Seguridad de entornos web

Qué son y qué hacer ante las Brechas de Seguridad
1024 576 Prestigia

Hace poco más de un año nos hacíamos eco en este blog de que la ciberseguridad era, para el Foro de Davos, un desafío global. La seguridad en Internet, decíamos, es un riesgo que tiene un coste global anual de 500.000 millones de dólares. Ahí es nada.

La inmensa mayoría de los ataques los sufren empresas corrientes, pymes como la nuestra. Así, según el INCIBE, el 70% de los ataques informáticos son dirigidos a PYMES. Con todo, también las grandes marcas se ven afectadas y nos recuerdan que ninguno estamos a salvo. En lo que llevamos de año, tenemos constancia de que han sufrido ataques Facebook, Xiaomi, Toyota, Nokia y Twitter, entre otras. Muchas de estas empresas trabajan y se nutren de nuestros datos.

Desde Prestigia Seguridad queremos recordaros cuáles son las principales medidas que hay que tomar cuando tus datos personales se ven comprometidos por una brecha de seguridad.

¿Qué es una brecha de seguridad?

Las brechas de seguridad son fallos o violaciones de seguridad en las empresas que almacenan datos personales y que conllevan la pérdida o robo de estos. Cualquier empresa es susceptible de sufrir una brecha de seguridad, siendo el factor humano la causa principal.

Los cibercriminales pueden utilizar una brecha de seguridad para conseguir datos como contraseñas, números de tarjetas de crédito, archivos personales, etc.

Hace unos días, por ejemplo, Microsoft anunciaba que unos ciberdelincuentes tuvieron acceso a cuentas personales de correo electrónico de sus usuarios a causa de una brecha de seguridad. Los hackers lo lograron gracias a la contraseña de un trabajador de la empresa. Incluso en un gigante tecnológico como Microsoft, la formación de sus empleados se ha demostrado insuficiente.

Otro ejemplo muy comentado este 2019, ha sido la brecha de seguridad que sufrió el popular videojuego multiplataforma Fortnite, donde quedaron expuestos datos personales de las cuentas de los jugadores, incluyendo los números de las tarjetas de crédito. Los atacantes pudieron hacer compras dentro del juego aprovechando los datos bancarios que obtuvieron.

La aerolínea British Airways, sufrió una brecha de seguridad entre los días 21 de agosto y 5 de septiembre del 2018, donde le robaron 300 mil números de tarjetas de crédito, de usuarios que realizaron reservas a través de la página web de la compañía y de la aplicación móvil.

Facebook, la red social con más usuarios del mundo, ha sufrido varios ciberataques desde su aparición en 2004. En septiembre de 2018 la compañía escribió una publicación en su blog, dando a conocer un fallo de seguridad que afectó a 50 millones de cuentas que los cibercriminales aprovecharon para acceder a las cuentas afectadas.

Qué hacer como usuario ante una brecha de seguridad

Lo primero que podemos hacer nosotros como usuarios es prevenir.

Como os explicamos en nuestro post sobre la sextorsión, un hacker puede aprovechar una brecha de seguridad en una web, plataforma o aplicación donde estés registrado, y con ello, conseguir tu información personal, mandarte un email utilizando alguna de tus contraseñas como gancho y pedirte dinero a cambio de no compartir tus datos personales. Así son las extorsiones modernas.

Puede que tus datos se hayan visto comprometidos y te enteres por alguna noticia aparecida en los medios, por aviso de la propia empresa afectada o por contrastarlo tú mismo usando alguna herramienta pública como ésta: https://haveibeenpwned.com

Desde Prestigia recomendamos:

Mantener la calma: cuando recibes algún chantaje o extorsión, ignora al remitente. En general, negociar con un cibercriminal que hace del engaño y el robo su medio de vida no acostumbra a ser una buena idea. Denúncialo a la Policía.

Cambia tus contraseñas en todas tus redes y dispositivos: esta es la primera medida de choque cuando tus datos se han visto comprometidos. Tus nuevas contraseñas deben ser distintas y robustas. Hay páginas muy útiles, como Password.es, que te ayudan a crearlas, de forma que puedas incluir mayúsculas, minúsculas, letras, números y símbolos (mínimo 8 caracteres).

¿Hemos dicho contraseñas distintas? Sí, así es. Si utilizas la misma contraseña en todas las plataformas, con solo conseguir la contraseña en un sitio, los cibercriminales pueden entrar en todos los demás donde estés registrado. De forma que deberías usar una contraseña por sitio web o aplicación. Y tener todas las contraseñas custodiadas a buen recaudo, hay distintas aplicaciones para hacerlo, pero esto daría para otro post.

Configura la verificación en dos pasos: La mayoría de grandes empresas como Google, Android, Epic Games o las bancas digitales, nos ofrecen la llamada verificación en dos pasos, es decir, nos ofrecen la posibilidad de activar una confirmación de inicio de sesión vía sms a nuestro móvil personal.

Utiliza un buen antivirus y escanea todos tus dispositivos (ordenadores y móviles) en busca de malware y otros códigos maliciosos. Lo más recomendable, si quieres tener todas las garantías, es que sea un buen antivirus de pago. Si no estás dispuesto a pagar por tu seguridad, cuando menos implementa alguna de las opciones de antivirus gratuitos disponibles en la red.

Evita que te graben y te vigilen con una cubierta para tu webcam. Deshabilita tu micrófono si no lo estás utilizando, utilizando estas guías:

Windows 10

Apple Mac

Y tú, ¿has sido víctima de alguna brecha de seguridad?. ¿Cómo te has dado cuenta?. ¿Te ha notificado alguna empresa la pérdida o robo de tus datos personales?

Si aún no tienes protegida la seguridad de tu empresa, en Prestigia te ofrecemos un servicio de mantenimiento y seguridad digital para asegurar tu tranquilidad y la protección de tus principales activos. Puedes contactar con nuestros especialistas en ciberseguridad.

¿Cómo saber si nuestro ordenador está infectado o pertenece a una botnet?
400 266 Prestigia

En noticias relacionadas con ciberdelincuentes, encontramos multitud de términos, expresiones técnicas o jerga tecnológica que el lector, en general, desconoce. En la siguiente publicación vamos tratar una de ellas: las botnets.

Antes de hablar de ellas vamos a explicar qué son. Una botnet es el término que se aplica a una gran red de ordenadores interconectados a un anfitrión u ordenador que los controla a todos a través de malware o algún otro programa informático.

Las botnets no tienen tamaños fijos, las más pequeñas pueden tener cientos de ordenadores y las más grandes cuentan con millones de ordenadores repartidos por todo el mundo, que han sido infectados con malware y están a la espera de ejecutar cualquier ataque coordinado que el gestor de la red prepare. El malware que las gestiona se vende al mejor postor, por lo que es habitual encontrar multitud de botnets funcionando bajo un mismo malware. Su uso habitual es para realizar ataques DDoS, ya que este tipo de ataques requieren una cantidad importante de ordenadores y su ancho de banda, conectándose al mismo tiempo a un servidor o página web para sobrecargar el sistema y provocar su desconexión. Otro uso habitual de una botnet es para hacer envío de spam o ataques de phishing.

Según informa La Vanguardia, «un total de 92 países fueron víctimas de ciberataques de botnet DDoS durante el cuarto trimestre de 2017, seis menos que en los tres meses anteriores, según datos de Kaspersky Lab. La compañía de ciberseguridad ha explicado que las motivaciones detrás de los incidentes más importantes fueron políticas.

¿Cómo infectan nuestro equipo y lo unen a una botnet?

Los ciberdelincuentes suelen utilizar dos tipos de ataques o formas de infectar nuestros equipos; el más común y fácil de ejecutar es enviar multitud de correos electrónicos, adjuntando ficheros PDF o Word, con código ejecutable en su interior. Una vez que el usuario abre el fichero y se ejecuta el código, su ordenador se infecta y se une a la botnet.

El segundo método es más laborioso y se conoce como drive-by downloads, y consiste en infectar un servidor web, aprovechando vulnerabilidades en su código y cargando el malware en él, infectando a los ordenadores de los usuarios que visitan la página, o dirigiéndolos a otras páginas desde donde poder infectar los equipos para poder controlarlos más tarde.

En ambos casos, un ordenador infectado está en manos del ciberdelincuente que gestiona la botnet, pudiendo hacer lo que quiera con él.

¿Cómo saber si nuestro ordenador pertenece a una botnet?

¿Habéis detectado alguna vez que la velocidad de Internet se vuelve lenta sin motivo aparente? ¿Que vuestro ordenador deja de responder? ¿Que los ventiladores de vuestro ordenador están funcionando a toda velocidad? Estos son algunos de los síntomas que indican que vuestro ordenador está infectado y puede estar vinculado a una botnet.

Lo primero es realizar un escaneo a nuestro equipo con la solución de seguridad o antivirus que tengamos instalada. Este escaneo debe ser a fondo y completo, ya que los antivirus suelen hacer escaneos rápidos para no consumir demasiados recursos de los equipos y no escanean todo el sistema de ficheros. Una vez finalizado, deberemos revisar el informe de resultados y realizar las acciones que se indiquen.

Si la solución de seguridad no indica ninguna infección, pero nuestro equipo se sigue comportando de forma errónea, se pueden usar programas específicos para detectar si el equipo pertenece a una botnet. Microsoft ofrece gratuitamente su Safety Scanner, como complemento a otros antivirus cuya misión es encontrar spyware, malware o rastros de las botnets más conocidas.

Si queremos comprobar si nuestra conexión o equipos pertenecen o han pertenecido a alguna botnet, la Oficina de Seguridad del Internauta (OSI) ofrece un servicio antibotnets desde el cual se puede comprobar la conexión o instalar alguno de los plugins para navegadores para hacer la comprobación de forma regular.

¿Cómo evitar que nuestro ordenador se una a una botnet?

Lo más importante es seguir unas sencillas pautas que nos protegerán en la mayoría de los casos:

1. No abrir ficheros adjuntos que no estemos esperando, aunque el remitente sea conocido. Como hemos comentado anteriormente, una de las formas de infección es vía correo electrónico. Se han infectado miles de ordenadores abriendo ficheros adjuntos en correos de compañías de mensajería, cuando el usuario no esperaba ningún paquete, o reclamos de premios en sorteos que nunca hemos participado, etc. Ante la duda, borrar siempre el mensaje.

2. Tener siempre nuestro ordenador actualizado y, en la medida de lo posible, contar con la última versión del sistema operativo existente instalado. En caso de no poder actualizar nuestro sistema operativo, debemos tener instaladas las últimas actualizaciones disponibles.

3. En entornos Windows, disponer de alguna solución de seguridad y antivirus instalada. Existen multitud de ellas, gratuitas y de pago. En entornos Mac se recomienda disponer de alguna solución antimalware, al igual que en entornos Linux sobre todo si instalamos software de sitios de dudosa reputación. Este tipo de soluciones suelen disponer de herramientas de monitorización del correo electrónico y del tráfico de internet en tiempo real, cuya misión es detectar el intento de instalación o ejecución de cualquier programa que conecte nuestro ordenador a la botnet. Por ejemplo, Malwarebytes.

¿Conoces lo que sucede en tu red informática? ¿Están seguros tus equipos o servidores? Si necesitas revisar tu red, servidores o equipamiento informático, podemos ayudarte.

test de intrusión
Test de intrusión: prevención ante el ciberataque que puede sufrir tu empresa
1024 688 Prestigia

Hace tiempo que no pasa un día en que se produzca un nuevo ataque informático. No se salva nadie. Ni los bancos, que aunque podrían parecer inexpugnables, no lo son. Tampoco ha salido bien parado IESE, una de las escuelas de negocio más prestigiosas del mundo, que esta semana sufría un hackeo grave y aún no se ha recuperado.

El Internet de las Cosas (IoT), la presencia constante de servicios en la nube, las redes sociales e Internet en general esconden debilidades en sus sistemas o infraestructuras que ciberdelicuentes pueden usar para robar información, realizar ciberespionaje industrial o incluso dejar a una empresa sin servicios de comunicación online.

La mejor defensa ante la ciberdelincuencia es la prevención. Esa prevención empieza conociendo nuestros sistemas realizando un test de intrusión que nos permita evaluar los sistemas informáticos y su fortaleza ante posibles ataques intrusivos.

Test de intrusión: qué es y objetivos

El test de intrusión consiste en simular un ataque informático con el objetivo de infiltrarse en los sistemas. En otras palabras, se realiza una auditoria de seguridad pactada con el cliente a fin de llevar a cabo un acceso no autorizado a las redes y sistemas informáticos de la compañía. Todo ello de forma controlada.

El objetivo del test de intrusión es:

  • Detectar fallos y vulnerabilidades que necesitarán una corrección.
  • Descubrir el nivel de seguridad frente a ataques externos.
  • Prevenir intrusiones ajenas a la empresa
  • Mejorar el entorno de trabajo consiguiendo afianzar la seguridad de los sistema de información.

¿Cómo se realiza un test de intrusión?

Desde Prestigia Seguridad utilizamos la metodología de auditoría OWASP TOP 10 en nuestros trabajos de auditoría web desde un punto de vista de seguridad y evaluación de riesgos.

Este proceso para realizar un test de intrusión consta de las siguientes fases:

1. Recogida de información pública del cliente: Dominios, IP’s, servicios que ofrecen, todo ello a través de un análisis de sus páginas web, redes sociales, listas de IP’s, etc… buscando obtener el mayor número de información posible para preparar las siguientes fases de test.

2. Testeo la seguridad de sistemas de información y redes: analizar el hardware y el software, obtener toda la información de los servicios que funcionan en un servidor (web, correo, idap, nas, ftp…), … Los protocolos usados y los puertos abiertos son algunos de los puntos que ofrecen información sobre cómo acometer la intrusión o ataque a esos sistemas. Además se evalúan las políticas de control o acceso, la calidad de las contraseñas, las reglas del firewall y otros sistemas de seguridad de la empresa en caso de existir.

3. Evaluación de la capa de aplicaciones web, es decir, las accesibles desde internet, como extranets, e-commerces, crm, páginas web u otros…: formularios de entrada de datos, back-ends o gestores de contenido, directorios y cualquier código propio o de terceras partes (como plugins) que exista y sea accesible desde Internet para detectar vulnerabilidades que permitan efectuar ataques SQLi, XSS, DDoS, inyección de scripts que redireccionan a publicidad o al minado de criptomonedas.

Estos dos puntos se puede evaluar en diferente orden y dependerá de la información obtenida y la planificación anterior.

¿Por qué realizar un test de intrusión?

La mejor forma de conocer cuán segura es una web, red o sistema informático de una compañía es poniéndolo a prueba. Por eso, cuando se contrata un servicio de test de intrusión, el auditor actúa con técnicas similares a las de un ciberdelincuente que realiza un ataque con malas intenciones. Es decir, actúa como si quisiera robar información o actuar de forma ilegítima. De esta manera, pone a prueba los sistemas y descubre hasta qué punto están preparados para afrontar un ataque real de tipo intrusivo.

¿Te interesa poner a prueba tus sistemas? Contáctanos para realizar un test de intrusión.

8 vulnerabilidades que hacen tu app insegura
1024 690 Prestigia

A menudo se habla sobre los riesgos de seguridad en redes sociales, Internet en general, correos electrónicos, etc. Sin embargo, también hay que vigilar que una app sea segura, especialmente teniendo en cuenta que según el estudio anual Mobile Marketing 2017 de IAB Spain, el uso de aplicaciones es mucho más intensivo de lo que los usuarios se imaginan.

Vulnerabilidades y riesgos más frecuentes en apps móviles

Según datos de Nowsecure, el 25% de las aplicaciones móviles contiene al menos una vulnerabilidad de seguridad de alto riesgo. El uso de dispositivos móviles es más intenso que nunca por lo tanto las vulnerabilidades también son más frecuentes y tanto empresas como particulares están más expuestos a ellas. A continuación, comentamos algunas de las vulnerabilidades más comunes:

  • Intentos de copiar el código fuente. Las aplicaciones suelen recopilar data sobre los usuarios, por lo tanto son muy golosas para los hackers. En este sentido, para evitar que se copie el código fuente, se lleva a cabo una ofuscación del mismo. Aunque no es definitivo frena muchos intentos de copiarlo.
  • Controles frágiles en el servidor. Las llamadas que realiza la app al servidor y viceversa es un foco peligroso. Por ello, se trabaja la securización de las llamadas de Webservice para evitar peligros. Se trata de un foco peligroso en el ámbito de las aplicaciones móviles.
  • Fuga de datos personales involuntaria. En el código fuente de una aplicación hay funciones más sensibles y otras menos. Por ejemplo, datos como los pagos, área de usuario, contraseñas o información personal son más sensibles que los datos generados en la aplicación. En este sentido, se recomienda llevar a cabo un cambio de nombre en comandos clave para que estos datos sean difíciles de reconocer e interpretar, y con una búsqueda simple de texto no sea posible encontrarlos.
  • Carencia de SSL. Al igual que sucede en las páginas webs con el certificado SSL, si una aplicación no dispone del mismo, no es segura. Por eso es importante que cuando una empresa desarrolla una aplicación móvil, está disponga del certificado SSL. Si al usuario le llega una alerta de que está ante una aplicación no segura, lo más posible es que no la descargue o incluso la desinstale.
  • Encriptación rota o débil: Estamos ante este caso cuando la comunicación a través de la red sin ningún tipo cifrado o uno muy débil que no garantizan la privacidad y seguridad de las conversaciones. Se trata de un aspecto muy importante a tener en cuenta durante el desarrollo de la aplicación móvil ya que si el algoritmo de encriptación no es lo suficientemente fuerte será un blanco fácil para los hackers.
  • Código abierto: El desarollo de una aplicación con código abierto implica que el desarrollador da acceso a su código fuente. Por un lado, facilita más ojos que puedan detectar los fallos pero…también mayor exposición y riesgo a que manos ajenas con fines delictivos o malignos también tengan a su alcance el código de tu aplicación. De hecho, dos de cada tres aplicaciones que usan código abierto son vulnerables.

Y como sucede en cualquier ámbito digital, las aplicaciones no están exentas de sufrir ataques por parte de hackers y malwares maliciosos. Estos son algunos de los más conocidos:

  • El DDoS es un ataque por derribo muy común. Consiste en lanzar miles de consultas a un servidor hasta que este cae. Para evitarlos, se implementan métodos anti DDoS que frenen, penalicen o cancelen ataques de esta clase.
  • Ataque XSS: Con este tipo de ataque el hacker consigue es capaz de inyectar un script, normalmente Javascript, en la app. De esta forma, el ataque se produce debido a una incorrecta validación de los datos de usuario. Con el XSS el delincuente informático puede robar cookies, sesiones de usuarios, modificar la app, instalar malware o incluso dirigir al usuario a sitios malignos.

Aunque a priori las vulnerabilidades más habituales en apps sean desconocidas o invisibles para el usuario, la realidad es que pueden causar importantes estragos. Especialmente en relación al robo de datos personales. El mismo riesgo corren las empresas que, además, si son víctimas de una vulnerabilidad pueden ver cómo se pierde la confianza de los usuarios en ellas, afectando al reconocimiento y uso de la aplicación por parte de los usuarios.

Si quieres desarrollar una aplicación móvil totalmente segura para ti y para los usuarios, ¡contáctanos y descubre cómo podemos ayudarte!

seguridad en redes sociales
10 consejos de seguridad en redes sociales
1024 692 Prestigia

En nuestro último post os hablábamos sobre los riesgos de seguridad en redes sociales. Internet es el caldo de cultivo perfecto para miles de hackers que atacan bajo el anonimato y aprovechan nuestra desprotección.

Para evitar los riesgos no hay nada mejor que tener sentido común y actuar de forma preventiva. Si un ataque te pilla con la guardia alta será más fácil que puedas combatirlo y frenarlo. Así que aquí os dejamos con 10 consejos de seguridad en redes sociales:

  1. Utiliza contraseñas seguras. Es el más repetido de nuestros consejos pero es que es una verdad como un templo. Olvídate de nombres, día de nacimiento o fechas de aniversarios. Crea una contraseña única, de al menos ocho caracteres, combinando mayúsculas, minúsculas, números y caracteres especiales (asterisco, barra,…). A eso se le llama contraseña robusta y es la que mejor te protege.
  2. No guardes tus contraseñas en el navegador. De nada sirve tener una contraseña fuerte si tu ordenador las tiene guardadas de forma automática. Es muy cómodo pero cualquiera que hackee tu ordenador o si te lo roban, podría acceder a ellas y a toda tu información y contactos.
  3. Desconfía de los sitios que no empiecen por https. Implementar un certificado SSL tiene sus ventajas y no hacerlo sus desventajas. Si estás en una web cuya URL no incorpora el certificado de seguridad, ándate con más ojo, el riesgo es mayor.
  4. ¿Compartes ordenador? Usa sesión privada y no olvides cerrar la sesión en todas tus redes sociales para evitar que alguien pueda acceder a tus datos personales.
  5. Lee antes de autorizar. Seguro que en más de una ocasión Facebook, Instagram o cualquier red social que tienes instalada en tu móvil te ha solicitado permisos por parte de alguna app asociada a estas redes antes de realizar algún tipo de acción. Destierra la mala costumbre de aceptar sin leer y tu seguridad en redes sociales será más fiable. Existen apps maliciosas que logrando estos permisos de tus principales redes, te roban la información.
  6. Configura tu privacidad. Como en el punto anterior de estos consejos de seguridad en redes sociales, es probable que no te hayas preocupado mucho de tu privacidad. ¡Hazlo! Tan solo te llevará cinco minutos acceder a la configuración y ver hasta qué punto están tus datos expuestos. Revisa y actualiza en función de tus necesidades o preferencias. Y sobretodo, si de verdad no quieres que algo se sepa, no lo cuelgues porque no hay medio digital que sea infranqueable.
  7. Piensa y luego publica. Las redes sociales ofrecen anonimato pero también exposición a tu vida personal y privada. Todo lo que publiques quedará registrado en Internet y algún día puede ser público.
  8. Cuidado con la localización y el GPS. Tu actividad deja rastro en la red y no es muy difícil rastrear dónde has estado o qué has hecho con tan solo leer algunos comentarios o ver tus imágenes. Especialmente si también usas las opciones de localización. Por ejemplo, ¿estás seguro de publicar a cada minuto tu ubicación? Podrías estar alertando a posibles ladrones de que no estás en casa.
  9. ¡Ojo con los links! En redes sociales circulan miles de links al día que ocultan malware. Antes de hacer clic, fíjate en el enlace y quien te lo ha enviado. Ante cualquier sospecha, mejor no lo abras.
  10. Sentido común. El menos común de los sentidos y el que más flojea cuando nos dejamos llevar por la inmediatez y la rapidez en las redes sociales. La mayoría de malware o ataques requiere interacción por parte del usuario para llevarse a cabo…así que afina tu olfato en internet y no se lo pongas fácil a los delincuentes que circulan por la red.

¿Qué te han parecido estos 10 consejos de seguridad en redes sociales? Sencillos, ¿verdad? Son fáciles de aplicar así que ya no tienes excusas para navegar tranquilo por las redes sociales. ¡Disfrútalas pero con precaución!

En Prestigia Online S.L. utilizamos cookies para asegurar que damos la mejor experiencia al usuario en nuestro sitio web. Si continúa utilizando este sitio asumiremos que está de acuerdo. Más información sobre las cookies que utilizamos en nuestra Política de cookies.