Brasil multa a Facebook por 1,3 millones de dólares
Brasil multa a Facebook por 1,3 millones de dólares. La decisión del Ministerio de Justicia y Seguridad Pública se basa en fallas en la configuración de privacidad. La empresa todavía puede apelar. Facebook fue condenado, este martes (23) de agosto, a pagar una multa de R$ 6,6 millones debido a la filtración de datos de usuarios brasileños. La decisión la toma la Secretaría Nacional del Consumidor (Senacon), organismo vinculado al Ministerio de Justicia y Seguridad Pública. Si elige no apelar la decisión, es posible que Facebook reduzca la multa hasta en un 25 %. Lea también: El valor real de una empresa no está en su capital, sino en sus datos. El más reciente anuncio de Facebook así lo demuestra. Los antecedentes En 2018, los datos de los usuarios de la red social se pasaron a Cambridge Analytica, una consultora británica de marketing político contratada para la campaña electoral del expresidente estadounidense Donald Trump. Se estima que, en ese momento, se compartieron los datos de más de 87 millones de personas en todo el mundo, incluidos 443.000 brasileños, para recibir contenido relacionado con Trump. Más tarde ese año, la investigación concluyó que el intercambio ilegal de datos se llevó a cabo mediante la instalación de una aplicación de prueba de personalidad, «This Is Your Digital Life». Por presentar faltas de información sobre las configuraciones de privacidad, la Senacon entendió que Facebook cometió una práctica abusiva con los usuarios y, por lo tanto, impuso una multa de R$ 6,6 millones. Si bien, en julio de 2022, la propia Senacon revocó la condena para garantizar la plena defensa de Facebook, la empresa siguió afirmando que no había indicios de que los datos brasileños hubieran sido transferidos a Cambridge Analytica y que, por lo tanto, no sería necesario hablar. sobre el mal uso o la exposición inapropiada de estos datos. Los alegatos no fueron aceptados por la Senacon, que nuevamente fijó en Brasil multa a Facebook por 1,3 millones de dólares. FUENTE: »Facebook é condenado a pagar R$ 6,6 mi por vazar dados de usuários» Gov.br. 23/08/22. (https://www.gov.br/mj/pt-br/assuntos/noticias/facebook-e-condenado-a-pagar-r-6-6-mi-por-vazar-dados-de-usuarios).
Recomendaciones sobre Ciberseguridad
La Conselleria de Hacienda y Modelo Económico de Valencia ha lanzado, a través del Centro de Seguridad de TIC de la Comunitat Valenciana (CSIRT-CV), una serie de recomendaciones de ciberseguridad para concienciar a la ciudadanía durante las vacaciones. Entre los consejos se encuentran el deshabilitar las conexiones inalámbricas cuando no se utilicen o no emplear la misma contraseña en distintos dispositivos. El conseller de Hacienda y Modelo Económico, Arcadi España, ha destacado que con estas recomendaciones de CSIRT-CV se pretende «sensibilizar y ofrecer consejos para que la ciudadanía disfrute de una época relajada pero no descuide su seguridad» Por ello, España ha indicado que se ofrecen sugerencias para que se realice un uso «seguro y responsable» de dispositivos y aplicaciones móviles, ya que en la época estival el uso de internet y de las nuevas tecnologías «se incrementa con el aumento del tiempo libre y el cambio de hábitos y actividades». Lea también: Sector público español: Las mayores inversiones en ciberseguridad En concreto, la campaña ‘Diez recomendaciones de ciberseguridad para las vacaciones’ busca ayudar a los usuarios a preservar y proteger su ciberseguridad y concienciar sobre aspectos relacionados con alquileres vacacionales, las redes wifi, contraseñas, móviles, correo, redes sociales, juegos ‘online’, antivirus y copias de seguridad. La entidad ha indicado que son consejos «útiles» para impulsar la seguridad y la privacidad en el uso de aplicaciones y redes sociales, sobre cómo generar copias de seguridad para no perder información relevante o cómo actualizar el software para navegar de forma segura a través de las redes wifi públicas. Algunas estrategias En concreto, se recomienda deshabilitar las conexiones inalámbricas cuando no se utilicen, con el fin de proteger el equipo, al tiempo que se reduce el consumo de las baterías. Asimismo, en relación con las contraseñas, se aconseja no utilizar la misma en distintos dispositivos o servicios, el uso de frases encriptadas, una extensión mínima de 12 caracteres, los cambios periódicos, la verificación en dos pasos y los gestores de contraseñas o desactivar la opción ‘recordar contraseñas’ en los navegadores. Recomendaciones sobre ciberseguridad: «Siempre en alerta» También se aconseja que en la época de vacaciones, en la que se recibe mucho correo basura, «se esté en alerta» ante cualquier intento de fraude (‘spam’, ‘phishing’, falsas ofertas de viajes, etc), mientras que con los móviles y tabletas se aconseja tomar las mismas precauciones que las que se toman con el PC u ordenador de sobremesa. Del mismo modo, se considera importante que no se realice un uso «indebido» de los datos personales en las redes sociales para evitar que los ciberdelicuentes puedan aprovechar para engañar a los usuarios. Los juegos on-line, un caso aparte en las recomendaciones sobre ciberseguridad. Respecto a los juegos ‘on-line’, cuyo uso se incrementa durante las vacaciones, existen amenazas como el blanqueo de dinero a través del robo de cuentas, por lo que se deben leer «detenidamente» las condiciones de uso, atender la reputación del sitio y desconfiar de posibles mensajes publicitarios que requieran de datos personales. También se recomienda instalar en todos los dispositivos antivirus para detectar ‘malware’ u otros elementos maliciosos y mantener el ‘software’ actualizado para estar protegidos, así como disponer siempre de una copia de seguridad que permita proteger nuestra información. »Enseñar a los menores» Así mismo, se ha lanzado una especial recomendación a las familias «para que dediquen un poco de tiempo en verano a enseñar a los menores que la vida en Internet tiene los mismos peligros o más que la vida real, ya que en el mundo digital el peligro no se percibe de la misma manera pero sigue estando ahí». Así, CSIRT-CV impulsa de forma activa campañas de formación y concienciación frente al riesgo que suponen los ciberataques, dirigidas tanto a la ciudadanía en general como al personal de la Administración. Estas campañas dirigidas a la ciudadanía se publican en el portal web especializado en concienciación de CSIRT-CV (concienciat) y en las redes sociales. Entre ellas, ‘Protege tu móvil de ciberataques’, ‘Diez consejos para no ser víctima del fraude del CEO’, ‘Hazte analista de ciberseguridad’, ‘Ciberseguridad, una asignatura pendiente’ o ‘Diez recomendaciones de ciberseguridad para equipos domésticos’. Asimismo, en el marco del Plan de Choque de Ciberseguridad para Entidades de la comunidad de Valencia, se ha formado a través de sesiones, cursos y talleres online a más de 1.000 trabajadores de corporaciones locales (ayuntamientos, mancomunidades, comarcas y áreas metropolitanas), con la finalidad de prevenir ciberataques y mejorar la seguridad informática. FUENTE: (EP) Valencia. »Deshabilitar las conexiones inalámbricas y otras recomendaciones sobre ciberseguridad» Valenciaplaza.com. 20/08/22. (https://valenciaplaza.com/deshabilitar-conexiones-inalambricas-recomendaciones-sobre-ciberseguridad).
Sector público español: Las mayores inversiones en ciberseguridad
El sector público español ha invertido, durante 2022, 121 millones de euros para reforzar la ciberseguridad durante los primeros seis meses de 2022. En concreto, un 5% del gasto en tecnología de la administración está destinado a proteger sus sistemas. La plataforma de análisis de inversión pública en nuevas tecnologías AdjudicacionesTIC ha presentado su barómetro de ciberseguridad, en el que destaca que la inversión del sector público en esta materia durante los seis primeros meses de 2022 asciende a 121,13 millones de euros repartidos en 351 adjudicaciones. La inversión en ciberseguridad por parte de las AAPP en la primera mitad del año representó un 5,18% del total de inversión pública en tecnología. “El marco normativo vigente de la contratación pública no se adapta muy bien a la problemática de la ciberseguridad, que es un entorno muy cambiante y en el que la valoración de la tecnología y de los servicios es de gran complejidad y, a veces, bastante difícil de objetivar”, admite José Andrés Jiménez Martín, jefe del departamento de asesoramiento técnico en el Congreso de los Diputados. “Sin embargo, se puede afirmar que el estado de la ciberseguridad en las Administraciones Públicas es relativamente bueno, con una sólida vertebración estratégica instrumentada por el CCN-CERT y el Esquema Nacional de Seguridad, junto con un ecosistema de tecnologías de ciberseguridad que posibilita poder alcanzar un grado razonable de soberanía digital”. Lea también: España impone casi el 50% de las multas por Protección de Datos Los organismos del sector público español que más invierten y los mayores adjudicatarios Los organismos públicos más dinámicos fueron la Secretaría General de Administración Digital del Ministerio de Asuntos Económicos y Transformación Digital, con tres contratos valorados en total en 44,06 millones de euros; AENA, con tres proyectos también, por un montante de 19,7 millones de euros; e Informática del Ayuntamiento de Madrid, que licitó un contrato por 9,24 millones de euros. Por su parte el proyecto más importantes durante el período fue la construcción e implantación del Centro de Operaciones de Ciberseguridad de la Administración General del Estado y Organismos Públicos para la Secretaría General de Administración Digital, adjudicado a la UTE Telefónica Soluciones e Indra Soluciones por importe de 38,34 millones de euros. El segundo fue el del gobierno y operación de la ciberseguridad para AENA, adjudicado a la UTE Inetum España, Telefónica Soluciones y Telefónica de España, por un importe de 16,85 millones de euros. Mientras que en tercer lugar quedó el suministro de la actualización de infraestructuras de seguridad (plataforma de servicios de seguridad, plataforma de firma centralizada e infraestructura de PKI) de la Gerencia de Informática de la Seguridad Social, adjudicado a Sistemas Informáticos Abiertos (SIA) por importe de 5,33 millones de euros. La palabra de los expertos “La ciberseguridad va cobrando mayor importancia entre las AAPP, por lo que se espera una mayor inversión en los próximos seis meses de este año”, afirma Carlos Canitrot, director de consultoría de AdjudicacionesTIC. “Cabe destacar, sin ir más lejos, el Plan de Digitalización de las AAPP, que cuenta con 17 medidas focalizadas en la transformación digital de todo el sector público y en el que se incluye la creación del Centro de Operaciones de Ciberseguridad, licitado en este período y con el que se pretende reforzar las capacidades de prevención y reacción ante incidentes de seguridad e incrementar la capacidad de vigilancia y detección de ciberamenazas de forma eficiente”. FUENTE: »Las mayores inversiones en ciberseguridad del sector público español» Channelpartner.es. 22/08/22. (https://www.channelpartner.es/seguridad/noticias/1135530002502/mayores-inversiones-ciberseguridad-del-sector-publico-espanol.1.html).
La importancia de que las empresas implementen la Ley de Protección de Datos en Latinoamérica
Muchas empresas tienen el deber de preservar la privacidad y el debido tratamiento sobre la base de datos que recolectan, rigiéndose a las leyes estatutarias de cada país, que buscan preservar la confidencialidad de las personas y generar un entorno adecuado para la Protección de Datos en Latinoamérica. Ya es evidente, en la actualidad, la importancia de los datos. Tanto así que se asegura que estamos en la era de la información y la protección de datos se convierte en un asunto fundamental para evitar vulnerar la confidencialidad de las personas. Lea también: Big data en las empresas: ¿Para qué y cómo se usan los datos? Es por esto que, independientemente del tipo de industria o el tamaño de esta, en gran parte de Latinoamérica se han promulgado leyes sobre protección de datos personales en las cuales casi todas las empresas están obligadas a cumplirlas, salvo algunas excepciones que están relacionadas con usos personales o domésticos, como redes sociales, bases de datos que protejan la seguridad nacional, que contengan información de inteligencia y contrainteligencia, o que contengan información periodística. Sin lugar a duda, las empresas con una política de manejo de datos actualizada y basada en la reglamentación son más competitivas, porque además de evitar sanciones, protegen el derecho a la privacidad de los ciudadanos. El uso correcto y la buena disposición de los datos se ha convertido en un factor de credibilidad y confiabilidad que las empresas latinoamericanas deben adoptar. FUENTE: Perú21, Redacción. »La importancia de que las empresas implementen la ley de protección de datos en Latinoamérica» Peru21.pe. 19/08/22. (https://peru21.pe/cheka/tecnologia/proteccion-datos-la-importancia-de-que-las-empresas-implementen-la-ley-de-proteccion-de-datos-en-latinoamerica-noticia/).
Colombia es el cuarto país con mayor nivel de madurez digital en América Latina
Conozca el ranking de madurez digital en América Latina El estudio Transformación con sentido digital 2022: Un nuevo ritmo en la madurez digital de Latinoamérica, realizado por la firma de auditoría y consultoría EY, arrojó que Colombia se ubica como el cuarto país con mejor madurez digital en América Latina durante 2021. El análisis a la madurez digital se realizó al evaluar siete dimensiones de la visión holística de la transformación digital las organizaciones: Innovación y crecimiento; experiencia de Cliente; Cadena de Suministro; Finanzas, legal y RR.HH; TI; Ciberseguridad y Cultura en los negocios. ¿Cómo se desarrolló el estudio? Se dio un puntaje entre 1 y 100 y Latinoamérica logró 61,16 puntos, lo que corresponde a estar en una fase de ‘Desarrollo de capacidades digitales’, al ver por países el que destacó con mejor puntaje fue Ecuador con 64,67, seguido por Chile (62,73), México (62,11) y en cuarto lugar Colombia con 60,55. “La principal motivación de los ejecutivos colombianos en el proceso de transformación es el convencimiento del impacto estratégico de la misma, seguido por el cambio de estrategia propia; mientras que la exigencia de los competidores y la de los clientes, son de las razones que menos los incentiva”, dijo Diego Sáenz, director de Tecnología Emergente Digital en EY Latam. Un dato que llama la atención es que en todos los países, excepto Colombia, la transformación la lideran los directivos de las organizaciones y solo en 29% de los casos se lidera desde las áreas de TI; mientras que el liderazgo de la digitalización por parte de áreas TIC se da en más de 37% en las organizaciones colombianas. Y una conclusión en la que coincidieron 45% de los participantes es que la mayor barrera para lograr la transformación digital es la poca oferta de personal capacitado. FUENTE: Duitama Pinto, Karen. »Colombia es el cuarto país con mayor nivel de madurez digital en América Latina» Amp-larepublica-co.cdn.ampproject.org. 06/08/22. (https://amp-larepublica-co.cdn.ampproject.org/c/s/amp.larepublica.co/internet-economy/colombia-es-el-cuarto-pais-con-mayor-nivel-de-madurez-digital-en-america-latina-3418427).
¿Qué es el Correo Electrónico Certificado y por qué usarlo?
Con la llegada de la pandemia, una de las disposiciones que más llamó la atención fue la posibilidad de realizar notificaciones por medios electrónicos, específicamente por Correo Electrónico Certificado, incluso mediante aplicaciones como Facebook, WhatsApp o Telegram. Estas alternativas cambiaban el esquema tradicional de envío de documentos físicos a la dirección de la persona a notificar, a través de una empresa de mensajería autorizada. ¿Qué dice la Ley sobre estas notificaciones electrónicas? El decreto 806 de 2020 dio vía libre a realizar notificaciones por medios digitales como los señalados. Sin embargo, se suscitó una controversia sobre el momento exacto en el cual se empieza a contabilizar el término respectivo, es decir, a partir de cuándo se entiende notificada una persona. El Decreto 806 indicó que a partir del envío del mensaje se empezaban a contabilizar los términos de la etapa procesal respectiva. Sin embargo, esta regla ha traído una discusión importante en torno al Debido Proceso, dado que es distinto el envío del mensaje a su recepción. Sobre la recepción del mensaje, puede pasar que el interesado remita el correo electrónico, pero este no llegue a la bandeja de entrada de la persona a notificar, bien sea por problemas del servidor, falta de espacio, errores en la digitación de la dirección electrónica, entre otros factores. Por ello, la Corte Constitucional en la sentencia C-420 de 2020, indicó que los términos de notificación sólo empezarán a contarse cuando el emisor reciba un acuse de recibo por parte del destinatario o se pueda constatar que este último efectivamente se ha enterado de la actuación. Entonces, ¿Cuándo se entiende notificada a la persona? Para responder adecuadamente a la inquietud planteada, es importante establecer que la remisión del correo electrónico tiene tres momentos:• Envío del mensaje: El mensaje de datos sale del servidor del remitente y el sistema notifica que el mensaje fue enviado correctamente. • Recepción del mensaje: El mensaje de datos llega al correo del destinatario y aparece en la bandeja de entrada (puede ser en la bandeja de entrada principal, en el Spam o en alguna otra carpeta, pero en todo caso estará disponible para el destinatario) • Lectura del mensaje: El destinatario puede abrir el mensaje de correo electrónico y leer los archivos adjuntos. Lea también: Mayor seguridad y protección a la cuenta de sus clientes ¿Cómo hacerlo? La discusión surge porque algunos ya dan por hecho que la persona ha sido notificada con la recepción del mensaje, aunque esta no responda con el acuse de recibo; mientras que otros señalan que para que se surta adecuadamente la notificación, se debe comprobar que el destinatario leyó el correo electrónico. Pese a las múltiples interpretaciones que pueden suscitarse al respecto, es aconsejable optar por la última alternativa por las siguientes razones: a) La Corte Constitucional señala que se debe constatar “el acceso al mensaje”, lo cual se debe entender como su lectura, b) El artículo 20 de la Ley 527 de 1999 al definir el acuse de recibo exige actuaciones positivas del destinatario que implican la lectura del mensaje y c) El objetivo principal de la notificación es garantizar que la persona se entere de forma efectiva sobre la actuación que se va a surtir, de tal forma que se vuelve un pilar del Debido Proceso y del derecho de defensa. CORREO ELECTRÓNICO CERTIFICADO Este servicio se asemeja al correo certificado físico y acredita en medios virtuales la fecha y hora de actuaciones tales como el envío del mensaje, su recepción y la confirmación de lectura, así como las direcciones electrónicas tanto del remitente como del destinatario y los archivos adjuntos remitidos. Inclusive, algunos de estos servicios también certifican la descarga de los archivos que se adjuntan al mensaje de correo electrónico. Así, para respetar el derecho de defensa y evitar futuras nulidades, lo conveniente es que toda notificación por correo electrónico o redes sociales, incluyendo los memoriales que se remitan al juzgado (dado que no todos los despachos dan acuse de recibo), se hagan a través de servicios de correo electrónico certificado. Esto permite atestiguar fácilmente que la notificación se realizó de conformidad con los preceptos legales establecidos. FUENTE: Gaviria, José Hector. »¿Qué es el correo electrónico certificado y por qué usarlo?» Portafolio.com. 03/02/2021. (https://www.portafolio.co/tendencias/que-es-el-correo-electronico-certificado-y-por-que-usarlo-548793).
Primera Ley de Privacidad de la Información en Estados Unidos
La Ley de Privacidad de la Información Biométrica de Illinois o BIPA, por sus siglas en inglés, es una ley del estado de Illinois, aprobada en 2008, que regula la recopilación, almacenamiento, retención, salvaguarda, uso y destrucción de información e identificadores biométricos. Si los residentes que viven en el estado de Illinois consideran que su información biométrica ha sido compartida con empresas o terceros sin su consentimiento, la BIPA les permite llevar a cualquier parte aplicable a los tribunales y presentar una reclamación para recuperar pérdidas financieras y tasas legales o judiciales asociadas, así como recibir cualquier otra forma de alivio considerada por un tribunal de justicia en relación con la violación de la privacidad. Además, la BIPA fue también la base de un caso emblemático de 2019, Rosenbach contra Six Flags Entertainment Corp., que cambió la forma en la que el país percibe esta legislación. A pesar de todo esto, muchas personas pueden preguntarse qué es la información biométrica. ¿Qué es la información biométrica? La biometría se define como la medición y el análisis estadístico de las características físicas y de comportamiento de un individuo. En el contexto de la privacidad personal, la información biométrica o los identificadores pueden utilizarse para identificar, etiquetar o describir a las personas. Algunos ejemplos comunes de identificadores biométricos físicos incluyen el reconocimiento facial, las huellas dactilares, el ADN, el reconocimiento del iris, la geometría de la mano, las venas de la palma de la mano, el olor o el aroma y las características de la retina o del oído. Por otro lado, algunos ejemplos comunes de identificadores biométricos de comportamiento incluyen la firma, el análisis del modo de andar, el ritmo de escritura, los gestos, la pulsación de teclas, la voz y los perfiles de comportamiento. ¿Cómo se utiliza la información biométrica en el contexto empresarial y qué lineamientos establece esta nueva Ley de Privacidad de la Información? El uso de la información biométrica en el mundo de los negocios se ha generalizado en los últimos años, ya que muchas empresas e industrias, como la banca y la tecnología, han comenzado a hacer uso de características biométricas como el reconocimiento facial y de huellas dactilares. La información biométrica se utiliza en los negocios de las siguientes maneras: Gestión del tiempo: Empresas de todos los ámbitos e industrias han descubierto que los relojes de fichar biométricos, dispositivos que permiten a los empleados marcar su hora de entrada y salida a través de la huella dactilar u otra forma de identificador biométrico en lugar de un código pin o un número de identificación, son más rentables, garantizan un cumplimiento más preciso de las políticas de asistencia y ayudan a eliminar la pérdida de tiempo en el trabajo. Acceso de seguridad: Uno de los usos originales y más comunes de la información biométrica es el de garantizar la seguridad física a la entrada a una empresa o locación, así como asegurar artículos como ordenadores, dispositivos de almacenamiento portátiles como discos duros o unidades USB y accesorios informáticos como ratones y teclados mediante el uso de tecnología de reconocimiento facial, lectores de huellas dactilares y escáneres geométricos. Además, los escáneres de iris y retina también pueden utilizarse en empresas que requieran un alto nivel de seguridad. Otros usos Seguridad: La información biométrica puede utilizarse para crear un perfil de cada empleado contratado por una empresa o negocio. A través de este perfil, los empleadores pueden asegurarse de que sus empleados estén al día en materia de capacitación y certificaciones, difundir información crucial y emitir credenciales en una fracción del tiempo que se tardaría en hacerlo físicamente. Plan de salud: La información biométrica puede utilizarse para ayudar en el desarrollo e implementación de programas de bienestar. A través de la información biométrica los empleadores pueden evaluar los riesgos potenciales para la salud de los empleados, así como proporcionar incentivos con el fin de favorecer comportamientos que pudieran reducir dichos riesgos. Lea también: La Unión Europea y Estados Unidos alcanzan un principio de acuerdo para la transferencia de datos personales a nivel transatlántico. ¿Qué criterios deben seguir las empresas de Illinois al recopilar o utilizar información biométrica? En virtud de la BIPA, las empresas y negocios que recopilan información biométrica de los residentes del estado de Illinois están obligados a seguir el siguiente conjunto de normas: Retención y destrucción por escrito: Las entidades privadas en posesión de información biométrica deben desarrollar por escrito una política disponible públicamente en relación con el establecimiento de un calendario de retención de datos biométricos. Dicha política debe incluir además directrices para la destrucción permanente de la información biométrica. Autorización por escrito: La BIPA prohíbe a las entidades privadas recopilar cualquier información biométrica sin antes haber recibido por escrito el consentimiento informado del ciudadano a quien la información pertenece. Prohibición del lucro con la información biométrica: La BIPA prohíbe estrictamente a las entidades privadas en posesión de información biométrica vender, arrendar, comerciar o beneficiarse de otra manera de la información biométrica de los consumidores de Illinois. Además, prohíbe a dichas entidades eludir la restricción obteniendo el consentimiento de un individuo. Otros requisitos Restricción a la divulgación: En virtud de la BIPA, las entidades privadas en posesión de información biométrica no pueden “divulgar o difundir de otro modo” esta información a menos que obtengan el consentimiento de un individuo o que la divulgación de la información biométrica sea necesaria para un propósito específico establecido desde el momento de la recolección. Por ejemplo, cuando la información biométrica de un individuo es necesaria para completar una transacción financiera o para dar seguimiento a una orden o citación judicial. Requisitos de seguridad “razonables” específicos del sector: Las entidades privadas deben utilizar “normas de cuidado razonables” durante el procesamiento de la información biométrica. Sin embargo, la BIPA requiere que esta “razonabilidad” esté en consonancia con el nivel de cuidado específico de cada industria. Pero, en cualquier caso, el nivel de seguridad debe ser similar, si no más estricto, que el utilizado para otra información confidencial y sensible como
Redes sociales que más exponen los datos personales de los usuarios
A pesar de que los niveles de actividad aumentan, muchos usuarios desconocen cuál es su nivel de exposición en redes sociales como Facebook, Twitter, Instagram, TikTok o LinkedIn. Cada una de ellas tiene sus particularidades, pero todas tienen en común ser las redes sociales que más exponen los datos personales de los usuarios los cuales, en manos de ciberdelincuentes, pueden llegar a ser susceptibles de robo de información personal o suplantación de la identidad. Expertos en ciberseguridad han analizado en el informe “El tratamiento de los datos en las redes sociales”, el nivel de exposición de los usuarios en cada una de las redes sociales. Vea el informe completo aquí: »El tratamiento de los datos en las redes sociales» – Seresco Lea también: ¿Cómo descargar la copia de seguridad de todos los datos que Google tenga de usted? Facebook, la red social con más datos de los usuarios La red social de Zuckerberg se consagra como las que más datos obtiene. Los usuarios pueden añadir lugar de residencia, trabajo y estudios, situación sentimental, familiares, número de teléfono y email, creencias religiosas, sexo o la fecha de nacimiento, entre otras. Cabe destacar que la compartición de fotos puede llegar a amigos de amigos, por lo que la amplitud de la red puede llegar a ser prácticamente pública. Por su parte, a través del Messenger basado en la web se puede comprobar la última actividad del usuario. Si muchos usuarios lo primero que hacen por la mañana y lo último que hacen al terminar el día es comprobar los mensajes se podrían llegar a conocer incluso los horarios de sueño y hábitos nocturnos de una persona. Instagram y Twitter Estas dos plataformas actúan de forma similar. En el caso de Instagram, es necesario que la cuenta esté configurada como pública para poder obtener la información requerida. Si por el contrario es privada, es necesario que el usuario acepte a esos seguidores. Ambas obtienen el número de seguidores y seguidos, menciones, foto de perfil y la geolocalización desde donde se publica un contenido, lo que posibilita conocer hábitos, fechas y direcciones exactas, además de los gustos personales de ese perfil. Lea también: Multa de 150 millones de dólares a Twitter por violar la privacidad de sus usuarios. LinkedIn LinkedIn realiza un perfilado interesante del puesto de trabajo, ofrece la foto, localización, nombre de la empresa o estudios de una persona en concreto, además de la obtención de un listado de todos los trabajadores de una organización. Esta red social se convierte en la red favorita de los ciberdelincuentes para llevar a cabo ataques de phishing. Tik-Tok En Tik-Tok no existe tanta metainformación como en las anteriores, ya que los vídeos no poseen geolocalización y tampoco metadatos. Sin embargo, estos vídeos pueden ser fácilmente descargados con el fin de utilizar otro tipo de técnicas de ataque por parte de los ‘hackers’, como el ‘Deepfake’. Lea también: El valor real de una empresa no está en su capital, sino en sus datos. El más reciente anuncio de Facebook así lo demuestra. Consejos para los usuarios Para evitar el robo de datos o suplantación de identidad es recomendable adoptar buenas prácticas de uso que pasan, según recoge la firma en su informe, por aplicar las siguientes medidas: – Reducir la cantidad de información compartida, en vista, por ejemplo, si un usuario se va de vacaciones y su casa se queda vacía. – Desactivar el sistema de geolocalización a la hora de compartir fotos o vídeos. – Tener muy en cuenta el contenido a publicar ya que es muy sencillo saber los gustos de un usuario. – Configurar los perfiles lo más privados posibles, solamente dando acceso a personas que sean conocidas. – Utilizar contraseñas seguras y, si fuera posible, utilizar el segundo factor de autentificación. FUENTE: »¿En qué redes sociales están más expuestos los datos personales de los usuarios?» Itdigitalsecurity.es. 08/08/22. (https://www.itdigitalsecurity.es/actualidad/2022/08/en-que-redes-sociales-estan-mas-expuestos-los-datos-personales-de-los-usuarios).
Twitter confirma vulnerabilidad zero-day (día cero) usada para exponer datos de 5.4 millones de cuentas
Twitter confirmó una reciente violación de datos que ha sido causada por una vulnerabilidad zero-day (día cero), usada para vincular direcciones de correos electrónicos y números de teléfonos de las cuentas de los usuarios, permitiendo que la amenaza -atacante- compile una lista de 5.4 millones de cuentas de perfiles. Lea también: Twitter sufrió un ciberataque donde se filtraron los datos de 5,4 millones de sus usuarios Esta vulnerabilidad permitió que cualquier persona enviara un correo electrónico y o número de teléfono, verificando si estaba asociada con una cuenta de Twitter y así recibir el ID de la cuenta. El atacante luego usaba este ID para acceder con mayor profundidad a la información pública de la cuenta. ¿Qué ocurrió y por qué Twitter confirmó la vulnerabilidad zero-day? Esto permitió al actor de amenazas crear perfiles de 5,4 millones de usuarios de Twitter en diciembre de 2021, incluido un número de teléfono verificado o una dirección de correo electrónico, y extrajo información pública, como recuentos de seguidores, nombre de pantalla, nombre de inicio de sesión, ubicación, URL de imagen de perfil y otros. información. A continuación se puede ver un ejemplo redactado de uno de estos perfiles de Twitter creados. En ese momento, el actor de amenazas estaba vendiendo los datos por $ 30,000 y le había dicho a BleepingComputer que había compradores interesados. BleepingComputer luego se enteró de que dos actores de amenazas diferentes compraron los datos por menos del precio de venta original y que los datos probablemente se liberarían de forma gratuita en el futuro. Twitter confirma vulnerabilidad zero-day para recopilar datos y exponer cuentas Hoy, Twitter ha confirmado que la vulnerabilidad utilizada por el actor de amenazas en diciembre es la misma que informaron y corrigieron en enero de 2022 como parte de su programa de recompensas por errores HackerOne. «En enero de 2022, recibimos un informe a través de nuestro programa de recompensas por errores de una vulnerabilidad que permitía a alguien identificar el correo electrónico o el número de teléfono asociado con una cuenta o, si conocían el correo electrónico o el número de teléfono de una persona, podían identificar su cuenta de Twitter, si existiera», reveló Twitter hoy en un aviso de seguridad . «Este error fue el resultado de una actualización de nuestro código en junio de 2021. Cuando nos enteramos de esto, lo investigamos de inmediato y lo solucionamos. En ese momento, no teníamos evidencia que sugiriera que alguien se había aprovechado de la vulnerabilidad». Como parte de la divulgación de hoy, Twitter le dijo a BleepingComputer que ya comenzaron a enviar notificaciones esta mañana para alertar a los usuarios afectados sobre si la violación de datos expuso su número de teléfono o dirección de correo electrónico. En este momento, Twitter nos dice que no pueden determinar la cantidad exacta de personas afectadas por la infracción. Sin embargo, el actor de amenazas afirma haber utilizado la falla para recopilar los datos de 5.485.636 usuarios de Twitter. Las recomendaciones de Twitter para evitar vulneraciones a la seguridad Si bien no se expusieron contraseñas en esta violación, Twitter alienta a los usuarios a habilitar la autenticación de dos factores en sus cuentas para evitar inicios de sesión no autorizados como medida de seguridad. Para aquellos que usan una cuenta de Twitter seudónima, la compañía de redes sociales sugiere que mantengan su identidad lo más anónima posible al no usar un número de teléfono o dirección de correo electrónico conocidos públicamente en su cuenta de Twitter. “Estamos publicando esta actualización porque no podemos confirmar todas las cuentas que se vieron potencialmente afectadas, y somos particularmente conscientes de las personas con cuentas seudónimas que pueden ser atacadas por el estado u otros actores”, advirtió el aviso de Twitter. Además, dado que dos actores de amenazas diferentes ya compraron estos datos, los usuarios deben estar atentos a las campañas de phishing dirigidas que utilizan estos datos para robar sus credenciales de inicio de sesión de Twitter. – FUENTE: Abrams, Lorenzo. »Twitter confirma el uso del día cero para exponer datos de 5,4 millones de cuentas.» Bleepingcomputer-com.cdn.ampproject.org. 05/08/22. (https://www-bleepingcomputer com.cdn.ampproject.org/c/s/www.bleepingcomputer.com/news/security/twitter-confirms-zero-day-used-to-expose-data-of-54-million-accounts/amp/).
