Novas de seguridade para usuarios domésticos - Semana do 02/09/2019
Publicado por @ Artellando e-solucións,
Velaquí o noso resumo para a semana do 2 de setembro de 2019:
Actualizacións de seguridade
O 3 de setembro, Mozilla Foundation anunciaba a publicación da versión 69 de Firefox, que resolve uns cantos problemas de seguridade. Se aínda non se actualizaron, fágano: un dos nichos dos creadores de malware baséase en explotar fallos detectados en versións antigas de productos.Fugas de datos
En canto a fugas de datos, esta semana déronse a coñecer as seguintes:- Soubemos por un artigo de TechCrunch que un dos clientes da empresa de xestión de ofertas de emprego online Monster (unha empresa afiliada á plataforma que xestionaba ofertas de emprego, e da que non divulgaron o nome) expuxo nun servidor sen medidas de seguridade (e polo tanto ao que puido acceder calquera) datos de CVs que podían incluir números de teléfono, direccións de email, etc... de solicitantes de emprego entre 2014 e 2017. A nova menciona que a maioría dos afectados son de Estados Unidos.
- Tamén TechCrunch anunciaba a aparición dunha base de datos sen protección que expoñía 419 millóns de rexistros con datos de usuarios de facebook, entre os que destacan números de teléfono. Descoñécese a antigüidade dos datos, pero sábese que a base de datos apareceu a finais do mes pasado. Entre outros, tamén atopáronse datos de nomes de usuario, xénero e localización por país. Esta fuga de datos podería someter aos afectados a chamadas con publicidade non desexada ou con tentativas de fraude, así como a ataques de tipo SIM-swapping, dos que falaremos máis adiante neste boletín.
- O INCIBE informaba nunha das súas alertas que os usuarios da web de Foxit (a empresa que desenvolve o famoso lector/editor de PDF) deben cambiar a súa contrasinal por mor dunha fuga de datos detectada. Informan que a fuga afectou a datos como emails, contrasinais, nomes de usuarios e empresas, números de teléfono e direccións IP. Ao parecer, os datos bancarios non estiveron afectados por esta fuga.
Ameazas
E falando de SIM-swapping, un caso ben sorprendente que tivo lugar esta semana, segundo informaba a BBC, foi o acceso non autorizado á conta de Twitter de Jack Dorsey, co-fundador desta rede social. Os autores publicaron nela varios mensaxes de corte xenófobo, así como falsas alertas de bomba. Segundo indican, os atacantes foron quen de facelo empregando a citada técnica de SIM-swapping. Aínda que resulta preocupante que moitas compañías telefónicas carezan de medidas de seguridade para garantir a identidade dun solicitante de duplicado dunha SIM, trátase de ataques enfocados a persoas das que se sabe que se pode obter un beneficio económico inmediato mediante extorsión. De tódolos xeitos, recomendamos maximizar as precaucións. Un artigo de vice.com da unhas cantas claves para protexerse deste tipo de ataques. Para nos, a clave fundamental é a seguinte: nunca divulgar nas redes sociais o noso número de móbil, nin vinculalo a ningún servizo online. E de ser necesario (por exemplo, por motivos de negocios), empregar un número que non empreguemos para realizar comunicacións comprometedoras, e que non estea vinculado a ningún medio de pago, conta bancaria, etc...Outra nova de seguridade preocupante para os propietarios de móbiles Android é o resultado dunha investigación de Check Point Research que anuncia a posibilidade de redirixir o tráfico de rede de teléfonos de marcas como Samsung, Huawei, LG e Sony a través dun servidor mediante un simple SMS. O esquema de ataque é sinxelo e económico, e baséase en suplantar nun SMS ao operador de telefonía do usuario do teléfono. Se o usuario acepta executar a mensaxe, todo o seu tráfico de rede podería ser filtrado e escoitado por un servidor elixido polo atacante. Polo que indican na noticia, tras avisar ás compañias no mes de marzo, Samsung publicou unha solución ao problema en maio e LG en xuño. Os fabricantes vinculados á Open Mobile Alliance (Huawei e Sony) están a delegar a solución nesta organización, que mantén o problema todavía como sen resolver baixo o identificador OPEN-7587.
Se teñen un móbil Android, asegúrense de que está correctamente actualizado. E no caso de recibir SMS binarios coma os indicados na publicación citada, se teñen dúbidas, contacten co seu operador de telefonía móbil.
Malware
Soubemos tamén que Secureworks informa nun artigo da súa web dunha nova característica detectada no troiano denominado TrickBot. Este malware pode entrar nos equipos de varios xeitos: habitualmente, oculto en arquivos axuntos a emails. Estaba especializado no roubo de credenciais bancarias: cando o usuario infectado accedía á web dun banco, TrickBot alteraba o contido amosado no navegador de xeito que os datos introducidos fosen enviados a un servidor dos atacantes. Pois ben, no citado informe falan dunha nova especialización que ten por obxectivo o roubo dos PIN dos móbiles das súas vítimas: ao acceder á paxina web de determinados provedores de telefonía, altera o contido do navegador para solicitar o PIN do usuario. Aínda que na nova falan de se trata so de provedores de telefonía de Estados Unidos, non descartamos que algún actor malicioso remate adaptándoo para que funcione no caso de provedores de telefonía españois, como xa ocorreu no caso da banca. Ademáis, este tipo de ataques poderían derivar noutros de tipo SIM-Swapping. Como contramedidas, é recomendable deshabilitar as macros de documentos Office, así como ser coidadosos cos axuntos recibidos por email. Lembren ademáis que as compañías de telefonía non solicitan o PIN -vinculado directamente cunha tarxeta SIM de telefonía móbil- nas súas webs. E como non: ter un antivirus instalado e actualizado como barreira de defensa en caso de despiste ou erro.Informan dende Malwarebytes dun kit de ferramentas malware que denominan Domen que ofrece unha colección de plantillas en máis de 30 idiomas para móbil e ordenador con diferentes enganos (enxeñeiría social). O malware atopouse tanto en páxinas web infectadas como en anuncios maliciosos (malvertising), e ten por obxectivo enganar aos usuarios presentando no navegador anuncios (actualizacións de aplicacións, alertas de virus, etc...) coa fin de que pulsen neles, conseguindo que finalmente descarguen algún tipo de malware no seu equipo ou se subscriban a servizos de pago sen percatarse. Para protexerse, descarguen software dende a web oficial do seu fabricante, e manteñan o seu antivirus actualizado.
Outra nova que debería manternos previdos para manter o noso software e sistema operativo actualizado é a análise realizada por Google Project Zero debullando o descubrimento que fixeron a principios de ano, no que atoparon 5 cadeas que explotaban 14 vulnerabilidades de iOS entre as versións 10 e 12, unha delas de tipo zero-day (é dicir, que non fora descuberta ata ese momento e se descoñece canto tempo podía levarse explotando por actores maliciosos). Mediante este sistema, os seus explotadores tiñan a posibilidade de conseguir acceso como superusuario aos dispositivos móbiles, dispoñendo de datos privados, localización GPS en tempo real, etc.
Privacidade
Na súa páxina web FACUA informa nunha noticia de que a plataforma Youtube aceptou o pago dunha multa de 154 millóns de euros por recabar datos de menores sen consentimento dos seus responsables.Se teñen dúbidas de que controis establecer cos menores en cuestións relativas a internet, unha fonte estupenda de información e asesoramento é a web i4k - Internet segura for Kids do INCIBE.
E con isto rematamos este boletín. Agardamos que a información sexa de interese. Ata a próxima semana.
Comentarios
Publicar un comentario