Protección de Datos – Casi la mitad de las empresas españolas todavía no se han adaptado plenamente al RGPD
Check Point ha llevado a cabo una encuesta en la que han participado 1.000 CIOs, CTOs y responsables del área TI en Francia, Alemania, Italia, Reino Unido y España, para conocer el grado de implantación del RGPD, así como los principales beneficios que esta reglamentación ofrece y los retos que los profesionales del sector encuentran para cumplir con todos los requisitos. En este sentido, cabe destacar que casi la mitad de las empresas españolas (47%) todavía están trabajando para adaptarse totalmente al RGPD, aunque ya contemplan la gran mayoría de las medidas impuestas por esta regulación. Las cifras del RGPD en España El estudio de Check Point alerta de que el nivel de implantación del RGPD en España se sitúa por debajo de la media europea: el 52% de las empresas españolas han adoptado por completo todas las medidas de esta regulación, frente al 60% a nivel europeo. Sin embargo, las compañías nacionales se muestran más optimistas en cuanto al grado de satisfacción de su desempeño a la hora de cumplir con esta normativa, puesto que lo califican con 8,17 sobre 10, mientras que la media europea se sitúa en 7,91. Si bien en un principio existía temor hacia esta normativa, debido principalmente a las multas y las dudas sobre cómo adaptarse de la mejor manera, más de una año después de su puesta en marcha de manera oficial la percepción de las empresas sobre el RGPD es positiva, ya que la mayoría de los encuestados declara que el RGPD ofrece grandes beneficios a la hora de establecer relaciones fiables con sus clientes (83%) así como para optimizar la estrategia de protección de datos de la empresa (74%). Principales preocupaciones en torno al RGPD Cumplir con los nuevos requerimientos (52%), sobre todo a nivel técnico, surge como una de las principales preocupaciones actuales para los responsables de las empresas españolas. En este sentido, adoptar medidas de seguridad estándar (55%), implementar y acceder a sistemas de control de cifrado (53%) y adaptar soluciones de prevención de pérdida de datos (49%), se sitúan entre los cambios más destacados que han llevado a cabo las empresas españolas. A nivel europeo también se apuesta por las medidas de seguridad estándar y las soluciones para evitar pérdidas de información, pero los procesos de formación de empleados en materia de riesgos y técnicas de protección de datos (41%), se cuela como otra de las medidas implantadas. Desde un punto de vista tecnológico, el 22% de los encuestados en España identifica la seguridad cloud como una de las principales soluciones tecnológicas a considerar para cumplir con esta normativa. En este sentido, destaca el hecho de que casi 3 de cada 10 encuestados (27%) señala que el RGPD les ha motivado a utilizar soluciones cloud. De hecho, un 94% de las compañías españolas ya está utilizando arquitecturas en la nube, con mínimas diferencias de uso en pública y privada. La estrategia de seguridad y las predicciones de futuro en torno a esta normativa La llegada de este reglamento supuso la necesidad de realizar grandes cambios en la estrategia de ciberseguridad de las empresas. El estudio de Check Point pone de manifiesto que el 65% de los encuestados cree que sus compañías tienen un enfoque orgánico en materia de protección en el mundo digital, un porcentaje que asciende hasta el 76% en el caso de España. Por otra parte, otros datos destacados en cuanto al enfoque de ciberseguridad de las empresas son que el 61% basa su estrategia en el estudio de cada incidente de seguridad por separado, mientras que el 13% señala que su enfoque no ha variado en absoluto. De cara al futuro, el 93% de las empresas españolas señala que tiene proyectos en proceso relativos al RGPD. En este sentido, las empresas españolas destacan como principales beneficios de esta normativa que dota a las empresas de la capacidad de realizar operaciones (especialmente en lo relativo a la ciberseguridad) de forma más eficiente (57%), que les permitirá mostrar su enfoque en la protección de datos para aumentar la confianza y fidelidad de sus clientes (55%) y aportar una visión más detallada de los datos que la compañía procesa (48%). Tan sólo un 4% afirma que el RGPD no aportará ningún beneficio a su modelo de negocio. “El 25 de mayo de 2018 dio comienzo una nueva era en la seguridad de la información con la implantación definitiva del Reglamento General de Protección de Datos, una normativa centrada en el tratamiento y circulación de los datos personales de los ciudadanos europeos”, comenta Eusebio Nieva, director técnico de Check Point para España y Portugal. “Tras más de un año, es indudable que aporta grandes beneficios, pero que todavía las empresas tienen trabajo por hacer para cumplir con esta normativa. En este sentido, es necesario destacar que las empresas deben adoptar marcos de trabajo robustos para satisfacer las demandas del GDPR, evitando la fuga de datos y el acceso no autorizado a los datos de los dispositivos robados”, concluye Nieva. Fuente: https://cybersecuritynews.es/casi-la-mitad-de-las-empresas-espanolas-todavia-no-se-han-adaptado-plenamente-al-rgpd/
Protección de Datos – Vender nuestros datos, ¿la solución al problema de la privacidad en Internet?
Muchas empresas venden nuestros datos para ganar dinero, con lo que supone para la privacidad. ¿Y si vendemos nosotros nuestros propios datos? Andrew Yang cree que es la solución. El modelo de negocio de empresas como Facebook o Google se basa en tener la mayor cantidad de datos personales de los usuarios, para poder venderlos posteriormente. Nefasto para la privacidad, pero toda una realidad en la actualidad, ante la que se busca luchar. La última propuesta llega por parte de Andrew Yang, candidato del partido demócrata para las presidenciales. En un post en su blog ha desvelado sus planes sobre la industria de la tecnología. Entre sus propuestas, está que hagamos de nuestros datos nuestra propiedad, como forma de mejorar la privacidad. Un plan similar al que Merkel proponía recientemente. Sería un cambio notable respecto a la situación actual, donde son las empresas las dueñas de nuestros datos. Esto daría más control y poder a los propios usuarios y así decidir qué pasa con sus datos personales. Evitando situaciones como la que Amazon busca con Alexa.Estos planes se revelaron en octubre, pero ahora se ha profundizado más en los mismos. Las empresas tienen una enorme cantidad de datos de los usuarios, cuyo valor es enorme. Nuestros datos valen más que el petróleo, dice Yang en su blog. Además, cada día se crean enormes cantidades de datos. Tomar medidas para mejorar la transparencia sobre la recolección de datos y el proceso de monetización es esencial. Las personas podrán de esta manera reclamar lo que es suyo y poder mejorar la privacidad, protegiendo los datos que son suyos. Según dice Yang, nuestros datos se han convertido en una industria, que solo en Estados Unidos tiene un valor de 198.000 millones de dólares. Este plan puede ser una revolución en este sentido, buscando proteger la privacidad de los usuarios, además de darles más poder sobre lo que ocurre con dichos datos personales. Poder elegir qué quieren vender o si no desean vender estos datos. ¿Es viable un plan así? Herramienta de Facebook. Jane Manchun Wong El plan de Andrew Yang incluye otros puntos como una agencia que busque minimizar el impacto de tecnología en personas, especialmente niños. Regulaciones e impuestos para anuncios online, además de una regulación de los algoritmos que se encargan de expandir bulos o rumores. Se trata de un plan ambicioso, pero poco realista según las primeras críticas. Es cierto que son necesarios cambios en el mundo de la tecnología y nuevas regulaciones, sobre todo en el campo de la privacidad. La duda es si es algo que se va a alcanzar o no mediante planes como este. Estados Unidos lleva meses con debates sobre este tema, tras polémicas como la de Facebook, multada este mismo año. Un plan es necesario, puede que algunas de estas propuestas se acaben haciendo realidad. Fuente: https://www.elespanol.com/omicrono/tecnologia/20191115/vender-datos-solucion-problema-privacidad-internet/444705911_0.html
Protección de Datos – Superindustria inició 29 investigaciones contra campañas políticas por presuntas infracciones a regulación de protección de datos
Las ciudades donde más quejas se han presentado son Bogotá, Medellín, Popayán y Soacha. El 87% de las personas que presentaron una queja manifestaron no haber dado autorización para recibir información con fines de proselitismo político. Bogotá D.C., 30 de octubre de 2019. La Superintendencia de Industria y Comercio, en su rol de autoridad nacional para la protección de datos, inició 29 investigaciones a candidatos de elección popular por eventuales infracciones a la regulación de protección de datos del país. Las decisiones fueron tomadas luego de que se presentaran 38 denuncias ciudadanas ante la Entidad y se tomaran algunos casos evidenciados por redes sociales. Frente a las quejas presentadas, el 47% se ha trasladado a los partidos políticos para que respondan directamente las peticiones de los ciudadanos, mientras que en el otro 47% se han solicitado pruebas a los denunciantes y a los denunciados; y, en el 6% restante se han requerido explicaciones a los candidatos y a los partidos. El 87% de las personas que interpusieron una queja ante la Superindustria manifestaron que no dieron autorización a los candidatos para que usaran su información con fines de proselitismo político, mientras que otro 8,6% de los ciudadanos se quejaron por el uso de imágenes de menores en publicidad política y el 4,4% por difamación política. Las ciudades en las que más se presentaron quejas ante esta autoridad fueron Bogotá, Medellín, Popayán, Soacha, Cali y Bucaramanga. La Superintendencia de Industria y Comercio estará atenta de resolver todas las denuncias. Para el efecto, solicita a los ciudadanos que antes de radicar su queja a la entidad, presenten una reclamación ante el candidato y/o el partido político, quien deberá responderle dentro de los 15 días hábiles siguientes a partir del día siguiente a la fecha de recibo de la misma de conformidad con lo previsto en el artículo 14 de la ley 1581 de 2012. El éxito de las investigaciones dependerá, en buena medida, de las pruebas y datos exactos que puedan entregar los ciudadanos a la autoridad. En caso de que se encuentre que existió una violación de las normas de protección de datos, la Superintendencia de Industria y Comercio puede imponer multas institucionales o personales de hasta 2.000 salarios mínimos legales vigentes. Deberes de las campañas Desde el pasado 3 de julio la Superindustria remitió un oficio a todos los partidos políticos para que respeten la regulación sobre recolección, uso y tratamiento de datos personales en las campañas políticas que se desarrollaron el pasado 27 de octubre. Entre varias cosas, se les solicitó lo siguiente: Únicamente contactar a personas respecto de las cuales tengan prueba de la autorización previa, expresa e informada que exige la Ley 1581 de 2012 para poder recolectar, usar o tratar sus datos personales –privados, semiprivados o sensibles- para fines de publicidad política. Respetar y garantizar el derecho de supresión de los datos personales de contacto cuando son utilizados para fines de marketing o publicidad política. Suspender el uso de datos de contacto –dirección electrónica, número telefónico- para fines publicitarios, cuando así lo requiera o solicite el titular de dichos datos personales. Impartir instrucciones a los candidatos y personas a cargo de la publicidad de las campañas políticas para que las actividades de marketing electoral se realicen cumpliendo todo lo que ordena la Ley 1581 de 2012, especialmente que se respeten los principios, derechos, garantías y procedimientos previstos en dicha ley estatutaria. En el pasado, la Superindustria impuso dos (multas) a candidatos por uso de datos sin autorización de los ciudadanos. La primera fue de $9,240,000 y la segunda por $10,341,825 tal y como consta en las resoluciones 54599 del 15 de septiembre de 2014 y 13790 del 29 de marzo de 2016. Fuente: https://www.sic.gov.co/Superindustria-inicio-29-investigaciones-contra-campa%C3%B1as-pol%C3%ADticas-por-presuntas-infracciones-proteccion-de-datos
Ciberseguridad – ‘Wearables’ y ‘apps’ sobre salud acumulan miles de datos golosos para los ciberdelincuentes
No hacemos más que subir datos. Los regalamos. Ese es el negocio. Lo hacemos en las redes sociales; con las aplicaciones del teléfono móvil; y lo vamos a empezar a hacer con los llamados wearables, objetos y prendas «inteligentes», que también están conectados. Estos wearables y las apps sobre salud están haciendo que cada día subamos miles de datos. Y tal vez la información relacionada con nuestra salud es la más sensible de todas. Asegura la Panda Security que todos esos datos que subimos cuando nos estamos «cuidando» son datos críticos en lo que respecta a la ciberseguridad. Ocurre con los datos médicos. “El principal problema es que los ciudadanos de a pie, tendemos a pensar que a nadie le puede interesar tener esa información nuestra, porque ‘no somos nadie’. Pero, pensar así es un grave error”, afirma Hervé Lamber, Global Consumer Operations Manager de Panda Security. Sin ir más lejos, este mismo año se filtraron los datos personales del primer ministro de Singapur en Internet, causando una crisis que no fue resuelta hasta que el gobierno recuperó el control de la información. Otro ejemplo, el ataque que recibió en 2015 la compañía estadounidense UCLA Health, en el que un grupo de ciberdelincuentes accedió a los datos personales y médicos de 4,5 millones de pacientes. Tendemos a pensar que a nadie le puede interesar nuestra información porque no somos nadie El riesgo es real y eso nos debe hacer precavidos… aún más. Así, recomienda esta compañía de ciberseguridad, antes de descargar una de estas aplicaciones o de comprar uno de estos dispositivos, es importante comprobar qué uso hacen de nuestra información, cómo se almacena y dónde están sus servidores físicamente. Lo ideal sería que aunque alguien accediese a esa información, no pueda relacionarla con nosotros. Para eso, es recomendable no dar nuestro nombre completo y usar una cuenta de correo electrónico alternativa. Asimismo, hay que contar con medidas de seguridad en el móvil para que nuestros datos no puedan ser interceptados cuando viajan hasta el servidor en el que se aloja la aplicación. En este sentido, es recomendable usar VPNS y apps de seguridad que auditen nuestra navegación. “Pero sobre todo, hay que tener sentido común. Al igual que no ponemos en la vida offline nuestros datos personales al alcance de cualquiera, tampoco debemos descuidarlos en el mundo digital”, advierte Lambert. Por eso, no debemos conectarnos nunca a una wifi pública cuando se usen apps de salud. Con lo que habría que decirle al móvil que estas aplicaciones nunca estén activas si no las estamos usando. Se trata de evitar que esos datos tan sensibles caigan en manos de ciberdelincuentes. Porque accediendo a nuestros wearables y nuestras apps de salud y ejercicio podrían saber cuál es nuestro índice de colesterol, cuántas horas dormimos, por dónde vamos a correr, pero también podrían saber de nuestras alergias e intolerancias, problemas cardíacos o si nuestros órganos son compatibles con las de alguien que los requiera. EUROPA PRESS Fuente: https://www.20minutos.es/noticia/4058713/0/wearables-apps-salud-datos-para-ciberdelincuentes/
Protección de Datos – La Superindustria ha impuesto 104 multas por mal manejo de datos personales
A un año de gestión, Andrés Barreto hizo su rendición de cuentas El superintendente de Industria y Comercio, Andrés Barreto, cumplió su primer año de gestión y por esa razón se trasladó ayer hasta las instalaciones del Jardín de Botánico, con los delegados de varias áreas, para hacer su rendición de cuentas. Brevemente hizo un recuento de las cifras que demuestran el avance del organismo en todas las áreas que están dentro de su responsabilidad de vigilancia y prevención. Una de ellas es el manejo de datos personales, en el que entre agosto de 2018 y julio de 2019 se han impuesto 104 multas por un monto aproximado de $9.000 millones. Destacaron que la suplantación de identidad ha crecido 122%. También se aumentó en 36% la capacidad de respuesta de las solicitudes ciudadanas y subió 37% el número de órdenes emitidas por la SIC para que las empresas respeten derechos. En materia de libre competencia, las multas ascendieron a $153.000 millones por violaciones al régimen, se registraron 18 decisiones en materia sancionatoria y no menos de nueve informes motivados se enviaron al despacho del superintendente con recomendaciones sancionatorias. Actualmente, se avanza en nueve aperturas de investigaciones que van desde la colusión en licitación pública hasta carteles y otro tipo de prácticas. En total, han tenido que revisar 856 quejas. Otro de los aspectos destacados fue la protección de los derechos del consumidor, donde se han atendido más 11.000 denuncias, iniciado más de 300 investigaciones contra empresarios que infringen o vulneran los derechos de los consumidores, imponiendo multas que superan los $11.000 millones. En una subárea de los derechos del consumidor, que es la concentrada en telecomunicaciones y servicios postales, han atendido 13.000 denuncias, adelantado más de 226 investigaciones e impuesto multas que superan los $28.000 millones. Fuentes: https://www.asuntoslegales.com.co/actualidad/la-superindustria-ha-impuesto-104-multas-por-mal-manejo-de-datos-personales-2916660
Ciberseguridad – Demandan a Dunkin’ Donuts en Nueva York por ciberataques a clientes
La cadena estadounidense de donas Dunkin’ Donuts fue demandada este jueves por la fiscal general de Nueva York Letitia James, quien acusó a la compañía de no proteger a cientos de miles de clientes cuyas cuentas fueron blanco de una serie de ciberataques de «fuerza bruta». James dijo que Dunkin’ Brands Group no hizo nada en 2015 para proteger a 19.715 clientes, cuyas cuentas habían sido seleccionadas en un solo período de cinco días, después de enterarse del problema por su propio desarrollador de aplicaciones. La fiscal indicó que la firma, con sede en Canton, Massachusetts, (EE. UU.) no notificó a los clientes afectados sobre las infracciones, restableció sus contraseñas o congeló sus tarjetas Dunkin’ Donuts. Dunkin’ no pudo proteger la seguridad de sus clientes (…) Dunkin’ se quedó sentado sin hacer nada, poniendo en riesgo a los clientes James a su vez declaró que Dunkin’ no adoptó las garantías adecuadas para limitar futuros ataques, a pesar de los informes de los clientes de fraude continuo en sus cuentas. Esa falla llegó a su fin a fines de 2018 cuando se accedió a más de 300.000 cuentas de clientes en nuevos ataques, apuntó James en la demanda, que se refiere a las cuentas creadas a través del sitio web de Dunkin o la aplicación móvil gratuita. «Dunkin’ no pudo proteger la seguridad de sus clientes», dijo James en un comunicado. «Dunkin’ se quedó sentado sin hacer nada, poniendo en riesgo a los clientes». La compañía no respondió de inmediato a una solicitud de comentarios. La demanda de James presentada en un tribunal del estado de Nueva York en Manhattan busca multas civiles, restitución y otros remedios por presuntas violaciones de la protección del consumidor y las leyes comerciales del estado. «La representación de Dunkin’ ante los consumidores de que utilizó medidas de seguridad razonables para proteger la información personal de los consumidores, y las declaraciones de la compañía con respecto a la violación de 2018, fueron falsas y engañosas», dijo la queja. REUTERS Fuente: https://www.eltiempo.com/tecnosfera/novedades-tecnologia/demandan-a-dunkin-donuts-en-nueva-york-por-ciberataques-a-clientes-416810
Protección de Datos – Instagram: el nuevo engaño en la red social que quiere robar los datos de su cuenta (y cómo no caer en él)
Los piratas informáticos utilizan todo tipo de técnicas para que usted caiga en sus trampas y pueda perder todos sus datos personales. En los últimos años también han florecido los timos en las redes sociales, llamados por los expertos “estafas de ingeniería social”. Entre los últimos, uno que afecta Instagram, según advirtió la firma de ciberseguridad Sophos. El acceso a nuestros perfiles en las redes sociales es más valioso de lo que podemos pensar, advierten desde esta empresa británica, que describen este tipo de estafas como de «ingeniería social». «Las entrañas de tus cuentas de redes sociales suelen revelar mucho más sobre ti de lo que los delincuentes podrían descubrir con otro tipo de búsquedas. Y peor aún, los piratas informáticos que consiguen acceso a tu cuenta puede aprovecharlo para poder engañar a tus amigos y familiares, así que no se pone en riesgo una sola cuenta», explica Sophos en un comunicado. El último timo del que advierten en la empresa de seguridad es un nuevo caso de phising. Mediante esta técnica, los estafadores lanzan un anzuelo a sus víctimas con el objetivo de robarle los datos que tiene en la red. Y esto es precisamente lo que ha ocurrido en Instagram. Sophos asegura que ha detectado y recibido denuncias de muchos usuarios que en las últimas semanas aseguran haber recibido un email de Instagram en el que se le informaba de que habían violado la ley de propiedad intelectual de la red social y que se iba proceder al cierre de su cuenta. Pero la comunicación pronto ofrecía una manera de solucionarlo. Ahí es donde estaba la trampa. En el mismo correo (con el logo de Instagram) hay un hipervínculo que te dirige a un formulario en el que se expresa la disconformidad del usuario con el cierre de la cuenta. Cuando la víctima pulsa el botón «click», va a otra pantalla donde le piden su contraseña de Instagram y fecha de nacimiento. Esto lo hacen para dar una apariencia de autenticidad al dar a entender que se cumplen dos pasos de verificación, aseguran desde Sophos. Si el usuario cae en el error, y además comparte sus contraseñas con otras cuentas y sitios web, habrá dado al atacante la posibilidad de hacerse con más datos. Cuando el incauto haya introducido la contraseña, la pantalla aparecerá en estado de carga. La operación termina redirigiéndole a la página oficial de Instagram, por lo que se reducen las sospechas de que pueda haber caído en una estafa. Cómo evitarlo Las recomendaciones para evitar este u otro tipo de tipo son variadas. Entre las principales, no poner nunca su contraseña a través de un vínculo que llega por correo. Observe bien que las páginas a las que dirige el vínculo no tienen nada sospechoso: no hay faltas de ortografía ni errores gramaticales. También si el hipervínculo es especialmente largo. En este caso además, desde Sophos recomiendan visitar la página oficial de Instagram para conocer cuál es su protocolo de actuación en caso de que un usuario viole presuntamente los derechos de autor de alguna imagen o video. En este caso, la red social precisa: «Recibirás una notificación de Instagram que incluye el nombre y la dirección de correo electrónico del propietario de los derechos que realizó la denuncia y los detalles de la misma. Si crees que el contenido no debería haberse eliminado, puedes entrar en contacto con el denunciante y tratar de resolver el problema directamente». Como ves, no hay ninguna amenaza de cerrarte la cuenta ni necesidad de poner ninguna contraseña. Además, se ofrecen más datos sobre tu supuesta infracción. Así que si se encuentra con una alerta parecida, merece la pena visitar la web oficial del sitio en cuestión y leer su protocolo de actuación en caso de infracciones. Fuente: https://www.dinero.com/tecnologia/articulo/como-no-caer-en-el-nuevo-engano-que-se-aprovecha-de-instagram/277378
Ciberseguridad – Regresa el troyano Emotet: así actúa y cómo evitar caer en la trampa del correo malicioso que te infecta
Hace unos días los expertos alertaron del regreso de Emotet, el troyano diseñado para robar datos financieros que ha vuelto bajo la apariencia de correos que se hacen pasar por contactos de la libreta de direcciones de la víctima, en una nueva estrategia que afecta especialmente a España. Desde la compañía de ciberseguridad ESET explicaron que Emotet, activo desde 2014, se ha convertido en uno de los códigos maliciosos más destacados en su campo: el robo de credenciales bancarias. Para conseguirlo utiliza asuntos muy escuetos pero directos, como ‘Propuesta’, ‘Respuesta’, ‘Privacidad’ o ‘Nueva Plantilla’, acompañados de cuerpos de mensaje breves y sin añadir información adicional. De esta forma, el peligro reside en el fichero adjunto en formato Word, ya que si el usuario lo abre, se iniciará la cadena de ejecución del ‘malware’ que terminará instalando Emotet en el sistema y comprometiendo su seguridad. Con respecto a sus víctimas, Emotet no hace distinción y se dirige tanto a usuarios particulares como pymes, corporaciones y entidades gubernamentales. ¿Cómo detectarlo y qué hacer? Por eso, detectarlo resultará clave para evitar que infecte nuestro equipo y acceda a la libreta de direcciones de nuestro correo para seguir propagándose. Según indican desde ESET, en los correos recibidos en las últimas horas se pueden observar varios puntos importantes para identificarlos como maliciosos. Uno de ellos es que no aparece un remitente sino dos. El primero es el que suplanta el malware para hacernos creer que el correo viene remitido por alguien de confianza. Por su parte, el segundo remitente que se puede observar en el campo «De:» o en el Return Path de la cabecera del correo pertenece al dominio comprometido por los atacantes y usado para realizar el envío masivo de correos. Si el usuario se fija en él, puede ser capaz de detectar estos correos como fraudulentos y eliminarlos antes de que se conviertan en una amenaza para la seguridad del sistema. Adjunto al correo observamos un archivo de Word que puede tener varios nombres como «ARCHIVOFile_H3981.doc», «MENSAJE_092019.doc», «985832-2019-7-84938.doc» o «61.doc» entre muchos otros. Si el usuario que recibe este correo hace caso omiso a los indicios que le muestran que se encuentra ante una amenaza y abre el fichero adjunto veremos cómo se utiliza una técnica bastante conocida para conseguir ejecutar código malicioso. Aparentemente, se muestra un documento legítimo pero con un aviso donde se indica que el archivo se encuentra en un modo de vista protegida y que, para poder ver su contenido, hace falta pulsar sobre la barra amarilla que se muestra en la parte superior con la opción de «Habilitar edición». Este aviso que contiene el documento no es más que una imagen, incluida por los delincuentes incluyen para tratar que el usuario desactive de forma voluntaria una de las medidas de seguridad más efectivas de las que dispone Microsoft Office y que impide la ejecución automática de código mediante macros. En el caso de que el usuario cae en la trampa y hace lo que le pide el documento, se ejecutarán una serie de macros que, a su vez, ejecutarán código en PowerShell. Este código forma parte de la segunda fase del ataque y consiste en contactar con dominios comprometidos por los atacantes para descargar un archivo malicioso. El archivo malicioso descargado activa la tercera fase del ataque y actúa como descargador del archivo que contiene el troyano. Este troyano también está alojado en dominios comprometidos que los delincuentes van cambiando continuamente, así como también cambia el ejecutable del Emotet para dificultar su detección. Se puede obtener una lista detallada de los dominios comprometidos y los C&C gracias a la cuenta de Twitter de Cryptolaemus. Cuando Emotet es descargado y ejecutado finalmente en el sistema se quedará a la espera para robar credenciales bancarias, aunque también aprovechará para obtener nuevas direcciones de correo a las que propagarse y, dependiendo de la campaña, instalar otro malware en el equipo. Fuente: https://www.20minutos.es/noticia/3783868/0/como-evitar-caer-trampa-correo-infecta-emotet/
Protección de Datos – Ojo: El nuevo fallo de seguridad que daba acceso a conversaciones de terceros en WhatsApp
WhatsApp ha descubierto una nueva falla en su seguridad, la cual permitía ver conversaciones ajenas usando un GIF malicioso. El error solo afectó a dispositivos que funcionan con Android 8.1 y 9. Una persona que recibiera y abriera la imagen maliciosa, quedaba expuesta y sus conversaciones podrían ser vulneradas con facilidad por terceros por medio de codigo. Un video hecho por un investigador de seguridad informática publicó un video cómo pudo obtener acceso a un chat privado simplemente enviando un GIF. Sin embargo Facebook, compañía propietaria de WhatsApp, indicó que es poco probable que la privacidad de los usuarios se haya visto afectada por esa amenaza de seguridad. «No tenemos razones para creer que usuarios fueron afectados por este fallo. Siempre estamos trabajando en mejores formas para ofrecer actualizaciones de seguridad», dijo en un comunicado enviado a CNN. Para evitar problemas de seguridad, lo más recomendable es mantener siempre actualizada la aplicación en su última versión. Para eso simplemente debemos dirigirnos a la Play Store, tocar Menú, Mis apps y juegos y pulsar en “actualizar” en WhatsApp Messenger. Fuente: https://noticias.canalrcn.com/tecnologia/apple-retira-aplicacion-de-hong-kong-que-permitia-los-manifestantes-localizar-la-policia
