15 detenidos en tres empresas cerámicas de Castellón implicadas en estafas de 'phising' a clientes

Agentes de la Policía Nacional, en una operación conjunta con la Guardia Civil, han desarticulado una organización criminal internacional dedicada a cometer estadas mediante la modalidad del phising. La organización, que estaba perfectamente estructurada y con los roles de sus miembros plenamente definidos, se dedicaba a estafar a empresas, con las que tenían previamente algún tipo de acuerdo comercial, mediante ataques informáticos.

Además, los presuntos autores se ganaban la confianza de empresas legales mediante acuerdos comerciales apoderándose, no solo de sus datos empresariales, también de sus contraseñas bancarias y correo electrónico. Agentes de la Policía Nacional y de la Guardia Civil realizaron, de manera simultánea, cuatro registros en Málaga, y detuvieron a seis personas. Además, intervinieron ordenadores, tarjetas bancarias, multitud de documentación, joyas valoradas en más de 4.000 euros y 2.950 euros en metálico.

En Castellón los agentes realizaron dos registros domiciliarios, así como el registro de tres empresas de cerámica. También detuvieron a 15 personas e incautaron abundante documentación, 16.350 euros en metálico y un vehículo de alta gama valorado en 150.000 euros. La denominada operación Ciao-Estribo, ha permitido embargar 78 cuentas bancarias y ha logrado esclarecer un blanqueo de capitales de cinco millones de euros.

La investigación policial se inició, tanto en Lalín (Pontevedra) como en Jaén, gracias a dos denuncias interpuestas las mencionadas ciudades. En la denuncia de Jaén un empresario italiano denunciaba haber sido víctima de una estafa por valor de 132.000 euros. Por otro lado, La Guardia Civil de Lalín había recibido una denuncia de una empresa de Pontevedra en la que manifestaba haber sido víctima de dos estafas, una por un montante de 23.645 euros y otra por 3.479 euros. Tanto en la localidad Pontevedresa como en la capital jienense, los investigadores comenzaron a trabajar en las referidas denuncias hasta que ambas investigaciones se cruzaron. A partir de ese momento, ambos Cuerpos de Seguridad trabajaron al unísono.

Una organización criminal internacional

En el mes de agosto del pasado año, ambos Cuerpos investigaron conjuntamente. Los empresarios que habían presentado sendas denuncias –en Lalín y Jaén-, habían sido estafados por internet mediante la usurpación de sus cuentas de correo electrónico logrando, en ambos casos, la sustracción de grandes sumas de dinero.

Agentes especializados de la Policía Nacional y de la Guardia Civilanalizaron minuciosamente una innumerable documentación económica, bancaria, fiscal y financiera. Tras varias gestiones y el empleo de diversos medios técnicos e informáticos, consiguieron localizar una organización criminal desplegada internacionalmente.

Desviación de dinero a cuentas bancarias de todo el mundo

Los presuntos autores, una vez se hacían con el dinero de las víctimas lo desviaban a numerosas cuentas corrientes que la organización había aperturado, mediante documentación falsa, teniendo como destino final determinadas empresas de cerámica ubicadas en Castellón. De esta forma, blanqueaban el dinero recibido ilícitamente mediante exportaciones, en determinados casos, de material enviado hasta Nigeria.

Los investigadores de ambos Cuerpos de Seguridad, dada la magnitud de la investigación, solicitaron la colaboración de diferentes especialistas documentales de numerosas Embajadas de Europa y África, ya que la organización criminal tenía acceso a pasaportes sustraídos y falsificados de multitud de países con el fin de dificultar más aún la labor policial-judicial investigativa. En la mayor parte de los casos, era difícil identificar a los supuestos titulares de los pasaportes porque éstos no existían físicamente, resultando totalmente imposible su localización. En este sentido, los agentes constataron que la actividad delincuencial no sólo se realizaba en España, sino que también se llevaba a cabo en Holanda, Chipre, Curaçao, Ucrania, México, Suiza, Alemania, Dinamarca, Singapur, Reino Unido y Estados Unidos.

Blanqueo de capitales por cinco millones de euros

En la Operación Estribo-Ciao, se ha localizado y recuperado, de las diferentes cuentas bancarias de la organización, gran cantidad de dinero oculto. Además, se han inmovilizado y embargado 78 cuentas bancarias de diferentes entidades financieras. Los agentes realizaron cuatro registros domiciliarios en Málaga e intervinieron multitud de documentación, aparatos informáticos, 2.955 euros en metálico, así como joyas valoradas en más de 4.000 euros. Asimismo, fueron detenidas seis personas.

En Castellón, los agentes de la Guardia Civil y de la Policía Nacional realizaron dos registros domiciliarios y otros tres en empresas relacionadas con la cerámica. Como resultado fueron detenidas 15 personas y se incautó numerosa documentación, tarjetas de bancarias, 16.350 euros en metálico y un vehículo de alta gama valorado en 150.000 euros.

Una vez realizado el recuento de las cantidades obtenidas, presuntamente de manera ilícita, por parte de la organización criminal, el montante final asciende a cinco millones de euros.

#agenciaespañoladeprotecciondedatos #protecciondedatos #usofraudulentodedatos #phising #robodatospersonales #leyorganicadeprotecciondedatos

Fuente: Lasprovincias

Números de teléfono, direcciones postales, fotos de familiares, correos electrónicos, chats e incluso datos bancarios.Lospiratas informáticosque estánaún por identificar han filtrado en una cuenta de Twitter información de cientos de políticos y personalidades de la vida pública alemana.

Entre los afectados por el ciberataque, considerado el mayor de la historia de Alemania, se encuentra Angela Merkel, según reconoció la viceportavoz del Gobierno. «Se han visto afectados por el hackeo diputados de todos los estamentos: del Bundestag, de los parlamentos regionales, de la Eurocámara y hasta de los municipios», explicó Martina Fietz. La ministra de Justicia, Katarina Barley, hablaba de un acto «grave» que pretende minar la confianza de la población en las instituciones democráticas.

Por el momento no es posible determinar la forma en que se produjo el ciberataque, que se inició el 1 de diciembre, pero cuyo alcance no se dio a conocer hasta el jueves por la noche, insiste el ministerio del Interiorconfirmando así las revelaciones hechas horas antes por el canal berlinés RBB. Las autoridades constataron que se han filtrado tanto datos actuales como otros más antiguos y advierten de que algunos de ellos podrían haber sido falsificados. El centro alemán de defensa cibernética asumió de inmediato la coordinación de la investigación, y no descartó que el autor pueda ser alguien con acceso a información sensible.

Misterioso aviso del ciberataque

El caso salió a la luz cuando el jueves unos desconocidos alertaron por teléfono y desde un número privado al exlíder del SPD Martin Schulz. Un empleado del parlamentario avisó a la policía de la ciudad de Aquisgrán. Ahora están implicados los servicios secretos, que trabajan codo con codo con sus homólogos extranjeros, la Oficina de Investigaciones Criminales (BKA), la Fiscalía federal y las de varias regiones. Varios partidos exigen una sesión extraordinaria de la Comisión de Interior para tratar de esclarecer si detrás del ataque masivo hay una motivación política.

Las redes del Gobierno no se han visto afectadas, aclaró la Oficina Federal para la Seguridad Informática (BSI). Aunque sí se ha publicado parte de la correspondencia de Merkel y otros políticos. Como el diputado de Los Verdes Robert Habeck, del que se han filtrado conversaciones con su esposa. A juzgar por el diario Bild, también se ha difundido información personal del presidente, Frank-Walter Steinmeier, así como datos relevantes de los partidos. Al parecer, la única fuerza política que se ha librado del hackeo es la ultraderechista AfD, que en el pasado fue vinculada con piratas informáticos rusos.

Pero entre las víctimas de los piratas cibernéticos figuran también músicos, como los raperos Marteria y Casper o la banda de rock K.I.Z., célebres actores como Til Schweiger, humoristas como Jan Bohmermann, que desencadenó una crisis diplomática en el 2016 tras una polémica sátira sobre el presidente turco, Recep Tayyip Erdogan, y periodistas de la talla de Hajo Seppelt, que destapó el escándalo de dopajemasivo en Rusia.

Fuente: lavozdegalicia

Alerta por la última estafa de 'Phishing' que suplanta a Netflix

Una nueva campaña de tipo phishing suplanta la identidad de Netflix para hacerse con los datos de los usuarios. Según la alerta comunicada por la Oficina de Seguridad del Internauta (OSI), dependiente del Instituto Nacional de Ciberseguridad (Incibe), los estafadores envían un correo que simula ser de la plataforma de streaming con el asunto «Verifica tu cuenta», y un enlace a una página en su interior. Si se accede a ella, se encontrarán con una web que suplanta igualmente a la de Netflix, donde se pide a los usuarios que introduzcan sus datos.

La OSI avisa de que para detectar que se trata de un correo y página fraudulentos sólo hay que comprobar que el dominio asociado no pertenece a Netflix, sino que aparece «cherryland.de», y recomienda a los usuarios que, en caso de haber recibido este correo, no introduzcan sus datos, lo eliminen y lo pongan en conocimiento del Incibe.

«Si te llega, elimínalo o ponte en contacto con la Línea de Ayuda en Ciberseguridad de INCIBE: 900 116 117», recomienda a los usuarios este organismo público a través de las redes sociales.

Por su parte, la Policía de Palma recuerda que «el phishing es uno de los métodos más utilizados por los delincuentes cibernéticos para estafar y obtener información confidencial de forma fraudulenta», instando a la población a mantenerse alerta ante estos intentos.

#ciberseguridad #ciberataque #ciberdelincuente #protecciondedatos #usofraudulentodedatos

Fuente: Elcorreo

Amazon fue objetivo de un ciberataque de phishing

Amazon ha revelado que fue el objetivo de un ataque de phishing que afectó a las cuentas de los vendedores con los que trabaja. Los cibercriminales podrían haberse hecho con miles de dólares suplantando la identidad de la compañía.

Según ha desvelado Bloomberg, que ha tenido acceso a la presentación ante el consejo regulador de Reino Unido en la que Amazon reconoció haber sido objetivo de este fraude, los hackers accedieron a las cuenta de los vendedores con los que trabaja y sustrajeron importantes cantidades de dinero.

Este fraude se produjo durante un período de seis meses, empezando en mayo de 2018 y aprovechando la práctica de Amazon de otorgar préstamos a sus vendedores externos en los mercados en los que opera.

Los hackers accedieron a estas cuentas y cambiaron los detalles de pago mediante correos en los que suplantaban la identidad de Amazon para cambiar detalles de los pagos y desviarlos a sus propias cuentas bancarias. Un dinero que estaba destinado para utilizarse para cubrir costes de inicio y negocios pero que se desvió y que podría sumar cientos de miles de dólares.

Se trata de una práctica muy común en Amazon en los mercados en los que opera, prestando a sus vendedores externos. De hecho, hace unos días desvelaba en su informe anual de pymes que el pasado 2018 otorgó más de 1.000 millones de dólares en préstamos a sus vendedores y socios externos.

Por el momento, Amazon se ha negado a hacer declaraciones relacionadas con este tema. No obstante, un portavoz de la compañía sí ha manifestado que cualquier vendedor que considere que puede haber recibido un correo electrónico malicioso suplantando la identidad de Amazon debe enviar debe enviar un mensaje a Esta dirección de correo electrónico está siendo protegida contra los robots de spam. Necesita tener JavaScript habilitado para poder verlo. para poner en conocimiento de la firma esta problemática y solventarla.

#ciberseguridad #ciberataque #ciberdelincuente #protecciondedatos #usofraudulentodedatos

Fuente: Muycanal

Anonymous burló la última tecnología del CNI en su ciberataque a Marchena

El ciberataque de Anonymous Catalonia a finales del pasado junio a los sistemas informáticos del Poder Judicial como protesta por el juicio del 'procés' fue mucho más grave de lo que se informó en un principio. El colectivo detrás del que supuestamente se esconden varios piratas informáticos de corte independentista -que demostró en las redes sociales que había accedido a los correos electrónicos de, entre otros, Manuel Marchena presidente del tribunal del 'procés'-consiguió violar de forma reiterada los más potentes y modernos sistemas de seguridad que el Centro Nacional de Inteligencia (CNI) había diseñado e instalado para blindar las comunicaciones del Ministerio de Justicia, según han desvelado fuentes de la investigación.

Los especialistas de las fuerzas de seguridad que trabajan en este caso han explicado que el CNI y su departamento especializado en ciberseguridad, el Centro Criptológico Nacional (CNN) fueron los encargados de diseñar las barreras que debían haber protegido al Ministerio de Justicia de los ataques de los piratas informáticos.

El Gobierno en junio del año pasado decidió dejar en manos exclusivamente del CNI las comunicaciones y sistemas de protección informática de los 18.000 usuarios del Ministerio de Justicia (entre ellos los 5.500 jueces españoles) tras el escándalo que supuso en julio de 2017 que una falla en el sistema de notificaciones judiciales Lexnet permitiera a cualquier usuario de ese canal consultar informaciones confidenciales de las causas judiciales en marcha.

El Ministerio de Justicia, según el convenio que cerró hace más de un año con el CNI, va a pagar entre 2018 y 2020 tres millones de euros (83,33 euros por usuario de Justicia y año) a los servicios secretos por los sistemas supuestamente inexpugnables que hace un mes violaron los hackers independentistas, que, de acuerdo con los analistas, habrían podido acceder a los correos corporativos de todos y cada uno de los 18.000 usuarios de la red del Ministerio de Justicia.

«Medios de cifra»

Según explican fuentes del caso, el CNI en los últimos meses y habida cuenta del coste del convenio, se había volcado en el proyecto con su última tecnología y un «importante despliegue de medios humanos», hasta el punto de que los servicios secretos pusieron en marcha una oficina propia de seguridad en el ministerio «encargada de la gestión y operación de sistemas, servicio y redes» de Justicia.

De acuerdo con la documentación oficial, la prioridad del CNI, que incluso elaboró un «plan director de seguridad» para el departamento, debía ser «incrementar los niveles de de seguridad», particularmente con nuevos «medios de cifra», que son los que Anonymous Catalonia reventó sin problemas el pasado junio, según reconocen los actores implicados.

Hace tres semanas, los ciberactivistas denunciaron que las claves de los jueces del 'procés', como las del resto de los miembros de la judicatura, están en una base de datos de más de 9.000 millones de códigos, «que fue filtrada en su día y que es accesible para cualquiera».

Anonymous Catalonia, tras el anuncio del CNI de que había reforzado la seguridad de las cuentas oficiales, volvió a publicar pantallazos de buzones de entrada actualizados de jueces. «El problema no es que la seguridad de cualquier persona sea pésima, sino la de estas personas, que son altos cargos españoles, y que el CNI vaya diciendo que todo está arreglado cuando no es el caso. 'Thats the problema'» (sic), denunciaron entonces los piratas.

Según fuentes de la seguridad del Estado, el CNI todavía desconoce qué información sustrajeron los hackers de los buzones de esos jueces y fiscales del 'procés'. Anonymous no reveló qué datos del buzón de Marchena había consultado, aunque dio a entender que había analizado sus comunicaciones porque reconoció que no había encontrado ningún borrador sobre la sentencia del «procés».

#ciberseguridad #ciberataque #ciberdelincuente #protecciondedatos #usofraudulentodedatos

Fuente: Hoy

Aumentan los ciberataques a compañías del sector de salud

Los ciberdelincuentes han puesto en el punto de mira a las compañías del sector de la salud. Pocas industrias tienen una misión más crítica, datos más sensibles y operativas más complejas, pero al tiempo, esto implica que estas compañías son difíciles de proteger, asegura un informe Proofpoint.

El proveedor de seguridad ha analizado cientos de millones de correos maliciosos dirigidos a proveedores de salud, organizaciones farmacéuticas y aseguradoras del sector, llegando a conclusiones preocupantes:

• Un 300% de aumento en ataques por correo sobre el mismo periodo del año anterior – estos correos han sido diseñados para simular que han sido enviados por alguien a quien conoce la persona que los recibe.

• El 95% de las compañías afectadas registraron correos electrónicos falsificando sus propios dominios de confianza – y todas las compañías de salud atacadas registraron falsificaciones de sus dominios para dirigirse específicamente a pacientes y socios comerciales.

• Las organizaciones atacadas registraron, de media, 65 empleados atacados – en muchos casos, las personas más atacadas no eran ejecutivos VIP de alto nivel, sino otros perfiles administrativos de perfil más bajo con acceso privilegiado a información sensible.

• El 55% de todos los correos electrónicos falsos incluía las palabras “pago” (28%), “solicitud” (15%) o “urgente” (12%) en la línea de asunto.

• El 77% de los ataques por correo electrónico a compañías de salud utilizaba direcciones URL maliciosas.

• Los troyanos bancarios fueron la mayor amenaza para las compañías de salud durante el período de tiempo analizado.

• Los ataques basados en malware superaron en más del 50% al volumen de mensajes para phishing.

“Los ciberataques exponen datos de salud personales. El ransomware cierra salas de urgencias. Los correos electrónicos fraudulentos afectan a socios comerciales, pacientes y personal clínico. Estas amenazas perjudican la capacidad de la industria de Salud para atender a los pacientes”, indica Ryan Witt, responsable de Ciberseguridad para el Sector Salud en Proofpoint.

Las empresas y organizaciones del sector Salud consideran ahora la ciberseguridad como un tema clave de seguridad del paciente, en su misión general de cuidado de la salud. Esta reciente preocupación se aleja del planteamiento de puro cumplimiento normativo de años anteriores, que situaba la ciberseguridad en el ámbito de los mecanismos para asegurar la financiación de la implementación de registros médicos electrónicos.

El informe de Proofpoint, realizado sobre cientos de millones de correos maliciosos, ha descubierto una tendencia que se mantendrá en los próximos tiempos: hoy en día, los ciberataques se dirigen a las personas y no solo a la infraestructura. La mecánica es sencilla: engañan a los trabajadores de estas organizaciones para que abran un archivo adjunto inseguro o un enlace dudoso que conduce a un sitio de malware. Se hacen pasar por ejecutivos de las compañías e indican al personal que transfiera dinero o envíe información confidencial. Y secuestran la confianza de los pacientes con estafas que se aprovechan del valor de marca de las organizaciones.

Combatir estos ataques requiere un enfoque de seguridad nuevo y centrado en las personas, recomienda Proofpoint en su informe.

#ciberseguridad #ciberataque #ciberdelincuente #protecciondedatos #usofraudulentodedatos

Fuente: Muyseguridad

Canva víctima de un hackeo: más de 139 millones de cuentas han sido vulneradas

La aplicación que brinda un servicio de diseño gráfico en línea para cualquier usuario, Canva, ha sido víctima de un hackeo. Según información de ZDNet, la firma australiana sufrió un ciberataque en el que quedaron expuestos los datos de alrededor de 139 millones de usuarios.

Un hacker que lleva el sobrenombre de GnosticPlayers ingresó al servidor de Canva y extrajo información como nombres de usuario y correos electrónicos. La base de datos también contaban con 61 millones de contraseñas, aunque estas estaban cifradas a través de la función de hashing, bcrypt.

En algunas situaciones también se tuvo el nombre real y ubicación (ciudad y país) de los usuarios, en otros, también se consiguió el token de Google. GnosticPlayers señaló a ZDNet que 78 millones de cuentas usaban su dirección de Gmail para firmarse en el servicio.

Los datos de administradores e integrantes del staff de Canva no quedaron salvados del hackeo y también fueron vulnerados. Según con ZDNet, Canva ha hecho la confirmación de que fueron víctimas del ciberataque, pero negó que los accesos de los usuarios hayan sido comprometidos debido a que las contraseñas están cifradas por los más altos estándares de seguridad.

Esta no es la primera ocasión que GnosticPlayers se ve relacionado a un ciberataque, pues antes se registró que había robado poco más de 737 millones de datos de usuario de 24 sitios diversos. El hacker solicitaba $20.000 en bitcoin al mejor postor, a cambio de la información que podría comprarse en la dark web.

Canva indica que se pondrá en contacto con los usuarios perjudicados por el hackeo. Según con GnosticPlayers, la base de datos obtenida tiene información hasta el 17 de mayo. Canva se percató que su servidor había sido vulnerado y fue cerrado el acceso.

#ciberseguridad #ciberataque #ciberdelincuente #protecciondedatos #usofraudulentodedatos

Fuente: Laverdadnoticias

Ciberataque a Twitter expone vulnerabilidad en las redes sociales

El masivo pirateo de cuentas en Twitter de políticos, millonarios y compañías el miércoles en Estados Unidos, plantea la pregunta de la seguridad de la red social favorita de Donald Trump y, de manera más amplia, de todas estas plataformas.

Del “modus operandi” hasta las posibles defensas contra los piratas, esto es lo que se sabe de este espectacular ciberataque.

Un ataque “más bien clásico”

Twitter continúa con la investigación del ciberataque, por el cual desde cuentas certificadas de personalidades como Joe Biden o Bill Gates se invitó a la gente a enviar bitcoins a una determinada dirección con la promesa de devolverles el doble.

Pero surgen pistas. Según la revista Vice, una persona en el interior de Twitter podría haber provocado el pirateo, de acuerdo con capturas de pantalla intercambiadas con dos fuentes anónimas que dicen ser responsables del ataque. Una de esas fuentes afirmó a la revista que se le pagó a un empleado de Twitter.

“Esto no proviene de un fallo técnico. Apuntaron a uno o varios empleados de Twitter para estar seguros de tener los accesos operativos que administran cuentas certificadas, de gran notoriedad, con el objetivo de amplificar la comunicación sobre la estafa, más bien clásica, por otra parte”, explica a la AFP Loïc Guezo, director de estrategia en ciberseguridad de ProofPoint.

“Las primeras pistas parecen remontar hacia al menos una persona que ofrecía estos últimos días en el mercado negro accesos a cuentas certificadas de personalidades, sin conseguirlo. Parece que entonces eligió utilizarlas él mismo para garantizarse ganancias rápidas”, según Gérôme Billois, experto en ciberseguridad de Wavestone.

¿Qué consecuencias?

En lo inmediato, son limitadas. Twitter reaccionó rápidamente, desactivando las cuentas concernidas y limitando las posibilidades de compartir mensajes sospechosos.

Financieramente, la estafa parece también de poca envergadura: según el sitio especializado Blockchain.com, que sigue las transacciones efectuadas en criptomonedas, un total de 12,58 bitcoins, es decir cerca de 116 mil dólares, fue enviado a una de las direcciones mencionadas en los falsos tuits.

Por otra parte, fue eso lo que permitió a Twitter limitar el daño: el o los cibercriminales buscaron solo una rápida ganancia, además de llamar la atención con el carácter particulamente espectacular de la operación.

“Twitter fue muy reactivo, tiene visiblemente importantes capacidades de investigación. También jugaron la carta de la transparencia, comunicando de manera regular, algo que le da crédito y es señal de verdadera madurez sobre el tema”, según un portavoz de Clusif (club francés de seguridad de la información).

Señal de alarma

Las consecuencias pudieron haber sido mucho más graves si los ciberpiratas hubiesen tenidos intenciones políticas, subrayan los expertos.

“Desde un punto de vista político, un tuit falso en un momento crítico podría tener un impacto enorme. Alguien que tuviese acceso a este tipo de cuenta en el buen momento y con el buen tipo de información falsa podría volcar totalmente una elección”, estima en ese sentido Anthony Glees, profesor especializado en seguridad e inteligencia de la Universidad de Buckingham.

“Esta capacidad de controlar un número importante de cuentas certificadas de primer plano en periodo electoral (en Estados Unidos) para tuitear en momentos precisos podría tener un efecto tremendo”, confirman en Clusif.

“Aquí, la debilidad demostradas por Twitter es muy preocupante y plantea la pregunta de la importancia de las plataformas sociales en periodo electoral”.

Para el profesor Alan Woodward, del centro de ciberseguridad de la Universidad de Surrey, este ataque “muestra que organizaciones como Twitter pueden ser objeto de ataques a través de su personal y que tienen que repensar su funcionamiento”.

¿Cómo protegerse?

Muchas reglas simples permiten en general evitar los pirateos de cuentas personales: evitar cliquear sobre archivos adjuntos que pueden parecer sospechosos en un correo, no dar el nombre de usuario incluso si lo pide un correo que procede de un servicio utilizado, o recurrir a un sistema de doble certificación.

El problema es que muchas de estas precauciones no hubiesen servido de nada contra el ataque que afectó a Twitter, en caso de que se confirme que se debió a un fallo humano en el interior mismo de la plataforma.

El caso recuerda que “detrás de las máquinas hay seres humanos que pueden tener acceso a nuestros mensajes privados y a las informaciones que colocamos allí. Esos sistemas no son cerrados, lo que se intercambia puede ser accesible”, subraya Gérôme Billois.

#ciberseguridad #ciberataque #ciberdelincuente #protecciondedatos #usofraudulentodedatos

Fuente: 24-horas

Es uno de sus disfraces favoritos, y es que todos tenemos claro que cuando Hacienda llama a nuestra puerta hay que responder sino queremos empeorar las cosas. La Oficina de Seguridad del Internauta (un organo del Instituto Nacional de Ciberseguridad) ha descubierto un nuevo caso de 'phising' masivo en nuestro país en el que los 'hackers' se hacen pasar por la Agencia Tributaria para conseguir que les entregues tus datos personales y bancarios.

La información la han dado en su propia página web y en ella explican cómo funciona exactamente esta campaña. "El falso e-mail informa al contribuyente de que le corresponde un supuesto reembolso económico, y le proporciona un enlace a una web con un formulario cuyo fin es obtener su información personal y bancaria", explican desde la OSI. Los piratas no solo se preparan el diseño y el formato del email sino que te dan una buena razón para dar tu información sin pensar.

Una vez recibido el correo, según comentan desde el organismo español, los atacantes te recomiendan que cliques en un enlace que te llevará a una web 'clonada' de la original de la Agencia Tributaria (se diferencia solo en la URL y otros detalles del diseño) y en la cual te invitarán a meter toda tu información personal, bancaria y tus claves de registro en la propia Agencia. "La página contiene un formulario en el que se solicita al usuario los datos personales, financieros (tarjeta bancaria), así como los datos de acceso de la Agencia Tributaria (usuario y contraseña)".

Para terminar, los ladrones copian hasta el último paso del formulario y aseguran que te mandaran próximamente un código por SMS a tu móvil para que puedas entrar a reclamar tu dinero. Obviamente, ese mensaje nunca llegará a tu teléfono.

¿Qué pasa si ya has dado tus datos?

Lo mejor en estos casos siempre es la precaución y evitar en todo momento dar datos personales en sitios de dudosa legitimidad, mirar bien las urls, consultar con familiares, etc. Pero si ya has caído en la trampa y lees esto sabiendo que han robado tus datos hay dos pasos que debes seguir inmediatamente.

Primero, consulta tus cuentas bancarias y avisa a la entidad para evitar que los ladrones puedan aprovecharse de ella. Y segundo, consulta en la red toda la información que habías otorgado a estos 'hackers' para ver si ha salido de sus bases de datos y ha empezado a circular por internet.

Fuente: Elconfidencial

Cómo mejorar la seguridad en Internet en 10 pasos

La seguridad en Internet está amenazada por todo tipo de malware, el robo de datos o la invasión a la privacidad. La era de la movilidad, la domótica, el coche inteligente o la Internet de las Cosas, han aumentado enormemente los dispositivos conectados, la manera de alojar información y el modo de acceder a servicios y aplicaciones en línea de todo tipo con las que conectamos a diario centenares de millones de usuarios, aumentando los riesgos de seguridad para consumidores y empresas.

El auge de fenómenos como el BYOD, a pesar de sus múltiples ventajas, es todo un desafío para los departamentos TI ante la multiplicación del número de dispositivos que se conectan a las redes empresariales y tienen acceso a los datos corporativos. Más aún, el aumento del teletrabajo y tele-estudio por la pandemia del coronavirus ha complicado la situación de la ciberseguridad al sacar fuera de las redes perimetrales empresariales (generalmente mejor protegidas que las caseras) millones de equipos.

Seguridad en Internet

Conseguir el 100% de seguridad y privacidad en una red global y en un mundo tan conectado es simplemente imposible a pesar de la mejora de la protección por hardware y software implementada por fabricantes de equipos y proveedores de sistemas y aplicaciones.

Sin embargo, desde el apartado del cliente podemos y debemos aumentar la protección observando una serie de consejos como los que te vamos a recordar en este artículo y que incluyen el fortalecimiento de las cuentas on-line, aplicaciones, equipos y las precauciones debidas en el uso de Internet y sus servicios. Y mucho, mucho sentido común.

1- Protege los navegadores

Todos los navegadores web incluyen características avanzadas de seguridad cuya activación debemos revisar y configurar porque son las aplicaciones con las que accedemos a Internet y sus servicios. Además de revisar el cifrado de extremo a extremo en la sincronización o el aislamiento de procesos (sandbox), debemos prestar atención a los avisos sobre sitios inseguros. También debemos revisar las extensiones instaladas porque algunas son fuente frecuente de introducción de malware.

Para mejorar la privacidad, nada mejor que usar el modo incógnito, una función que hoy ofrecen todos los grandes proveedores como sesión temporal de navegación privada que no comparte datos con el navegador, no guarda información sobre páginas web, ni historial de navegación, caché web, contraseñas, información de formularios, cookies u otros datos de sitios web, borrando éstas u otros archivos temporales cuando finalizamos la sesión.

2- Gestiona bien las contraseñas

Las violaciones masivas de la seguridad de los servicios de Internet están a la orden del día y con ello millones de contraseñas quedan expuestas. La realidad es que las contraseñas son un método horrible tanto en seguridad como en usabilidad, pero hasta que no se consoliden métodos más avanzados que tienen que llegar de la identificación biométrica, tenemos que seguir utilizándolas.

La regla de oro es tener una contraseña fuerte y distinta para cada sitio web. Las contraseñas largas y aleatorias previenen los ataques de fuerza bruta y el uso de una contraseña diferente para cada cuenta evita tener todas ellas comprometidas a la vez cuando se produce una violación de datos. Los gestores de contraseñas que sean capaces de generar y recordar decenas de contraseñas, son una buena herramienta para reducir los errores humanos.

3- Usa la autenticación de dos factores

La autenticación de dos factores (o en dos pasos) proporciona un nivel adicional de seguridad en las cuentas ya que no basta con vulnerar el nombre de usuario y contraseña. El servicio está disponible en la mayoría de servicios importantes de Internet y conviene utilizarlo siempre que podamos.

Generalmente, utiliza un código de verificación servido mediante una aplicación móvil o SMS, como un mecanismo para confirmar la identidad del usuario pero añadiendo seguridad adicional al uso de las contraseñas. Este método, dificulta enormemente los ciberataques, especialmente los de ‘fuerza bruta’.

4- Utiliza soluciones de seguridad

Sistemas operativos como Windows incluyen la solución de seguridad nativa Windows Defender como protección básica para un consumidor. Es lo mínimo que debemos usar o -mejor- apostar por los proveedores especializados que ofrecen un buen número de soluciones de seguridad, muchas de ellos gratuitas. Usuarios avanzados o profesionales deberían valorar el uso de una suite de seguridad comercial integral y también otras herramientas de seguridad como un firewall.

Sistemas de cifrado de datos como BitLocker, disponible en algunas ediciones de Windows, son de gran utilidad para usuarios empresariales, ya que permite cifrar o “codificar” los datos de un equipo para mantenerlos protegidos haciendo frente a amenazas como el robo de datos o la exposición en caso de pérdida, el robo o la retirada inapropiada de equipos.

5- Actualiza sistemas operativos y aplicaciones

Todos los sistemas operativos tienen mecanismos automáticos o manuales para instalar actualizaciones de seguridad. Son parches de seguridad que se entregan cada cierto tiempo contra amenazas conocidas y son de obligada instalación.

Tan importante -o más- que lo anterior es la actualización de aplicaciones instaladas a las últimas versiones ya que éstas suelen incluir parches de seguridad. Cuando las versiones son más antiguas, tienen mayor riesgo de ser atacadas por ciberdelincuentes que encuentran vulnerabilidades en el programa, con especial incidencia en algunas como Java, Adobe Flash o Reader.

6- Cuidado con las redes inalámbricas gratuitas

Los puntos de acceso gratuitos se han extendido por múltiples zonas en poblaciones, zonas de restauración, aeropuertos, estaciones de tren o metro, hoteles y en todo tipo de negocios. Varios estudios han confirmado la inseguridad intrínseca de estas redes inalámbricas públicas y la facilidad de los ciberdelincuentes para aprovecharlas.

Deben evitarse siempre que se puedan optando por redes de banda ancha móvil dedicadas de mayor seguridad y en su defecto solo usarse para navegación intrascendente y ocasional, sin emplearlas para accesos a servicios delicados como banca on-line o aquellos que requieran autenticación real de usuario.

7- Usa VPN para mejorar la privacidad

El uso de redes privadas virtuales es una opción para los que buscan una mayor privacidad  y con ello mayor seguridad en Internet, ya que ocultan la dirección IP del usuario y redirigen el tráfico a través de un túnel VPN cifrado.

Ese grado de «invisibilidad» ofrece mejoras directas de seguridad contra ataques informáticos, de privacidad frente al robo de datos y la apropiación de identidades, y otras ventajas añadidas como proteger la identidad en línea, salvaguardar las transacciones electrónicas y compras por Internet o permitir seguridad en el uso de redes Wi-Fi públicas.

8- Valora las llaves de seguridad hardware para cuentas vitales

Para cuentas vitales, especialmente en entornos empresariales, conviene hacer una inversión adicional para proteger las cuentas usando un mecanismo de seguridad por hardware. Generalmente es un dispositivo en formato pendrive que se conecta a un puerto USB y contiene un motor de cifrado de alta seguridad.

Todo el proceso se realiza dentro del hardware y aunque no se han mostrado totalmente infalibles cuando utilizando conexiones por Bluetooth, por lo general aumentan enormemente la seguridad que logramos mediante software.

9- Utiliza copias de seguridad

Ya decíamos que la seguridad al 100% en una red global no existe y no sólo por el malware, ya que un error en el hardware puede provocar la pérdida de la preciada información personal y/o profesional. La realización de copias de seguridad es por tanto altamente recomendable para un usuario y profesional que pretenda proteger la información personal y corporativa de un equipo informático. además de ser una tarea de mantenimiento que contribuye a la salud del hardware.

Las copias de seguridad deben almacenarse en un dispositivo de almacenamiento externo al de nuestro equipo o en un servicio de almacenamiento en nube que ante cualquier ataque nos permita recuperar los datos.

10- Sentido común

La prudencia es una de las barreras preferentes contra el malware y conviene extremar la precaución contra ataques de phishing o ransomware que a poco que prestemos atención podremos prevenir, porque usan el descuido del usuario.

Para ello, debemos evitar la instalación de aplicaciones de sitios no seguros; la apertura de correos electrónicos o archivos adjuntos no solicitados que llegan de redes sociales o aplicaciones de mensajería; la navegación por determinadas páginas de Internet; o usar sistemas operativos y aplicaciones sin actualizar, que contienen vulnerabilidades explotables por los ciberdelincuentes en las campañas de malware.

Fuente: Muyseguridad

Coronavirus y protección de datos: cuando el interés público se impone a la privacidad

La detección precoz de los casos compatibles con covid-19 y la vigilancia epidemiológica para rastrear los sospechosos son claves para controlar la transmisión de la enfermedad, según el Ministerio de Sanidad. Y, por ello, la figura del rastreador se está revelando como primordial en la lucha contra la pandemia, ya que su labor, tirar del hilo, es esencial a la hora de contener la propagación del virus.

¿Cabe la posibilidad de que una autoridad sanitaria comunique a amigos, compañeros de trabajo o familiares que alguien está infectado del coronavirus? ¿Pueden los empresarios tratar la información de si sus trabajadores tienen, o han tenido, la enfermedad? ¿Tiene un empleado la obligación de informar a su empresa de que está en cuarentena preventiva o afectado por la covid-19? Ante la avalancha de preguntas y disparidad de opiniones, la propia Agencia Española de Protección de Datos (AEPD) publicó un informe hace unos meses para arrojar luz y total claridad en estos aspectos.

Cabe destacar que el derecho a la protección de datos tiene origen en el artículo 18 de la Constitución Española (“Se garantiza el derecho al honor, a la intimidad personal y familiar y a la propia imagen. El domicilio es inviolable. Ninguna entrada o registro podrá hacerse en él sin consentimiento del titular o resolución judicial, salvo en caso de flagrante delito”). Este derecho se mantuvo en vigor durante el estado de alarma, y por supuesto sigue vigente hoy día, una vez superada esa situación excepcional.

En su informe, la AEPD afirma que el Reglamento General de Protección de Datos reconoce que, en situaciones excepcionales como la actual, “la base jurídica de los tratamientos puede ser múltiple, basada tanto en el interés público como en el interés vital del interesado y otra persona física”. Y es precisamente al reconocer la protección de esa “otra persona física” cuando se está legitimando el tratamiento de datos personales del individuo en aras de la protección al contagio de terceros. En consecuencia, el choque de derechos colectivos e individuales se resuelve en favor de la protección de la salud pública.

Conocimiento de una empresa

Así que sí, una empresa puede conocer de las autoridades sanitarias si uno de sus trabajadores está infectado o no, “para así diseñar los planes de contingencia necesarios” para salvaguardar la salud del resto. Dicha información “debería proporcionarse sin identificar a la persona afectada a fin de mantener su privacidad” si de este modo es posible proteger al resto del personal. Solo en el caso de que dicha protección no pudiera garantizarse con una información parcial, “o la práctica sea desaconsejada por las autoridades competentes, en particular las sanitarias”, se proporcionará la identificación.

La empresa también puede preguntar directamente a sus trabajadores, aunque dichas preguntas “deben limitarse exclusivamente a indagar sobre la existencia de síntomas”, o sobre si el empleado “ha sido diagnosticado como contagiado o sujeto a cuarentena”. Cuestionarios de salud más extensos y detallados, o que incluyan preguntas no relacionadas con la enfermedad, sí contravendrían la protección de datos del empleado.

¿Y puede la empresa pedir a sus empleados o a visitantes ajenos datos sobre países que hayan visitado anteriormente, o si presentan síntomas relacionados con el coronavirus? “Sí, siempre que la información solicitada se limite a preguntar por visitas a países de alta prevalencia del virus, y en el marco de incubación de la enfermedad”, las dos semanas anteriores a dicha consulta.

Y sí, los trabajadores afectados por la cuarentena deben informar su empresa y al servicio de prevención o a los delegados de prevención de que se encuentran en esa situación. Y es que el derecho de no informar sobre el motivo de una baja laboral por enfermedad queda “suspendido” frente a la defensa de otros derechos como el de la protección de la salud del resto de trabajadores en situaciones de pandemia y de la defensa de la salud de toda la población.

La toma de temperatura, a debate

Mención aparte merece para la Agencia Española de Protección de Datos la toma de temperatura en espacios y lugares públicos, ya que esta medida puede suponer un asalto injustificado a nuestros datos personales. La AEPD lo tiene claro: “Este tratamiento supone una injerencia particularmente intensa en los derechos de los afectados”. En concreto, porque “afecta a datos relativos a la salud de las personas, no solo porque el valor de la temperatura corporal es un dato de salud en sí mismo sino porque, a partir de él, se asume que una persona padece o no una concreta enfermedad”.

Según la agencia, “una eventual denegación de acceso a un espacio público estaría desvelando a terceros, que no tienen ninguna justificación por conocer esta información, que la persona afectada tiene una temperatura corporal por encima de lo que se considera no relevante y, sobre todo, porque puede haber sido contagiada por el virus”. Por ello, Protección de Datos recuerda que hay “un porcentaje de personas asintomáticas que no presentan fiebre, que la fiebre no siempre es un síntoma presente y que puede haber personas que presenten elevadas temperaturas por causas ajenas al coronavirus”.

En el entorno laboral, la AEPD matiza que las pruebas de fiebre “podrían quedar amparadas en la obligación que tienen los empleadores de garantizar la seguridad y la salud de las personas trabajadoras a su servicio”.

¿Protegen nuestros datos las aplicaciones de rastreo de contagios?

En principio, sí. Radar Covid, por ejemplo, es una aplicación disponible ya en la tienda de aplicaciones de Google (App Store se sumará también) y está impulsada por el Gobierno. Notifica al usuario si ha estado en contacto con algún positivo diagnosticado, pero no recoge el nombre, correo electrónico, número de teléfono ni geolocalización de quien se la descarga. Dicho de otra forma, recoge los movimientos de forma anónima y alerta a quienes hayan estado próximos en caso de infección, sin indicarles en ningún momento la fecha, hora o lugar de exposición.

#agenciaespañoladeprotecciondedatos #protecciondedatos #informacionpersonal #covid19 #usoinapropiadodeinformacion 

Fuente: Heraldo

Correos, de nuevo en una campaña de phishing

Lo de Correos con el phishing es, sin duda, una relación de amor-odio. Más concretamente, parece que los ciberdelincuentes adoran a Correos, mientras que la empresa estatal, responsable de prestar el servicio postal universal en España, debe ver cada día con más preocupación y desagrado el modo en el que los cibercriminales llevan a cabo, especialmente estos últimos meses, campañas de engaño empleando su imagen.

El último caso al respecto ha sido detectado por el Instituto Nacional de Ciberseguridad, INCIBE, que se alertó el jueves sobre esta nueva campaña. Según se deduce de la información facilitada por esta entidad, todo apunta a que se trata de una campaña masiva, puesto que alerta sobre el riesgo de que los mensajes falsos de Correos pueden ser recibidos por trabajadores, autónomos y empresas, algo que nos invita a pensar que los particulares también pueden verse afectados.

En esta campaña detectada por INCIBE, el correo electrónico detectado tiene como título “envío N° ES/2938456“, no obstante, y como ya es común en este tipo de acciones, es bastante probable que pueda ser identificado con otros títulos distintos. En el mensaje, se informa al receptor de que ha recibido un paquete que no se ha podido entregar. Además, y obviamente, hay un enlace que supuestamente dirige a la página de Correos, para gestionar la segunda entrega.

Al acceder a dicha página, que suplanta la identidad de Correos, se indica que hay un (corto) plazo límite para gestionar la entrega y recibir el paquete, en caso contrario será eliminado. Recordemos que algo muy común en el phishing y otras técnicas de ciberdelincuencia es urgir al usuario a realizar una acción concreta, intentando motivar que las prisas fuercen a las víctimas a descuidar la seguridad. Desgraciadamente, suele funcionar.

Así, en esa misma página, la víctima se encontrará un formulario en el que debe introducir los datos de pago, pues el segundo intento de entrega tiene, supuestamente, un coste de 2,99 euros. Tras introducirlos y continuar, el usuario será llevado a una nueva página, en la que se suplanta la identidad de RedSys, y en la que se pide al usuario que introduzca el código de seguridad que habrá recibido mediante un mensaje SMS. Finalizada la operación, el usuario es redirigido a la página (ahora ya sí, la legítima) de Correos.

De este modo, por ejemplo, los ciberdelincuentes, si son notificados instantáneamente de que un usuario ha introducido los datos de pago en la primera página, podrán llevar a cabo cualquier operación con los mismos. En ese momento, la entidad bancaria remitirá a la víctima el mensaje SMS con el código de verificación. Claro, el problema es que la víctima se lo remitirá a los atacantes en la segunda web, por lo que éstos podrán validar su operación, sea la que sea.

Una vez más, y como ya es común, no hay que dejar que las prisas nos hagan descuidar la seguridad. Correos no cobra por las segundas entregas, o las realiza sin más, o deja un aviso en la dirección de entrega para que el usuario vaya a recoger el paquete. Y siempre, ante cualquier duda (y mensajes como este deben provocar muchas), lo mejor es contactar con Correos (o con la empresa que esté siendo suplantada) a través de sus canales oficiales, para confirmar si la comunicación es legítima o, como en este y otros muchos casos, se trata de un fraude.

#phising #phisingcorreos #fraudecorreos #robodeinformacion #protecciondedatos #usoniapropiadodeinformacion #ciberseguridad #ciberataque

Fuente: Muyseguridad

Correos, entre las páginas afectadas por el ciberataque a Priceel

Priceel, una herramienta de marketing que permite a las empresas crear formularios y encuestas de forma sencilla, ha sufrido esta semana un serio ciberataque que ha dejado expuesta información personal de más de 1.200 webs en todo el mundo. En España, la principal página afectada ha sido la de Correos.

Según ha alertado el experto en ciberseguridad Willem de Groot, de la compañía Sanguine Security, el ataque se produjo el pasado sábado y afectó directamente a su cadena de suministro, de modo que el ataque se propagó a otros servicios a través de sus proveedores de software externos. Además de la página española de Correos, otros sitios afectados han sido las webs de las revistas Forbes o Discover, entre otras.

A raíz del ciberataque a Picreel, según el experto, las páginas web afectadas han expuesto desde entonces información de sus usuarios, entre la que se encuentran contraseñas y datos de pagos, que se está filtrando a un servidor externo localizado en Panamá.

Asimismo, el mismo tipo de malware malicioso utilizado por los cibercriminales se ha empleado también para llevar a cabo otro ataque a la cadena de suministro mediante Cloud CMS, un servicio de gestión de contenidos presente en más de 3.400 páginas web de todo el mundo.

De Groot, que ha publicado en GitHub una versión del malware que utilizaron los ciberdelincuentes decodificada, ha asegurado este lunes que tanto Picreel como Cloud CMS han eliminado ya el malware presente en sus herramientas web.

#ciberseguridad #ciberataque #ciberdelincuente #protecciondedatos #usofraudulentodedatos

Fuente: muyseguridad

Leer nuestras noticias tiene...

¡¡PREMIO!!

Te acabas de llevar10 ENTRADAS para la feria del RAM de 2019. El PRIMERO que nos diga en la publicación de Facebook que las ha encontrado se las lleva!!¡¡CORRE!! 

** Solo se permite un premio por persona **

Es muy probable que en estos últimos días hayas oído hablar sobre el “timo de la multa del radar”. Si no sabes muy bien que es, debes estar atento porque todos los conductores estamos expuestos a esta nueva estafa. Coincidiendo con el aumento de los controles de velocidad que la DGT está llevando a cabo esta semana, los delincuentes envían mediante correo electrónico una supuesta multa por exceso de velocidad.

La Guardia Civil ha informado por redes sociales de esta nueva estafa: “El ‘timo de la multa del radar” consiste en el envío de un correo electrónico con un supuesto boletín de denuncia y un enlace para descargar la fotografía. Si pinchas en este enlace se instalará en tu pc un programa que robará tus contraseñas y datos bancarios. Ojo al _“Phishing”.

En un primer momento puede parecer real: la DGT aparece como remitente, la multa tiene todos los datos del infractor, y receptor del email, e incluye la foto tomada por el radar en el momento de la supuesta infracción. El problema está precisamente en la foto, a la que podremos acceder tras pinchar en un enlace que, aunque no lo sepamos, es malicioso. Tras hacer click en este, se descargará un archivo que permitirá a los estafadores acceder a todas nuestras contraseñas y claves, incluidas las que utilizamos para pagar con tarjeta y las de la cuenta bancaria.

Lo primero que tenemos que saber es que la DGT no envía las multas por correo eléctronico, sino que utiliza el correo certificado para notificar las infracciones. Se trata, por tanto de un nuevo caso de phising cuyo objetivo es robar todos tus datos. Si recibes un correo electrónico de este tipo, no pinches y bórralo cuanto antes. Además, para ayudar a captar a los delincuentes, se recomienda que te pongas en contacto con el Grupo de Delitos Telemáticos de la Guardia Civil. Y recuerda que a través de la web de la DGT puedes consultar las multas pendientes de pago.

Fuente: Internautas

Datos de 17.000 españoles, robados a una empresa de camisetas y vendidos en la “dark web”

“22 millones de registros en total, de los cuales 1.060.000 son afectados de la Unión Europea y unos 17.792 de España”: son datos de un incidente de seguridad informática que afectó a Cafepress, una empresa dedicada a la venta de camisetas personalizadas en todo el mundo.

Confidencial Digital ha consultado una resolución reciente de la Agencia Española de Protección de Datos, con la que se archivan las actuaciones referentes al ese incidente en el que fueron sustraídos, para ser puestos a la venta, datos personales de varios miles de españoles.

Datos de clientes a la venta en la “dark web”

Todo comenzó el 6 de agosto de 2019. Ese día Cafepress (que tiene su sede en Shelbyville Road, Lousville, Kentucky, Estados Unidos) descubrió que dos conjuntos de registros de datos de clientes estaban disponibles a la venta en la “dark web”.

Se denomina “dark web” aquella parte parte de la “deep web” o Internet profunda que está intencionalmente oculta a los motores de búsqueda, con direcciones IP enmascaradas y accesibles sólo con un navegador web especial.

En estas redes de “dark web” se llevan a cabo transacciones ilegales: drogas, armas, pornografía infantil, órganos humanos... se venden a través de él.

Notificación a Protección de Datos

La Agencia Española de Protección de Datos recibió un escrito de notificación de quiebra de seguridad remitido por Jones Day, un bufete de abogados que representaba a Cafepress INC.

En el escrito se le informaba de que por fuentes externas habían tenido conocimiento de que Cafepress se había enterado “por fuentes externas que su base de datos de clientes había sido puesta a la venta en la ‘dark web’, un conjunto de un total de 22 millones de registros. Tras investigar el caso determinaron que una tercera persona no identificada obtuvo, sin autorización, la base de datos de clientes de Cafepress”.

De esos 22 millones de registros por todo el mundo, más de un millón pertenecían a ciudadanos de la Unión Europea, y a su vez 17.792 eran de España.

Al comprobar que había clientes de la empresa afectados, Cafepress notificó los hechos a la Agencia Española de Protección de Datos, que puso a la Subdirección General de Inspección de Datos a realizar unas actuaciones previas de investigación para el esclarecimiento de los hechos.

Contraseñas, tarjetas de crédito...

Uno de los problemas iniciales fue que tras recibir las notificaciones, algunas autoridades de control europeas se consideraron interesadas en el asunto. Pero otras, como la del Reino Unido, consideró que no había nada que investigar ya que Cafepress no cuenta con una sede física en la Unión Europea.

En principio, sobre los datos robados a esta web de personalización de camisetas y puestos a la venta en la “dark web” la Agencia Española de Protección de Datos indica que “las categorías de datos afectados por la brecha son datos básicos y de contacto, datos identificativos como nombres de usuario y contraseñas y, solo en algunos casos, datos económico-financieros tales como información de tarjetas de crédito (cuatro últimos números y fecha de caducidad)”.

Sí que hubo unos 15 afectados de la Unión Europea que vieron comprometidos datos más sensibles, como números de identificación fiscal o equivalentes, pero ninguno de ellos de España.

La empresa cuyos datos fueron sustraídos recibió unas 80 solicitudes de información de afectados de la Unión Europea relacionadas con el caso, pero ninguna en la que se manifieste haber sufrido daños por el incidente. Y concluyó que “la probabilidad de que los afectados experimenten consecuencias significativas es neutral para las 15 personas cuyos identificadores fiscales se vieron comprometidos, e improbable para el resto”.

Análisis forense

En su resolución, la Agencia Española de Protección de Datos analiza las medidas adoptadas por Cafepress. Entre las barreras que tenía antes de la “brecha” señala que “constaban medidas de seguridad como Hashing para las contraseñas de los usuarios, segmentación de red, cifrado de credenciales en tránsito, política de claves robustas para empleados, firewalls perimetrales, controles de acceso físicos, formación anual en seguridad para los empleados, y protección con software antivirus. Existe otro grupo de medidas adicionales implementadas para mitigar riesgos relacionadas la mayoría con la migración a otros servidores en julio de 2019 de las tablas de registros de clientes”.

Tras el robo de datos, Cafepress comunicó el suceso al Reino Unido (donde había una gran concentración de afectados) y al resto de las autoridades de control de la Unión Europea cuando determinó el número de afectados de cada país.

Esta empresa estadounidense inició sus propios análisis, con expertos forenses externos. Éstos no pudieron confirmar realmente si la información de los clientes había sido obtenida de su base de datos, “ya que los logs que registran el tráfico en tiempo real no reflejan el incidente”.

Ayuda del FBI

Además, denunció los hechos y comenzó a cooperar con el FBI de Estados Unidos (el país de su sede), y notificó el problema a todos los afectados mediante correo electrónico.

“En el presente caso, consta una quiebra de seguridad de datos personales en las circunstancias arriba indicadas, categorizada como una posible brecha de confidencialidad, como consecuencia del acceso indebido por terceros ajenos a la base de datos del sistema de información de Cafepress”, establece la Agencia Española de Protección de Datos.

También concluye que la empresa “disponía de razonables medidas técnicas y organizativas preventivas a fin de evitar este tipo de incidencias y acordes con el nivel de riesgo”, así como de “protocolos de actuación para afrontar un incidente como el ahora analizado, lo que ha permitido de forma diligente la identificación, análisis y clasificación del supuesto incidente de seguridad de datos personales así como la diligente reacción ante la misma al objeto de notificar, minimizar el impacto e implementar nuevas medias razonables y oportunas para evitar que se repita la supuesta incidencia en el futuro a través de la puesta en marcha y ejecución efectiva de un plan de actuación”.

Como recomendación, Protección de Datos pide a Cafepress que realice un informe final sobre el incidente, que supondría “una valiosa fuente de información con la que debe alimentarse el análisis y la gestión de riesgos y servirá para prevenir la reiteración de una brecha de similares características como la analizada causada previsiblemente por un error puntual”.

Al considerar que Cafepress no había infringido la normativa sobre protección de datos personales, la autoridad española ha terminado archivando las actuaciones sobre este robo de información que afectó a más de 17.000 españoles.

#robodeinformacion  #usoinapropiadodeinformacion #ventadeinformacionprivada #AEPD #agenciaespañoladeprotecciondedatos #protecciondedatos

Fuente: Elconfidencialdigital

Datos privados de millones de influencers de Instagram salen a la luz

Las grandes redes sociales parecen no darse cuenta de la importancia de proteger los datos de sus usuarios. Si no han aprendido la lección del desastre de Facebook y de la obligación legal y ética de asegurar el derecho a la privacidad, se les va a acabar el negocio porque la sangría de usuarios que salen de ellas despavoridos va a continuar ante los escándalos, semana sí y semana también, de fuga de datos.

El último caso de fallo de seguridad afecta a una base de datos de ‘influencers’, celebridades y marcas de Instagram, que incluía no solo información pública como biografías, seguidores y ubicaciones, sino también información privada y crítica como dirección de correo electrónico y número de teléfono. Para empeorar las cosas, la base de datos quedó expuesta y sin contraseñas, invitando a cualquier persona, incluidos los piratas informáticos, a que simplemente echaran un vistazo dentro y robaran los datos.

Para ser justos, hay que citar que Instagram no fue hackeado, pero sí es responsable de proteger los datos de sus usuarios. La base de datos aparentemente era propiedad de Chtrbox, una empresa de mercadeo de medios sociales con sede en Mumbai. Lo gordo del asunto, es que muchas de las personas incluidas en la base de datos informaron que no tuvieron trato alguno con esa compañía.

Chtrbox ha eliminado la base de datos, pero se ha mantenido en silencio al respecto. También se desconoce quién más ha visto los registros incluso antes de que se descubrieran. Instagram, y su dueño Facebook, están al tanto de la situación, pero dicen no tener ni idea de cómo Chtrbox pudo rastrear incluso la información privada de sus usuarios y provocar esta fuga de datos. Una más.

Quizá sin indagan en un modelo de negocio (impulsado por empresas como Facebook) de «tráfico de datos» demencial que está hartando al personal, incumpliendo toda la normativas de privacidad y su deber de proteger adecuadamente los datos, encuentren la solución.

#ciberseguridad #ciberataque #ciberdelincuente #protecciondedatos #usofraudulentodedatos

Fuente: Muyseguridad

Uber y Cabify denunciadas (otra vez) ante la Agencia Española de Protección de Datos

La asociación para la defensa del sector del Taxi,Taxi Project ha presentado una denuncia ante la Agencia Española de Protección de Datos (AEPD) contra las empresasUber y Cabify. La organización ha presentado varios informes en los que estudian y analizan el tratamiento de datos por parte de estas dos empresas. Según dichas investigaciones, Uber y Cabify incumplen variasinfracciones en cuanto a la legislación de protección de datos, así como sobre otros ámbitos que afectan a los derechos de los consumidores, como puedan ser normas para los Servicios de la Sociedad de la Información y el Comercio Electrónico, legislación de Consumidores y Usuarios o sobre la sentencia del TJUE del 20 de diciembre de 2017 en el que se reconocía a Uber como un servicio de transporte.

Según la organización de taxistas, los informes entregados a la Agencia demuestran que se incumplen sistemáticamente hasta ocho artículos diferentes entre normativas europeas y estatales sobre protección de datos. La excusa para eximirse de toda culpa, según explica Taxi Project, es seguir defendiendo que la empresa es un mero intermediario en el caso de Uber o una agencia de viajes en el caso de Cabify. Pero ya existe una sentencia del Tribunal de Justicia de la Unión Europea que especifica que prestan un servicio de transporte, por lo que se deben hacer responsables de las infracciones o los datos del consumidor cuando contrata sus servicios.

No es la primera vez que una denuncia de este tipo llega a la AEPD. La asociación FACUA-Consumidores en Acción presentó una denuncia similar en 2019. La Agencia dictaminó que había “indicios racionales” sobre la posibilidad de que Uber esté incumpliendo el artículo 7 del Reglamento General de Protección de Datos (RGPD).

Pero la ingeniería fiscal de Uber, que traslada todos sus beneficios en Europa a los Países Bajos, también le ha venido muy bien para esquivar la denuncia por parte de FACUA. La AEPD, tras anunciar que veía indicios de que se estuviera incumpliendo la ley, trasladó el caso a las autoridades holandesas, donde Uber tiene su sede, al entender que debe ser dicho país quien estudie y dictamine sobre este caso, aunque los afectados estén repartidos por toda la Unión Europea o la denuncia haya salido del Estado español.

#agenciaespañoladeprotecciondedatos #protecciondedatos #informacionpersonal #leyorganicadeprotecciondedatos #AEPD #denunciaUBER #facua

Fuente: Elsaltodiario

Detectadas más de 1.200 tiendas online afectadas por un skimmer

Conseguir «colar» un skimmer en una tienda online es, sin duda, uno de los objetivos más perseguidos por ciberdelincuentes y organizaciones dedicadas a la robo en Internet. Es algo lógico, ya que obtener los datos de pago de todos los clientes que pasen por la misma es, todavía en bastantes casos, una puerta abierta a la cuenta corriente o a la línea de crédito de las víctimas. Y es por ello que hay algunos grupos que se especializan en este tipo de ataques,

El investigador de seguridad Max Kersten acaba de publicar, en su web, los resultados sobre datos que ha recopilado sobre un ataque de este tipo. Y ,a conclusión es, sin duda, preocupante, porque habla de de más de 1.200 tiendas comprometidas. Una acción que, aunque Kersten no lo confirma, sí que apunta a que tendría detrás al peligroso grupo MageCart. Un actor al que ya conocemos de anteriores acciones, en ataques muy sonados, como los sufridos por Brithish Airways o Ticket Master, entre otros.

Según el investigados los skimmers son, técnicamente hablando, bastante sencillos y semejantes entre sí. La captura de datos se realiza obteniendo todos los formularios o todos los campos de entrada, obteniendo el dominio actual, codificando los datos y enviando posteriormente los datos al servidor del atacante. Esto, por norma general, suele hacer más complejo averiguar quién se encuentra tras los ataques que con otro tipo de patógenos más complejos.

En el caso de la operativa habitual de MageCart, los skimmers a menudo se alojan en sitios web haciendo uso de una biblioteca JavaScript de terceros que se ha visto comprometida, o mediante una biblioteca JavaScript que solo contiene skimmer y que se encuentra en un dominio que es propiedad de la organización. Los datos introducidos en el formulario de pago (incluidos los de la tarjeta de crédito) se copian y se envían a un servidor controlado por el atacante justo antes de que sean remitidos al sistema de pago online.

Parte de las tiendas recogidas por Kersten en su informe ya habían sido documentadas por otros investigadores previamente. Según afirma en el mismo informe, en el que cita explícitamente a esas personas y entidades, ha sido agregar toda esa información, más la recopilada por él mismo, en un único punto, que facilite la localización de todos los sitios afectados por el skimmer. Algo especialmente útil para los usuarios, que en una sola página podrán revisar si alguna de las tiendas online que han empleado se encuentra en la lista.

Para cada sitio afectado se muestra el periodo de tiempo en el que se realizaron las pruebas. Algunas datan de 2018, mientras que otras son de las últimas semanas. A más antigüedad, más posibilidades de que el problema haya sido solventando, pero esto no es una garantía. Hemos revisado algunas de ellas y, por su diseño, pese a que se mantienen operativas, no parecen haber experimentado cambios (al menos en su diseño) desde hace bastante tiempo. El skimmer podría seguir ahí.

#ciberseguridad #ciberataque #ciberdelincuente #protecciondedatos #usofraudulentodedatos #skimmer #phising #robotiendasonline

Fuente: Muyseguridad

Detectan una estafa a través de Bizum en la que los delincuentes se hacen pasar por Hacienda

Panda Security ha detectado a varias personas que han sido víctimas de una nueva estafa a través de Bizum, en virtud de la cual los delincuentes se hacen pasar por Hacienda. La Policía Nacional ya estaría al tanto de este intento de 'phising'.

El engaño consiste en que una supuesta funcionaria de la Tesorería General de la Seguridad Social llama a sus víctimas para indicarles que tienen pendiente la devolución de unas tasas por la escolarización de sus hijos.

La falsa trabajadora de Hacienda les indica que se trata de una ayuda del Estado para hacer frente a la crisis del Covid-19, ofreciendo incluso algo de información sobre el número de hijos y sus edades.

Los estafadores envían un SMS cuyo remitente es «TGSS» (siglas de la Tesorería General de la Seguridad Social) en el que aparece un supuesto código de validación que se debe firmar.

En caso de que la víctima caiga en el engaño, los ciberdelincuentes consiguen los datos de la cuenta bancaria y asocian su tarjeta de crédito o su cuenta bancaria a Bizum. «Lo más preocupante de esta estafa es que la banda organizada de cibercriminales se está sirviendo de la ingeniería social para que su engaño sea casi perfecto», ha advertido la directora global de operaciones de consumo de Panda Security, Hervé Lambert.

Análisis de sus víctimas

La empresa tecnológica ha asegurado que los atacantes analizan las redes sociales de sus víctimas, ven las fotos de sus hijos e incluso adivinan sus nombres y apellidos. A partir de ahí, hacen una búsqueda en Internet para saber su dirección postal o incluso su DNI.

«Este ejemplo nos debe recordar que es imperativo que la sociedad se conciencie de que todo lo que hacemos público en las redes sociales es una información valiosísima para los cibercriminales», ha señalado Lambert.

En este sentido, ha pedido ser «escrupulosamente cautos» a la hora de gestionar la privacidad de los perfiles sociales y de todos los dispositivos conectados.

#phisingmallorca #ataquecibernetico #bizum #usoinapropiadodeinformacion #robodedatos #robodeinformacion #estafabizum

Fuente: Ultimahora

Detenidas 22 personas, ocho en Mallorca, por estafar 108.000 euros con el método 'phishing'

Agentes de la Guardia Civil de Valencia, en el marco de la operación 'MUZIB', han detenido a 22 personas, 8 de ellas en Mallorca, por estafar presuntamente más de 108.000 euros a 61 perjudicados. Al parecer, los detenidos realizaban transferencias repetitivas, de no más de 500 euros en cada operación para no ser descubiertos, llegando incluso en algún caso a vaciar una cuenta con 8.000 euros en tan sólo 16 transacciones, según ha informado el Instituto Armado.