Coronavirus y protección de datos: cuando el interés público se impone a la privacidad

La detección precoz de los casos compatibles con covid-19 y la vigilancia epidemiológica para rastrear los sospechosos son claves para controlar la transmisión de la enfermedad, según el Ministerio de Sanidad. Y, por ello, la figura del rastreador se está revelando como primordial en la lucha contra la pandemia, ya que su labor, tirar del hilo, es esencial a la hora de contener la propagación del virus.

¿Cabe la posibilidad de que una autoridad sanitaria comunique a amigos, compañeros de trabajo o familiares que alguien está infectado del coronavirus? ¿Pueden los empresarios tratar la información de si sus trabajadores tienen, o han tenido, la enfermedad? ¿Tiene un empleado la obligación de informar a su empresa de que está en cuarentena preventiva o afectado por la covid-19? Ante la avalancha de preguntas y disparidad de opiniones, la propia Agencia Española de Protección de Datos (AEPD) publicó un informe hace unos meses para arrojar luz y total claridad en estos aspectos.

Cabe destacar que el derecho a la protección de datos tiene origen en el artículo 18 de la Constitución Española (“Se garantiza el derecho al honor, a la intimidad personal y familiar y a la propia imagen. El domicilio es inviolable. Ninguna entrada o registro podrá hacerse en él sin consentimiento del titular o resolución judicial, salvo en caso de flagrante delito”). Este derecho se mantuvo en vigor durante el estado de alarma, y por supuesto sigue vigente hoy día, una vez superada esa situación excepcional.

En su informe, la AEPD afirma que el Reglamento General de Protección de Datos reconoce que, en situaciones excepcionales como la actual, “la base jurídica de los tratamientos puede ser múltiple, basada tanto en el interés público como en el interés vital del interesado y otra persona física”. Y es precisamente al reconocer la protección de esa “otra persona física” cuando se está legitimando el tratamiento de datos personales del individuo en aras de la protección al contagio de terceros. En consecuencia, el choque de derechos colectivos e individuales se resuelve en favor de la protección de la salud pública.

Conocimiento de una empresa

Así que sí, una empresa puede conocer de las autoridades sanitarias si uno de sus trabajadores está infectado o no, “para así diseñar los planes de contingencia necesarios” para salvaguardar la salud del resto. Dicha información “debería proporcionarse sin identificar a la persona afectada a fin de mantener su privacidad” si de este modo es posible proteger al resto del personal. Solo en el caso de que dicha protección no pudiera garantizarse con una información parcial, “o la práctica sea desaconsejada por las autoridades competentes, en particular las sanitarias”, se proporcionará la identificación.

La empresa también puede preguntar directamente a sus trabajadores, aunque dichas preguntas “deben limitarse exclusivamente a indagar sobre la existencia de síntomas”, o sobre si el empleado “ha sido diagnosticado como contagiado o sujeto a cuarentena”. Cuestionarios de salud más extensos y detallados, o que incluyan preguntas no relacionadas con la enfermedad, sí contravendrían la protección de datos del empleado.

¿Y puede la empresa pedir a sus empleados o a visitantes ajenos datos sobre países que hayan visitado anteriormente, o si presentan síntomas relacionados con el coronavirus? “Sí, siempre que la información solicitada se limite a preguntar por visitas a países de alta prevalencia del virus, y en el marco de incubación de la enfermedad”, las dos semanas anteriores a dicha consulta.

Y sí, los trabajadores afectados por la cuarentena deben informar su empresa y al servicio de prevención o a los delegados de prevención de que se encuentran en esa situación. Y es que el derecho de no informar sobre el motivo de una baja laboral por enfermedad queda “suspendido” frente a la defensa de otros derechos como el de la protección de la salud del resto de trabajadores en situaciones de pandemia y de la defensa de la salud de toda la población.

La toma de temperatura, a debate

Mención aparte merece para la Agencia Española de Protección de Datos la toma de temperatura en espacios y lugares públicos, ya que esta medida puede suponer un asalto injustificado a nuestros datos personales. La AEPD lo tiene claro: “Este tratamiento supone una injerencia particularmente intensa en los derechos de los afectados”. En concreto, porque “afecta a datos relativos a la salud de las personas, no solo porque el valor de la temperatura corporal es un dato de salud en sí mismo sino porque, a partir de él, se asume que una persona padece o no una concreta enfermedad”.

Según la agencia, “una eventual denegación de acceso a un espacio público estaría desvelando a terceros, que no tienen ninguna justificación por conocer esta información, que la persona afectada tiene una temperatura corporal por encima de lo que se considera no relevante y, sobre todo, porque puede haber sido contagiada por el virus”. Por ello, Protección de Datos recuerda que hay “un porcentaje de personas asintomáticas que no presentan fiebre, que la fiebre no siempre es un síntoma presente y que puede haber personas que presenten elevadas temperaturas por causas ajenas al coronavirus”.

En el entorno laboral, la AEPD matiza que las pruebas de fiebre “podrían quedar amparadas en la obligación que tienen los empleadores de garantizar la seguridad y la salud de las personas trabajadoras a su servicio”.

¿Protegen nuestros datos las aplicaciones de rastreo de contagios?

En principio, sí. Radar Covid, por ejemplo, es una aplicación disponible ya en la tienda de aplicaciones de Google (App Store se sumará también) y está impulsada por el Gobierno. Notifica al usuario si ha estado en contacto con algún positivo diagnosticado, pero no recoge el nombre, correo electrónico, número de teléfono ni geolocalización de quien se la descarga. Dicho de otra forma, recoge los movimientos de forma anónima y alerta a quienes hayan estado próximos en caso de infección, sin indicarles en ningún momento la fecha, hora o lugar de exposición.

#agenciaespañoladeprotecciondedatos #protecciondedatos #informacionpersonal #covid19 #usoinapropiadodeinformacion 

Fuente: Heraldo

Correos, de nuevo en una campaña de phishing

Lo de Correos con el phishing es, sin duda, una relación de amor-odio. Más concretamente, parece que los ciberdelincuentes adoran a Correos, mientras que la empresa estatal, responsable de prestar el servicio postal universal en España, debe ver cada día con más preocupación y desagrado el modo en el que los cibercriminales llevan a cabo, especialmente estos últimos meses, campañas de engaño empleando su imagen.

El último caso al respecto ha sido detectado por el Instituto Nacional de Ciberseguridad, INCIBE, que se alertó el jueves sobre esta nueva campaña. Según se deduce de la información facilitada por esta entidad, todo apunta a que se trata de una campaña masiva, puesto que alerta sobre el riesgo de que los mensajes falsos de Correos pueden ser recibidos por trabajadores, autónomos y empresas, algo que nos invita a pensar que los particulares también pueden verse afectados.

En esta campaña detectada por INCIBE, el correo electrónico detectado tiene como título “envío N° ES/2938456“, no obstante, y como ya es común en este tipo de acciones, es bastante probable que pueda ser identificado con otros títulos distintos. En el mensaje, se informa al receptor de que ha recibido un paquete que no se ha podido entregar. Además, y obviamente, hay un enlace que supuestamente dirige a la página de Correos, para gestionar la segunda entrega.

Al acceder a dicha página, que suplanta la identidad de Correos, se indica que hay un (corto) plazo límite para gestionar la entrega y recibir el paquete, en caso contrario será eliminado. Recordemos que algo muy común en el phishing y otras técnicas de ciberdelincuencia es urgir al usuario a realizar una acción concreta, intentando motivar que las prisas fuercen a las víctimas a descuidar la seguridad. Desgraciadamente, suele funcionar.

Así, en esa misma página, la víctima se encontrará un formulario en el que debe introducir los datos de pago, pues el segundo intento de entrega tiene, supuestamente, un coste de 2,99 euros. Tras introducirlos y continuar, el usuario será llevado a una nueva página, en la que se suplanta la identidad de RedSys, y en la que se pide al usuario que introduzca el código de seguridad que habrá recibido mediante un mensaje SMS. Finalizada la operación, el usuario es redirigido a la página (ahora ya sí, la legítima) de Correos.

De este modo, por ejemplo, los ciberdelincuentes, si son notificados instantáneamente de que un usuario ha introducido los datos de pago en la primera página, podrán llevar a cabo cualquier operación con los mismos. En ese momento, la entidad bancaria remitirá a la víctima el mensaje SMS con el código de verificación. Claro, el problema es que la víctima se lo remitirá a los atacantes en la segunda web, por lo que éstos podrán validar su operación, sea la que sea.

Una vez más, y como ya es común, no hay que dejar que las prisas nos hagan descuidar la seguridad. Correos no cobra por las segundas entregas, o las realiza sin más, o deja un aviso en la dirección de entrega para que el usuario vaya a recoger el paquete. Y siempre, ante cualquier duda (y mensajes como este deben provocar muchas), lo mejor es contactar con Correos (o con la empresa que esté siendo suplantada) a través de sus canales oficiales, para confirmar si la comunicación es legítima o, como en este y otros muchos casos, se trata de un fraude.

#phising #phisingcorreos #fraudecorreos #robodeinformacion #protecciondedatos #usoniapropiadodeinformacion #ciberseguridad #ciberataque

Fuente: Muyseguridad

Correos, entre las páginas afectadas por el ciberataque a Priceel

Priceel, una herramienta de marketing que permite a las empresas crear formularios y encuestas de forma sencilla, ha sufrido esta semana un serio ciberataque que ha dejado expuesta información personal de más de 1.200 webs en todo el mundo. En España, la principal página afectada ha sido la de Correos.

Según ha alertado el experto en ciberseguridad Willem de Groot, de la compañía Sanguine Security, el ataque se produjo el pasado sábado y afectó directamente a su cadena de suministro, de modo que el ataque se propagó a otros servicios a través de sus proveedores de software externos. Además de la página española de Correos, otros sitios afectados han sido las webs de las revistas Forbes o Discover, entre otras.

A raíz del ciberataque a Picreel, según el experto, las páginas web afectadas han expuesto desde entonces información de sus usuarios, entre la que se encuentran contraseñas y datos de pagos, que se está filtrando a un servidor externo localizado en Panamá.

Asimismo, el mismo tipo de malware malicioso utilizado por los cibercriminales se ha empleado también para llevar a cabo otro ataque a la cadena de suministro mediante Cloud CMS, un servicio de gestión de contenidos presente en más de 3.400 páginas web de todo el mundo.

De Groot, que ha publicado en GitHub una versión del malware que utilizaron los ciberdelincuentes decodificada, ha asegurado este lunes que tanto Picreel como Cloud CMS han eliminado ya el malware presente en sus herramientas web.

#ciberseguridad #ciberataque #ciberdelincuente #protecciondedatos #usofraudulentodedatos

Fuente: muyseguridad

Leer nuestras noticias tiene...

¡¡PREMIO!!

Te acabas de llevar10 ENTRADAS para la feria del RAM de 2019. El PRIMERO que nos diga en la publicación de Facebook que las ha encontrado se las lleva!!¡¡CORRE!! 

** Solo se permite un premio por persona **

Es muy probable que en estos últimos días hayas oído hablar sobre el “timo de la multa del radar”. Si no sabes muy bien que es, debes estar atento porque todos los conductores estamos expuestos a esta nueva estafa. Coincidiendo con el aumento de los controles de velocidad que la DGT está llevando a cabo esta semana, los delincuentes envían mediante correo electrónico una supuesta multa por exceso de velocidad.

La Guardia Civil ha informado por redes sociales de esta nueva estafa: “El ‘timo de la multa del radar” consiste en el envío de un correo electrónico con un supuesto boletín de denuncia y un enlace para descargar la fotografía. Si pinchas en este enlace se instalará en tu pc un programa que robará tus contraseñas y datos bancarios. Ojo al _“Phishing”.

En un primer momento puede parecer real: la DGT aparece como remitente, la multa tiene todos los datos del infractor, y receptor del email, e incluye la foto tomada por el radar en el momento de la supuesta infracción. El problema está precisamente en la foto, a la que podremos acceder tras pinchar en un enlace que, aunque no lo sepamos, es malicioso. Tras hacer click en este, se descargará un archivo que permitirá a los estafadores acceder a todas nuestras contraseñas y claves, incluidas las que utilizamos para pagar con tarjeta y las de la cuenta bancaria.

Lo primero que tenemos que saber es que la DGT no envía las multas por correo eléctronico, sino que utiliza el correo certificado para notificar las infracciones. Se trata, por tanto de un nuevo caso de phising cuyo objetivo es robar todos tus datos. Si recibes un correo electrónico de este tipo, no pinches y bórralo cuanto antes. Además, para ayudar a captar a los delincuentes, se recomienda que te pongas en contacto con el Grupo de Delitos Telemáticos de la Guardia Civil. Y recuerda que a través de la web de la DGT puedes consultar las multas pendientes de pago.

Fuente: Internautas

Datos de 17.000 españoles, robados a una empresa de camisetas y vendidos en la “dark web”

“22 millones de registros en total, de los cuales 1.060.000 son afectados de la Unión Europea y unos 17.792 de España”: son datos de un incidente de seguridad informática que afectó a Cafepress, una empresa dedicada a la venta de camisetas personalizadas en todo el mundo.

Confidencial Digital ha consultado una resolución reciente de la Agencia Española de Protección de Datos, con la que se archivan las actuaciones referentes al ese incidente en el que fueron sustraídos, para ser puestos a la venta, datos personales de varios miles de españoles.

Datos de clientes a la venta en la “dark web”

Todo comenzó el 6 de agosto de 2019. Ese día Cafepress (que tiene su sede en Shelbyville Road, Lousville, Kentucky, Estados Unidos) descubrió que dos conjuntos de registros de datos de clientes estaban disponibles a la venta en la “dark web”.

Se denomina “dark web” aquella parte parte de la “deep web” o Internet profunda que está intencionalmente oculta a los motores de búsqueda, con direcciones IP enmascaradas y accesibles sólo con un navegador web especial.

En estas redes de “dark web” se llevan a cabo transacciones ilegales: drogas, armas, pornografía infantil, órganos humanos... se venden a través de él.

Notificación a Protección de Datos

La Agencia Española de Protección de Datos recibió un escrito de notificación de quiebra de seguridad remitido por Jones Day, un bufete de abogados que representaba a Cafepress INC.

En el escrito se le informaba de que por fuentes externas habían tenido conocimiento de que Cafepress se había enterado “por fuentes externas que su base de datos de clientes había sido puesta a la venta en la ‘dark web’, un conjunto de un total de 22 millones de registros. Tras investigar el caso determinaron que una tercera persona no identificada obtuvo, sin autorización, la base de datos de clientes de Cafepress”.

De esos 22 millones de registros por todo el mundo, más de un millón pertenecían a ciudadanos de la Unión Europea, y a su vez 17.792 eran de España.

Al comprobar que había clientes de la empresa afectados, Cafepress notificó los hechos a la Agencia Española de Protección de Datos, que puso a la Subdirección General de Inspección de Datos a realizar unas actuaciones previas de investigación para el esclarecimiento de los hechos.

Contraseñas, tarjetas de crédito...

Uno de los problemas iniciales fue que tras recibir las notificaciones, algunas autoridades de control europeas se consideraron interesadas en el asunto. Pero otras, como la del Reino Unido, consideró que no había nada que investigar ya que Cafepress no cuenta con una sede física en la Unión Europea.

En principio, sobre los datos robados a esta web de personalización de camisetas y puestos a la venta en la “dark web” la Agencia Española de Protección de Datos indica que “las categorías de datos afectados por la brecha son datos básicos y de contacto, datos identificativos como nombres de usuario y contraseñas y, solo en algunos casos, datos económico-financieros tales como información de tarjetas de crédito (cuatro últimos números y fecha de caducidad)”.

Sí que hubo unos 15 afectados de la Unión Europea que vieron comprometidos datos más sensibles, como números de identificación fiscal o equivalentes, pero ninguno de ellos de España.

La empresa cuyos datos fueron sustraídos recibió unas 80 solicitudes de información de afectados de la Unión Europea relacionadas con el caso, pero ninguna en la que se manifieste haber sufrido daños por el incidente. Y concluyó que “la probabilidad de que los afectados experimenten consecuencias significativas es neutral para las 15 personas cuyos identificadores fiscales se vieron comprometidos, e improbable para el resto”.

Análisis forense

En su resolución, la Agencia Española de Protección de Datos analiza las medidas adoptadas por Cafepress. Entre las barreras que tenía antes de la “brecha” señala que “constaban medidas de seguridad como Hashing para las contraseñas de los usuarios, segmentación de red, cifrado de credenciales en tránsito, política de claves robustas para empleados, firewalls perimetrales, controles de acceso físicos, formación anual en seguridad para los empleados, y protección con software antivirus. Existe otro grupo de medidas adicionales implementadas para mitigar riesgos relacionadas la mayoría con la migración a otros servidores en julio de 2019 de las tablas de registros de clientes”.

Tras el robo de datos, Cafepress comunicó el suceso al Reino Unido (donde había una gran concentración de afectados) y al resto de las autoridades de control de la Unión Europea cuando determinó el número de afectados de cada país.

Esta empresa estadounidense inició sus propios análisis, con expertos forenses externos. Éstos no pudieron confirmar realmente si la información de los clientes había sido obtenida de su base de datos, “ya que los logs que registran el tráfico en tiempo real no reflejan el incidente”.

Ayuda del FBI

Además, denunció los hechos y comenzó a cooperar con el FBI de Estados Unidos (el país de su sede), y notificó el problema a todos los afectados mediante correo electrónico.

“En el presente caso, consta una quiebra de seguridad de datos personales en las circunstancias arriba indicadas, categorizada como una posible brecha de confidencialidad, como consecuencia del acceso indebido por terceros ajenos a la base de datos del sistema de información de Cafepress”, establece la Agencia Española de Protección de Datos.

También concluye que la empresa “disponía de razonables medidas técnicas y organizativas preventivas a fin de evitar este tipo de incidencias y acordes con el nivel de riesgo”, así como de “protocolos de actuación para afrontar un incidente como el ahora analizado, lo que ha permitido de forma diligente la identificación, análisis y clasificación del supuesto incidente de seguridad de datos personales así como la diligente reacción ante la misma al objeto de notificar, minimizar el impacto e implementar nuevas medias razonables y oportunas para evitar que se repita la supuesta incidencia en el futuro a través de la puesta en marcha y ejecución efectiva de un plan de actuación”.

Como recomendación, Protección de Datos pide a Cafepress que realice un informe final sobre el incidente, que supondría “una valiosa fuente de información con la que debe alimentarse el análisis y la gestión de riesgos y servirá para prevenir la reiteración de una brecha de similares características como la analizada causada previsiblemente por un error puntual”.

Al considerar que Cafepress no había infringido la normativa sobre protección de datos personales, la autoridad española ha terminado archivando las actuaciones sobre este robo de información que afectó a más de 17.000 españoles.

#robodeinformacion  #usoinapropiadodeinformacion #ventadeinformacionprivada #AEPD #agenciaespañoladeprotecciondedatos #protecciondedatos

Fuente: Elconfidencialdigital

Datos privados de millones de influencers de Instagram salen a la luz

Las grandes redes sociales parecen no darse cuenta de la importancia de proteger los datos de sus usuarios. Si no han aprendido la lección del desastre de Facebook y de la obligación legal y ética de asegurar el derecho a la privacidad, se les va a acabar el negocio porque la sangría de usuarios que salen de ellas despavoridos va a continuar ante los escándalos, semana sí y semana también, de fuga de datos.

El último caso de fallo de seguridad afecta a una base de datos de ‘influencers’, celebridades y marcas de Instagram, que incluía no solo información pública como biografías, seguidores y ubicaciones, sino también información privada y crítica como dirección de correo electrónico y número de teléfono. Para empeorar las cosas, la base de datos quedó expuesta y sin contraseñas, invitando a cualquier persona, incluidos los piratas informáticos, a que simplemente echaran un vistazo dentro y robaran los datos.

Para ser justos, hay que citar que Instagram no fue hackeado, pero sí es responsable de proteger los datos de sus usuarios. La base de datos aparentemente era propiedad de Chtrbox, una empresa de mercadeo de medios sociales con sede en Mumbai. Lo gordo del asunto, es que muchas de las personas incluidas en la base de datos informaron que no tuvieron trato alguno con esa compañía.

Chtrbox ha eliminado la base de datos, pero se ha mantenido en silencio al respecto. También se desconoce quién más ha visto los registros incluso antes de que se descubrieran. Instagram, y su dueño Facebook, están al tanto de la situación, pero dicen no tener ni idea de cómo Chtrbox pudo rastrear incluso la información privada de sus usuarios y provocar esta fuga de datos. Una más.

Quizá sin indagan en un modelo de negocio (impulsado por empresas como Facebook) de «tráfico de datos» demencial que está hartando al personal, incumpliendo toda la normativas de privacidad y su deber de proteger adecuadamente los datos, encuentren la solución.

#ciberseguridad #ciberataque #ciberdelincuente #protecciondedatos #usofraudulentodedatos

Fuente: Muyseguridad

Uber y Cabify denunciadas (otra vez) ante la Agencia Española de Protección de Datos

La asociación para la defensa del sector del Taxi,Taxi Project ha presentado una denuncia ante la Agencia Española de Protección de Datos (AEPD) contra las empresasUber y Cabify. La organización ha presentado varios informes en los que estudian y analizan el tratamiento de datos por parte de estas dos empresas. Según dichas investigaciones, Uber y Cabify incumplen variasinfracciones en cuanto a la legislación de protección de datos, así como sobre otros ámbitos que afectan a los derechos de los consumidores, como puedan ser normas para los Servicios de la Sociedad de la Información y el Comercio Electrónico, legislación de Consumidores y Usuarios o sobre la sentencia del TJUE del 20 de diciembre de 2017 en el que se reconocía a Uber como un servicio de transporte.

Según la organización de taxistas, los informes entregados a la Agencia demuestran que se incumplen sistemáticamente hasta ocho artículos diferentes entre normativas europeas y estatales sobre protección de datos. La excusa para eximirse de toda culpa, según explica Taxi Project, es seguir defendiendo que la empresa es un mero intermediario en el caso de Uber o una agencia de viajes en el caso de Cabify. Pero ya existe una sentencia del Tribunal de Justicia de la Unión Europea que especifica que prestan un servicio de transporte, por lo que se deben hacer responsables de las infracciones o los datos del consumidor cuando contrata sus servicios.

No es la primera vez que una denuncia de este tipo llega a la AEPD. La asociación FACUA-Consumidores en Acción presentó una denuncia similar en 2019. La Agencia dictaminó que había “indicios racionales” sobre la posibilidad de que Uber esté incumpliendo el artículo 7 del Reglamento General de Protección de Datos (RGPD).

Pero la ingeniería fiscal de Uber, que traslada todos sus beneficios en Europa a los Países Bajos, también le ha venido muy bien para esquivar la denuncia por parte de FACUA. La AEPD, tras anunciar que veía indicios de que se estuviera incumpliendo la ley, trasladó el caso a las autoridades holandesas, donde Uber tiene su sede, al entender que debe ser dicho país quien estudie y dictamine sobre este caso, aunque los afectados estén repartidos por toda la Unión Europea o la denuncia haya salido del Estado español.

#agenciaespañoladeprotecciondedatos #protecciondedatos #informacionpersonal #leyorganicadeprotecciondedatos #AEPD #denunciaUBER #facua

Fuente: Elsaltodiario

Detectadas más de 1.200 tiendas online afectadas por un skimmer

Conseguir «colar» un skimmer en una tienda online es, sin duda, uno de los objetivos más perseguidos por ciberdelincuentes y organizaciones dedicadas a la robo en Internet. Es algo lógico, ya que obtener los datos de pago de todos los clientes que pasen por la misma es, todavía en bastantes casos, una puerta abierta a la cuenta corriente o a la línea de crédito de las víctimas. Y es por ello que hay algunos grupos que se especializan en este tipo de ataques,

El investigador de seguridad Max Kersten acaba de publicar, en su web, los resultados sobre datos que ha recopilado sobre un ataque de este tipo. Y ,a conclusión es, sin duda, preocupante, porque habla de de más de 1.200 tiendas comprometidas. Una acción que, aunque Kersten no lo confirma, sí que apunta a que tendría detrás al peligroso grupo MageCart. Un actor al que ya conocemos de anteriores acciones, en ataques muy sonados, como los sufridos por Brithish Airways o Ticket Master, entre otros.

Según el investigados los skimmers son, técnicamente hablando, bastante sencillos y semejantes entre sí. La captura de datos se realiza obteniendo todos los formularios o todos los campos de entrada, obteniendo el dominio actual, codificando los datos y enviando posteriormente los datos al servidor del atacante. Esto, por norma general, suele hacer más complejo averiguar quién se encuentra tras los ataques que con otro tipo de patógenos más complejos.

En el caso de la operativa habitual de MageCart, los skimmers a menudo se alojan en sitios web haciendo uso de una biblioteca JavaScript de terceros que se ha visto comprometida, o mediante una biblioteca JavaScript que solo contiene skimmer y que se encuentra en un dominio que es propiedad de la organización. Los datos introducidos en el formulario de pago (incluidos los de la tarjeta de crédito) se copian y se envían a un servidor controlado por el atacante justo antes de que sean remitidos al sistema de pago online.

Parte de las tiendas recogidas por Kersten en su informe ya habían sido documentadas por otros investigadores previamente. Según afirma en el mismo informe, en el que cita explícitamente a esas personas y entidades, ha sido agregar toda esa información, más la recopilada por él mismo, en un único punto, que facilite la localización de todos los sitios afectados por el skimmer. Algo especialmente útil para los usuarios, que en una sola página podrán revisar si alguna de las tiendas online que han empleado se encuentra en la lista.

Para cada sitio afectado se muestra el periodo de tiempo en el que se realizaron las pruebas. Algunas datan de 2018, mientras que otras son de las últimas semanas. A más antigüedad, más posibilidades de que el problema haya sido solventando, pero esto no es una garantía. Hemos revisado algunas de ellas y, por su diseño, pese a que se mantienen operativas, no parecen haber experimentado cambios (al menos en su diseño) desde hace bastante tiempo. El skimmer podría seguir ahí.

#ciberseguridad #ciberataque #ciberdelincuente #protecciondedatos #usofraudulentodedatos #skimmer #phising #robotiendasonline

Fuente: Muyseguridad

Detectan una estafa a través de Bizum en la que los delincuentes se hacen pasar por Hacienda

Panda Security ha detectado a varias personas que han sido víctimas de una nueva estafa a través de Bizum, en virtud de la cual los delincuentes se hacen pasar por Hacienda. La Policía Nacional ya estaría al tanto de este intento de 'phising'.

El engaño consiste en que una supuesta funcionaria de la Tesorería General de la Seguridad Social llama a sus víctimas para indicarles que tienen pendiente la devolución de unas tasas por la escolarización de sus hijos.

La falsa trabajadora de Hacienda les indica que se trata de una ayuda del Estado para hacer frente a la crisis del Covid-19, ofreciendo incluso algo de información sobre el número de hijos y sus edades.

Los estafadores envían un SMS cuyo remitente es «TGSS» (siglas de la Tesorería General de la Seguridad Social) en el que aparece un supuesto código de validación que se debe firmar.

En caso de que la víctima caiga en el engaño, los ciberdelincuentes consiguen los datos de la cuenta bancaria y asocian su tarjeta de crédito o su cuenta bancaria a Bizum. «Lo más preocupante de esta estafa es que la banda organizada de cibercriminales se está sirviendo de la ingeniería social para que su engaño sea casi perfecto», ha advertido la directora global de operaciones de consumo de Panda Security, Hervé Lambert.

Análisis de sus víctimas

La empresa tecnológica ha asegurado que los atacantes analizan las redes sociales de sus víctimas, ven las fotos de sus hijos e incluso adivinan sus nombres y apellidos. A partir de ahí, hacen una búsqueda en Internet para saber su dirección postal o incluso su DNI.

«Este ejemplo nos debe recordar que es imperativo que la sociedad se conciencie de que todo lo que hacemos público en las redes sociales es una información valiosísima para los cibercriminales», ha señalado Lambert.

En este sentido, ha pedido ser «escrupulosamente cautos» a la hora de gestionar la privacidad de los perfiles sociales y de todos los dispositivos conectados.

#phisingmallorca #ataquecibernetico #bizum #usoinapropiadodeinformacion #robodedatos #robodeinformacion #estafabizum

Fuente: Ultimahora

Detenidas 22 personas, ocho en Mallorca, por estafar 108.000 euros con el método 'phishing'

Agentes de la Guardia Civil de Valencia, en el marco de la operación 'MUZIB', han detenido a 22 personas, 8 de ellas en Mallorca, por estafar presuntamente más de 108.000 euros a 61 perjudicados. Al parecer, los detenidos realizaban transferencias repetitivas, de no más de 500 euros en cada operación para no ser descubiertos, llegando incluso en algún caso a vaciar una cuenta con 8.000 euros en tan sólo 16 transacciones, según ha informado el Instituto Armado. 

Lo confirma un experto: hoy, el 90 % de todos los virus o malwaresque gravitan en la internet se propaga a través de correos electrónicos, pero no precisamente por debilidades propias de éstas plataformas de comunicación, sino por la gestión inapropiada de sus contenidos.

Así lo afirmó Andrés Rengifo, director de Asuntos de Propiedad Intelectual y Seguridad Digital de Microsoft para Latinoamérica, al disertar en la cumbre “Microsoft Innovation Summit” que se celebró en un hotel de la capital dominicana.

Clickear el contenido de un correo electrónico de origen desconocido es uno de los errores que más comprometen la seguridad de los ordenadores y de los usuarios en la red, indicó el experto y abogado de profesión, mientras abordaba los retos y los nuevos formatos del cibercrimen en todo el mundo

“Los usuarios no pueden seguir combatiendo las amenazas del presente con herramientas del pasado”, dijo Rengifo, quien disertó en el evento junto a Roberto Icasuriaga, director general de ventas para Microsoft Latinoamérica y El Caribe, y Herbert Lewy, gerente general para El Caribe, quienes hablaron sobre inteligencia artificial (IA) y transformación digital.

Rengifo exhortó al público senior que acompañó su ponencia sobre ciberseguridad a auxiliarse en sistemas de verificación en dos pasosy de reconocimiento biométrico en sus dispositivos, aplicaciones y cuentas de internet, mecanismos diseñados para reducir los riesgos ante la exponencial riada de los ciberdelitos en la última década.

“Si todo está conectado, todo puede ser alterado. Y si todo puede ser alterado, la ciberseguridad debe ser un propósito de todos”, sentenció el ejecutivo, al tiempo de considerar que los empleados tienen que volverse el brazo extendido de la seguridad en las empresas y asumir una cultura de la prevención.

“Ellos constituyen un gran componente de la seguridad del entorno empresarial. En efecto, merecen ser empoderados permanentemente sobre las amenazas del contexto”, añadió.

#ciberseguridad #ciberataque #ciberdelincuente #protecciondedatos #usofraudulentodedatos

Fuente: diariolibre

El ciberataque que se apropia de tu cuenta de WhatsApp

Desde que la Organización Mundial de la Salud declarara al coronavirus como pandemia, el cibercrimen no ha dejado de crecer en volumen y alcance. El CNI alertó a finales de noviembre de que los ciberataques calificados de muy graves se duplicaron este año en relación con 2019. La directora del Centro Nacional de Inteligencia (CNI), Paz Esteban, afirmó que «no solo se ha producido un incremento tanto cuantitativo como cualitativo de los ciberataques», sino también de su gravedad. La ciberdelincuencia es otra pandemia que se ha vuelto viral en esta época de incertidumbre, aumento del teletrabajo y de compras a través de Internet.

Los delincuentes no entienden de crisis sanitarias ni de ética alguna y ven en el miedo un negocio lucrativo, por lo que aprovechan cualquier ocasión para infectar dispositivos y robar datos. Primero fue TikTok, luego Zoom y ahora es el turno de Whatsapp. Según la compañía de ciberseguridad Check Point, en estas últimas semanas se está propagando un nuevo tipo de ciberataque que se apropia de la cuenta de la red de mensajería a sus víctimas. La manera en la que logran engañar al usuario es la de suplantar a uno de sus contactos, eliminando con ello cualquier tipo de sospecha.

«Lo primero que hay que saber de este ciberataque es que el principal activo para el ciberdelincuente es aprovecharse de la confianza de la víctima. Es por esta razón, que la manera para llevar a cabo este ataque se basa en que, con anterioridad, este cibercriminal ha conseguido atacar a uno de los contactos de la víctima en cuestión y robarle todos los números de teléfono que tenía«, advierte Eusebio Nieva, director técnico de Check Point para España y Portugal.

«El cibercriminal le escribe a WhatsApp como si fuera la propia víctima, porque le ha hecho con anterioridad un ciberataque a uno de sus contactos y con ello ya tiene el número de teléfono de la propia víctima, con lo que a su teléfono le va a llegar un SMS de la aplicación con un código. Para lograr el engaño, el ciberdelincuente escribe a la víctima desde un contacto conocido solicitando ese código para que se lo diga, alegando que se ha equivocado mandándoselo y, con este simple engaño, se quedan con la cuenta de WhatsApp de la víctima. Lo imprescindible para este ciberataque es que la víctima confíe en el número que le está hablando, porque al conocerle se fía. Simple, pero efectivo«, explica el experto.

¿Qué pueden llegar a hacer lo ciberdelincuentes con esa cuenta una vez la han robado? «Pueden utilizarla para atacar a todos sus contactos de muchas maneras. Una de las formas es enviándoles SMS con un link que les redirija hasta un sitio web con malware. Otra de las técnicas es mandar un WhatsApp con un enlace con un mensaje del tipo «mira qué interesante, descárgatelo» y como el cibercriminal está hablando a la víctima desde un número en el que «confía» porque se hace pasar por un contacto, es más sencillo engañar porque lo mirará sin pensárselo.

También pueden infectar un móvil y a partir de ahí tener acceso a diferentes aplicaciones y a los movimientos de la víctima o para introducir en el dispositivo un troyano bancario para robar los datos bancarios del usuario y obtener con ello un beneficio económico.

De ser víctima, ¿Podrían recuperar su cuenta? «La única manera sería hablando con WhatsApp para informarles del robo de la cuenta y ellos anulen automáticamente esa cuenta con ese número de teléfono. Por otro lado, sería necesario informar de los hechos a la Guardia Civil o la Policía Nacional para que así hagan un seguimiento de ese número de teléfono y comprueben todas las posibles comunicaciones que ha tenido con otros usuarios y minimizar las víctimas«, explica Nieva.

¿De qué manera puede protegerse un usuario contra este tipo de ataque? «Lo más importante es que cuando a una persona le llegue un SMS lo lea atentamente. Es primordial tener en cuenta que se debe tener mucho cuidado con los códigos que se envían y saber que nunca hay que mandar un código que tú recibas a nadie, te digan lo que te digan o sea quien sea el que te lo esté solicitando. Para no caer en la trampa, lo más correcto para asegurarte de quién es la persona que te lo está pidiendo sería llamar al número de teléfono y comprobar que efectivamente es la persona correcta, por la voz es una manera más sencilla de estar seguro de su identidad«.

En lo que va de 2020 el centro del CNI ha detectado 6.690 ciberincidentes de peligrosidad muy alta y otros 60 críticos, frente a los 3.172 y 37 de 2019, respectivamente, según expuso Javier Candau, Jefe del Departamento de Ciberseguridad del CCN, durante la inauguración de las XIV jornadas de ciberseguridad del Centro Criptológico Nacional (CCN). «Estamos viviendo una situación excepcional», ha apuntado Esteban, para quien «es evidente que la pandemia nos ha puesto a prueba a todos» y ha sido un «un potenciador de tendencias ya existentes».

Fuente: Elcorreo

El ciberataque que se apropia de tu cuenta de WhatsApp

Desde que la Organización Mundial de la Salud declarara al coronavirus como pandemia, el cibercrimen no ha dejado de crecer en volumen y alcance. El CNI alertó a finales de noviembre de que los ciberataques calificados de muy graves se duplicaron este año en relación con 2019. La directora del Centro Nacional de Inteligencia (CNI), Paz Esteban, afirmó que «no solo se ha producido un incremento tanto cuantitativo como cualitativo de los ciberataques», sino también de su gravedad. La ciberdelincuencia es otra pandemia que se ha vuelto viral en esta época de incertidumbre, aumento del teletrabajo y de compras a través de Internet.

Los delincuentes no entienden de crisis sanitarias ni de ética alguna y ven en el miedo un negocio lucrativo, por lo que aprovechan cualquier ocasión para infectar dispositivos y robar datos. Primero fue TikTok, luego Zoom y ahora es el turno de Whatsapp. Según la compañía de ciberseguridad Check Point, en estas últimas semanas se está propagando un nuevo tipo de ciberataque que se apropia de la cuenta de la red de mensajería a sus víctimas. La manera en la que logran engañar al usuario es la de suplantar a uno de sus contactos, eliminando con ello cualquier tipo de sospecha.

«Lo primero que hay que saber de este ciberataque es que el principal activo para el ciberdelincuente es aprovecharse de la confianza de la víctima. Es por esta razón, que la manera para llevar a cabo este ataque se basa en que, con anterioridad, este cibercriminal ha conseguido atacar a uno de los contactos de la víctima en cuestión y robarle todos los números de teléfono que tenía«, advierte Eusebio Nieva, director técnico de Check Point para España y Portugal.

«El cibercriminal le escribe a WhatsApp como si fuera la propia víctima, porque le ha hecho con anterioridad un ciberataque a uno de sus contactos y con ello ya tiene el número de teléfono de la propia víctima, con lo que a su teléfono le va a llegar un SMS de la aplicación con un código. Para lograr el engaño, el ciberdelincuente escribe a la víctima desde un contacto conocido solicitando ese código para que se lo diga, alegando que se ha equivocado mandándoselo y, con este simple engaño, se quedan con la cuenta de WhatsApp de la víctima. Lo imprescindible para este ciberataque es que la víctima confíe en el número que le está hablando, porque al conocerle se fía. Simple, pero efectivo«, explica el experto.

¿Qué pueden llegar a hacer lo ciberdelincuentes con esa cuenta una vez la han robado? «Pueden utilizarla para atacar a todos sus contactos de muchas maneras. Una de las formas es enviándoles SMS con un link que les redirija hasta un sitio web con malware. Otra de las técnicas es mandar un WhatsApp con un enlace con un mensaje del tipo «mira qué interesante, descárgatelo» y como el cibercriminal está hablando a la víctima desde un número en el que «confía» porque se hace pasar por un contacto, es más sencillo engañar porque lo mirará sin pensárselo.

También pueden infectar un móvil y a partir de ahí tener acceso a diferentes aplicaciones y a los movimientos de la víctima o para introducir en el dispositivo un troyano bancario para robar los datos bancarios del usuario y obtener con ello un beneficio económico.

De ser víctima, ¿Podrían recuperar su cuenta? «La única manera sería hablando con WhatsApp para informarles del robo de la cuenta y ellos anulen automáticamente esa cuenta con ese número de teléfono. Por otro lado, sería necesario informar de los hechos a la Guardia Civil o la Policía Nacional para que así hagan un seguimiento de ese número de teléfono y comprueben todas las posibles comunicaciones que ha tenido con otros usuarios y minimizar las víctimas«, explica Nieva.

¿De qué manera puede protegerse un usuario contra este tipo de ataque? «Lo más importante es que cuando a una persona le llegue un SMS lo lea atentamente. Es primordial tener en cuenta que se debe tener mucho cuidado con los códigos que se envían y saber que nunca hay que mandar un código que tú recibas a nadie, te digan lo que te digan o sea quien sea el que te lo esté solicitando. Para no caer en la trampa, lo más correcto para asegurarte de quién es la persona que te lo está pidiendo sería llamar al número de teléfono y comprobar que efectivamente es la persona correcta, por la voz es una manera más sencilla de estar seguro de su identidad«.

En lo que va de 2020 el centro del CNI ha detectado 6.690 ciberincidentes de peligrosidad muy alta y otros 60 críticos, frente a los 3.172 y 37 de 2019, respectivamente, según expuso Javier Candau, Jefe del Departamento de Ciberseguridad del CCN, durante la inauguración de las XIV jornadas de ciberseguridad del Centro Criptológico Nacional (CCN). «Estamos viviendo una situación excepcional», ha apuntado Esteban, para quien «es evidente que la pandemia nos ha puesto a prueba a todos» y ha sido un «un potenciador de tendencias ya existentes».

Fuente: Elcorreo

El falso técnico de Microsoft, al acecho

En las últimas fechas se ha detectado un aumento de damnificados por un nuevo tipo de estafa: un falso técnico de Microsoft se pone en contacto informando de un problema o la infección de un virus, aunque en realidad se persigue defraudar a la víctima.

¿Cómo funciona este tipo de timo? Los Mossos d'Esquadra han elaborado un completo material para advertir a la ciudadanía sobre esta práctica.

Para empezar se recibe una llamada o un mensaje, de texto o por correo electrónico, de alguien que simula ser del servicio de soporte técnico de Microsoft o de una empresa de seguridad informática, e intentan engañar y hacer creer al usuario que solucionarán su problema si sigue las indicaciones.

Ello puede ir acompañado de un aviso del sistema en el navegador web u otra ventana emergente. El defraudador proporciona un número de teléfono para contactar con el falso servicio técnico de Microsoft, que le solucionará el problema; si es posible, intentarán conseguir su teléfono para contactar directamente. También le pueden indicar que visite una página web en concreto, le hacen introducir datos, un código que le proporcionan o le piden que descargue algún archivo o programa.

De este modo puede darse el caso de que consigan acceder en remoto a su PC y entonces instalan un programa espía (spyware) o cualquier otro tipo de software malicioso. También le pueden pedir un pago para el soporte técnico y que facilite sus datos bancarios o la tarjeta de crédito.

El objetivo final, como en otras prácticas asociadas del estilo phishing, es conseguir mediante la estafa dinero de las víctimas, o en su caso acceso a la información que hay almacena el ordenador, tales como documentos, fotografías, o las contraseñas almacenadas.

La policía catalana resume como claves para darse cuenta de que se está a punto de caer en las redes de los cacos digitales varios indicadores; entre ellos que se solicite una acción urgente, o se exija dinero para resolver el problema. Además, Microsoft precisa que sus mensajes de error y aviso jamás incluyen números de teléfono.

Si quieres saber más acerca de este tipo de prácticas fraudulentas, el Instituto Nacional de Ciberseguridad (INCIBE) aporta materiales útiles e interesantes para prevenir a los usuarios.

#ciberseguridad #ciberataque #ciberdelincuente #protecciondedatos #usofraudulentodedatos #incibe #phising #roboporinternet

Fuente: Ultimahora

El Gobierno ha aumentado la partida destinada a la Agencia Española de Protección de Datos (AEPD) en un 9,3% para 2019. Así aparece reflejado en los Presupuestos Generales de 2019 que destinan, en total, cerca de 15,55 millones de euros para el ente encargado de velar por la protección de nuestros datos. El año pasado la AEPD recibió 14,23 millones de euros para desempeñar sus funciones.

El organismo independiente es el encargado de velar por la correcta aplicación de las leyes de protección de datos en nuestro país. También atiende peticiones de los ciudadanos relacionadas con el derecho al olvido o la reclamación de sus datos en Internet.

Con la entrada en vigor el pasado 25 de mayo del nuevo Reglamento General de Protección de Datos (RGPD) a nivel europeo, el regulador vio aumentada su carga de trabajo. La AEPD también jugará un papel fundamental a la hora de regular las acciones de los partidos políticos y el  spam electoral, en una ley que fue aprobada a finales de 2018.

 

La nueva Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales permitirá a los partidos políticos elaborar bases de datos que detallen el perfil ideológico de los ciudadanos con información extraída de páginas web y redes sociales, así como enviarles propaganda electoral por medios electrónicos (SMS, WhatsApp, correo electrónico o mensajes privados a través de las redes sociales) sin su consentimiento previo.

Precisamente por eso, la AEPD tuvo que salir al paso a finales de noviembre para acallar el ruido generado por la polémica nueva ley. Entonces, la institución que preside Mar España  ya dijo que no iba a permitir que los partidos hicieran perfiles ideológicos de los ciudadanos. Sin embargo, el regulador sí reconoce que los partidos podrán rastrear las redes para encontrar el número de teléfono o email de los ciudadanos para enviarles propaganda electoral sin consentimiento previo.

Fuente: Eldiario

Escándalo en Amazon con sus cámaras de vigilancia Ring

La marca de cámaras de seguridad Ring, propiedad de Amazon, tuvo que despedir a cuatro de sus trabajadores por violar los términos de la compañía al ir más allá del acceso requerido en su trabajo a la hora de ver videos grabados en las cámaras de sus clientes.

Amazon envió una carta a varios senadores estadounidenses como respuesta a múltiples preguntas sobre la seguridad de los sistemas Ring. En esta misiva, fechada el 6 de enero, reconoce que la empresa había sufrido una serie de quejas sobre el acceso de miembros de su equipo a los datos de video de los dispositivos en los últimos cuatro años.

"Aunque cada una de estas personas estaba autorizada a ver los datos de video, su intento de acceso fue más allá de lo que necesitaban para llevar a cabo a su trabajo", como asegura en la carta el vicepresidente de Políticas Públicas de la empresa, Brian Huseman. Ring investigó los casos y, después de determinar que habían violado las políticas de la compañía, los cuatro trabajadores fueron despedidos.

La empresa defendió que actualmente no existe nadie en su equipo que tenga acceso ilimitado a las informaciones de las cámaras. El equipo de I+D solo puede acceder a los videos de acceso público y a los videos de empleados de Ring, amigos y familiares que hayan dado su consentimiento previo.

Además los clientes pueden dar su consentimiento expreso para dar un acceso temporal a la cámara en vivo mientras se soluciona el problema. Aparte de esto, solamente tres empleados tienen la posibilidad de acceder a los clips de los clientes almacenados.

Este problema afecta a todas las compañías tecnológicas que trabajan con datos e informaciones personales de sus clientes. Con el fin de evitar cualquier tipo de ataque, Ring incluyó nuevas funciones de seguridad como la autenticación de dos factores o los mensajes de advertencia cuando alguien inicia sesión desde una nueva ubicación.

#videovigilancia  #camarasdeseguridad #protecciondedatos #usofraudulentodedatos #proteccioneninternet #internetseguro

Fuente: Clarin

FaceApp, la aplicación de moda que nos hace viejos y ¿nos roba datos?

La aplicación FaceApp, que permite caracterizar a las personas como ancianos, entre otras transformaciones, está causando furor entre los usuarios de este tipo de herramientas digitales, y muchos de ellos se han lanzado a compartir el resultado de sus pruebas en las redes sociales.

FaceApp ha enganchado también a los famosos por el realismo de los montajes, y muchos han compartido las imágenes resultantes en internet bajo la etiqueta #FaceAppChallenge, lo que ha multiplicado el impacto de esta aplicación de origen ruso.

El portal especializado Hipertextual se ha encargado de subrayar estos riesgos. Entre otras cosas, la app accede a fotos y vídeos del usuario y "otra información del comportamiento del medio de herramientas de análisis de terceros, cookies e identificadores del dispositivo para proveer contenido personalizado y publicidad".

Esto puede suponer que estos datos acaben en manos de terceros.

La advertencia sobre esta app de moda vuelve a poner de manifiesto el riesgo que suponen para los usuarios algunas de las aplicaciones que se usan en el día a día.

#protecciondedatos #usofraudulentodedatos #proteccioneninternet #internetseguro

Fuente: Levante-emv

Nuevo escándalo de seguridad en Facebook. La compañía acaba de reconocer que almacenó cientos de millones de contraseñas de usuarios en texto plano y accesibles y visibles por cualquier empleado de la red social. En cualquier servicio online, las contraseñas están siempre protegidas por cifrado (es imposible ver todas los caracteres), pero una concatenación de errores hizo que entre 200 y 600 millones de contraseñas estuvieran completamente al aire en los sistemas internos de la compañía. Unos 20.000 empleados de la red social pudieron acceder a ellas sin problema durante años y, por tanto, a la información privada y personal de los perfiles de millones de personas.

Las contraseñas estaban almacenadas en texto plano en los sistemas de Facebook y cualquiera de sus empleados podía buscar por ellas en segundos. El fallo ocurría desde 2012 y no ha sido detectado hasta el pasado enero. Es decir, siete años con un gravísimo error de seguridad que dejaba al aire hasta 600 millones de cuentas, según datos de Krebs on Security.

En un comunicado oficial, Facebook asegura que ya ha subsanado el fallo y que se lo comunicará próximamente a todos los usuarios afectados. "Para ser exactos, estas contraseñas nunca fueron accesibles fuera de Facebook y no hemos encontrado pruebas de que nadie internamente haya abusado de ellas. Estimamos que notificaremos el fallo a cientos de miles de usuarios de Facebook Lite, decenas de millones de otros usuarios de Facebook y decenas de miles de Instagram", explican.

Según señala el especialista en ciberseguridad Brian Krebs citando fuentes internas de la compañía, al menos 2.000 empleados hicieron 9 millones de búsquedas entre todas las contraseñas expuestas, aunque no está claro qué hicieron luego o qué información obtuvieron. Facebook oficialmente no ha dado ninguna cifra concreta. Tampoco explica qué tipo de fallo, si técnico o humano, ha sido el responsable de semejante brecha de seguridad. Se limita a detallar las medidas de seguridad que supuestamente siguen para ocultar las contraseñas, medidas que precisamente no tomaron durante 7 años.

Aunque la red social no pide a los usuarios en su comunicado de forma directa cambiar la contraseña, explica cómo hacerlo y da otros pasos para mantener la cuenta segura. Es decir, lo más recomendable es que la cambies ahora mismo. Lo puedes hacer en tu perfil en el menú de ajustes y "seguridad y login".

#ciberseguridad #datosdescubiertos #usofraudulentodedatos #brechadeseguridad #ttcsseguridadmallorca

Fuente: Elconfidencial

Facebook mostrará a los usuarios los datos personales que cruza con otras webs

Facebook ha presentado una nueva funcionalidad que permitirá a sus usuarios conocer qué datos estaba recibiendo la red social de otras páginas y apps a las que accedía el usuario desde fuera de su entorno. Es decir, conocer qué información recopila Facebook de sus usuarios cuando navegan por páginas que no tienen nada que ver con su actividad en la red social, un extremo que la empresa en el pasado había negado que realizara y que ahora solo admite sobre web con las que "tiene acuerdos".

La implantación llega tras las multas de varios organismos europeos, entre ellas de la Agencia Española de Protección de Datos (AEPD), a la empresa de Mark Zuckerberg por realizar estos trasvases sin permiso. La recopilación fue demostrada por un estudio de la universidad de Lovaina, que extendía la recogida de datos de la red incluso a usuarios que no tenían cuenta en ella gracias al Facebook Login (un sistema para registrarte en una página usando la cuenta de Facebook) o el Social Sharing (compartir en redes sociales).

La AEPD demostró que la red social recopilaba, almacenaba y utilizaba datos sobre ideología, sexo, creencias religiosas, gustos personales o navegación con fines publicitarios directamente, mediante la interacción con sus servicios o desde páginas de terceros, "sin informar claramente al usuario sobre el uso y finalidad que le va a dar a los mismos, y ni siquiera los cancela de modo adecuado cuando un usuario se da de baja". 

Ahora, bajo el epígrafe “Actividad fuera de Facebook”, la empresa de Mark Zuckerberg promete que el usuario podrá acceder a un resumen de las apps y web que envían información sobre su actividad y eliminar esta información de su cuenta, si quiere.

Según la compañía, se trata de "ofrecer a las personas más transparencia y control en Facebook junto con nuevas actualizaciones en la biblioteca de anuncios, las actualizaciones en 'por qué veo este anuncio' y el lanzamiento de la nueva funcionalidad '¿por qué veo esta publicación?”. Esto es, según el propio Facebook, que si un usuario ha estado viendo anuncios de zapatos en una web, Facebook puede saber que le interesan los zapatos y enseñarle anuncios sobre ello.

Implantación gradual

Según la red social, esta recopilación permitirá que el usuario pueda "desconectar esta información de su cuenta" y elegir que Facebook no la recopile.  La funcionalidad, sin embargo, no será inmediata sino que comenzará a implantarse gradualmente a usuarios y por países. España estará entre los primeros, junto con Corea del Sur e Irlanda.

La empresa asegura que esta nueva función se ha implantado por presión de usuarios y legisladores, y señala que han "realizado investigaciones durante meses para recibir opiniones y sugerencias de personas en Facebook, expertos en privacidad, legisladores, anunciantes y grupos del sector".  Y señala que han tenido que ir adaptando la herramienta.

"Por ejemplo, cuando la función ya llevaba varios meses desarrollándose, nos pidieron una opción para desconectar la actividad futura en internet solo en empresas concretas, no necesariamente en todas a la vez. También escuchamos de expertos en privacidad que era importante tener la posibilidad de reconectar con aplicaciones o sitios webs especificos al mismo tiempo que mantenemos la actividad futura desconectada", afirman en un artículo firmado por dos directivos de la compañía, Erin Egan, directora de políticas de privacidad, y David Baser, director de gestión de productos.

#agenciaespañoladeprotecciondedatos #protecciondedatos #usofraudulentodedatos #proteccioneninternet #internetseguro

Fuente: Elperiodico

Así es 'GLORIA', la nueva herramienta de inteligencia artificial para prevenir ciberataques

La empresa valenciana S2 Grupo y el Centro Criptológico Nacional (CCN), adscrito al Centro Nacional de Inteligencia (CNI), han desarrollado una herramienta pionera de análisis de ciberataques con capacidades de inteligencia artificial para la detección precoz de ciberamenazas en España.

Esta herramienta, denominada 'GLORIA', es muestra de la apuesta del país por el desarrollo y la evolución de la capacidad nacional en materia de ciberseguridad, "rasgo fundamental para tener independencia tecnológica frente a otros países", según informa S2 Grupo en un comunicado.

"Este nuevo proyecto ha supuesto la puesta en marcha de una plataforma que ha permitido mejorar y avanzar en la detección temprana de un posible ciberataque, y el tiempo en la respuesta es esencial para evitar sus consecuencias", ha declarado José Rosell, socio-director de S2 Grupo.

Según Miguel A. Juan, socio-director de S2 Grupo, 'GLORIA' se ha constituido como "la herramienta fundamental para la definición de la inteligencia necesaria que permita la detección precoz de amenazas".

"Esto significa que la Administración Pública mejorará cualitativamente su ciberprotección frente a la posible acción de ciberdelincuentes", ha explicado. 'GLORIA' es una plataforma para la gestión de incidentes y amenazas de ciberseguridad a través de técnicas de correlación compleja de eventos. Además, 'GLORIA' permite la reducción del trabajo manual y repetitivo de los analistas de ciberseguridad en los procesos de detección y respuesta a incidentes y acortar considerablemente el tiempo de reacción cuando aparece una ciberamenaza.

#ciberseguridad #ciberataque #ciberdelincuente #inteligenciaartificial #protecciondedatos #usofraudulentodedatos

Fuente: 20minutos