado, los establecimientos se encuentran ante una disyuntiva. Aunque permanece vigente la obligación de rellenar y firmar el parte de entrada, la tecnología ha dejado anticuado este método de check-in tradicional. De hecho, CEHAT señala que otras tipologías de establecimiento de alojamiento que no sean campings y hoteles no disponen de servicios de recepción donde se pueda cumplimentar esta obligación.

Teniendo esto en cuenta, la patronal ha solicitado a las administraciones turísticas que se creen otras normas que impidan el actual desconcierto, o se posponga la entrada en vigor del Real Decreto hasta que haya una norma de desarrollo con posibilidades de cumplimiento. De lo contrario, creen que se podrían producir negativas de información para la seguridad del Estado.

«No es aceptable obligar a un establecimiento a proporcionar datos a mano en el año 2022, ya que mucha de la información solicitada en estas normativas excede los datos que aparecen en el documento digital de identidad del viajero», señala Ramón Estalella, secretario general de CEHAT.

Al final, desde la Confederación exponen que los campings y hoteles pueden encontrarse ante la tesitura de tener que elegir entre ser sancionados por incumplir o bien las normas de Registro de Viajeros o bien las de Protección de Datos. Por tanto, consideran que son necesarias nuevas herramientas tecnológicas que ayuden a solventar el problema de los alojamientos.

#AEPD #agenciaespañoladeprotecciondedatos #privacidaddedatos #usoinapropiadodeinformacion #multaAEPD

Fuente: Campingprofesional

Medidas preventivas para garantizar tu seguridad 

Aunque se habla mucho sobre la ciberseguridad y cómo tener nuestras cuentas resguardadas, en muchas ocasiones esto no es suficiente y somos un blanco fácil para este tipo de atracos, ante esto, ¿qué se puede hacer si hemos sido víctima de un ataque?

La empresa Kardmatch señala que si ha sido afectado, lo primero es ir a la sucursal más cercana o comunicarse lo antes posible con la institución financiera sobre lo acontecido; mientras más rápido, mejor; de lo contrario, los delincuentes podrían atacar de nueva cuenta.

Verificar con su banco que no existan compras o cargos que no haya realizado o autorizado, y en caso de ser así, ponga una denuncia para que se abra una investigación y detectar cuántos movimientos se realizaron.

A su vez, la Comisión Nacional para la Protección y Defensa de los Usuarios de Servicios Financieros (Condusef) indica que en caso de identificar algo anormal en los movimientos de sus cuentas como cargos no reconocidos, disposición de efectivo sin que se haya realizado, solicitud de créditos que no tramitó, notifíquelo de inmediato a su banco y de manera paralela al organismo gubernamental para que ambos tengan conocimiento que las acciones se realizaron contra su autorización.

Agrega que es necesario contactarse con los establecimientos comerciales implicados en donde se hayan hecho compras, esto para solicitar la cancelación del producto o servicio y se pueda emitir una alerta de fraude.

En tanto, la agencia de seguridad informática rusa Kaspersky expone que en caso de su ordenador o móvil hayan sido infectados con algún tipo de malware (virus malicioso) capaz de sustraer su información, lo primero es tratar de evitar que se expanda.

En segundo lugar, se debe evaluar el tipo de información que estuvo expuesta y que todas las cuentas personales; tanto correos como redes sociales, se infectaron, por lo que se deben cambiar todas las contraseñas de las cuentas. Especifica que dependiendo los datos almacenados en la banca móvil, se debe contactar de manera inmediata a la institución bancaria, para analizar que no se corrieron riesgos.

La ciberseguridad no solamente debe relacionarse a cuestiones financieras o económicas protegiendo sus datos bancarios, también debe blindarse información personal que sea sensible y confidencial.

La firma rusa explica que lo primero que se debe proteger son las redes informáticas en casa a través del uso de software de seguridad o un antivirus que proteja su ordenador personal contra cualquier tipo de ataque proveniente de páginas de Internet infectadas con malware .

En tanto y como medidas precautorias, la Condusef recomienda no realizar compras o transferencias electrónicas en ordenadores de uso público o en sitios que no cuenten con el protocolo de seguridad y un candado en la barra de direcciones.

De igual forma aconseja monitorear regularmente sus cuentas bancarias, tener una contraseña diferente para cada cuenta y cambiarlas periódicamente alternando mayúsculas, minúsculas y números. Se insiste en no responder ningún tipo de correo sospechoso o mensajes de remitentes desconocidos que le digan que resultó ganador de un premio o donde le informen que su institución bancaria.

Fuente: eleconomista

Leer nuestras noticias tiene...

¡¡PREMIO!!

Te acabas de llevar10 ENTRADAS para la feria del RAM de 2019. El PRIMERO que nos diga en la publicación de Facebook que las ha encontrado se las lleva!!¡¡CORRE!! 

** Solo se permite un premio por persona **

¿Te conectas a una WiFi pública? Esto es a lo que te enfrentas

Casi todos lo hemos hecho. En una cafetería, en un aeropuerto, en una feria. No nos resistimos. Ahí está, una Wi-Fi pública lista para usar, completamente gratuita. Y no sólo eso, sino que en un más fácil todavía, ni siquiera nos tenemos que registrar. Conectar y listo. No importa que los expertos en seguridad informática nos lo hayan desaconsejado una y otra vez.Necesitamos conectarnos.

Con suerte, no nos habrá pasado nada. Pero desde luego, esa no habrá sido la mejor idea que hayamos tenido ese día. Conectarse a una WiFi pública, sobre todo si no está securizada, puede suponer un gran riesgo de seguridad. Y es que muchos de los grandes robos de información de la historia no tienen su origen en un sofisticado ataque informático a la infraestructura IT de una empresa, sino en algo tan sencillo como“incentivar” a ese empleadoa que conecte su equipo a esa WiFi que no debía. Estos son los principales riesgos a los que nos podemos enfrentar.

Ataques man in the middle

Los ataques “man in the middle” se encuentran entre los más populares cuando hablamos de WiFis públicas. En este caso un atacante crea una falsa red inalámbrica, de modo que cuando su víctima se conecta, actúa como “intermediario” de todo el tráfico de Red.

De esta forma elhackerpuede interceptar direcciones web, nombres de usuario, contraseñas y toda la información que viaja entre el dispositivo que se conecta a Internet y la red Wi-Fi infectada. Y si esto es grave cuando nos conectamos con un dispositivo personal, la situación empeora si lo hacemos con un dispositivo corporativo.

Ni siquiera es un proceso complicado.Para demostrar la vulnerabilidad de este tipo de conexiones, en 2010 un desarrollador de Firefox lanzóFiresheep,una extensión que permitía “secuestrar” sesiones HTTP (conexiones de red, sesiones de usuario, contraseñas, etc.) prácticamente pulsando un botón.

Servidores maliciosos

Otro ataque “clásico” cuando hablamos de WiFis públicas, es el uso de servidores maliciosos. En este caso, el atacante suele escoger una red WiFi pública (por ejemplo la de un restaurante) que no tenga contraseña y la clona con un nombre muy similar parautilizarla como señuelo.

A partir de aquí elhackerpuede optar por ese ataque “man in the middle” que hemos visto antes o decidir por ejemplo, gracias a una herramienta open-source comoFruityWifi(pensada originalmente para realizar auditoría de redes),alterar las direcciones IPde los servidores DNS de la víctima para que apunten a servidores maliciosos.

Router comprometido

Incluso si la red Wi-Fi pública es legal, existe la posibilidad de que el router al que se conecta haya sido infectado. ¿De qué forma? Por ejemplo, con un “despiste” tan habitual como que el dueño del mismo no haya cambiado la contraseña de fábrica.

Si esto ocurre el atacante puede acceder a todos los equipos que se conectan al dispositivo, utilizándolos para por ejemplo, engrosar las filas de un “ejército botnet”.

¿Te vas a conectar desde una WiFi pública? Extrema las preocupaciones

Si tenemos en cuenta todo lo anterior, es fácil llegar a la conclusión que conectarse a una red WiFi pública no es, precisamente, la mejor idea del mundo. Pese a todo, con un poco de sentido común y teniendo en cuenta los siguientes consejos, podemos hacerlo de forma ocasional, si realmente no tenemos otra alternativa. Estos son nuestros consejos para conectarte con seguridad.

• Mantén tu solución de seguridad actualizada, así como tu sistema operativo.

• No visites sitios que requieran introducir datos personales (como tu banca on-line o tu correo electrónico corporativo).

• Apuesta por webs que utilicen el protocolo de seguridad HTTPS.

• Evita que tu dispositivo se conecte de forma automática a una WiFi abierta.

• Deshabilita cualquier proceso de sincronización de tu equipo

• Siempre que puedas utiliza el doble factor de autenticación.

• Tras la conexión, elimina los datos de la red memorizados por el equipo.

Por otro lado si vas a utilizar un equipo de tu empresa, asegúrate en la medida de lo posible que te ofrecen unaconexión VPN,de modo que las redes públicas dejen de ser un problema.

#ttcsseguridad #sistemadeseguridad #ttcssolucionesdeseguridad #agenciaespañoladeprotecciondedatos #protecciondedatos

Fuente: Muyseguridad

Las cámaras para controlar la temperatura a los clientes en las tiendas se multiplican ante el silencio de Sanidad sobre la posible vulneración de derechos

El Corte Inglés planea tomar la temperatura a sus clientes mediante cámaras termográficas.  Mientras la compañía mide sus pasos, crece la incertidumbre sobre este tema.

La Agencia Española de Protección de Datos (AEPD) advertía hace días con este comunicado que el uso de estas cámaras genera un "importante impacto" en la privacidad de las personas. Además, el organismo de control lamentaba que grandes empresas y establecimientos de todo tipo estaban adoptando iniciativas como esta sin la "determinación previa" del Ministerio de Sanidad.

El Gobierno, por ahora, ni confirma ni desmiente si recomendará implementar estas cámaras térmicas. "Las decisiones que se vayan tomando se irán comunicando", zanjan fuentes del Ministerio.

Con todo, la AEPD incide en que este tipo de actuaciones deben esperar a lo que diga Sanidad. "Hay un porcentaje de personas contagiadas sin síntomas que no presenta fiebre", remacha el texto, que recuerda que además "puede haber personas que presenten elevadas temperaturas por causas ajenas al coronavirus".

De hecho, el organismo de control asegura que estas medidas se han de aplicar con criterios sanitarios también por "proporcionalidad". "Hasta qué punto es esa utilidad —la de las cámaras termográficas— suficiente para justificar el sacrificio de los derechos individuales que las medidas suponen, (...) y hasta qué punto se podrán sustituir por otras menos intrusivas".

La AEPD teme que el uso de este tipo de cámaras, capaces de detectar la temperatura corporal de la gente, provoquen señalamientos públicos. Un ejemplo es cuando se impida el acceso a un establecimiento por presentar fiebre: la agencia entiende que se estaría "desvelando a terceros" que la persona afectada "puede haber sido contagiada por el virus".

Lo cierto es que no hay normativa específica que ampare el uso de cámaras termográficas en establecimientos para controlar a clientes, por lo que las empresas como El Corte Inglés y otros tantos establecimientos comerciales —incluyendo empresas municipales de ayuntamientos como el de Córdoba— que plantean hacer uso de ellas podrían acabar encontrándose con que no pueden implementar dicha tecnología.

¿Es la temperatura corporal un dato personal?

Está claro que la "nueva normalidad" que impone la crisis del coronavirus supondrá, irremediablemente, profundos cambios en los hábitos y la asunción de nuevas normas. Pero todavía no está del todo claro cómo afectará el uso de estas cámaras térmicas a la privacidad de los ciudadanos.

Es necesario precisar que la temperatura corporal puede entenderse como un dato personal. Lo explica nítidamente el experto en privacidad, el abogado y consultor Borja Adsuara: "Un dato personal es un dato asociado a una persona física, sea esta identificada o identificable". Si hay una cámara termográfica apuntando a una marabunta de gente, no se está llevando a cabo un tratamiento de datos.

Sin embargo, la implantación de estas cámaras para controlar el acceso a recintos cerrados sí podría significar un tratamiento de datos que ahora mismo no está regulado: de ahí el comunicado de la AEPD que pide, con urgencia, pautar y regular la implantación de estos instrumentos.

El también abogado Daniel López Carballo, de ECIJA, defiende que la temperatura no es necesariamente un dato personal que tenga que ser tratado, pero puede darse el caso de que las imágenes de una cámara termográfica se puedan asociar con las imágenes que se obtengan con otra tecnología, por ejemplo una cámara de vigilancia. En ese caso, Adsuara detalla que esa persona pasa a ser "identificable".

Lo que dice la AEPD en esencia es que si utilizan la temperatura corporal detectada por una cámara termográfica para impedir el acceso de una persona, esta persona se verá expuesta frente a todo el mundo que guardase cola. Todos sabrán que se trata de una persona cuya temperatura corporal es anómala. En realidad, esto no significa que sea una infectada por COVID-19: la fiebre puede ser ocasionada por otras causas.

En el trabajo sí se ampara tomar la temperatura a los empleados

Otra cuestión es el ámbito laboral. López Carballo incide en que si te toman la temperatura en tu puesto de trabajo, de facto estás identificado: como empleado. En este caso la toma de temperatura sí estaría amparada legalmente, considera el socio de ECIJA.

De hecho, la propia AEPD reconoce en un documento de preguntas habituales que "verificar si el estado de salud de los trabajadores puede constituir un peligro" es "obligatorio para el empleador", y que esta labor "debería ser realizada por personal sanitario".

Pero aquí impera otra realidad: "Este aspecto se antoja complicado al encontrarnos en diferentes empresas y comercios que no contarán con personal sanitario que pueda llevar a cabo estas funciones". López Carballo deduce que se podrá contar con el personal de la Seguridad Privada para acometer estas funciones.

Marzo piensa igual. "El personal de seguridad sí está sujeto a una obligación de sigilo profesional —similar a la de los sanitarios— por su propia normativa sectorial", detalla. También se pregunta que "cómo es posible" que la autoridad de control no concrete más este supuesto.

De momento, en el ámbito laboral, lo único que la AEPD ha dicho es que las tomas de temperatura "deben respetar la normativa de protección de datos, obedecer a la finalidad específica de contener el coronavirus, y no extenderse a otras finalidades distintas".

Fuente: businessinsider

«Tu envío está en camino» o «se ha retrasado»: Cuidado con el phishing en paquetería

Investigadores de Kaspersky han detectado una nueva campaña de phishing en paquetería que, a través de correos electrónicos fraudulentos, suplantan la identidad de la empresa Correos para tratar de engañar al usuario y robarle sus datos de la tarjeta bancaria con el pretexto de un retraso en la entrega de un paquete.

El phishing en paquetería se activa varias veces al año coincidiendo con las grandes temporadas de compra por Internet como el reciente Black Friday y Cyber Monday, jornadas masivas que exigen la entrega de millones de paquetes. Es una aviso para lo que va a ocurrir en la campaña navideña, la más importante del año para el canal minorista y con motivo de la pandemia por el COVID-19 con un esperado aumento del comercio electrónico.

Un caso típico de phishing en paquetería

Los mensajes suelen llevar como título “Su envío está en camino” y contienen un enlace para que el usuario pulse y descargue malware en su dispositivo. Para ello, los ciberdelincuentes utilizan el argumento de que la entrega no se ha podido realizar, quedando pendiente de pago los gastos de envío. La dirección del remitente, aunque indica Atención al Cliente, no coincide en absoluto con la dirección oficial de Correos.

Si el usuario desprevenido decide hacer clic en los sucesivos enlaces se encontrará con unas pantallas muy similares a las originales. En la primera se pide el pago de 1,79€ en una supuesta web falsa que solicita datos bancarios. En la siguiente se simula la validación de los datos facilitados con el logotipo de Correos.

Aunque lo más habitual es que los mensajes falsos lleguen a través de email, no es extraño que se utilicen también mensajes SMS. En la temporada de compras, las empresas de mensajería son uno de los ganchos más utilizados por los estafadores.

El incremento de compras a través de internet debido a la pandemia supone un mayor número de víctimas potenciales. Algunas de ellas, no muy acostumbradas a las compras online, pueden suponer un blanco fácil para los cibercriminales. Kaspersky ofrece una serie de consejos que son los habituales contra el phishing:

• Aplicar la cautela, aún en los mensajes de organismos oficiales. Es muy sencillo fabricar una carta/email o SMS falso que parezca real.
• Prestar atención al texto de mensaje. Las empresas reconocidas u organismos oficiales no envían correos electrónicos con un formato erróneo, faltas gramaticales o de ortografía.
• No abrir documentos adjuntos o hacer clic en enlaces de los correos electrónicos de los servicios de entrega, especialmente si el remitente insiste en ello.
• En caso de duda, es preferible acudir a la página web oficial e iniciar sesión desde allí para comprobarlo
• Utilizar una solución de seguridad de confianza para identificar los archivos adjuntos maliciosos y bloquear el phishing.

#phishingcorreos #mensajesfalsoscorreos #protecciondedatos #usoinapropiadodeinformacion #robodeinformacion #robodedatos #phishingblackfriday

Fuente: Muyseguridad

10 consejos para mejorar la seguridad en Internet

La seguridad en Internet está gravemente amenazada. A la típica colección de malware, cada vez más sofisticada y masiva, se ha unido en 2020 todas las consecuencias de la pandemia del COVID, un gran desafío también en materia de ciberseguridad.

Y es que los confinamientos por la pandemia ha desplazado a millones de empleados y estudiante desde redes perimetrales generalmente bien protegidas a las de los hogares más inseguras por defecto. También ha aumentado la desinformación, las fake news y en general la manipulación de la información que algunos analistas consideran un problema más de seguridad informática.

Por supuesto, no ha faltado malware de todo tipo, virus, troyanos y especímenes de toda condición y para todas las plataformas. Los ciberataques son cada vez más numerosos, sofisticados, peligrosos y masivos con el Ransomware y el Phishing como amenazas principales. Las violaciones de datos y del derecho a la privacidad, y el ciberespionaje que no descansa, también están a la orden del día y completan un cóctel explosivo.

Seguridad en Internet

Por todo ello el usuario común debe adoptar medidas proactivas para mejorar la seguridad. Conseguir el 100% de seguridad y privacidad en una red global y en un mundo tan conectado es simplemente imposible, pero podemos aumentar la protección observando una serie de consejos como los que te vamos a recordar en este artículo y que incluyen el fortalecimiento de las cuentas on-line, aplicaciones y equipos. Y mucho, mucho sentido común en el uso de Internet y sus servicios.

1- Protege los navegadores

Todos los navegadores web incluyen características avanzadas de seguridad cuya activación debemos revisar y configurar porque son las aplicaciones con las que accedemos a Internet y sus servicios. Además de revisar el cifrado de extremo a extremo en la sincronización o el aislamiento de procesos (sandbox), debemos prestar atención a los avisos sobre sitios inseguros. También debemos revisar las extensiones instaladas porque algunas son fuente frecuente de introducción de malware.

Para mejorar la privacidad, nada mejor que usar el modo incógnito, una función que hoy ofrecen todos los grandes proveedores como sesión temporal de navegación privada que no comparte datos con el navegador, no guarda información sobre páginas web, ni historial de navegación, caché web, contraseñas, información de formularios, cookies u otros datos de sitios web, borrando éstas u otros archivos temporales cuando finalizamos la sesión.

2- Gestiona bien las contraseñas

Las violaciones masivas de la seguridad de los servicios de Internet están a la orden del día y con ello millones de contraseñas quedan expuestas. La realidad es que las contraseñas son un método horrible tanto en seguridad como en usabilidad, pero hasta que no se consoliden métodos más avanzados que tienen que llegar de la identificación biométrica tenemos que seguir utilizándolas.

La regla de oro es tener una contraseña fuerte y distinta para cada sitio web. Las contraseñas largas y aleatorias previenen los ataques de fuerza bruta y el uso de una contraseña diferente para cada cuenta evita tener todas ellas comprometidas a la vez cuando se produce una violación de datos. Los gestores de contraseñas que sean capaces de generar y recordar decenas de contraseñas, son una buena herramienta para reducir los errores humanos.

3- Usa la autenticación de dos factores

La autenticación de dos factores (o en dos pasos) proporciona un nivel adicional de seguridad en las cuentas ya que no basta con vulnerar el nombre de usuario y contraseña. El servicio está disponible en la mayoría de servicios importantes de Internet y conviene utilizarlo siempre que podamos.

Generalmente, utiliza un código de verificación servido mediante una aplicación móvil o SMS, como un mecanismo para confirmar la identidad del usuario pero añadiendo seguridad adicional al uso de las contraseñas. Este método, dificulta enormemente los ciberataques, especialmente los de ‘fuerza bruta’.

4- Utiliza soluciones de seguridad

Sistemas operativos como Windows incluyen la solución de seguridad nativa Windows Defender como protección básica para un consumidor. Es lo mínimo que debemos usar o -mejor- apostar por los proveedores especializados que ofrecen un buen número de soluciones de seguridad, muchas de ellos gratuitas. Usuarios avanzados o profesionales deberían valorar el uso de una suite de seguridad comercial integral y también otras herramientas de seguridad como un firewall.

Sistemas de cifrado de datos como BitLocker, disponible en algunas ediciones de Windows, son de gran utilidad para usuarios empresariales, ya que permite cifrar o “codificar” los datos de un equipo para mantenerlos protegidos haciendo frente a amenazas como el robo de datos o la exposición en caso de pérdida, el robo o la retirada inapropiada de equipos.

5- Actualiza sistemas operativos y aplicaciones

Todos los sistemas operativos tienen mecanismos automáticos o manuales para instalar actualizaciones de seguridad. Son parches de seguridad que se entregan cada cierto tiempo contra amenazas conocidas y son de obligada instalación.

Tan importante -o más- que lo anterior es la actualización de aplicaciones instaladas a las últimas versiones ya que éstas suelen incluir parches de seguridad. Cuando las versiones son más antiguas, tienen mayor riesgo de ser atacadas por ciberdelincuentes que encuentran vulnerabilidades en el programa, con especial incidencia en algunas como Java, Adobe Flash o Reader.

6- Cuidado con las redes inalámbricas gratuitas

Los puntos de acceso gratuitos se han extendido por múltiples zonas en poblaciones, zonas de restauración, aeropuertos, estaciones de tren o metro, hoteles y en todo tipo de negocios. Varios estudios han confirmado la inseguridad intrínseca de estas redes inalámbricas públicas y la facilidad de los ciberdelincuentes para aprovecharlas.

Deben evitarse siempre que se puedan optando por redes de banda ancha móvil dedicadas de mayor seguridad y en su defecto solo usarse para navegación intrascendente y ocasional, sin emplearlas para accesos a servicios delicados como banca on-line o aquellos que requieran autenticación real de usuario.

7- Usa VPN para mejorar la privacidad

El uso de redes privadas virtuales es una opción para los que buscan una mayor privacidad  y con ello mayor seguridad en Internet, ya que ocultan la dirección IP del usuario y redirigen el tráfico a través de un túnel VPN cifrado.

Ese grado de «invisibilidad» ofrece mejoras directas de seguridad contra ataques informáticos, de privacidad frente al robo de datos y la apropiación de identidades, y otras ventajas añadidas como proteger la identidad en línea, salvaguardar las transacciones electrónicas y compras por Internet o permitir seguridad en el uso de redes Wi-Fi públicas.

8- Valora las llaves de seguridad hardware para cuentas vitales

Para cuentas vitales, especialmente en entornos empresariales, conviene hacer una inversión adicional para proteger las cuentas usando un mecanismo de seguridad por hardware. Generalmente es un dispositivo en formato pendrive que se conecta a un puerto USB y contiene un motor de cifrado de alta seguridad.

Todo el proceso se realiza dentro del hardware y aunque no se han mostrado totalmente infalibles cuando utilizando conexiones por Bluetooth, por lo general aumentan enormemente la seguridad que logramos mediante software.

9- Utiliza copias de seguridad

Ya decíamos que la seguridad al 100% en una red global no existe y no sólo por el malware, ya que un error en el hardware puede provocar la pérdida de la preciada información personal y/o profesional. La realización de copias de seguridad es por tanto altamente recomendable para un usuario y profesional que pretenda proteger la información personal y corporativa de un equipo informático, además de ser una tarea de mantenimiento que contribuye a la salud del hardware.

Las copias de seguridad deben almacenarse en un dispositivo de almacenamiento externo al de nuestro equipo o en un servicio de almacenamiento en nube que ante cualquier ataque nos permita recuperar los datos.

10- Sentido común

La prudencia es una de las barreras preferentes contra el malware y conviene extremar la precaución contra ataques de phishing o ransomware que a poco que prestemos atención podremos prevenir, porque para ser efectivos usan precisamente el descuido del usuario.

Para ello, debemos evitar la instalación de aplicaciones de sitios no seguros; la apertura de correos electrónicos o archivos adjuntos no solicitados que llegan de redes sociales o aplicaciones de mensajería; la navegación por determinadas páginas de Internet; o usar sistemas operativos y aplicaciones sin actualizar, que contienen vulnerabilidades explotables por los ciberdelincuentes en las campañas de malware.

Fuente: Muyseguridad

15 detenidos en tres empresas cerámicas de Castellón implicadas en estafas de 'phising' a clientes

Agentes de la Policía Nacional, en una operación conjunta con la Guardia Civil, han desarticulado una organización criminal internacional dedicada a cometer estadas mediante la modalidad del phising. La organización, que estaba perfectamente estructurada y con los roles de sus miembros plenamente definidos, se dedicaba a estafar a empresas, con las que tenían previamente algún tipo de acuerdo comercial, mediante ataques informáticos.

Además, los presuntos autores se ganaban la confianza de empresas legales mediante acuerdos comerciales apoderándose, no solo de sus datos empresariales, también de sus contraseñas bancarias y correo electrónico. Agentes de la Policía Nacional y de la Guardia Civil realizaron, de manera simultánea, cuatro registros en Málaga, y detuvieron a seis personas. Además, intervinieron ordenadores, tarjetas bancarias, multitud de documentación, joyas valoradas en más de 4.000 euros y 2.950 euros en metálico.

En Castellón los agentes realizaron dos registros domiciliarios, así como el registro de tres empresas de cerámica. También detuvieron a 15 personas e incautaron abundante documentación, 16.350 euros en metálico y un vehículo de alta gama valorado en 150.000 euros. La denominada operación Ciao-Estribo, ha permitido embargar 78 cuentas bancarias y ha logrado esclarecer un blanqueo de capitales de cinco millones de euros.

La investigación policial se inició, tanto en Lalín (Pontevedra) como en Jaén, gracias a dos denuncias interpuestas las mencionadas ciudades. En la denuncia de Jaén un empresario italiano denunciaba haber sido víctima de una estafa por valor de 132.000 euros. Por otro lado, La Guardia Civil de Lalín había recibido una denuncia de una empresa de Pontevedra en la que manifestaba haber sido víctima de dos estafas, una por un montante de 23.645 euros y otra por 3.479 euros. Tanto en la localidad Pontevedresa como en la capital jienense, los investigadores comenzaron a trabajar en las referidas denuncias hasta que ambas investigaciones se cruzaron. A partir de ese momento, ambos Cuerpos de Seguridad trabajaron al unísono.

Una organización criminal internacional

En el mes de agosto del pasado año, ambos Cuerpos investigaron conjuntamente. Los empresarios que habían presentado sendas denuncias –en Lalín y Jaén-, habían sido estafados por internet mediante la usurpación de sus cuentas de correo electrónico logrando, en ambos casos, la sustracción de grandes sumas de dinero.

Agentes especializados de la Policía Nacional y de la Guardia Civilanalizaron minuciosamente una innumerable documentación económica, bancaria, fiscal y financiera. Tras varias gestiones y el empleo de diversos medios técnicos e informáticos, consiguieron localizar una organización criminal desplegada internacionalmente.

Desviación de dinero a cuentas bancarias de todo el mundo

Los presuntos autores, una vez se hacían con el dinero de las víctimas lo desviaban a numerosas cuentas corrientes que la organización había aperturado, mediante documentación falsa, teniendo como destino final determinadas empresas de cerámica ubicadas en Castellón. De esta forma, blanqueaban el dinero recibido ilícitamente mediante exportaciones, en determinados casos, de material enviado hasta Nigeria.

Los investigadores de ambos Cuerpos de Seguridad, dada la magnitud de la investigación, solicitaron la colaboración de diferentes especialistas documentales de numerosas Embajadas de Europa y África, ya que la organización criminal tenía acceso a pasaportes sustraídos y falsificados de multitud de países con el fin de dificultar más aún la labor policial-judicial investigativa. En la mayor parte de los casos, era difícil identificar a los supuestos titulares de los pasaportes porque éstos no existían físicamente, resultando totalmente imposible su localización. En este sentido, los agentes constataron que la actividad delincuencial no sólo se realizaba en España, sino que también se llevaba a cabo en Holanda, Chipre, Curaçao, Ucrania, México, Suiza, Alemania, Dinamarca, Singapur, Reino Unido y Estados Unidos.

Blanqueo de capitales por cinco millones de euros

En la Operación Estribo-Ciao, se ha localizado y recuperado, de las diferentes cuentas bancarias de la organización, gran cantidad de dinero oculto. Además, se han inmovilizado y embargado 78 cuentas bancarias de diferentes entidades financieras. Los agentes realizaron cuatro registros domiciliarios en Málaga e intervinieron multitud de documentación, aparatos informáticos, 2.955 euros en metálico, así como joyas valoradas en más de 4.000 euros. Asimismo, fueron detenidas seis personas.

En Castellón, los agentes de la Guardia Civil y de la Policía Nacional realizaron dos registros domiciliarios y otros tres en empresas relacionadas con la cerámica. Como resultado fueron detenidas 15 personas y se incautó numerosa documentación, tarjetas de bancarias, 16.350 euros en metálico y un vehículo de alta gama valorado en 150.000 euros.

Una vez realizado el recuento de las cantidades obtenidas, presuntamente de manera ilícita, por parte de la organización criminal, el montante final asciende a cinco millones de euros.

#agenciaespañoladeprotecciondedatos #protecciondedatos #usofraudulentodedatos #phising #robodatospersonales #leyorganicadeprotecciondedatos

Fuente: Lasprovincias

Números de teléfono, direcciones postales, fotos de familiares, correos electrónicos, chats e incluso datos bancarios.Lospiratas informáticosque estánaún por identificar han filtrado en una cuenta de Twitter información de cientos de políticos y personalidades de la vida pública alemana.

Entre los afectados por el ciberataque, considerado el mayor de la historia de Alemania, se encuentra Angela Merkel, según reconoció la viceportavoz del Gobierno. «Se han visto afectados por el hackeo diputados de todos los estamentos: del Bundestag, de los parlamentos regionales, de la Eurocámara y hasta de los municipios», explicó Martina Fietz. La ministra de Justicia, Katarina Barley, hablaba de un acto «grave» que pretende minar la confianza de la población en las instituciones democráticas.

Por el momento no es posible determinar la forma en que se produjo el ciberataque, que se inició el 1 de diciembre, pero cuyo alcance no se dio a conocer hasta el jueves por la noche, insiste el ministerio del Interiorconfirmando así las revelaciones hechas horas antes por el canal berlinés RBB. Las autoridades constataron que se han filtrado tanto datos actuales como otros más antiguos y advierten de que algunos de ellos podrían haber sido falsificados. El centro alemán de defensa cibernética asumió de inmediato la coordinación de la investigación, y no descartó que el autor pueda ser alguien con acceso a información sensible.

Misterioso aviso del ciberataque

El caso salió a la luz cuando el jueves unos desconocidos alertaron por teléfono y desde un número privado al exlíder del SPD Martin Schulz. Un empleado del parlamentario avisó a la policía de la ciudad de Aquisgrán. Ahora están implicados los servicios secretos, que trabajan codo con codo con sus homólogos extranjeros, la Oficina de Investigaciones Criminales (BKA), la Fiscalía federal y las de varias regiones. Varios partidos exigen una sesión extraordinaria de la Comisión de Interior para tratar de esclarecer si detrás del ataque masivo hay una motivación política.

Las redes del Gobierno no se han visto afectadas, aclaró la Oficina Federal para la Seguridad Informática (BSI). Aunque sí se ha publicado parte de la correspondencia de Merkel y otros políticos. Como el diputado de Los Verdes Robert Habeck, del que se han filtrado conversaciones con su esposa. A juzgar por el diario Bild, también se ha difundido información personal del presidente, Frank-Walter Steinmeier, así como datos relevantes de los partidos. Al parecer, la única fuerza política que se ha librado del hackeo es la ultraderechista AfD, que en el pasado fue vinculada con piratas informáticos rusos.

Pero entre las víctimas de los piratas cibernéticos figuran también músicos, como los raperos Marteria y Casper o la banda de rock K.I.Z., célebres actores como Til Schweiger, humoristas como Jan Bohmermann, que desencadenó una crisis diplomática en el 2016 tras una polémica sátira sobre el presidente turco, Recep Tayyip Erdogan, y periodistas de la talla de Hajo Seppelt, que destapó el escándalo de dopajemasivo en Rusia.

Fuente: lavozdegalicia

Alerta por la última estafa de 'Phishing' que suplanta a Netflix

Una nueva campaña de tipo phishing suplanta la identidad de Netflix para hacerse con los datos de los usuarios. Según la alerta comunicada por la Oficina de Seguridad del Internauta (OSI), dependiente del Instituto Nacional de Ciberseguridad (Incibe), los estafadores envían un correo que simula ser de la plataforma de streaming con el asunto «Verifica tu cuenta», y un enlace a una página en su interior. Si se accede a ella, se encontrarán con una web que suplanta igualmente a la de Netflix, donde se pide a los usuarios que introduzcan sus datos.

La OSI avisa de que para detectar que se trata de un correo y página fraudulentos sólo hay que comprobar que el dominio asociado no pertenece a Netflix, sino que aparece «cherryland.de», y recomienda a los usuarios que, en caso de haber recibido este correo, no introduzcan sus datos, lo eliminen y lo pongan en conocimiento del Incibe.

«Si te llega, elimínalo o ponte en contacto con la Línea de Ayuda en Ciberseguridad de INCIBE: 900 116 117», recomienda a los usuarios este organismo público a través de las redes sociales.

Por su parte, la Policía de Palma recuerda que «el phishing es uno de los métodos más utilizados por los delincuentes cibernéticos para estafar y obtener información confidencial de forma fraudulenta», instando a la población a mantenerse alerta ante estos intentos.

#ciberseguridad #ciberataque #ciberdelincuente #protecciondedatos #usofraudulentodedatos

Fuente: Elcorreo

Amazon fue objetivo de un ciberataque de phishing

Amazon ha revelado que fue el objetivo de un ataque de phishing que afectó a las cuentas de los vendedores con los que trabaja. Los cibercriminales podrían haberse hecho con miles de dólares suplantando la identidad de la compañía.

Según ha desvelado Bloomberg, que ha tenido acceso a la presentación ante el consejo regulador de Reino Unido en la que Amazon reconoció haber sido objetivo de este fraude, los hackers accedieron a las cuenta de los vendedores con los que trabaja y sustrajeron importantes cantidades de dinero.

Este fraude se produjo durante un período de seis meses, empezando en mayo de 2018 y aprovechando la práctica de Amazon de otorgar préstamos a sus vendedores externos en los mercados en los que opera.

Los hackers accedieron a estas cuentas y cambiaron los detalles de pago mediante correos en los que suplantaban la identidad de Amazon para cambiar detalles de los pagos y desviarlos a sus propias cuentas bancarias. Un dinero que estaba destinado para utilizarse para cubrir costes de inicio y negocios pero que se desvió y que podría sumar cientos de miles de dólares.

Se trata de una práctica muy común en Amazon en los mercados en los que opera, prestando a sus vendedores externos. De hecho, hace unos días desvelaba en su informe anual de pymes que el pasado 2018 otorgó más de 1.000 millones de dólares en préstamos a sus vendedores y socios externos.

Por el momento, Amazon se ha negado a hacer declaraciones relacionadas con este tema. No obstante, un portavoz de la compañía sí ha manifestado que cualquier vendedor que considere que puede haber recibido un correo electrónico malicioso suplantando la identidad de Amazon debe enviar debe enviar un mensaje a Esta dirección de correo electrónico está siendo protegida contra los robots de spam. Necesita tener JavaScript habilitado para poder verlo. para poner en conocimiento de la firma esta problemática y solventarla.

#ciberseguridad #ciberataque #ciberdelincuente #protecciondedatos #usofraudulentodedatos

Fuente: Muycanal

Anonymous burló la última tecnología del CNI en su ciberataque a Marchena

El ciberataque de Anonymous Catalonia a finales del pasado junio a los sistemas informáticos del Poder Judicial como protesta por el juicio del 'procés' fue mucho más grave de lo que se informó en un principio. El colectivo detrás del que supuestamente se esconden varios piratas informáticos de corte independentista -que demostró en las redes sociales que había accedido a los correos electrónicos de, entre otros, Manuel Marchena presidente del tribunal del 'procés'-consiguió violar de forma reiterada los más potentes y modernos sistemas de seguridad que el Centro Nacional de Inteligencia (CNI) había diseñado e instalado para blindar las comunicaciones del Ministerio de Justicia, según han desvelado fuentes de la investigación.

Los especialistas de las fuerzas de seguridad que trabajan en este caso han explicado que el CNI y su departamento especializado en ciberseguridad, el Centro Criptológico Nacional (CNN) fueron los encargados de diseñar las barreras que debían haber protegido al Ministerio de Justicia de los ataques de los piratas informáticos.

El Gobierno en junio del año pasado decidió dejar en manos exclusivamente del CNI las comunicaciones y sistemas de protección informática de los 18.000 usuarios del Ministerio de Justicia (entre ellos los 5.500 jueces españoles) tras el escándalo que supuso en julio de 2017 que una falla en el sistema de notificaciones judiciales Lexnet permitiera a cualquier usuario de ese canal consultar informaciones confidenciales de las causas judiciales en marcha.

El Ministerio de Justicia, según el convenio que cerró hace más de un año con el CNI, va a pagar entre 2018 y 2020 tres millones de euros (83,33 euros por usuario de Justicia y año) a los servicios secretos por los sistemas supuestamente inexpugnables que hace un mes violaron los hackers independentistas, que, de acuerdo con los analistas, habrían podido acceder a los correos corporativos de todos y cada uno de los 18.000 usuarios de la red del Ministerio de Justicia.

«Medios de cifra»

Según explican fuentes del caso, el CNI en los últimos meses y habida cuenta del coste del convenio, se había volcado en el proyecto con su última tecnología y un «importante despliegue de medios humanos», hasta el punto de que los servicios secretos pusieron en marcha una oficina propia de seguridad en el ministerio «encargada de la gestión y operación de sistemas, servicio y redes» de Justicia.

De acuerdo con la documentación oficial, la prioridad del CNI, que incluso elaboró un «plan director de seguridad» para el departamento, debía ser «incrementar los niveles de de seguridad», particularmente con nuevos «medios de cifra», que son los que Anonymous Catalonia reventó sin problemas el pasado junio, según reconocen los actores implicados.

Hace tres semanas, los ciberactivistas denunciaron que las claves de los jueces del 'procés', como las del resto de los miembros de la judicatura, están en una base de datos de más de 9.000 millones de códigos, «que fue filtrada en su día y que es accesible para cualquiera».

Anonymous Catalonia, tras el anuncio del CNI de que había reforzado la seguridad de las cuentas oficiales, volvió a publicar pantallazos de buzones de entrada actualizados de jueces. «El problema no es que la seguridad de cualquier persona sea pésima, sino la de estas personas, que son altos cargos españoles, y que el CNI vaya diciendo que todo está arreglado cuando no es el caso. 'Thats the problema'» (sic), denunciaron entonces los piratas.

Según fuentes de la seguridad del Estado, el CNI todavía desconoce qué información sustrajeron los hackers de los buzones de esos jueces y fiscales del 'procés'. Anonymous no reveló qué datos del buzón de Marchena había consultado, aunque dio a entender que había analizado sus comunicaciones porque reconoció que no había encontrado ningún borrador sobre la sentencia del «procés».

#ciberseguridad #ciberataque #ciberdelincuente #protecciondedatos #usofraudulentodedatos

Fuente: Hoy

Aumentan los ciberataques a compañías del sector de salud

Los ciberdelincuentes han puesto en el punto de mira a las compañías del sector de la salud. Pocas industrias tienen una misión más crítica, datos más sensibles y operativas más complejas, pero al tiempo, esto implica que estas compañías son difíciles de proteger, asegura un informe Proofpoint.

El proveedor de seguridad ha analizado cientos de millones de correos maliciosos dirigidos a proveedores de salud, organizaciones farmacéuticas y aseguradoras del sector, llegando a conclusiones preocupantes:

• Un 300% de aumento en ataques por correo sobre el mismo periodo del año anterior – estos correos han sido diseñados para simular que han sido enviados por alguien a quien conoce la persona que los recibe.

• El 95% de las compañías afectadas registraron correos electrónicos falsificando sus propios dominios de confianza – y todas las compañías de salud atacadas registraron falsificaciones de sus dominios para dirigirse específicamente a pacientes y socios comerciales.

• Las organizaciones atacadas registraron, de media, 65 empleados atacados – en muchos casos, las personas más atacadas no eran ejecutivos VIP de alto nivel, sino otros perfiles administrativos de perfil más bajo con acceso privilegiado a información sensible.

• El 55% de todos los correos electrónicos falsos incluía las palabras “pago” (28%), “solicitud” (15%) o “urgente” (12%) en la línea de asunto.

• El 77% de los ataques por correo electrónico a compañías de salud utilizaba direcciones URL maliciosas.

• Los troyanos bancarios fueron la mayor amenaza para las compañías de salud durante el período de tiempo analizado.

• Los ataques basados en malware superaron en más del 50% al volumen de mensajes para phishing.

“Los ciberataques exponen datos de salud personales. El ransomware cierra salas de urgencias. Los correos electrónicos fraudulentos afectan a socios comerciales, pacientes y personal clínico. Estas amenazas perjudican la capacidad de la industria de Salud para atender a los pacientes”, indica Ryan Witt, responsable de Ciberseguridad para el Sector Salud en Proofpoint.

Las empresas y organizaciones del sector Salud consideran ahora la ciberseguridad como un tema clave de seguridad del paciente, en su misión general de cuidado de la salud. Esta reciente preocupación se aleja del planteamiento de puro cumplimiento normativo de años anteriores, que situaba la ciberseguridad en el ámbito de los mecanismos para asegurar la financiación de la implementación de registros médicos electrónicos.

El informe de Proofpoint, realizado sobre cientos de millones de correos maliciosos, ha descubierto una tendencia que se mantendrá en los próximos tiempos: hoy en día, los ciberataques se dirigen a las personas y no solo a la infraestructura. La mecánica es sencilla: engañan a los trabajadores de estas organizaciones para que abran un archivo adjunto inseguro o un enlace dudoso que conduce a un sitio de malware. Se hacen pasar por ejecutivos de las compañías e indican al personal que transfiera dinero o envíe información confidencial. Y secuestran la confianza de los pacientes con estafas que se aprovechan del valor de marca de las organizaciones.

Combatir estos ataques requiere un enfoque de seguridad nuevo y centrado en las personas, recomienda Proofpoint en su informe.

#ciberseguridad #ciberataque #ciberdelincuente #protecciondedatos #usofraudulentodedatos

Fuente: Muyseguridad

Canva víctima de un hackeo: más de 139 millones de cuentas han sido vulneradas

La aplicación que brinda un servicio de diseño gráfico en línea para cualquier usuario, Canva, ha sido víctima de un hackeo. Según información de ZDNet, la firma australiana sufrió un ciberataque en el que quedaron expuestos los datos de alrededor de 139 millones de usuarios.

Un hacker que lleva el sobrenombre de GnosticPlayers ingresó al servidor de Canva y extrajo información como nombres de usuario y correos electrónicos. La base de datos también contaban con 61 millones de contraseñas, aunque estas estaban cifradas a través de la función de hashing, bcrypt.

En algunas situaciones también se tuvo el nombre real y ubicación (ciudad y país) de los usuarios, en otros, también se consiguió el token de Google. GnosticPlayers señaló a ZDNet que 78 millones de cuentas usaban su dirección de Gmail para firmarse en el servicio.

Los datos de administradores e integrantes del staff de Canva no quedaron salvados del hackeo y también fueron vulnerados. Según con ZDNet, Canva ha hecho la confirmación de que fueron víctimas del ciberataque, pero negó que los accesos de los usuarios hayan sido comprometidos debido a que las contraseñas están cifradas por los más altos estándares de seguridad.

Esta no es la primera ocasión que GnosticPlayers se ve relacionado a un ciberataque, pues antes se registró que había robado poco más de 737 millones de datos de usuario de 24 sitios diversos. El hacker solicitaba $20.000 en bitcoin al mejor postor, a cambio de la información que podría comprarse en la dark web.

Canva indica que se pondrá en contacto con los usuarios perjudicados por el hackeo. Según con GnosticPlayers, la base de datos obtenida tiene información hasta el 17 de mayo. Canva se percató que su servidor había sido vulnerado y fue cerrado el acceso.

#ciberseguridad #ciberataque #ciberdelincuente #protecciondedatos #usofraudulentodedatos

Fuente: Laverdadnoticias

Ciberataque a Twitter expone vulnerabilidad en las redes sociales

El masivo pirateo de cuentas en Twitter de políticos, millonarios y compañías el miércoles en Estados Unidos, plantea la pregunta de la seguridad de la red social favorita de Donald Trump y, de manera más amplia, de todas estas plataformas.

Del “modus operandi” hasta las posibles defensas contra los piratas, esto es lo que se sabe de este espectacular ciberataque.

Un ataque “más bien clásico”

Twitter continúa con la investigación del ciberataque, por el cual desde cuentas certificadas de personalidades como Joe Biden o Bill Gates se invitó a la gente a enviar bitcoins a una determinada dirección con la promesa de devolverles el doble.

Pero surgen pistas. Según la revista Vice, una persona en el interior de Twitter podría haber provocado el pirateo, de acuerdo con capturas de pantalla intercambiadas con dos fuentes anónimas que dicen ser responsables del ataque. Una de esas fuentes afirmó a la revista que se le pagó a un empleado de Twitter.

“Esto no proviene de un fallo técnico. Apuntaron a uno o varios empleados de Twitter para estar seguros de tener los accesos operativos que administran cuentas certificadas, de gran notoriedad, con el objetivo de amplificar la comunicación sobre la estafa, más bien clásica, por otra parte”, explica a la AFP Loïc Guezo, director de estrategia en ciberseguridad de ProofPoint.

“Las primeras pistas parecen remontar hacia al menos una persona que ofrecía estos últimos días en el mercado negro accesos a cuentas certificadas de personalidades, sin conseguirlo. Parece que entonces eligió utilizarlas él mismo para garantizarse ganancias rápidas”, según Gérôme Billois, experto en ciberseguridad de Wavestone.

¿Qué consecuencias?

En lo inmediato, son limitadas. Twitter reaccionó rápidamente, desactivando las cuentas concernidas y limitando las posibilidades de compartir mensajes sospechosos.

Financieramente, la estafa parece también de poca envergadura: según el sitio especializado Blockchain.com, que sigue las transacciones efectuadas en criptomonedas, un total de 12,58 bitcoins, es decir cerca de 116 mil dólares, fue enviado a una de las direcciones mencionadas en los falsos tuits.

Por otra parte, fue eso lo que permitió a Twitter limitar el daño: el o los cibercriminales buscaron solo una rápida ganancia, además de llamar la atención con el carácter particulamente espectacular de la operación.

“Twitter fue muy reactivo, tiene visiblemente importantes capacidades de investigación. También jugaron la carta de la transparencia, comunicando de manera regular, algo que le da crédito y es señal de verdadera madurez sobre el tema”, según un portavoz de Clusif (club francés de seguridad de la información).

Señal de alarma

Las consecuencias pudieron haber sido mucho más graves si los ciberpiratas hubiesen tenidos intenciones políticas, subrayan los expertos.

“Desde un punto de vista político, un tuit falso en un momento crítico podría tener un impacto enorme. Alguien que tuviese acceso a este tipo de cuenta en el buen momento y con el buen tipo de información falsa podría volcar totalmente una elección”, estima en ese sentido Anthony Glees, profesor especializado en seguridad e inteligencia de la Universidad de Buckingham.

“Esta capacidad de controlar un número importante de cuentas certificadas de primer plano en periodo electoral (en Estados Unidos) para tuitear en momentos precisos podría tener un efecto tremendo”, confirman en Clusif.

“Aquí, la debilidad demostradas por Twitter es muy preocupante y plantea la pregunta de la importancia de las plataformas sociales en periodo electoral”.

Para el profesor Alan Woodward, del centro de ciberseguridad de la Universidad de Surrey, este ataque “muestra que organizaciones como Twitter pueden ser objeto de ataques a través de su personal y que tienen que repensar su funcionamiento”.

¿Cómo protegerse?

Muchas reglas simples permiten en general evitar los pirateos de cuentas personales: evitar cliquear sobre archivos adjuntos que pueden parecer sospechosos en un correo, no dar el nombre de usuario incluso si lo pide un correo que procede de un servicio utilizado, o recurrir a un sistema de doble certificación.

El problema es que muchas de estas precauciones no hubiesen servido de nada contra el ataque que afectó a Twitter, en caso de que se confirme que se debió a un fallo humano en el interior mismo de la plataforma.

El caso recuerda que “detrás de las máquinas hay seres humanos que pueden tener acceso a nuestros mensajes privados y a las informaciones que colocamos allí. Esos sistemas no son cerrados, lo que se intercambia puede ser accesible”, subraya Gérôme Billois.

#ciberseguridad #ciberataque #ciberdelincuente #protecciondedatos #usofraudulentodedatos

Fuente: 24-horas

Es uno de sus disfraces favoritos, y es que todos tenemos claro que cuando Hacienda llama a nuestra puerta hay que responder sino queremos empeorar las cosas. La Oficina de Seguridad del Internauta (un organo del Instituto Nacional de Ciberseguridad) ha descubierto un nuevo caso de 'phising' masivo en nuestro país en el que los 'hackers' se hacen pasar por la Agencia Tributaria para conseguir que les entregues tus datos personales y bancarios.

La información la han dado en su propia página web y en ella explican cómo funciona exactamente esta campaña. "El falso e-mail informa al contribuyente de que le corresponde un supuesto reembolso económico, y le proporciona un enlace a una web con un formulario cuyo fin es obtener su información personal y bancaria", explican desde la OSI. Los piratas no solo se preparan el diseño y el formato del email sino que te dan una buena razón para dar tu información sin pensar.

Una vez recibido el correo, según comentan desde el organismo español, los atacantes te recomiendan que cliques en un enlace que te llevará a una web 'clonada' de la original de la Agencia Tributaria (se diferencia solo en la URL y otros detalles del diseño) y en la cual te invitarán a meter toda tu información personal, bancaria y tus claves de registro en la propia Agencia. "La página contiene un formulario en el que se solicita al usuario los datos personales, financieros (tarjeta bancaria), así como los datos de acceso de la Agencia Tributaria (usuario y contraseña)".

Para terminar, los ladrones copian hasta el último paso del formulario y aseguran que te mandaran próximamente un código por SMS a tu móvil para que puedas entrar a reclamar tu dinero. Obviamente, ese mensaje nunca llegará a tu teléfono.

¿Qué pasa si ya has dado tus datos?

Lo mejor en estos casos siempre es la precaución y evitar en todo momento dar datos personales en sitios de dudosa legitimidad, mirar bien las urls, consultar con familiares, etc. Pero si ya has caído en la trampa y lees esto sabiendo que han robado tus datos hay dos pasos que debes seguir inmediatamente.

Primero, consulta tus cuentas bancarias y avisa a la entidad para evitar que los ladrones puedan aprovecharse de ella. Y segundo, consulta en la red toda la información que habías otorgado a estos 'hackers' para ver si ha salido de sus bases de datos y ha empezado a circular por internet.

Fuente: Elconfidencial

Cómo mejorar la seguridad en Internet en 10 pasos

La seguridad en Internet está amenazada por todo tipo de malware, el robo de datos o la invasión a la privacidad. La era de la movilidad, la domótica, el coche inteligente o la Internet de las Cosas, han aumentado enormemente los dispositivos conectados, la manera de alojar información y el modo de acceder a servicios y aplicaciones en línea de todo tipo con las que conectamos a diario centenares de millones de usuarios, aumentando los riesgos de seguridad para consumidores y empresas.

El auge de fenómenos como el BYOD, a pesar de sus múltiples ventajas, es todo un desafío para los departamentos TI ante la multiplicación del número de dispositivos que se conectan a las redes empresariales y tienen acceso a los datos corporativos. Más aún, el aumento del teletrabajo y tele-estudio por la pandemia del coronavirus ha complicado la situación de la ciberseguridad al sacar fuera de las redes perimetrales empresariales (generalmente mejor protegidas que las caseras) millones de equipos.

Seguridad en Internet

Conseguir el 100% de seguridad y privacidad en una red global y en un mundo tan conectado es simplemente imposible a pesar de la mejora de la protección por hardware y software implementada por fabricantes de equipos y proveedores de sistemas y aplicaciones.

Sin embargo, desde el apartado del cliente podemos y debemos aumentar la protección observando una serie de consejos como los que te vamos a recordar en este artículo y que incluyen el fortalecimiento de las cuentas on-line, aplicaciones, equipos y las precauciones debidas en el uso de Internet y sus servicios. Y mucho, mucho sentido común.

1- Protege los navegadores

Todos los navegadores web incluyen características avanzadas de seguridad cuya activación debemos revisar y configurar porque son las aplicaciones con las que accedemos a Internet y sus servicios. Además de revisar el cifrado de extremo a extremo en la sincronización o el aislamiento de procesos (sandbox), debemos prestar atención a los avisos sobre sitios inseguros. También debemos revisar las extensiones instaladas porque algunas son fuente frecuente de introducción de malware.

Para mejorar la privacidad, nada mejor que usar el modo incógnito, una función que hoy ofrecen todos los grandes proveedores como sesión temporal de navegación privada que no comparte datos con el navegador, no guarda información sobre páginas web, ni historial de navegación, caché web, contraseñas, información de formularios, cookies u otros datos de sitios web, borrando éstas u otros archivos temporales cuando finalizamos la sesión.

2- Gestiona bien las contraseñas

Las violaciones masivas de la seguridad de los servicios de Internet están a la orden del día y con ello millones de contraseñas quedan expuestas. La realidad es que las contraseñas son un método horrible tanto en seguridad como en usabilidad, pero hasta que no se consoliden métodos más avanzados que tienen que llegar de la identificación biométrica, tenemos que seguir utilizándolas.

La regla de oro es tener una contraseña fuerte y distinta para cada sitio web. Las contraseñas largas y aleatorias previenen los ataques de fuerza bruta y el uso de una contraseña diferente para cada cuenta evita tener todas ellas comprometidas a la vez cuando se produce una violación de datos. Los gestores de contraseñas que sean capaces de generar y recordar decenas de contraseñas, son una buena herramienta para reducir los errores humanos.

3- Usa la autenticación de dos factores

La autenticación de dos factores (o en dos pasos) proporciona un nivel adicional de seguridad en las cuentas ya que no basta con vulnerar el nombre de usuario y contraseña. El servicio está disponible en la mayoría de servicios importantes de Internet y conviene utilizarlo siempre que podamos.

Generalmente, utiliza un código de verificación servido mediante una aplicación móvil o SMS, como un mecanismo para confirmar la identidad del usuario pero añadiendo seguridad adicional al uso de las contraseñas. Este método, dificulta enormemente los ciberataques, especialmente los de ‘fuerza bruta’.

4- Utiliza soluciones de seguridad

Sistemas operativos como Windows incluyen la solución de seguridad nativa Windows Defender como protección básica para un consumidor. Es lo mínimo que debemos usar o -mejor- apostar por los proveedores especializados que ofrecen un buen número de soluciones de seguridad, muchas de ellos gratuitas. Usuarios avanzados o profesionales deberían valorar el uso de una suite de seguridad comercial integral y también otras herramientas de seguridad como un firewall.

Sistemas de cifrado de datos como BitLocker, disponible en algunas ediciones de Windows, son de gran utilidad para usuarios empresariales, ya que permite cifrar o “codificar” los datos de un equipo para mantenerlos protegidos haciendo frente a amenazas como el robo de datos o la exposición en caso de pérdida, el robo o la retirada inapropiada de equipos.

5- Actualiza sistemas operativos y aplicaciones

Todos los sistemas operativos tienen mecanismos automáticos o manuales para instalar actualizaciones de seguridad. Son parches de seguridad que se entregan cada cierto tiempo contra amenazas conocidas y son de obligada instalación.

Tan importante -o más- que lo anterior es la actualización de aplicaciones instaladas a las últimas versiones ya que éstas suelen incluir parches de seguridad. Cuando las versiones son más antiguas, tienen mayor riesgo de ser atacadas por ciberdelincuentes que encuentran vulnerabilidades en el programa, con especial incidencia en algunas como Java, Adobe Flash o Reader.

6- Cuidado con las redes inalámbricas gratuitas

Los puntos de acceso gratuitos se han extendido por múltiples zonas en poblaciones, zonas de restauración, aeropuertos, estaciones de tren o metro, hoteles y en todo tipo de negocios. Varios estudios han confirmado la inseguridad intrínseca de estas redes inalámbricas públicas y la facilidad de los ciberdelincuentes para aprovecharlas.

Deben evitarse siempre que se puedan optando por redes de banda ancha móvil dedicadas de mayor seguridad y en su defecto solo usarse para navegación intrascendente y ocasional, sin emplearlas para accesos a servicios delicados como banca on-line o aquellos que requieran autenticación real de usuario.

7- Usa VPN para mejorar la privacidad

El uso de redes privadas virtuales es una opción para los que buscan una mayor privacidad  y con ello mayor seguridad en Internet, ya que ocultan la dirección IP del usuario y redirigen el tráfico a través de un túnel VPN cifrado.

Ese grado de «invisibilidad» ofrece mejoras directas de seguridad contra ataques informáticos, de privacidad frente al robo de datos y la apropiación de identidades, y otras ventajas añadidas como proteger la identidad en línea, salvaguardar las transacciones electrónicas y compras por Internet o permitir seguridad en el uso de redes Wi-Fi públicas.

8- Valora las llaves de seguridad hardware para cuentas vitales

Para cuentas vitales, especialmente en entornos empresariales, conviene hacer una inversión adicional para proteger las cuentas usando un mecanismo de seguridad por hardware. Generalmente es un dispositivo en formato pendrive que se conecta a un puerto USB y contiene un motor de cifrado de alta seguridad.

Todo el proceso se realiza dentro del hardware y aunque no se han mostrado totalmente infalibles cuando utilizando conexiones por Bluetooth, por lo general aumentan enormemente la seguridad que logramos mediante software.

9- Utiliza copias de seguridad

Ya decíamos que la seguridad al 100% en una red global no existe y no sólo por el malware, ya que un error en el hardware puede provocar la pérdida de la preciada información personal y/o profesional. La realización de copias de seguridad es por tanto altamente recomendable para un usuario y profesional que pretenda proteger la información personal y corporativa de un equipo informático. además de ser una tarea de mantenimiento que contribuye a la salud del hardware.

Las copias de seguridad deben almacenarse en un dispositivo de almacenamiento externo al de nuestro equipo o en un servicio de almacenamiento en nube que ante cualquier ataque nos permita recuperar los datos.

10- Sentido común

La prudencia es una de las barreras preferentes contra el malware y conviene extremar la precaución contra ataques de phishing o ransomware que a poco que prestemos atención podremos prevenir, porque usan el descuido del usuario.

Para ello, debemos evitar la instalación de aplicaciones de sitios no seguros; la apertura de correos electrónicos o archivos adjuntos no solicitados que llegan de redes sociales o aplicaciones de mensajería; la navegación por determinadas páginas de Internet; o usar sistemas operativos y aplicaciones sin actualizar, que contienen vulnerabilidades explotables por los ciberdelincuentes en las campañas de malware.

Fuente: Muyseguridad