VISA: un fallo de seguridad permite eludir el PIN

Si el pago por medios electrónicos, Visa, Paypal, monederos electrónicos, etcétera, no había dejado de crecer durante los últimos años, con la situación provocada por el coronavirus su uso se ha disparado hasta niveles que no eran previsibles, en circunstancias normales, hasta dentro de algunos años. En parte por el auge del comercio electrónico, y también en una parte importante por los temores asociados a emplear dinero en efectivo, y que este pueda actuar como vector de difusión del patógeno.

Y es que, por norma general, el nivel de seguridad que nos ofrecen los medios de pago electrónicos es muy alto. No digo, claro, que sean 100% seguros (¿hay algo en esta vida que lo sea?), pero es indudable que sus responsables, ya sean bancos, emisores de tarjetas, entidades de pago, etcétera, extreman los cuidados a este respecto. Ir al supermercado y pagar con Visa, Mastercard o cualquier otra tarjeta de débito/crédito es, por norma general, una opción muy segura.

Esa seguridad depende, no obstante, de sistemas que no son perfectos, y no es sino por la colaboración de expertos e investigadores de seguridad, que son detectados algunos problemas de seguridad. Tal es el caso de un equipo de investigación suizo, que ha encontrado un problema de seguridad en el protocolo EMV, empleado por Visa, y que es vulnerable a un ataque de tipo man-in-the-middle que permite realizar transacciones sin que sea necesario validarlas mediante el PIN asociado a las tarjetas.

EMV («Europay, MasterCard, Visa) es el protocolo utilizado por todos los principales bancos e instituciones financieras del mundo. Europay, Mastercard y Visa desarrollaron el estándar y existe desde hace más de 20 años. La razón más importante para la adopción generalizada del protocolo EMV tiene que ver con el «cambio de responsabilidad», un procedimiento que garantiza que, siempre que el cliente apruebe la transacción con un PIN o firma, la institución financiera no es responsable.

Utilizando nuestro modelo, identificamos un fallo crítico en las propiedades de autenticación mediante el protocolo sin contacto de Visa: el método de verificación del titular de la tarjeta utilizado en una transacción, si lo hay, no está autenticado ni protegido criptográficamente contra modificaciones”, dicen los investigadores en su artículo.

«Desarrollamos una aplicación de Android de prueba de concepto que aprovecha esto para eludir la verificación del PIN mediante el montaje de un ataque de intermediario que indica al terminal que no se requiere la verificación del PIN porque la verificación del titular de la tarjeta se realizó en el dispositivo del consumidor«.

De esta manera, un delincuente que lograra hacerse con una tarjeta Visa robada, podría realizar compras con ella sin que fuera necesario emplear el PIN para validar la operación. Y, debido al planteamiento asociado a EMV, la responsabilidad del mismo recaería sobre el titular de la tarjeta robada, y no de la entidad, pese a que el problema de seguridad tenga su origen en ésta. Cabe entender, no obstante, que de darse algún ataque in the wild que aproveche esta vulnerabilidad, las entidades financieras actuarán de forma responsable.

La mala noticia es que todas las tarjetas Visa con chip se ven afectadas por este problema, y la entidad financiera tiene que emitir una actualización del software empleado en datáfonos y TPVs. En su parte positiva, el problema de seguridad no es inherente a EMV, sino a una implementación deficiente de las medidas de seguridad asociadas a la validación de los pagos mediante PIN en operaciones contactless. Eso sí, los investigadores cifran en alrededor de 161 millones los TPVs que hay a lo largo del mundo, por lo que vaticinan que la actualización de todos ellos será un proceso que llevará cierto tiempo.

 

Seguridad tarjetas Visa

 

Fuente: Muyseguridad

El falso técnico de Microsoft, al acecho

En las últimas fechas se ha detectado un aumento de damnificados por un nuevo tipo de estafa: un falso técnico de Microsoft se pone en contacto informando de un problema o la infección de un virus, aunque en realidad se persigue defraudar a la víctima.

¿Cómo funciona este tipo de timo? Los Mossos d'Esquadra han elaborado un completo material para advertir a la ciudadanía sobre esta práctica.

Para empezar se recibe una llamada o un mensaje, de texto o por correo electrónico, de alguien que simula ser del servicio de soporte técnico de Microsoft o de una empresa de seguridad informática, e intentan engañar y hacer creer al usuario que solucionarán su problema si sigue las indicaciones.

Ello puede ir acompañado de un aviso del sistema en el navegador web u otra ventana emergente. El defraudador proporciona un número de teléfono para contactar con el falso servicio técnico de Microsoft, que le solucionará el problema; si es posible, intentarán conseguir su teléfono para contactar directamente. También le pueden indicar que visite una página web en concreto, le hacen introducir datos, un código que le proporcionan o le piden que descargue algún archivo o programa.

De este modo puede darse el caso de que consigan acceder en remoto a su PC y entonces instalan un programa espía (spyware) o cualquier otro tipo de software malicioso. También le pueden pedir un pago para el soporte técnico y que facilite sus datos bancarios o la tarjeta de crédito.

El objetivo final, como en otras prácticas asociadas del estilo phishing, es conseguir mediante la estafa dinero de las víctimas, o en su caso acceso a la información que hay almacena el ordenador, tales como documentos, fotografías, o las contraseñas almacenadas.

La policía catalana resume como claves para darse cuenta de que se está a punto de caer en las redes de los cacos digitales varios indicadores; entre ellos que se solicite una acción urgente, o se exija dinero para resolver el problema. Además, Microsoft precisa que sus mensajes de error y aviso jamás incluyen números de teléfono.

Si quieres saber más acerca de este tipo de prácticas fraudulentas, el Instituto Nacional de Ciberseguridad (INCIBE) aporta materiales útiles e interesantes para prevenir a los usuarios.

Ciberseguridad Microsoft robo información

#ciberseguridad #ciberataque #ciberdelincuente #protecciondedatos #usofraudulentodedatos #incibe #phising #roboporinternet

 

Fuente: Ultimahora

 

Ciberataque a Twitter expone vulnerabilidad en las redes sociales

El masivo pirateo de cuentas en Twitter de políticos, millonarios y compañías el miércoles en Estados Unidos, plantea la pregunta de la seguridad de la red social favorita de Donald Trump y, de manera más amplia, de todas estas plataformas.

Del “modus operandi” hasta las posibles defensas contra los piratas, esto es lo que se sabe de este espectacular ciberataque.

Un ataque “más bien clásico”

Twitter continúa con la investigación del ciberataque, por el cual desde cuentas certificadas de personalidades como Joe Biden o Bill Gates se invitó a la gente a enviar bitcoins a una determinada dirección con la promesa de devolverles el doble.

Pero surgen pistas. Según la revista Vice, una persona en el interior de Twitter podría haber provocado el pirateo, de acuerdo con capturas de pantalla intercambiadas con dos fuentes anónimas que dicen ser responsables del ataque. Una de esas fuentes afirmó a la revista que se le pagó a un empleado de Twitter.

“Esto no proviene de un fallo técnico. Apuntaron a uno o varios empleados de Twitter para estar seguros de tener los accesos operativos que administran cuentas certificadas, de gran notoriedad, con el objetivo de amplificar la comunicación sobre la estafa, más bien clásica, por otra parte”, explica a la AFP Loïc Guezo, director de estrategia en ciberseguridad de ProofPoint.

“Las primeras pistas parecen remontar hacia al menos una persona que ofrecía estos últimos días en el mercado negro accesos a cuentas certificadas de personalidades, sin conseguirlo. Parece que entonces eligió utilizarlas él mismo para garantizarse ganancias rápidas”, según Gérôme Billois, experto en ciberseguridad de Wavestone.

23072020

¿Qué consecuencias?

En lo inmediato, son limitadas. Twitter reaccionó rápidamente, desactivando las cuentas concernidas y limitando las posibilidades de compartir mensajes sospechosos.

Financieramente, la estafa parece también de poca envergadura: según el sitio especializado Blockchain.com, que sigue las transacciones efectuadas en criptomonedas, un total de 12,58 bitcoins, es decir cerca de 116 mil dólares, fue enviado a una de las direcciones mencionadas en los falsos tuits.

Por otra parte, fue eso lo que permitió a Twitter limitar el daño: el o los cibercriminales buscaron solo una rápida ganancia, además de llamar la atención con el carácter particulamente espectacular de la operación.

Twitter fue muy reactivo, tiene visiblemente importantes capacidades de investigación. También jugaron la carta de la transparencia, comunicando de manera regular, algo que le da crédito y es señal de verdadera madurez sobre el tema”, según un portavoz de Clusif (club francés de seguridad de la información).

Señal de alarma

Las consecuencias pudieron haber sido mucho más graves si los ciberpiratas hubiesen tenidos intenciones políticas, subrayan los expertos.

“Desde un punto de vista político, un tuit falso en un momento crítico podría tener un impacto enorme. Alguien que tuviese acceso a este tipo de cuenta en el buen momento y con el buen tipo de información falsa podría volcar totalmente una elección”, estima en ese sentido Anthony Glees, profesor especializado en seguridad e inteligencia de la Universidad de Buckingham.

“Esta capacidad de controlar un número importante de cuentas certificadas de primer plano en periodo electoral (en Estados Unidos) para tuitear en momentos precisos podría tener un efecto tremendo”, confirman en Clusif.

“Aquí, la debilidad demostradas por Twitter es muy preocupante y plantea la pregunta de la importancia de las plataformas sociales en periodo electoral”.

Para el profesor Alan Woodward, del centro de ciberseguridad de la Universidad de Surrey, este ataque “muestra que organizaciones como Twitter pueden ser objeto de ataques a través de su personal y que tienen que repensar su funcionamiento”.

twitter ciberseguridad

¿Cómo protegerse?

Muchas reglas simples permiten en general evitar los pirateos de cuentas personales: evitar cliquear sobre archivos adjuntos que pueden parecer sospechosos en un correo, no dar el nombre de usuario incluso si lo pide un correo que procede de un servicio utilizado, o recurrir a un sistema de doble certificación.

El problema es que muchas de estas precauciones no hubiesen servido de nada contra el ataque que afectó a Twitter, en caso de que se confirme que se debió a un fallo humano en el interior mismo de la plataforma.

El caso recuerda que “detrás de las máquinas hay seres humanos que pueden tener acceso a nuestros mensajes privados y a las informaciones que colocamos allí. Esos sistemas no son cerrados, lo que se intercambia puede ser accesible”, subraya Gérôme Billois.

Ciberataque Twitter sistema de seguridad

#ciberseguridad #ciberataque #ciberdelincuente #protecciondedatos #usofraudulentodedatos

 

Fuente: 24-horas

 

Un ‘hacker’ roba 68.000 euros de las cuentas municipales de Maria de la Salut

Un hacker que envió un correo fraudulento al Ajuntament de Maria de la Salut consiguió robar 68.000 euros de una de las cuentas bancarias municipales.

El hecho delictivo tuvo lugar hace cuatro meses y salió a la luz en el último pleno municipal cuando las formaciones en la oposición, X Maria y PP, denunciaron «la nula transparencia del alcalde Biel Mas (PI) a la hora de dar a conocer estos hechos».

Tras las pesquisas llevadas a cabo por la Guardia Civil, en colaboración con la entidad bancaria, el importe íntegro ha sido devuelto al municipio. La investigación continúa abierta y desde el Ajuntament no desean hacer ningún tipo de declaración hasta que no se haya resuelto el caso por completo.

El origen de esta estafa se encuentra en el método de phishing (suplantación de identidad) que el delincuente utilizó para apropiarse de los datos bancarios del ayuntamiento.

Según fuentes de la investigación, un trabajador municipal cayó en el engaño al recibir un correo que supuestamente remitía la entidad bancaria y en la que se solicitaban las credenciales para acceder a la banca electrónica. El hacker tuvo acceso a la cuenta bancaria del Ajuntament de Maria de la Salut y realizó una transferencia de 68.000 euros.
La denuncia por parte de los responsables municipales no se hizo esperar, aunque han tenido que esperar hasta hace poco más de un mes para recuperar la cantidad sustraída.

Robo Maria de la Salut hacker phising

Reacciones

El portavoz de X Maria, Guillem Jordà, critica «la falta de transparencia del alcalde» y asegura que «fue él quien cayó en la estafa. No fue un funcionario como se ha dicho».

Por su parte, el portavoz del PP, Jaume Ferriol, coincide en que «ha sido un acto que demuestra la nula transparencia del equipo de gobierno. Nos hemos enterado de este delito gracias a una conversación puntual».

 

Robo Maria de la Salut hacker phising

 

#robomariadelasalut #phisingmallorca #ataquecibernetico #usoinapropiadodeinformacion #robodedatos #robodeinformacion

Fuente: Ultimahora

Se triplican las alarmas de ciberseguridad de alto nivel

 

La pandemia también ha tenido una repercusión negativa en el mundo digital: el aumento de los ciberataques tanto a empresas y particulares como a servicios sanitarios. Según datos recopilados por el Centro de Operaciones de Seguridad (SOC) de Grupo Oesía, las alarmas consideradas altas se han multiplicado por tres durante el estado de alarma, mientras que las consideradas medias se han doblado.

En el caso concreto de los servicios sanitarios, los incidentes de seguridad se han duplicado, lo que está obligando a potenciar la monitorización de redes y la implementación de servicios de vigilancia digital (extendida incluso a Deep y  Dark web) para prevenir la ocurrencia de ciberataques a través de la alerta temprana (integrando la información de todos los entes dedicados a combatir la ciberdelincuencia).

Entre otros servicios, el Centro de Competencias en Ciberseguridad de Grupo Oesía asesora la Oficina de Seguridad del Servicio Madrileño de Salud, contando con un servicio de SOC 360 grados, 24 horas al día los 365 días del año. En el caso de instalaciones críticas del sector de sanitario, como el hospital de campaña de IFEMA, Grupo Oesía ha instalado una sonda para analizar el tráfico de red y poder detectar cualquier tipo de actividad sospechosa que ponga potencialmente en riesgo la prestación del servicio a los ciudadanos afectados por el COVID-19 que son tratados en el hospital de campaña, antes mencionado.

Principales vectores de ataque

 En general, tanto en el ámbito corporativo como sanitario y particular, los principales vectores de ataques detectados son:

  • Phishing: envío de mails y comunicaciones de mensajería instantánea haciendo alusión al coronavirus para “aprovechar” la necesidad de las personas de información relacionada con este tema, pero que realmente emplean enlaces fraudulentos.
  • Ransomware: en línea con lo anterior, se están enviando masivamente correos en los que se adjuntan ficheros con algún programa dañino que ocasionan el cifrado de dispositivos.
  • Ciberataques contra las herramientas de trabajo y comunicación corporativas, con el objetivo de acceder a información confidencial de los usuarios, aprovechando el aumento del teletrabajo.
  • Ingeniería Social: también aprovechándose del teletrabajo, los ciberdelincuentes se hacen pasar por un servicio técnico para convencer a los usuarios de que le den acceso a información confidencial.

Ciberseguridad durante la pandemia Covid19

#ciberseguridad #ataquecibernetico #robodedatos #phishing #ransomware #usofraudulentodedatos #usoinapropiedadodeinformación

Fuente: computing