contraseña segura archivos

Qué son los ataques de fuerza bruta y cómo evitarlos

https://seguridad.prestigia.es/wp-content/uploads/2019/10/Ataques-de-fuerza-bruta-prestigia-seguridad.jpg 1020 690 Prestigia Prestigia https://seguridad.prestigia.es/wp-content/uploads/2019/10/Ataques-de-fuerza-bruta-prestigia-seguridad.jpg 29 octubre, 2019 29 octubre, 2019

29 octubre, 2019

Este tipo de ataques, bastante usuales, se conocen también como ataques de login o descifrado de contraseñas. Los ataques de fuerza bruta suelen llevarse a cabo con el fin de obtener las credenciales de usuario y permitir el acceso a los sitios web, ya bien sea para el para el robo de información sensible, la alteración del contenido web o la distribución de campañas de phishing o malware. Igualmente, aunque no logren penetrar en el sitio web, los ataques de fuerza bruta pueden saturar los servidores con tráfico dado el alto número de peticiones, lo que podría dar lugar a importantes problemas de consumo de CPU y rendimiento para la web que sufre el ataque.

Cuentas de correo, redes sociales, banca en línea, servicios de gestión como pueden ser FTP o SSH… podríamos enumerar cientos de servicios susceptibles a sufrir este tipo de ataques.

Los cibercriminales lo utilizan como primeros pasos para realizar el hackeo del sitio, y esta técnica aún continúa funcionando. No existe otro motivo que la simplicidad de las contraseñas que utilizan los usuarios para proteger sus servicios o cuentas. Ante esto, uno de los siguientes pasos podría ser parte de una botnet, tras lograr ingresar en el sitio.

A continuación, comentamos como ejecutarían los cibercriminales estos ataques, principalmente tendríamos:

Ataques a formularios acceso: Por una parte, encontramos los ataques de diccionario, es decir, listas de palabras. Su funcionamiento es sencillo, consiste en probar todas las palabras del listado con el fin de intentar ver si son válidas. Aunque pueda parecer que llevaría bastante tiempo, realmente en muchas ocasiones, debido a la facilidad de contraseñas de los usuarios, es cuestión de minutos obtener acceso a las aplicaciones o servicios.
Ataques de contraseñas: Por otra parte, encontramos los ataques a contraseñas cifradas. Partimos de un hash obtenido de base de datos por ejemplo o de un sistema comprometido, es decir, una contraseña cifrada. Sin embargo, en este caso no realizaremos peticiones a un sitio web, sino que utilizaremos software con un diccionario de palabras igualmente, para intentar descifrar la contraseña. A este tipo de diccionarios se les llaman Tablas Arcoiris (Rainbow Tables), donde probaremos igualmente combinaciones de forma “offline” hasta obtener el par hash/contraseña.

Conociendo los posibles ataques, vamos a ver posibles mitigaciones para este tipo de ataques.

Mitigar ataques de fuerza bruta con CAPTCHA

Los captchas son controles de seguridad, obligatorios, con una imagen o un texto que necesita interactuación para resolverlo. Al tener múltiples combinaciones, esta es la gran ventaja que tenemos para que un ataque automático no tenga efecto. Este tipo de sistemas evitan con una gran efectividad este tipo de ataques. El método más efectivo, que aúna las ventajas en seguridad contra ataques por fuerza bruta y no molesta a los usuarios, sería implementarlo de forma que solo fuera obligatorio a partir de un número determinado de fallos.

Mitigar ataques con doble autenticación

Este servicio es ofrecido por muchos proveedores como servicio adicional de seguridad. Con esta opción se aumenta el nivel de seguridad contra un ataque de fuerza bruta, ya que el mecanismo para que se autentique el usuario tiene elementos adicionales tal como responder a una pregunta secreta, un numero PIN o un mensaje de texto. Este mecanismo adicional, previene que sea un ataque de fuerza bruta, quien intenta acceder.

Mitigar ataques de fuerza bruta en WordPress

Para evitar que con este tipo de ataques accedan a vuestro WordPress, como ya comentamos en el post cómo pueden infectar nuestro WordPress, os comentamos los siguientes consejos.

Es posible realizar el cambio de nombre de usuario. Esto se podría realizar mismamente con usando plugins como iThemes Security. De igual forma, también sería posible realizar el cambio manualmente directamente en base de datos utilizando phpMyAdmin por ejemplo.

Además, usando el plugin iThemes Security o por ejemplo Wordfence Security, será posible limitar los intentos de acceso y ocultar el nombre de usuario utilizado en el campo alias de las preferencias de usuario. Por último, si solo se necesita limitar los intentos de acceso, también es posible usar el plugin Limit Login Attempts.

Por último, desde Prestigia Seguridad, nuestro equipo realiza auditorias de seguridad que contemplan este tipo de pruebas con el fin de mejorar la seguridad de tu sitio web.

Qué son y qué hacer ante las Brechas de Seguridad

https://seguridad.prestigia.es/wp-content/uploads/2019/05/Password-Login-Brechas-de-Seguridad-1024x576.jpg 1024 576 Prestigia Prestigia https://seguridad.prestigia.es/wp-content/uploads/2019/05/Password-Login-Brechas-de-Seguridad-1024x576.jpg 2 mayo, 2019 30 agosto, 2019

2 mayo, 2019

Hace poco más de un año nos hacíamos eco en este blog de que la ciberseguridad era, para el Foro de Davos, un desafío global. La seguridad en Internet, decíamos, es un riesgo que tiene un coste global anual de 500.000 millones de dólares. Ahí es nada.

La inmensa mayoría de los ataques los sufren empresas corrientes, pymes como la nuestra. Así, según el INCIBE, el 70% de los ataques informáticos son dirigidos a PYMES. Con todo, también las grandes marcas se ven afectadas y nos recuerdan que ninguno estamos a salvo. En lo que llevamos de año, tenemos constancia de que han sufrido ataques Facebook, Xiaomi, Toyota, Nokia y Twitter, entre otras. Muchas de estas empresas trabajan y se nutren de nuestros datos.

Desde Prestigia Seguridad queremos recordaros cuáles son las principales medidas que hay que tomar cuando tus datos personales se ven comprometidos por una brecha de seguridad.

¿Qué es una brecha de seguridad?

Las brechas de seguridad son fallos o violaciones de seguridad en las empresas que almacenan datos personales y que conllevan la pérdida o robo de estos. Cualquier empresa es susceptible de sufrir una brecha de seguridad, siendo el factor humano la causa principal.

Los cibercriminales pueden utilizar una brecha de seguridad para conseguir datos como contraseñas, números de tarjetas de crédito, archivos personales, etc.

Hace unos días, por ejemplo, Microsoft anunciaba que unos ciberdelincuentes tuvieron acceso a cuentas personales de correo electrónico de sus usuarios a causa de una brecha de seguridad. Los hackers lo lograron gracias a la contraseña de un trabajador de la empresa. Incluso en un gigante tecnológico como Microsoft, la formación de sus empleados se ha demostrado insuficiente.

Otro ejemplo muy comentado este 2019, ha sido la brecha de seguridad que sufrió el popular videojuego multiplataforma Fortnite, donde quedaron expuestos datos personales de las cuentas de los jugadores, incluyendo los números de las tarjetas de crédito. Los atacantes pudieron hacer compras dentro del juego aprovechando los datos bancarios que obtuvieron.

La aerolínea British Airways, sufrió una brecha de seguridad entre los días 21 de agosto y 5 de septiembre del 2018, donde le robaron 300 mil números de tarjetas de crédito, de usuarios que realizaron reservas a través de la página web de la compañía y de la aplicación móvil.

Facebook, la red social con más usuarios del mundo, ha sufrido varios ciberataques desde su aparición en 2004. En septiembre de 2018 la compañía escribió una publicación en su blog, dando a conocer un fallo de seguridad que afectó a 50 millones de cuentas que los cibercriminales aprovecharon para acceder a las cuentas afectadas.

Qué hacer como usuario ante una brecha de seguridad

Lo primero que podemos hacer nosotros como usuarios es prevenir.

Como os explicamos en nuestro post sobre la sextorsión, un hacker puede aprovechar una brecha de seguridad en una web, plataforma o aplicación donde estés registrado, y con ello, conseguir tu información personal, mandarte un email utilizando alguna de tus contraseñas como gancho y pedirte dinero a cambio de no compartir tus datos personales. Así son las extorsiones modernas.

Puede que tus datos se hayan visto comprometidos y te enteres por alguna noticia aparecida en los medios, por aviso de la propia empresa afectada o por contrastarlo tú mismo usando alguna herramienta pública como ésta: https://haveibeenpwned.com

Desde Prestigia recomendamos:

– Mantener la calma: cuando recibes algún chantaje o extorsión, ignora al remitente. En general, negociar con un cibercriminal que hace del engaño y el robo su medio de vida no acostumbra a ser una buena idea. Denúncialo a la Policía.

– Cambia tus contraseñas en todas tus redes y dispositivos: esta es la primera medida de choque cuando tus datos se han visto comprometidos. Tus nuevas contraseñas deben ser distintas y robustas. Hay páginas muy útiles, como Password.es, que te ayudan a crearlas, de forma que puedas incluir mayúsculas, minúsculas, letras, números y símbolos (mínimo 8 caracteres).

¿Hemos dicho contraseñas distintas? Sí, así es. Si utilizas la misma contraseña en todas las plataformas, con solo conseguir la contraseña en un sitio, los cibercriminales pueden entrar en todos los demás donde estés registrado. De forma que deberías usar una contraseña por sitio web o aplicación. Y tener todas las contraseñas custodiadas a buen recaudo, hay distintas aplicaciones para hacerlo, pero esto daría para otro post.

– Configura la verificación en dos pasos: La mayoría de grandes empresas como Google, Android, Epic Games o las bancas digitales, nos ofrecen la llamada verificación en dos pasos, es decir, nos ofrecen la posibilidad de activar una confirmación de inicio de sesión vía sms a nuestro móvil personal.

– Utiliza un buen antivirus y escanea todos tus dispositivos (ordenadores y móviles) en busca de malware y otros códigos maliciosos. Lo más recomendable, si quieres tener todas las garantías, es que sea un buen antivirus de pago. Si no estás dispuesto a pagar por tu seguridad, cuando menos implementa alguna de las opciones de antivirus gratuitos disponibles en la red.

– Evita que te graben y te vigilen con una cubierta para tu webcam. Deshabilita tu micrófono si no lo estás utilizando, utilizando estas guías:

Windows 10

Apple Mac

Y tú, ¿has sido víctima de alguna brecha de seguridad?. ¿Cómo te has dado cuenta?. ¿Te ha notificado alguna empresa la pérdida o robo de tus datos personales?

Si aún no tienes protegida la seguridad de tu empresa, en Prestigia te ofrecemos un servicio de mantenimiento y seguridad digital para asegurar tu tranquilidad y la protección de tus principales activos. Puedes contactar con nuestros especialistas en ciberseguridad.

10 errores en la gestión de la seguridad en la empresa

https://seguridad.prestigia.es/wp-content/uploads/2018/06/gestion-de-la-seguridad-en-la-empresa-1024x690.png 1024 690 Prestigia Prestigia https://seguridad.prestigia.es/wp-content/uploads/2018/06/gestion-de-la-seguridad-en-la-empresa-1024x690.png 8 junio, 2018 7 junio, 2018

8 junio, 2018

No hace mucho os hablamos en el blog de Prestigia Seguridad sobre los principales riesgos de la pyme en ciberseguridad. En ocasiones, algunos de estos riesgos derivan no sólo de una falta de seguridad y precaución sino de errores en la gestión de la seguridad en la empresa. Y aunque equivocarse es de sabios, mejor es aprender de los errores.

Hoy en el blog queremos hablaros de algunos errores en la gestión de la seguridad que las empresas cometen a menudo. Toma nota y…¡evítalos!

La información de mi empresa no interesa a nadie. Este es uno de los grandes errores que suelen cometer muchas empresas, especialmente las más pequeñas. Creen que por ser pequeñas no son objetivo de hackers. Se confían y bajan los niveles de seguridad, convirtiéndose así en un blanco fácil. En este sentido, también es muy común infravalorar, por ejemplo, la importancia de la confidencialidad, como si no fuera necesario proteger la información a través de acuerdos de confidencialidad con todos los grupos de interés (clientes, proveedores, empleados,…)
La seguridad es una cuestión puramente informática. La gestión de la seguridad en una compañía va más allá de los controles técnicos e informáticos. Los aspectos legales y organizativos, si se descuidan también hay que vigilarlos si no puede pasar que, por ejemplo, seamos víctimas de phishing.
Con un antivirus y un firewall ya estoy protegido. Aunque son dos productos básicos para estar protegido, también es cierto que no es suficiente. Existen muchísimas amenazas que no se evitan únicamente con un antivirus.
Los problemas de seguridad vienen del exterior. A menudo las empresas consideran que los riesgos de seguridad son ajenos a la compañía. Sin embargo, algo tan sencillo como utilizar un USB infectado o abrir un enlace malicioso que nos llega al e-mail puede poner en jaque la seguridad de la empresa. Por eso, es importante sensibilizar y concienciar al personal sobre medidas y hábitos para proteger la seguridad de la empresa. Es importante que conozcan las amenazas a las que se enfrentan.
Descuidar el mantenimiento es algo muy habitual entre pequeñas empresas para las que la seguridad está en el última escalón de la compañía. No llevar un control y mantenimiento de la red y los sistemas puede derivar en una red vulnerable que sea fácil de atacar para acceder a la información corporativa. Lo mismo sucede con programas o software que se pasan meses sin actualizar, facilitando ser víctima de un ataque porque, al no haber actualizado, tu programa o sistema no dispondrá de los últimos parches de vulnerabilidad que se hayan aplicado.
Copias de seguridad. Si no las tienes, estás perdido. Pero también lo estarás si no se mantienen ni realizan de forma periódica.
No comprobar que el plan de recuperación funciona. Es posible que muchas compañías ni siquiera tengan plan de recuperación ante desastres. Pero casi peor es tenerlo y no haber probado si funciona correctamente.
Utilizar contraseñas débiles. Sí, sabemos que nunca te olvidarás del día de tu cumpleaños pero es una contraseña tan previsible que no te protege de los ciberataques. Recuerda: usa contraseñas largas, combinando letras minúsculas y mayúsculas y también símbolos y números. Tampoco utilices la misma contraseña para diferentes cuentas.
El Wi-Fi público no es seguro. Conectarse a cualquier Wi-Fi para ahorrar algunos datos en nuestra tarifa telefónica puede salirte caro. Recuerda que el Wi-Fi público no es tan seguro como el de tu oficina o de tu casa. Por eso, evita usar las redes Wi-Fi para realizar acciones como consultar tu saldo o hacer una transferencia. Los piratas informáticos pueden estar al acecho.
Fiarse de los desconocidos. ¿Recuerdas cuando de pequeño tus padres te decían que no te fueras con desconocidos? Aplica esta norma básica en el día a día de tu empresa: no abras emails de remitentes desconocidos o sospechosos porque puede contener enlaces maliciosos ni descargues apps de fuentes no oficiales. Evita también visitar páginas que te adviertan de que no tienen el certificado SSL.

Confiésalo…¿cuántos de estos errores en la gestión de la seguridad cometes en tu empresa? Esperamos que este post te sirva de ayuda pero si necesitas protegerte de posibles riesgos y ciberataques, consulta nuestros servicios de seguridad en Internet o contáctanos.