"Ayer me tocó otra vez bailar con la muerte de cerca. Se murió el padre de un amigo y me sacó a la pista. Decí que ya soy ducho en la danza"

[ Fernando Peña - Actor y conductor Uruguayo - 1963-2009 ]


Boletín 138 - Robo de datos por Internet ¿cómo protegerse? - 20/06/2009


A Fernando Peña, por ser valiente y enseñar a pensar.
A la bandera Argentina en su día, hoy.
A los padres en su día, mañana.


1. Robo de datos por Internet ¿cómo protegerse?
2. Definiciones de Ciberterrorismo3. Segu-Info busca autores
3. Resumen de Noticias Exclusivas publicadas por Segu-Info
4. Apoya a Segu-Kids, Juntos en la Red
5. Desafío de la semana

1. Robo de datos por Internet ¿cómo protegerse?


Cuando se habla de las ventajas de Internet, generalmente se tiene de mencionar todos los servicios que se ofrecen para los usuarios comunes y, no queda duda que estos servicios hacen más fácil nuestra vida (ampliamente hablando). Lo que no se menciona o, lo que se ignora es cómo facilita Internet el trabajo a los delincuentes.

En este caso no hablamos de lo sencillo que es robar la identidad de una persona o hacerse pasar por ella en cualquier sitio online [1]... hablamos de cómo robar toda la información que esta persona conoce y utiliza a diario, para luego utilizarla en fraudes, estafas y robos financieros y económicos (reales, no virtuales).

Para comenzar debemos situar al delincuente en algún lugar "real" y para ello qué mejor que el ciberespacio, ese lugar entre la vida real y la virtual en donde transcurre nuestra vida en Internet. Los delincuentes actuales están en todas partes y en ninguna a la vez, pudiendo ser este lugar la casa de al lado, un país frío e inhóspito de Europa del Este o una isla paradisíaca del Pacífico. Por eso es importante comprender que ellos no están a nuestro alcance, no se los puede perseguir, denunciar o capturar, al menos con los procedimientos conocidos y comunes a los que se está acostumbrado en la vida física.

Continuando con el proceso, la especialización de los delincuentes es cada vez mayor. En este contexto se logra una interacción fluida entre ellos porque cada uno conoce su negocio de la mejor manera, sin necesidad de conocer físicamente al otro. En este mundo virtual, la seguridad personal y la "anonicimidad" de todos es fundamental para que proceso funcione adecuadamente.

Así, existen aquellos que obtienen la información, los que desarrollan y facilitan las herramientas, los que almacenan la información, los que distribuyen, propagan y utilizan las herramientas, los intermediarios, los que cobran, los que lavan el dinero, etc. Es un proceso mafioso en donde "cada uno recibe su parte del pastel".

El proceso consta básicamente de cuatro etapas:

  1. Obtener información de la víctima: esta, a menos que se trate de un ataque dirigido, es desconocida para el atacante. En este contexto todos somos posibles blancos y víctimas: no es importante quienes, sino cuantas personas (a mayor cantidad mayor ganancia económica) La información buscada puede ser: nombres, direcciones, teléfonos, números de tarjetas, correos, cuentas de cualquier tipo, PIN, usuarios, claves, identificaciones, certificados digitales, fotos, videos... todo es útil.
  2. Almacenar y procesar la información: los datos recolectados son almacenados en grandes bases en donde se realiza un adecuado filtrado y procesamiento de los mismos con el fin de darle el mejor uso posible. A partir de ese momento esa información queda disponible para quien desee comprarla.
  3. Llevar a cabo el ataque propiamente dicho: en esta etapa se utiliza la información procesada para comenzar el ataque. Este puede ser la creación de casos de phishing, venta de productos por correo electrónico (spam), distribución de malware para continuar la cadena de robo de información, etc. En esta etapa el usuario es engañado de alguna forma con técnicas de Ingeniería Social [2] para que ceda información al delincuente.
  4. Cometer el delito: la información recolectada durante las etapas anteriores es utilizada en el mundo físico para cometer un delito como puede ser transferencias monetarias, compra de insumos y productos, chantaje, extorsión, o cualquier otro tipo de delito común. Cada participante cobra lo que le corresponde en base al trabajo desempeñado en todo el proceso.

Este proceso es continuo y cada etapa se retroalimenta de la anterior para lograr volúmenes inimaginables de información acumulada, al igual que montos inimaginables de dinero robado [3][4].

Todo parece indicar que la masa crítica de usuarios de Internet es lo suficientemente importante como para que este tipo de delitos no descienda, sino que siga aumentando [5][6][7].

A modo de ejemplo, observemos un caso denunciado en Segu-Info recientemente, en donde la información recolectada por los delincuentes podía descargarse desde el mismo sitio desde donde ellos llevaban adelante el ataque [8].

En este caso se utilizó un correo electrónico para hacer creer al usuario de que debía descarga un comprobante de pago (phishing). En realidad el archivo descargado correspondía a un troyano que, una vez instalado en el equipo del usuario procedía a robar cualquier tipo de información alojada en el equipo infectado. El usuario vulnerado puede ser cualquiera, obtenido de una lista con millones de direcciones de correo, previamente recolectadas. Con esto se cumplen las etapas 1, 2 y 3 descriptas anteriormente.

Una vez obtenida, la información era alojada en archivos de texto que podían descargarse desde Internet. En este caso, los delincuentes demuestran llevar adelante un trabajo de principiantes pero, generalmente, no todos los casos son tan burdos.

Al visualizar la información robada ya nos podemos formar una idea acabada del poder de estas personas y de cómo continuarán realizando sus actos delictivos: la lista completa alcanza los 930.000 correos de muchos países latinoamericanos y desde los cuales se obtuvo información de 1.085 personas. Es decir que aproximadamente uno de cada mil usuarios ha caído en la trampa (0,11%).

Pero, si es tan negro el panorama, ¿es posible afrontar esta situación? ¿cómo?
La respuesta a esta complicada pregunta es SI, se puede evitar pero lamentablemente (o no) esto depende de nosotros los usuarios y de los estados, que desde su perspectiva deberían comenzar a hacer algo con respecto al volumen de delitos denunciados cada día (y de los millones que no se denuncian).

Las medidas de seguridad siguen siendo:

Mientras se siga ocultando que existen delitos informáticos, mientras los países sigan ignorando el tema, mientras los legisladores no estudien nuevas leyes, mientras los abogados y técnicos no se capaciten, mientras las empresas (financieras) sigan haciendo la vista gorda y pagando por nuestro silencio y los usuarios no sigamos ninguna de las recomendaciones previas, nosotros seremos cómplices. Queda claro que actualmente no existe una conciencia social sobre el uso de los recursos en línea y tampoco del poder que los delincuentes han adquirido en este tiempo: mientras nosotros estamos aprendiendo el concepto del uso de las redes, ellos probando nuestros desconocimiento en todas las demás áreas y, por ahora, van ganando.

[1] Robo de Identidad, guía de supervivencia
http://www.segu-info.com.ar/articulos/78-robo-identidad-guia-supervivencia.htm

[2] Uso de la Ingeniería Social
http://www.segu-info.com.ar/cruzada/consejo-01.html

[3] ¿El cibercrimen mueve más dinero que el narcotráfico?
http://blog.segu-info.com.ar/2008/11/el-cibercrimen-mueve-ms-dinero-que-el.html

[4] Países desde los que se realizan más ataques (Estado de Internet)
http://blog.segu-info.com.ar/2008/05/los-pases-desde-los-que-se-realizan-ms.html

[5] Se triplicó el fraude informático en la Argentina
http://blog.segu-info.com.ar/2009/06/se-triplico-el-fraude-informatico-en-la.html

[6] Los expertos en seguridad afirman que se sienten desbordados
http://blog.segu-info.com.ar/2009/05/los-expertos-en-seguridad-afirman-que.html

[7] España: el cibercrimen aumenta un 570% por la crisis
http://blog.segu-info.com.ar/2009/05/espana-el-cibercrimen-aumenta-un-570.html

[8] Datos robados por un troyano
http://blog.segu-info.com.ar/2009/06/datos-robados-por-un-troyano.html

[9] Siguiendo al estafador de los historiales de MSN
http://blog.segu-info.com.ar/2008/10/ver-el-historial-de-msn-de-los-amigos.html
http://blog.segu-info.com.ar/2009/04/siguiendo-al-scammer-de-los-historiales_14.html
http://blog.segu-info.com.ar/2009/04/siguiendo-al-estafador-de-los.html
http://blog.segu-info.com.ar/2009/04/siguiendo-al-estafador-de-los_20.html

[10] Boletín 137 - Fuga de información: las empresas no aprenden
http://www.segu-info.com.ar/boletin/boletin-137-090531.htm



2. Definiciones de Ciberterrorismo


Recientemente un usuario consultó sobre Ciberterrorismo en nuestro Foro [1] y, la ausencia de respuestas demostró cierta ignorancia del tema por parte de la comunidad informática y de seguridad de la información.

Aunque el primer uso de la palabra "ciberterrorista" hay que atribuírsela a Barry C. Collin en 1980 [2] , investigador del Instituto de Seguridad e Inteligencia de California, fue Dorothy Denningal [3], profesora de la Universidad de Georgetown, quien lo definió en su informe en 2000 al Congreso Estadounidense como "la convergencia del terrorismo y ciberespacio con el fin de causar daños graves tales como la pérdida de vidas humanas o graves daños económicos y por motivos políticos".

Para esta experta, adquirir la categoría de ataque ciberterrorista debería incluir violencia contra personas o propiedades o, al menos, generar el miedo.

En suma, los ataques que no causaran daños personales o estragos en los servicios esenciales no eran considerados ciberterrorismo [4]. Las cosas cambiarían más tarde para ampliar la definición al uso de herramientas informáticas por parte de grupos terroristas pero, por aquel entonces, el término ciberterrorismo barcaba solamente lo que los expertos llaman ahora ciberterrorismo "tradicional" o "puro": asesinatos, explosiones, contaminación de aguas o grandes pérdidas económicas, entre otras acciones.

Sin embargo, en 2003 y 2005, los informes de Clay Wilson al Congreso estadounidense, "Computer Attack and Cyberterrorism" amplían la definición [5] y, por su parte Federal Emergency Management Agency (FEMA), finalmente define este término como "ataques ilegales y amenazas de ataque contra computadoras, redes, y la información almacenada en los mismos para intimidar o coaccionar a un gobierno o su pueblo con objetivos políticos y/o sociales" [6].

De las definiciones, se extrae que estos ataques tienen características de Phisical Attack (PA) a través de armas convencionales; Electronic Attack (EA) que incluyen ataques de microondas, electromagnéricos, de radio, etc.; Computer Network Attack (CNA) que involucran el acceso a redes informáticas.

Sin embargo el Doctor Gabriel Weimann [7] en diciembre de 2004 se planteo otra pregunta: ¿qué tan real es la amenaza? y supone tres respuestas posibles:

Si bien considero que el 1% de los atacantes y suficiente para generar un ataque de este tipo y que las estimaciones de los recursos necesarios es inexacta, dicha discusión excedería el alcance del presente.

Finalmente, Weimann aclara [8] que "hasta la fecha han utilizado Internet como canal de comunicación más que como arma y lo más probable es que cambien. ¿Cuándo? No lo puedo predecir, pero estoy seguro de que tarde o temprano tratarán de utilizar también este arma. Es asunto de generaciones".

Más información puede ser obtenida de las fuentes originales citadas y de los libros "Computer Attack and Cyberterrorism" de Clay Wilson [9], "Response to Cyber Terrorism" de la NATO [10] y de otros tantos [11].

Además, en el canal Segu-Info de Youtube [12], puede verse dos interesantes videos en español sobre la temática de la ciberguerra y el ciberterrorismo que, si bien las traducciones son malas y existen términos incorrectamente definidos, sirven para hacerse una idea clara de cual es el estado del arte en esta temática.

[1] Ciberterrorismo
http://www.segu-info.com.ar/foro/?q=ciberterrorismo

[2] The Future of CyberTerrorism (Barry C. Collin)
http://afgen.com/terrorism1.html
http://www.symantec.com/avcenter/reference/cyberterrorism.pdf

[3] Is Cyber Terror Next? (Dorothy E. Denning)
http://www.ssrc.org/sept11/essays/denning.htm

[4] El ciberterrorismo cristaliza
http://revista-arbil.iespana.es/103jclh.htm

[5] Computer Attack and Cyberterrorism por Clay Wilson
http://digital.library.unt.edu/govdocs/crs/permalink/meta-crs-6315:1
http://www.dtic.mil/cgi-bin/GetTRDoc?AD=ADA421056&Location=U2&doc=GetTRDoc.pdf

[6] Cyberterrorism
http://www.fas.org/sgp/crs/terror/RL32114.pdf
http://www.fema.gov/pdf/onp/toolkit_app_d.pdf
http://www.iwar.org.uk/cyberterror/resources/crs/45184.pdf
http://en.wikipedia.org/wiki/Cyberterrorism

[7] Cyberterrorism: How Real Is the Threat? (Gabriel Weimann)
http://www.usip.org/files/resources/sr119.pdf

[8] El ciberterrorismo y sus paradojas
http://www.dragonjar.org/el-ciberterrorismo-y-sus-paradojas.xhtml

[9] Computer Attack and Cyberterrorism
http://www.amazon.com/Computer-Attack-Cyberterrorism-Clay-Wilson/dp/1606923374/

[10] Response to Cyber Terrorism (NATO)
http://www.amazon.com/Responses-Cyber-Terrorism-Science-Security/dp/1586038362/
http://tinyurl.com/ktlr2n (leer en Google)

[11] Otros libros de ciberterrorimo
Cybercrime and Cyberterrorism (John V. Blane)
http://www.amazon.com/Cybercrime-Cyberterrorism-John-V-Blane/dp/1590337115/
http://tinyurl.com/nvqspl (leer en Google)
Cyber terrorism (Joseph F. Gustin)
http://www.amazon.com/Cyber-Terrorism-Guide-Facility-Managers/dp/088173442X/
http://tinyurl.com/lpuakg (leer en Google)
Cyberterrorism (Council of Europe)
http://www.amazon.com/Cyberterrorism-Internet-Terrorist-Purposes-Terrorism/dp/9287162263/
http://tinyurl.com/nesxh8 (leer en Google)
Black Ice (Dan Verton)
http://www.amazon.com/Black-Ice-Invisible-Threat-Cyber-Terrorism/dp/0072227877/
http://tinyurl.com/nn7wbq (leer en Google)

[12] Videos de Ciberterrorismo
http://www.youtube.com/seguinfo



3. Segu-Info busca autores


Segu-Info siempre está abierto a la publicación de documentos de interés desarrollados por la comunidad por lo que;

Esta propuesta es para tí.

Segu-Info busca autores/escritores/redactores independientes que deseen compartir sus escritos/pensamientos/experiencias con la comunidad.

Para que Segu-Info siga siendo un lugar en donde la información es de todos y para todos, te invitamos a que seas parte. Si quieres compartir tus creaciones, contáctate con nosotros.


3. Resumen de Noticias Exclusivas publicadas por Segu-Info


Cada día algunos de los profesionales de Segu-Info realiza una traducción o escribe un artículo para el Blog.

Estas son las últimas noticias publicadas:

Todas las Noticias Exclusivas generadas por Segu-Info puede ser seguidas en nuestro Blog o a través de Twitter.



4. Apoya a Segu-Kids, Juntos en la Red


Segu-Kids, pone a disposición de todos información en forma libre y gratuita y, es el primer sitio pensado con el objetivo de apoyar y acompañar a la familia y a los educadores.

El nacimiento de Segu-Kids se debe a la gran cantidad de riesgos existentes en Internet y a la necesidad de crear concientización y educación sobre las formas de prevención y protección, haciendo uso responsable de las tecnologías existentes.

Segu-Kids busca la colaboración de todas las organizaciones a quienes les importa los menores y la seguridad en línea. Por eso, si formas parte de una de estas organizaciones o conoces a alguien vinculado, no dudes en ponerte en contacto con nosotros.

Te invitamos a conocer Segu-Kids y a dejarnos tus experiencias, para que sigamos creciendo juntos en la red.



5. Desafío de la semana


Solución al desafío del Boletín anterior:

La serie se forma con:
Nro Anterior * (Nro Anterior + posición en la serie)

2 * (2 + 1) = 6
6 * (6 + 2) = 48
48 * (48 + 3) = 2.448
2448 * (2448 + 4) = 6.002.496

Respondieron correctamente:
gabrieldear@, luchador1@, pedro.el.baron@, rubber_duck@, vanesadabin@, MAuer@, jjromerog@, yatchesen@, lauriuxlr@, edisonmendoza@, fernandomattson@, drawde0123@, maxisimonazzi@, eugenia.rodri...@, epatjuarez@, edumanx@

Desafío de esta semana:

¿Cuántos números de seis dígitos hay, que no tengan juntos un mismo dígito?


Extras

Virus-Antivirus

Hosting by