Wall Street solicita acceso a los mensajes privados de Facebook de los brokers que operan en Bolsa
Parece que ultimamente la Bolsa está dando mucho de que hablar. Si ayer te contábamos que el hacking a la cuenta de Twitter de AP y el tweet sobre el atentado contra Obama había conseguido que los valores en Bolsa se derrumbaran durante unos minutos, hoy te tenemos que hablar de otro tema más que polémico que afecta a la privacidad.
Y es que la Financial Industry Regulatory Authority (FINRA), entidad reguladora financiera en Estados Unidos, ha solicitado tener acceso a los mensajes privados de Facebook de los perfiles personales de los brokers que operan en Bolsa, así como a sus muros, ya que sospechan que se está haciendo mucho negocio de forma oculta utilizando para ello las redes sociales.
Así que, ni cortos ni perezosos, han enviado una carta a diez estados solicitando a la gente que les den acceso a sus cuentas de sus medios sociales, para que un grupo de investigación monitorice a los brokers. Además, añade que “prohibir el acceso a estas cuentas puede suponer un conflicto al no cumplir con los requerimientos federales que protegen a los inversores”.
FINRA insiste en que solo quieren acceso a los perfiles de los brokers para hacer un seguimiento y conseguir evidencias de aquellos que ya son sospechosos de fraude. Un argumento más que ridículo, porque evidentemente, si alguno de ellos está contraviniendo algún tipo de ley, en el momento en el que den acceso a sus perfiles a esta entidad, borrarán todas las evidencias y dejarán de utilizar esta vía para filtrar información privilegiada o hacer movimientos sospechosos.
Evidentemente, los inversores tienen derecho a estar protegidos contra cualquier tipo de fraude, pero… ¿también violando la privacidad de los empleados de Wall-Street? De nuevo, la fina línea entre la privacidad en las redes sociales y la Ley se cruzan. Porque, por esa misma regla de tres, podrían pedir acceso a sus correos electrónicos, que se llevan usando más tiempo que las redes sociales… A no ser que dichos correos ya estén siendo monitorizados, en cuyo caso, estarían cometiendo un delito contra la Ley de Intimidad y la Privacidad norteamericana, mucho más restrictiva que la nuestra.
Aquí queda dicho, y como todo lo de Estados Unidos acaba viniendo, que se preparen los brokers españoles, que igual en un espacio corto de tiempo, nos llega la Comisión Nacional del Mercado de Valores pidiendo acceso a los perfiles de Facebook, Twitter y hasta de Badoo si se ponen 
.
Yolanda Ruiz Hervás
El “libro de los secretos” de Facebook
Seguro que la palabra “secretos” te ha llamado la atención. Es normal, nos pasa a todos: el ser humano se vuelve realmente loco cuando está a punto de descubrir algo oculto para el resto del mundo . Pues así es como ha decidido llamar Owen-Campbell Moore, un estudiante de 21 años de ingeniería informática que ha trabajado en Google, a su creación: “Secretbook”. Se trata de una extensión de Google Chrome que permite ocultar un mensaje cifrado en las imágenes que compartimos a través de Facebook y que solo podrá descifrar y leer quien tenga el password apropiado.
El proceso, como puedes ver en la pantalla, es sumamente sencillo y hecho para usuarios normales sin ningún tipo de conocimiento informático. Eso sí, el mensaje de momento queda restringido a 140 caracteres, es decir, para que nos entendamos todos, a un tweet. Una vez subida la foto a Facebook, ni siquiera los ingenieros de la popular Red social podrían acceder al contenido de dicho mensaje. Divertido, ¿verdad?
La técnica se llama esteganografía, y a diferencia de la criptografía, permite cifrar mensajes en elementos en los que a nadie se le ocurriría pensar que contiene mensajes ocultos. Esto me recuerda al código de símbolos del “Código da Vinci” . El mensaje puede ocultarse en un simple píxel que cambia a otro color, de manera que ninguno de nosotros seríamos capaces de advertir las diferencias entre imágenes con un simple vistazo:
Pues seguramente habrá muchos usuarios que se lo pasen en grande intercambiándose mensajes entre sí ocultos. Como decíamos al principio, no hay nada que nos guste más que tener acceso único y exclusivo a algo secreto y oculto. El problema es el mal uso que se puede hacer de este tipo de herramientas.
Desde el punto de vista de la privacidad, es una buena técnica, ya que permitiría el intercambio de mensajes ocultos entre usuarios de Facebook sin que nadie tuviese acceso a ellos. Sí, ya sé que estarás pensando en la mensajería privada de la Red social, pero… ¿de verdad crees que los señores de Facebook no leen y analizan los mensajes privados? Pues si lo crees de verdad, siento darte un disgusto, porque sí lo hacen.
El problema al que apunta su propio creador es que este sistema también podría ser utilizado como sistema de comunicación entre terroristas, grupos antisistema o ciberactivistas. Creo que no te tenemos que recordar que los departamentos de inteligencia de los Estados Unidos tienen poderosos algoritmos de rastreo de las comunicaciones que analizan diariamente todo lo que se cruza en Internet, y en las redes sociales, en busca de indicios de delito, grupos terroristas, etc.
Y según argumenta también su propio creador, el algoritmo que ha creado que posibilita este cifrado no es perfecto… todavía. Es decir, tal y como se encuentra hoy sí podría ser detectado por investigadores informáticos, pero asegura que continúa trabajando en su perfeccionamiento.
Si pensamos en el origen de Internet, debemos recordar que nació como un sistema de comunicación privado entre el ejército de Estados Unidos, ya que necesitaban en los años 50 un protocolo de comunicación que no pudiera ser interceptado por el enemigo. Ahora Internet es global, abierto y público, pero existen muchas redes más privadas y ocultas. Es normal que en este contexto, las tecnologías sigan evolucionando buscando la privacidad de las comunicaciones. Y también es normal que las autoridades sigan luchando y también evolucionando para conseguir que dichas comunicaciones no sean privadas… al menos, para ellos. Eso sí, siempre en aras de la seguridad mundial.
¿Quieres borrar tus datos de la Red? Pues para Google, primero tendrás que morirte…
Sí, ya sé que suena un poco radical, pero es que lo es. Veamos… Pongámonos en el caso de que cualquiera de nosotros encuentra cualquier tipo de contenido que no queremos que esté en la Red. Nuestra primera intención será acudir a Google para intentar contactar con alguien “humano”, pero desde ya te digo que nos va a resultar bastante complicado, porque no suele haber un teléfono o un email de soporte publicado por ningún lado, más bien al contrario: formularios y solicitudes que nunca sabes si se reciben, quién las lee, etc.
Durante muchas conversaciones con la Policía Nacional y con abogados especializados en Internet, me han comentado que es muy complicado conseguir que un contenido sea eliminado. Hace poco coincidí con una persona especializada en Derecho de Internet y me comentó que estaba a punto de celebrarse un juicio en Europa porque alguien con una intención nada buena había publicado que su cliente tenía el virus del VIH, lo que le había perjudicado profesionalmente.
Habían acudido tanto al responsable de la publicación en cuestión como a Google, y no habían conseguido nada. Así que los trámites legales les había llevado hasta el Tribunal de Derechos Humanos… Espero sinceramente que lo ganen, porque todos tenemos derecho a nuestra privacidad y a nuestra intimidad.
Porque claro, independientemente de Google, tenemos que tener en cuenta que este no es más que un agregador y clasificador de información. Lo que se conoce como un buscador, sin más ni menos. El contenido que elimina Google está alojado en alguna parte, y el hecho de que no aparezca en los resultados de búsqueda, no quiere decir que se haya borrado para siempre, porque sigue estando en la web que originalmente lo ha publicado.
Seguro que conoces algún caso en el que la eliminación de contenido no adecuado se convierte en una auténtica pesadilla. Para empezar, porque primero tienes que contactar con el administrador de la página en cuestión que contiene la publicación, labor bastante complicada habitualmente.
Si consigues contactar, tienes que pedirle amablemente que elimine el contenido, y ahí ya dependes de que también amablemente quiera hacerlo, porque muchas veces los límites de la libertad de expresión y de información se topa de bruces con el derecho al honor, a la intimidad y a la privacidad. Claro está que si el individuo en cuestión lo ha hecho para perjudicarte, no lo va a eliminar.
Si consigues que lo elimine, entonces el tema se facilita, porque para Google, ese link indexado pasa a ser un hipervínculo huérfano, y por lo tanto, da un fallo. Si lo reportas a través de la herramienta de Google para Webmasters, en un plazo no superior a las 48 horas, tanto el link como la copia en caché de ese contenido desaparece. Pero lamento comunicarte que esto solo sucede en el 1 % de las ocasiones.
Si no has conseguido contactar con el administrador, entonces puedes acudir a las herramientas de Google directamente. Contempla dos supuestos diferentes: el primero, que consideres que dicha información está vulnerando alguna ley aplicable, quedando la decisión en manos de Google. Sobra decirte que si no es con un mandato judicial, es bastante complicado que se elimine nada. Al menos, yo no conozco ningún caso, más bien al contrario, conozco casos de muchas negativas.
El segundo supuesto es que haya información confidencial tuya indexada en Google, por lo que nos topamos de nuevo con Google, al que tenemos que dejar decidir qué es información confidencial y qué no lo es. Porque… que alguien tenga el VIH, ¿no crees que es información muy confidencial?
Pues bien, mira tú por dónde, me topo con esta noticia: Google va a facilitar herramientas a los usuarios para que, a su muerte, dejen una especie de testamento digital en el que manifiesten si quieren que su información sea borrada tras el deceso o sus cuentas transferidas a algún familiar o amigo para que las administre, suspenda o haga lo que quiera con ellas.
Paradójico, ¿no? Es decir, que si en el ejemplo anterior este señor finalmente fallece (¡ojalá que no!) se hubiera ahorrado años de litigio y gastos de abogados y tribunales, porque simple y llanamente podría elegir que se borrara toda su información y asunto solucionado. Eso sí, demasiado tarde quizá…
La herramienta la han llamado “Administrador de cuentas inactivas” y se encuentra en el administrador de tu perfil general para los productos de Google. Evidentemente, en esta herramienta no hablan de forma específica del deceso del usuario, pero sí destapan su verdadero objetivo en su blog de privacidad de UK.
Eso sí, nos ha encantado tanto el último párrafo del post como el último comentario que un usuario ha publicado:
Donde Andreas Tuerk, Product Manager de Google, el autor del artículo, afirma “Esperamos que esta nueva funcionalidad os permita planificar vuestra vida digital tras fallecer –en el sentido de proteger vuestra privacidad y seguridad- y que haga la vida más fácil a aquellos a los que amáis después de que os hayáis ido.”
Y uno de los usuarios que comenta el post, ni corto ni perezoso, publica lo siguiente:
Lo que en español de a pie quiere decir: “Gracias chicos, es realmente muy confortable saber que mi mujer tendrá acceso a todos mis datos, que es lo peor que puede ocurrirme” .
Bueno, al menos, humor no nos falta. Pero señores de Google, mejor que hagamos las cosas bien en vida, porque tras la muerte, todo se banaliza y relativiza…
Mi nuevo móvil, seguramente seguro
¿Cuántos de los que están leyendo esto han babeado compulsivamente viendo las estanterías de los móviles de última generación? Yo, muchísimas veces. Aunque tengas el mejor móvil posible, una semana después lo mirarás y descubrirás que ya no es lo mismo, que la versión “S”, o la “2”, o lo que sea, ha incorporado algo que realmente “ne-ce-si-tas”, y te hubieras gastado unos pocos euros más en poder tener “eso” en tus manos.
Cada vez queremos más en nuestros móviles, y no quiero que esto parezca un alegato a la sociedad de consumo. No, no voy a hablar de la crisis y del dinero que nos hemos gastado sin tenerlo. Si estás leyendo esto, tu índice de frikismo (no sé si se mide como los midiclorianos) es suficiente como para que me entiendas.
Para poder saber si un móvil es más chulo que otro, hay una serie de características básicas que establecen una clara escala. Entre otras, más secundarias, está la resolución de la pantalla y su tecnología, la duración de la batería, el peso del aparato y las aplicaciones con las que pueda funcionar. Y, curiosamente, cuando se compara tu nuevo móvil con el de un amigo, parece un juego de “piedra, papel, tijera”, en el que cada uno piensa que es mejor una pantalla más grande, el otro, que si tiene uno más ligero… Y ganan siempre ambos.
Pero hay pequeños detalles que aunque no creamos que son importantes, a la hora de elegir un móvil nos influyen pero reducen drásticamente la seguridad del aparato. Por ejemplo, el gran invento del NFC. Es una característica muy buena, por supuesto, nos puede servir para muchísimas cosas, pero ¿cuántos de los que disponemos de móviles con lectores NFC lo hemos utilizado? O, por lo menos, lo hemos utilizado para algo útil más allá de probarlo un par de veces y presumir ante los amigos. Al menos en España, reconozcámoslo.
¿Somos conscientes del peligro que entraña el tener en nuestro bolsillo un lector NFC? A ver, niños, no leáis esto: se podría aprovechar la tecnología NFC para hacer estragos en terminales móviles dentro del metro en hora punta. La idea está lanzada.
Cuando se empieza a pensar en la seguridad de los móviles, hay veces que añoro el Nokia 3210. Si se pudiera jugar al Angry Birds en su pantalla de 84 x 48 píxels… Allí no había problemas ni de NFC ni de conexiones Bluetooth ni de Wi-Fi… Así que mejor uno de última generación. Conectividad a tope (menos infrarrojos, que está pasado de moda), eso sí, desactivadas para evitar problemas. Aplicaciones para hacer de todo, pero revisadas por el antivirus. Acceso protegido con una contraseña de las buenas, no el nombre de mi perro (que no tengo). Así da gusto haberse gastado unos cientos de euros, sabiendo que estoy seguro y protegido. Porque, por supuesto, el app de Facebook, Twitter, Whatsapp, Linkedin, Instagram, 4square y otras no almacenan mi contraseña, y si pierdo o me roban el teléfono tengo un sistema antirrobo que bloquea y me localiza el teléfono.
Iluso de mí. “Hay gente pa tó”, como dijo “El Gallo”. Cuando crees que lo has visto todo, un grupo de investigadores ha conseguido acceder a la memoria de un teléfono congelándolo. Si se deja el móvil durante una hora a -10º C, se elimina la batería y se vuelve a conectar, el teléfono pasa a estar en un estado vulnerable, pudiendo accederse a los datos de la memoria. Una vez conseguido el acceso, ya se pueden analizar en un ordenador distinto.
El problema parece venir del tiempo que tardan en borrarse los datos de la memoria. A temperatura “normal”, los datos desaparecen a una velocidad “normal”, pero al estar los chips de memoria congelados, tardan muchísimo más en desaparecer, con lo que puede accederse a ellos al resetear el teléfono “a lo bruto”, simplemente retirando la batería.
Nunca podremos afirmar que nuestra “máquina de twittear” es todo lo segura que pensábamos. Pero eso sí, ¿pensábamos que era segura? Si el PIN de la tarjeta es de cuatro cifras y encima es la fecha de nuestro cumpleaños, mal empezamos.
Fernando de la Cuadra
@ferdelacuadra
22 años después: recordando el virus Michelangelo
Sicilia, 1921…
Solamente los más viejos recordarán a Sophie, de la serie Las chicas de oro, diciendo esas palabras. Pues hoy me he visto como ella, recordando un 6 de marzo de hace más de 20 años. Debo de estar haciéndome viejo cuando Josep Albors me pica para que hable del virus Michelangelo, descubierto hace 22 años.
El virus, en sí, no era gran cosa si lo miramos desde la perspectiva del año 2013. Un virus que infectaba el sector de arranque de los discos duros de aquella época, tan pequeños que serían incapaces de almacenar una fotografía sacada con un móvil actual. Su “payload” (cuánto tiempo sin oír este concepto) consistía en borrar los discos duros el 6 de marzo de cada año. ¿Qué beneficio obtenía el creador del virus? Ninguno. Simple placer destructivo, el mismo placer que debe de sentir un gamberro cuando pega una patada a una papelera en la calle y la rompe.
El virus fue un auténtico notición. Durante bastante tiempo se estuvo especulando acerca de la cantidad de ordenadores infectados. Se habló de miles, hasta de millones. Los medios alertaban sobre la debacle informática que se avecinaba al perderse el contenido de millones de discos duros de los que, por supuesto, no se había hecho copia de seguridad.
El desconocimiento en aquellos días acerca de los códigos maliciosos propició una especie de pánico que los medios aprovecharon para llenar páginas de tabloides, minutos de radio y telediarios. La información era escasa y llegaba con cuentagotas, maximizada y lo peor: deformada.
Se decía que bastaba con conectarse a Compuserve para resultar infectado, que había que mantener el ordenador encendido desde el día 5 para no verse afectado… Todo el mundo tenía una solución, a cuál más peregrina. Y cuántas personas evitarían acercarse al PC para no contagiarse.
Y llegó el 6 de marzo de 1991. Y el mundo no se acabó. Y de los millones de ordenadores infectados, no supo nadie nada. Para muestra, un botón: un grande estadounidense, At&T, informó que de todo su parque de ordenadores (y no serían pocos), solamente se infectaron dos.
La industria antivirus aprendió, y mucho. Primero, a no asustar. La seguridad y la prevención de infecciones no debe basarse en el miedo, sino en la información y la educación, y eso en Ontinet lo llevamos muy a pecho. Y segundo, se crearon por primera vez las “herramientas gratuitas de desinfección”, para que los usuarios que estuvieran infectados pudieran limpiar sus sistemas. Y no es que no tuvieran un antivirus instalado, es que hoy es muy fácil actualizar un antivirus, pero en 1991 era bastante complicado hacer actualizaciones. Los usuarios actualizaban una vez… ¡al mes!
Si este virus intentara infectar hoy en día, estaría condenado a la extinción antes siquiera de poder abrir los ojos. Cualquier sistema antivirus con una mínima calidad (sé que pido mucho, lo siento) lo detectaría sin despeinarse simplemente con un análisis de comportamiento. Y si encima le añadimos un sistema heurístico avanzado, detección genética y análisis potenciado en la nube, significa que estamos hablando de ESET NOD32 y que no tienen posibilidad de acercarse ni un solo bit a nuestro ordenador.
Sólo en Japón: gatos con tarjetas de memoria que contienen malware
Si hay un país en el mundo donde este titular no sorprendería ese es, sin lugar a dudas, Japón. El país asiático es conocido por su peculiaridad forma de ver las cosas y esto incluye también a los creadores de malware y ciberdelincuentes que allí habitan. Entre ellos se encuentra un individuo (o grupo) que ha tenido en vilo a los cuerpos de seguridad del país nipón durante los últimos meses.
Esta persona (o personas) ha lanzado diversas amenazas terroristas en los últimos meses a las autoridades japonesas mediante el envío de correos electrónicos desde ordenadores infectados, provocando incluso que se ponga una recompensa de 3 millones de yens (+/- 26.000 euros).
Estas amenazas que se han estado propagando por foros públicos y emails a los medios de comunicación incluían la intención de cometer un atentado en un conocido centro comercial de Osaka, hacer explotar una capilla en la provincia de Mia, colocar una bomba en un avión de pasajeros o atacar una escuela a la que atienden miembros de la familia real.
La última acción de este grupo ha sido bastante curiosa y es la que da título a esta noticia. Tras enviar algunos correos con acertijos a la policía y a los medios de comunicación japoneses, esta se puso a la busca y captura de un gato que, supuestamente, contenía información acerca del malware usado por este grupo para infectar miles de ordenadores por todo Japón. Esta búsqueda empezó en el día de año nuevo y la policía encontró finalmente al gato el pasado lunes vagando por una isla cerca de Tokyo.
Curioso método para hacer llegar un mensaje, sin duda, aunque para gato con look japonés, nosotros preferimos a Mimitos, la adorable mascota de la editorial Ediciones Babylon y con la que tenemos la suerte de compartir la localidad valenciana de Ontinyent donde tenemos las oficinas.
Tal y como anunciaron en los emails enviados, el gato contenía una tarjeta de memoria en su collar. Dicha tarjeta decía contener el “virus de control remoto”, el malware usado para infectar ordenadores y que fue usado para enviar los correos amenazantes durante 2012. La policía japonesa no ha proporcionado aún más datos de lo que contenía esa tarjeta además del citado malware, probablemente porque estén buscando información que les conduzca hasta este ciberdelincuente.
Con respecto al malware en sí, investigadores de Symantec ya lo analizaron hace unos meses y no encontraron nada especial en él salvo el que estuviese parcialmente escrito en japonés. Se trata pues de un ejemplo más de las muchas herramientas de control remoto existentes en la actualidad.
Con respecto a las actividades de esta persona o grupo, es algo que lleva de cabeza a la policía japonesa y ya han realizado varias operaciones para intentar capturar a los culpables. En octubre detuvieron a cuatro sospechosos para, poco después, tener que dejarlos en libertad al comprobar que sus ordenadores habían sido infectados por el malware usado para enviar las amenazas de ataques terroristas.
Actualmente, la policía japonesa sigue sin tener pistas determinantes que le ayuden a resolver este caso, aunque esperan que la recompensa ofrecida ayude a obtener información de este o estos ciberdelincuentes.
La verdad es que todo esto visto desde nuestra perspectiva puede chocarnos. Acostumbrados como estamos a tratar diariamente con esta clase de ciberdelincuentes (y algunos bastante peores), nos sorprende la reacción que este caso ha tenido en las autoridades japonesas. No obstante hay que comprender la mentalidad japonesa para entender que este tipo de acciones delictivas no son nada frecuentes en el país nipón y pueden haber pillado desprevenidos a las autoridades al no contar con la experiencia de otros países luchando contra el cibercrimen.
De cualquier forma, esta rocambolesca historia promete, y no dudamos que, tanto el ciberdelincuente como la policía japonesa, seguirán jugando al gato (nunca mejor dicho) y al ratón durante una temporada más hasta que el primero se aburra o los segundos lo atrapen, con o sin ayuda externa. Pase lo que pase, ahí estaremos nosotros para contarlo.
Te regalamos nuestro calendario 2013
Ya os hemos felicitado la Navidad, el Año, los Reyes Magos… Pero faltaba algo. Así que nos hemos reunido el Consejo Editorial de este blog (vamos, el Josep y yo, que nos hemos puesto a pensar para variar y hemos llegado a la conclusión de que nos faltaba haceros un regalito.
Así que, oye, nos hemos puesto, pim-pam, pim-pam, y nos ha salido… este bonito calendario para 2013 que esperamos que os guste .
Las fiestas son las nacionales y en este link te lo puedes descargar, si quieres, en alta calidad.
¡Buena semana, tropa!
De Imperva, VirusTotal y la utilidad de los antivirus
No sé si lo sabes, pero se ha publicado ultimamente un estudio acerca de la efectividad de los antivirus que ha causado bastante revuelo. Algunos de vosotros nos habéis preguntado al respecto, así que aquí os traemos nuestra postura corporativa al respecto, escrita originalmente por uno de nuestros investigadores más veteranos, David Harley.
Introducción
Espero que el escándalo levantado por el pseudo-estudio de Imperva, conocido en noviembre, en el que se afirmaba que los antivirus detectan menos del 5% del nuevo malware, haya muerto definitivamente en el momento en el que estamos escribiendo este artículo. Después de todo, la actitud crítica ha llevado a Imperva a modificar su posición tanto en su informe público (la versión original enviada a periodistas parece que era sustancialmente diferente) como en el artículo de su blog. Sin embargo, parece que algunos medios de comunicación, como el New York Times o The Register, siguen manteniendo el mismo argumento.
Una segunda oleada de reportajes han ignorado totalmente los grandes agujeros metodológicos que existen en el informe de Imperva y están reciclando sus estadísticas más que dudosas sin ningún tipo de crítica. ¿Por qué dudosos? Porque a pesar de las protestas de la comunidad antivirus y de VirusTotal, el estudio publicado por Imperva y el Instituto Israelí de Tecnología se basa en el mito de que los datos que reporta VirusTotal son tomados como hechos contundentes que prueban si un producto antivirus es capaz de detectar o no un ejemplar de amenaza informática o de malware, tal y como lo llamamos en la jerga del sector.
Sumario ejecutivo
El estudio de Imperva es frustrante no solo para la comunidad de investigadores del sector de antivirus sino para cualquiera que se tome muy en serio el llevar a cabo análisis precisos de evaluación de los productos de seguridad. VirusTotal es un gran servicio, pero su objetivo principal es dar una idea al usuario de si el fichero que está enviando al sistema pudiera ser o no malicioso. Simplemente, no está diseñado para evaluar la habilidad de uno o más productos de seguridad para detectar dicho ejemplar de malware. Es más, el sistema te dice qué productos son capaces de detectar la amenaza utilizando los módulos particulares de programación y configuración que está utilizando VirusTotal (para más detalles, ver la sección cronológica debajo correspondiente al 28 de noviembre).
Utilizar estos datos en el contexto de evaluar la capacidad de detección de una solución antivirus es como evaluar la musicalidad de una banda de rock escuchando solo los coros vocales que hace el batería. Algunos baterías cantan muy bien, pero aportan mucho más a la banda que el simple doo-wop que pueden cantar o corear en segundo plano. Incluso el antivirus comercial más simple o básico hace mucho más que simplemente comparar archivos con el fichero de firmas estático que contiene porciones del código malicioso encontrado y analizado, lo que permite su identificación (algunas suites de seguridad incluyen, además, otras capas de seguridad que reducen las oportunidades que tiene una amenaza informática de infectar un sistema. Y digo reduce, no que provea una protección absoluta al 100% contra cualquier tipo de amenaza).
El informe de Imperva llega a esta conclusión basándose en estadísticas falsas, y han intentado decirnos que su queja (que menos del 5% de las nuevas amenazas informáticas son detectadas por los antivirus) está confirmado por un informe de AV-Test (entidad certificadora de soluciones antivirus independiente con una gran trayectoria de objetividad y rigor). Dado que el informe al que hace referencia no está presente en ningún sitio, interpretamos que el pantallazo incluido en el artículo del blog de Imperva parece mostrar la media de detección de la industria de la seguridad en tres escenarios:
- Ataques 0-day: de media = 87% (n=102)
- Amenazas descubiertas en los últimos 2 o 3 meses: de media = 98% (n=272.799)
- Amenazas que se distribuyen y permanecen en el tiempo: de media = 100% (n=5.000)
Entre el 5% y el 87% hay una gran diferencia, ¿verdad?
De hecho, lo que prueba este gráfico es que los productos de seguridad brindan protección contra todo tipo de amenazas informáticas de forma proactiva, no solo por las tradicionales formas de detección mediante ficheros de firmas genéricos o tecnologías heurísticas (análisis de comportamiento, sandboxing, análisis del tráfico, etc.) sino también gracias a otras tecnologías que funcionan a modo de protección multi-capa y que permiten llegar más allá.
Ningún investigador de seguridad te va a decir jamás que tener un antivirus debe ser el único sistema de seguridad que vas a necesitar, o que su software es capaz de detectar el 100% del malware conocido o desconocido, ya que no existen soluciones 100% efectivas. Mientras que llegue el momento en el que tanto el sistema operativo como las aplicaciones sean tan seguras que no sea necesario ningún sistema de detección de amenazas informáticas que se aprovechen de sus fallos, el uso de un antivirus sigue siendo necesario. Decir lo contrario, intentando confirmar que no merece la pena pagar por un antivirus, es incluso irresponsable. Si no hubiera dinero para pagar a los especialistas en investigación en seguridad informática porque no hubiera antivirus de pago, la industria de la seguridad en general perdería la batalla contra los cibercriminales y sus amenazas informáticas.
Cronología
Alrededor de finales de noviembre 2012, Imperva difundió la primera versión de su informe entre periodistas. Aunque ningún periodista compartió el informe en sí mismo, algunos de ellos describieron en sus reportajes la metodología básica y solicitaron comentarios al respecto: por ejemplo, Kevin Townsend introdujo en su información publicada en Infosecurity Magazine unas declaraciones de David Harley (autor original de este artículo) y de David Emm (de Kaspersky).
28 de noviembre. De acuerdo a Kevin:
… Estos son los resultados más que oscuros resultantes del análisis de 80 nuevos virus encontrados y testados por Imperva. La compañía utilizo la red TOR para explorar y encontrar el malware más nuevo, y desarrollaron y automatizaron un proceso de testeo y monitorización para testar los ejemplares utilizando el sitio de Virustotal. Los resultados no son muy alentadores. “La media de detección de un virus de nueva creación es del 0%” y “típicamente, tiene que pasar cuatro semanas para que el 25% de los desarrolladores de antivirus empiecen a detectarlos”.
Aunque merece la pena leer el artículo entero, extraemos aquí la respuesta inicial de David Harley, que resumiendo viene a decir por qué VirusTotal no puede ser utilizado como sistema de medición del rendimiento y de detección de amenazas de los diferentes antivirus del mercado:
VirusTotal nunca ha intentado ser un test de rendimiento de análisis, y no es la herramienta indicada para este trabajo. Esto significa que algunos productos, por ejemplo, pueden detectar aplicaciones potencialmente no deseadas como malware, pero puede no ser así con otros motores, ya que es debido a la configuración de sus opciones por defecto. En otros casos, el propio VirusTotal ha sido el que ha solicitado que se hayan activado opciones que en la configuración por defecto habitualmente no están operativas. En otras palabras, algunos productos han sido configurados por VirusTotal y nunca van a detectar algunos tipos de ejemplares porque pueden no ser maliciosos de forma inequívoca. Otros pueden ser capaces de detectar amenazas según llegan al equipo, pero pueden no serlo si ejecutamos el análisis bajo demanda, dado que no todas las tecnologías de detección por análisis de comportamiento y por heurísticas pueden ser implementadas en un análisis estático o pasivo.
Si esto ha sido un test real, realmente dudamos de sus resultados, ya que no hay forma de validarlos. No tenemos ni idea de qué tipo de ejemplares han estado analizado y si estos han sido correctamente clasificados como malware o no. En ausencia de estos datos o de un estudio real que efectivamente analice la eficacia en la detección de amenazas tanto bajo demanda como en ejecución, tenemos que decir que nos huele un poco a maniobra de marketing que bien pudiera estar buscando la atención mediática.
El propio VirusTotal ha hablado en numerosas ocasiones acerca del mal uso que se suele dar a su servicio utilizándolo como una herramienta de análisis. De hecho, Julio Canto, de VirusTotal, junto a David, hicieron hace un par de años un estudio que precisamente hablaba de este tema, entre otros asuntos: http://go.eset.com/us/resources/white-papers/cfet2011_multiscanning_paper.pdf.
Extraemos aquí algunos fragmentos que hablan de este asunto:
- VirusTotal no ha sido diseñada como una herramienta de medición del rendimiento de los antivirus ni para utilizarla en comparativas, sino para que revisar ejemplares maliciosos con muchos motores de soluciones de seguridad y para ayudar a los laboratorios antivirus enviándoles el malware que no son capaces de detectar.
- VirusTotal utiliza un grupo muy heterogéneo de motores. Cada solución de seguridad es capaz de implementar funcionalidades de seguridad de muchas maneras diferentes. VirusTotal no aprovecha todas las capas de funcionalidad que pueden estar presentes en un producto moderno de seguridad.
- VirusTotal utiliza versiones en línea de comando: esto también afecta al contexto de ejecución, que quiere decir que un producto pudiera fallar en la detección de algo que detectaría en condiciones normales de funcionamiento.
- El sistema utiliza los parámetros indicados por los fabricantes. Si crees que esto pudiera dar como resultado una configuración acorde con los test, considera que estás efectivamente probando la filosofía del vendedor en términos de configuraciones por defecto, y no con un objetivo de rendimiento.
- Algunos productos están diseñados para proteger el Gateway: los productos de Gateway normalmente están configurados teniendo como punto de partida diferentes presunciones que difieren de aquellos que están específicamente diseñados y preparados para proteger el ordenador personal.
- Algunos de los parámetros heurísticos que se utilizan son muy sensitivos, por no llamarlos paranoicos.
Conclusión
VirusTotal, según se describe, es una HERRAMIENTA, no una SOLUCIÓN: es una empresa muy colaborativa, que permite la industria y a los usuarios ayudarse mutuamente. Y como cualquier otra herramienta es mucho mejor utilizarla para unos fines determinados, pero no para todos. Puede ser utilizada con propósitos de investigación o puede ser malamente usada para conseguir objetivos para los cuales nunca fue diseñada. El lector debe tener un mínimo de conocimiento y de comprensión para interpretar los resultados de la manera correcta.
Pero sigamos con nuestra cronología…
4 de diciembre. Righard Zwienenberg comentó en el blog el estudio de Imperva intentando contener la falsa afirmación de que no merece la pena pagar por un antivirus.
6 de diciembre: el sitio alemán security.nl mencionó el artículo de Righard y le dio el derecho a réplica a Imperva.
10 de diciembre: publicamos las objeciones de utilizar VirusTotal como sustituto de un estudio de análisis serio en el blog de (ISC)2 e incluimos en este artículo en inglés la reclamación de aclarar algunos datos de Imperva ya publicada en el artículo original de security.nl.
13 de diciembre: Caroline Donnelly incluyó el testimonial de Rik Ferguson, de Trend, en IT Pro. Rik puntualizó que:
“Analizar simplemente una colección de ficheros, sin importar cómo de grandes son o sin tener en cuenta ni la fuente ni el funcionamiento de los productos de seguridad, no significa que los productos hayan sido expuestos a las amenazas de la forma en como se lo encontrarían en la vida real.”
17 de diciembre. Imperva publicó un artículo en su blog, “From A to V: Refuting Criticism of Our Antivirus Report” (“De la A a la V: combatiendo las críticas a nuestro informe antivirus”), en el que manifestaba saber las “limitaciones de su metodología”. De hecho, ofrecían una copia pública del estudio que incluía un nuevo resumen de algunos de los temas que habían surgido a raíz de la publicación del estudio original. Sin embargo, ni el artículo del blog ni el estudio solucionaba su debilidad más grande: seguía llegando a la misma conclusión a pesar de partir de datos erróneos. David escribió otro artículo en el blog contestando a Imperva, “Imperva-ious to Criticism”.
1 de enero de 2013: El New York Times (en un artículo sindicado a un montón de sitios) nos dijo que “La industria antivirus tiene un sucio secreto: sus productos no son siempre buenos combatiendo virus”. El artículo aceptaba las estadísticas del estudio de Imperva, sin ningún tipo de visión crítica, tal y como hizo Richard Chirgwin en The Register. Al menos, ambos periodistas sí se dieron cuenta de que Imperva tenía unos objetivos claramente comerciales, tal y como Richard Chrigwin apuntó en su artículo:
“Imperva sugiere a las empresas que presten más atención a la seguridad de sus sistemas y servidores. Lo que, sorprendentemente, es la especialidad comercial de la compañía.”
2 de enero de 2013: nuestro colega Old Mac Bloggit se mostró totalmente enfurecido con la gran cantidad de desinformación y con la actitud de los periodistas, que habían ignorado todo el material generado por la industria de seguridad, y escribió el artículo Journalism’s Dirty Little Secret. No fue el único… yo mismo twiteé el link, y así lo hicieron también otra gente que trabaja para la industria así como investigadores. Roel Schouwenberg de Kaspersky también twiteó: “Criticar al industria antivirus está bien. Pero háganlo utilizando los tests o las investigaciones adecuadas. Lo repetiré 2013 veces: VirusTotal no es una herramienta de testeo ni de análisis.
El dueño de VirusTotal, Bernardo Quintero, también twiteó: “evaluar un antivirus con menos de 100 muestras y utilizando VirusTotal es más una broma que un estudio”.
Algunos medios de comunicación tuvieron también una visión más equilibrada. Paul Wagenseil, de Tech News Daily, escribió el artículo “Study Faulting Anti-Virus Effectiveness May Itself Be Flawed” y le dio a Rik Ferguson, a Graham Cluley, y a un portavoz sin nombre de Kaspersky la opción a comentar, mientras que Graeme Burton escribió para Computing que: “la metodología de este estudio ha sido ampliamente criticada por los especialistas de seguridad… VirusTotal es un website que analiza ficheros y URLs para identificar virus, gusanos, troyanos y otro tipo de malware – y no su comportamiento en la vida real. El estudio no tuvo en consideración los diferentes parámetros que utilizan los productos”.
3 de enero de 2013: Max Eddy, de PC Magazine, tomó otro acercamiento diferente y preguntó por la opinión de los analistas profesionales (incluyendo comentarios de AV-Test, AV-Comparative, NSS Labs y Dennis Labs) y publicó “Los expertos destrozan el estudio de antivirus de Imperva”.
En dicho artículo, Randy abrams (ahora con NSS) dice: “Es extraño que encuentre esta increíble y nada sofisticada metodología de análisis, que utiliza un criterio erróneo de selección de ejemplares y conclusiones que no se pueden soportar envueltas en un solo pdf.” Y Simon Edwards (de Dennis Labs) comentó sobre la afirmación de Imperva de que los antivirus gratuitos funcionan mejor que los de pago que “Este es el resultado de todo lo que hemos encontrado después de muchos años de análisis y testeo… Sin excepción, los mejores productos son los de pago”.
Conclusión
Olvídate de la ofensa a la industria antivirus si quieres –nadie más presta atención a este punto- pero considera si basarías tu estrategia de seguridad (en casa o en el trabajo) en un ejercicio de relaciones públicas basado en unas estadísticas que no representan a ningún producto ni a ninguna premisa y que, además, no se entienden. No busques la Gran y Verdadera Solución: busca combinaciones de soluciones que te ofrezcan la mayor seguridad al precio que puedas pagar.
En este artículo estamos pensando más en empresas que en usuarios domésticos, pero los principios básicos aplican a ambos: el correcto antivirus gratuito es mejor que no tener ningún tipo de protección, pero la inversión en una suite de seguridad competente que ofrezca múltiples capas de protección merece la pena en el día a día.
Escrito originalmente por:
David Harley CITP FBCS CISSP - ESET Senior Research Fellow
Adaptado por Yolanda Ruiz Hervás
El “viernes negro” llega a España por primera vez con grandes ofertas online… y muchas estafas
El viernes posterior al Día de Acción de Gracias se conoce en Estados Unidos y otros países anglosajones como “viernes negro“ por ser el primer día de rebajas de invierno, el día en el que las cuentas de los comercios pasan de rojo a negro. Con cada vez más frecuencia en España, sobre todo en tiendas de comercio electrónico, se está utilizando esta expresión para dar inicio también al período de compras prenavideño, por lo que queremos darte una serie de consejos antes de que te lances a la caza y capturas de ofertas que, en muchas ocasiones, no son más que un fraude o una estafa.
Para evitar ser víctima de ataques informáticos a la hora de realizar las compras tanto hoy 23 de noviembre como el próximo lunes 26 de noviembre (el conocido como Cybermonday), te dejamos nuestras recomendaciones:
- Evitar el uso de conexiones Wi-Fi de dudosa confiabilidad: recuerda que las redes wi-fi públicas, sean libres o protegidas por contraseña, pueden estar siendo interceptadas, por lo que es recomendable realizar transacciones en línea a través de una red propia o de alguien de confianza.
- Ojo con los dispositivos de uso público: en los casos de transacciones online, es recomendable el uso de dispositivos tecnológicos de total confianza, de forma que estemos seguros de que no se encuentran infectados con códigos maliciosos que pudieran robar información sensible sobre nuestras cuentas o tarjetas. Si existe alguna duda sobre el estado del equipo, es necesario realizar un análisis con un software antivirus antes de realizar la compra.
- Comprar a través de servicios de comercio electrónico con una reputación conocida o recomendada: para evitar ser estafado al realizar una compra o ser víctima de un robo de datos bancarios, es recomendable realizar las compras a través de servicios con reputación alta o recomendados y sobre todo no fiarnos de ofertas imposibles.
- Actualizar el sistema operativo y las aplicaciones: mantener el sistema operativo y las aplicaciones actualizados permitirá estar protegido de las amenazas que utilizan vulnerabilidades ya corregidas por los fabricantes del software.
- Evitar seguir los enlaces que recibimos en correos electrónicos: dado que en muchas ocasiones los cibercriminales utilizan técnicas de ingeniería social a través de correo para atraer a sus víctimas y así poder robar los datos bancarios, se debe evitar hacer clic en los enlaces que se reciben por esta vía. Para acceder a los sitios donde se presentan las ofertas, se recomienda escribir la dirección de la página web en el navegador y verificar que esta oferta realmente existe. También es importante tener cuidado con los enlaces procedentes de acortadores, tan comunes en sitios como Twitter, ya que pueden ser una fuente de phishing.
- Verificar la seguridad del comercio: es indispensable verificar que el sitio por el que navegamos envía los datos de manera cifrada, es decir, opera bajo el protocolo HTTPS en lugar de HTTP. Se puede comprobar en la barra de direcciones del navegador, delante de la URL del sitio.
- Revisar el movimiento de las tarjetas de crédito y débito utilizadas: al emplear estos medios de pago, es recomendable comprobar los movimientos en las mismas una vez finalizada la transacción para comprobar que todo ha ocurrido según lo esperado.
- Utilizar herramientas antivirus para detectar y bloquear amenazas: además de implantar buenas prácticas, es recomendable utilizar una solución de seguridad proactiva que mantenga al equipo protegido contra amenazas informáticas incluso desconocidas.
Como siempre, os deseamos una saludable caza y captura de ofertas, pero siempre con sentido común. Ante la duda, recordad que nadie “da duros a pesetas”.
Y, por cierto, ya que estamos… ¡¡Feliz Navidad!! (¿a que soy la primera que te felicita? .
La tentación hacia irresistibles ofertas online puede suponer un riesgo cibernético para una de cada tres mujeres internautas
Se acerca época de compras y la situación de la economía española nos va a empujar a buscar las mejores ofertas. Seguramente, cualquier internauta pensará que las mejores ofertas se encuentran en la Red, pero unas son verdaderas y otras pueden resultar un disgusto.
Un estudio llevado a cabo por ESET[1] evidencia lo que ya sospechábamos: algunas ofertas online resultan totalmente irresistibles para las mujeres internautas. El laboratorio de ESET quería conocer hasta qué punto la fuerza de voluntad cede ante un asunto realmente atractivo para nosotros, aun a pesar de sospechar de su origen o su consecuencia.
Para estudiar la reacción, se escogió una muestra de asuntos y de ganchos que son, frecuentemente, utilizados en emails spam, en anuncios de Adwords o en ganchos distribuidos a través de las redes sociales, se dividió por temáticas y se preguntó a una muestra de los internautas si harían clic en un link que viniera acompañado de textos con estos asuntos, aun sospechando que podrían acabar en una infección o ser un timo. También se preguntó a la muestra sobre su sexo y edad. Y estas son las principales conclusiones del estudio llevado a cabo:
- La mayoría de los representantes masculinos de esta muestra han respondido que no harían clic sobre ninguno de estos temas si sospechan que puede tener consecuencias, dato que contrasta enormemente con el de las mujeres, que han respondido de manera afirmativa.
- Cuando se trata de súper ofertas online, solo uno de cada cuatro hombres ha confesado que haría clic en el link, que contrasta con el dato de las mujeres: una de cada tres caería, irresistiblemente, en la tentación.
- Los roles se cambian, sin embargo, cuando se trata de descargar contenidos, ya sea música, películas o juegos de sitios no muy fiables. En este caso, es el 20% de los hombres los que harían clic frente a tan solo el 12% de las mujeres.
- Los ganchos que utilizan la actualidad y los desastres (naturales, accidentes, etc.) son igual de golosos para hombres que para mujeres, ya que en ambos casos el 25% (uno de cada cuatro) ha afirmado que sí seguirían el link si tiene que ver con algo que ha sucedido recientemente.
- En el lado positivo, parece que los cotilleos no nos obsesionan tanto como parece, aunque los resultados de esta pregunta no convencen del todo. Así, solo el 12% cedería ante la tentación de consultar el último cotilleo de un famoso o de descargar alguna foto. Pero esto es solo en teoría…
Sea por lo que sea, lo cierto es que los cibercriminales siguen consiguiendo nuevas víctimas gracias a su ingeniería social cada vez más sofisticada. Para que los internautas no caigan en las tentaciones, te ofrecemos algunos consejos básicos de seguridad:
- Actúa de forma responsable: no hagas clic en todo lo que te llama la atención. Los cibercriminales aprovechan tu curiosidad para convertirte en una víctima.
- Compra en tiendas online de sitios legítimos y asegúrate de que tienen certificados de seguridad que te garanticen un pago sin riesgos.
- Consulta noticias de actualidad en fuentes autorizadas y legítimas: medios de comunicación o blogs de tu confianza. Si haces búsquedas online, seguramente entre los resultados de búsqueda se encuentran ocultos links maliciosos.
- Como siempre decimos, aplica el sentido común, que en seguridad, muchas veces es el menos común de los sentidos. Así que antes de hacer clic en un enlace, piénsalo dos veces y evalúa el riesgo.
[1] Estudio realizado online por ESET Irlanda consultando a 1.003 usuarios internautas mayores de 16 años.
Artículos Anteriores »