Llegamos a ustedes gracias a:



Columnas de opinión

Cinco nuevas amenazas de seguridad a evitar

Por: Bill Snyder, CIO.com

[11/02/2011] No paso mucho tiempo en Facebook, así que cuando recibí un correo desde el sitio de redes sociales diciéndome "no ha entrado a Facebook recientemente y aquí hay algunos mensajes que no ha leído, no me pareció nada del otro mundo hacer clic en el enlace, preguntándome qué estarán haciendo mis amigos.

Uy. Fui víctima de una técnica de hacking llamada "clickjacking". Si no hubiera sido por las medidas de seguridad integradas en Firefox, podría haber estado en problemas, porque en lugar de ir a Facebook, el enlace dirigía a http://sleepingpillsfitnesspills.com.
Este sitio podría haber sido simplemente un anuncio sobre píldoras canadienses -un molesto, pero inofensivo desvío. Pero también podría haber sido un sitio cargado de malware, incluyendo las aplicaciones diseñadas para robar mi información personal clave, y la de la gente de mi libreta de direcciones.
Facebook, con sus cientos de millones de usuarios, se ha convertido en el blanco de los hackers, spammers, y simples ladrones. Ellos están tratando de atraerle a través de encuestas falsas, falsificando aplicaciones y enlaces envenenados, según un informe de Sophos Security.
Lamentablemente, Facebook está lejos de ser el único sitio web popular que se ve comprometido en estos días. Amazon, el sitio gigante de ventas electrónicas al por menor, sin darse cuenta dejó una puerta abierta que los hackers podían utilizar para robar su contraseña y acceder a la información de su tarjeta de crédito.
Y no importa lo que haya leído acerca de los anillos malignos de hackers rusos, resulta que los Estados Unidos es el país donde más se originan los ataques cibernéticos, según un reporte trimestral de Akamai, "El Estado de Internet.
A continuación, cinco nuevas amenazas, entre ellas tres que se dirigen a usuarios de Facebook:
Clickjacking
Sophos Security señala que este es uno de los ataques más comunes que golpea a los usuarios de Facebook. Estos ataques utilizan páginas maliciosamente creadas donde se oculta la verdadera función de un botón debajo de una capa opaca que muestra algo totalmente diferente. A menudo, compartir o darle "me gusta" al contenido en cuestión, envía el ataque a los contactos a través de las noticias y actualizaciones de estado, propagando la estafa.
En mi caso, estoy un poco avergonzado de admitirlo, podría haber evitado la estafa de la página, simplemente dándome cuenta de que la dirección del e-mail supuestamente enviado por Facebook era obviamente falsa: update+qqlvvtxikjpp@facebookmail.com. La lección aquí es obvia: Cuando reciba un correo electrónico con un enlace, fíjese en la dirección de retorno. Si le parece extraña, elimínela. Además, mantenga su navegador al día, todos están haciendo un mejor trabajo en la detección de material peligroso, y puesto que son gratuitos ¿por qué no aprovechar esa protección.
Encuestas falsas
Este fraude está relacionado con el clickjacking, ya que intenta que usted haga clic en algo peligroso a través de un mensaje engañoso. Por lo general, la estafa comienza con un provocativo (sexual o no) mensaje. Aquí hay una que Sophos ha señalado recientemente: "¡Dios mío! ¡Mira lo que este chico le hizo a su escuela después de ser expulsado! Después de que este niño de 11 años de edad fuera expulsado de su escuela se volvió loco. Bueno, eso es intrigante.
Sin embargo, tiene que darle "me gusta" a la página y llenar una encuesta rápida, antes de leer la historia. ¡Vaya!: Le acaba de dar a los estafadores una comisión por haber rellenado la encuesta, y ayudó a que la estafa se propague enviándosela a todos sus amigos. La encuesta gana dinero por los estafadores, que reciben una comisión por cada encuesta completada. Y es por eso que están difundiendo este mensaje deforma viral a través de Facebook.
Aplicaciones engañosas
Todavía más perjudicial, la encuesta falsa puede dar lugar a aplicaciones engañosas. A veces las aplicaciones buscarán su libreta de direcciones y enviarán las encuestas falsas a todos sus contactos, con la esperanza de hacer dinero. Otras aplicaciones engañosas pueden apropiarse de los datos mediante la instalación de keyloggers (aplicaciones que graban y transmiten pulsaciones de teclas) u otro malware. Otras aplicaciones falsas pueden convertir su computadora en un zombi usada para difundir malware por los chicos malos.
Vulnerabilidad de Amazon
Una falla de seguridad, al parecer, permite que los servidores de la empresa acepten las contraseñas que son casi -pero no del todo- correctas. Afortunadamente, el defecto afecta a las viejas contraseñas.
La falla permite que Amazon acepte como válidas a algunas contraseñas que tienen caracteres extra añadidos después de octavo carácter, y también hace que la contraseña ignore las mayúsculas. Ese defecto borra la ventaja de una contraseña más larga, haciendo que las contraseñas sean más fáciles de craquear a través de software. Esto por primera vez fue notado por los usuarios de reddit, y ha sido recogido y verificado por una serie de grupos de renombre, incluyendo Wired.
En cualquier caso, parece que las nuevas contraseñas no se ven afectadas, pero no está claro cuál es la fecha límite. En cualquier caso, puede simplemente cambiar la contraseña de Amazon. Si gusta, cámbiela de nuevo al mismo password, pero aun así será una nueva en lo que al servidor se refiere, y esté seguro. Amazon no ha respondido a mi pregunta sobre este tema, o cualquier otra persona que he visto.
Spearphishing
Es la que puede ocurrir con mayor frecuencia a través del correo electrónico habitual, pero también puede ser alcanzado por un ataque de este tipo a través de un mensaje de Facebook o Twitter. Spearphishing (o "pesca con lanza") funciona así. Recibirá un e-mail o un mensaje que parece muy personal, de una persona o empresa con la que normalmente se comunica. Pero le llevará a un sitio envenenado. Sí, esto suena como las estafas de "phishing" sobre las que ha sido advertido. En esos casos probablemente recibiría un mensaje de su proveedor de correo electrónico diciendo que su bandeja de entrada está llena o hay que verificar su identidad y así sucesivamente. "Spearphishing" lleva eso un paso más allá, agregando información personalizada para calmar sus sospechas.
"Los mensajes de phishing generalmente parecen provenir de una gran y conocida empresa o de un sitio web con una amplia base de miembros, tales como eBay  o PayPal. Sin embargo, en el caso de "spearphishing", la fuente aparente de los e-mail es probablemente un individuo dentro de la compañía del receptor y generalmente alguien en una posición de autoridad ", según el sitio web de Sophos.
CIO (US)