Google patenta los “perfiles fantasma” y Pinterest cambia su política de privacidad
La recopilación de datos por parte del gigante Google y las abusivas cláusulas de seguridad y privacidad de algunas redes sociales han ocupado últimamente muchísimos titulares. Nosotros mismos hemos publicado varios temas al respecto, incluyendo la infografía de “Google y su mina de datos”. Parece que la generalizada protesta tanto de usuarios como de compañías que han denunciado el uso abusivo de autoridad del gigante de Internet o de prácticas un tanto desmesuradas de otras redes ha provocado que estas compañías tomen medidas que calmen los ánimos de alguna manera.
Y es que el tema es serio: Google se enfrenta a numerosas demandas por todo el mundo precisamente por motivos de privacidad. España misma ha llevado a Google al Tribunal de Justicia de la Unión Europea con 130 demandas de usuarios. El Tribunal de Luxemburgo tendrá que determinar “la actividad de los buscadores” en Internet y “su sometimiento a la normativa en materia de protección de datos”. Y es que en plena discusión sobre si la nueva política de privacidad que el buscador puso en marcha el 1 de marzo es conforme a la legislación europea, España reclama clarificar si el sistema de protección de datos de Google incluye el derecho del cibernauta al olvido. Es decir, si un usuario puede solicitar que las informaciones que considere perjudiciales para su personalidad, por más lícitas y exactas que sean, sean retiradas de la web.
“Perfiles fantasma”: ¿la solución de Google?
Quizá esta situación es lo que ha llevado a Google a patentar un nuevo sistema de perfiles que permitiría navegar a los usuarios de forma totalmente anónima por cualquier red social. La patente, con fecha de concesión 29 de marzo de este año, contempla que cualquier usuario pueda crearse a través de este sistema un perfil que le permitiría navegar e interactuar con numerosos servicios online de forma totalmente anónima y sin que nadie recogiera los datos de sus acciones en la Red.
Todavía hay poca información publicada al respecto, pero según han publicado algunos medios parece que este “perfil fantasma” será visible para los amigos pero no para otros usuarios. El objetivo es que los usuarios participen en las actividades de redes sociales sin tener que proporcionar información personal. Parece que consistirá en una aplicación que permitirá crear este tipo de perfiles y que incluirá sistemas anónimos con un motor de invitación, un módulo de interfaz gráfica de usuario y un motor de búsqueda.
Utilizando este nuevo servicio, los usuarios podrán comentar en las imágenes y responder a mensajes privados e incluso recibir mensajes de correo electrónico. Este nuevo método también generará estadística que son utilizadas por un administrador para medir cuántos perfiles fantasma hay registrados. Las estadísticas incluyen el número de perfiles fantasma que existen, cuántos usuarios crean perfiles fantasma, cuántas invitaciones y el número de comentarios que se recibieron de los perfiles fantasma.
Hasta ahora, toda la información que hay publicada al respecto apunta a la posibilidad de esta navegación y participación anónima en redes sociales (entendemos que se incluye la propia de Google), pero no se mencionaba nada acerca de su utilización para que el uso de estos perfiles sean también de aplicación para cualquiera de los servicios de Google. ¿Por qué? Sencillo: si un usuario puede elegir si darle sus datos a Google o no, la defensa contra las numerosas demandas en cuestiones de privacidad de los usuarios sería más sencilla.
Tendremos que esperar, de cualquiera manera, a que evolucionen tanto las demandas como los nuevos servicios para ver cómo resuelve el gigante de Internet este nuevo conflicto. Y también estaremos atentos a las respuestas de otras redes sociales, particularmente de Facebook, porque en un ámbito donde lo que realmente importa es la información de los usuarios (el gran negocio de Internet), el facilitar el uso universal de una herramienta que permite precisamente lo contrario es de esperar que no siente muy bien en algunos entornos. Seguiremos muy de cerca la evolución de este nuevo servicio y las diferentes reacciones al mismo.
Pinterest cambia su política de privacidad
Google no es el único que ha tenido problemas últimamente respecto a sus políticas de seguridad y privacidad. Hace poco nos hacíamos eco en este blog de las abusivas cláusulas de privacidad de la red social de moda, Pinterest. Según rezaba en la política de privacidad original, el usuario cedía su “material a la red con carácter universal, irrevocable, perpetuo, no exclusivo, transferible, libre de cualquier tipo de pago de propiedad intelectual, y además les otorgas el derecho a alquilar, utilizar, copiar, adaptar, modificar, distribuir, licenciar, vender, transferir, utilizar en publicidad, transmitir, etc.”
Pues bien, también fruto de las protestas que ha habido en la red, Pinterest ha decidido cambiar su política de privacidad y rectificar. Las modificaciones entran en vigor a partir del próximo 6 de abril y se centran en tres puntos sensibles:
- Se ha eliminado la parte de la clausula que hacía referencia a la venta a terceros de las imágenes que el usuario guarde en su cuenta.
- Se han cambiado los puntos relacionados con la divulgación de información que pueda causar daño moral o que incite a la violencia de alguna manera.
- Y, por último, pero no por ello menos importante, van a incluir herramientas y mecanismos de denuncia que permita de forma sencilla que los usuarios notifiquen a la red infracciones de derechos de autor o de marca comercial.
Afortunadamente, los mecanismos de protesta que se están poniendo en marcha a través de la red están dando sus frutos. Desde el laboratorio de ESET España, Ontinet.com, seguiremos atentos a la evolución de estas modificaciones confiando en que siempre se tenga presente el derecho único y exclusivo de los usuarios al uso y disfrute de cualquier servicio online que garantice tanto su seguridad como su privacidad.
Yolanda Ruiz
@yolandaruiz
Yolanda Ruiz Herváson
Facebook ayuda a sus usuarios a luchar contra las infecciones por adware
El refranero español, que es muy sabio, dice “la curiosidad mató al gato”. Y la realidad del día a día nos hace constatar que así es: a los usuarios de las redes sociales nos encanta “cotillear” en todos los sentidos. No solo saber qué hace nuestro círculo de amigos, sino que seguimos instalando aplicaciones y utilizando servicios que nos prometen revelarnos datos escondidos o secretos. Sí, hablamos de cosas como quién ha visitado tu perfil en Facebook, por ejemplo.
Tanto es así que Facebook está llevando a cabo una campaña de educación entre sus usuarios a nivel mundial. De momento son dos las iniciativas que ha llevado a cabo, que si bien se muestran insuficientes por el volumen de estafas y timos que se cometen a través de la conocida red social, al menos intentan ayudar a la comunidad.
Entre otras cosas, Facebook ofrece a través de su servicio de ayuda una recopilación de los principales programas de adware que han ido detectando. Nos ha encantado la frase que han utilizado para introducir la lista: “Los siguientes programas afirman que te dan poderes especiales en Facebook, pero en realidad llenan tu perfil (biografía) y Noticias de anuncios.” En concreto, estos son los programas que están clasificados como adware y que recomiendan evitar:
- Facetheme.com
- Pagerage.com
- Profilecraze.com
- Social-plus.com
- Facicons.com
- Facecoolsmileys.com
- Iminent.com
- Buzzdock.com
- Connectbar.net
- Elriel.com
- Dropdowndeals.com
- Pagemood.com
- Sweetim.com
Además, a través de su Fan Page de seguridad en Facebook, han publicado un vídeo (en inglés) que enseña a los usuarios cómo detectar si tienen adware y cómo eliminarlo de forma manual utilizando los principales navegadores.
Uno de los signos distintivos de que has sido infectado con un adware para Facebook es que te aparecerán anuncios en banners en el centro de la pantalla, o en la parte superior de la columna izquierda, sitio nunca utilizado por el gigante de Internet para colocar publicidad. Además, suelen estar hechos en flash y con sonido, y se reproducen de forma automática. Según dice el propio Facebook, “si ves anuncios en estas localizaciones, o anuncios con flash y sonido que se reproducen de forma automática, probablemente estás infectado con adware”.
Además de utilizar un buen antivirus, como medida para solucionar este molesto problema Facebook muestra a los usuarios la forma de localizar este adware en los navegadores más populares y acceder al menú de administración de extensiones o add-ons para buscar aquellas que parezcan sospechosas y eliminarlas.
Y si no encuentras nada raro en tu navegador, pero observas síntomas en tu ordenador que indican que pudieras estar infectado, además de analizar a fondo todo tu PC (puedes hacerlo utilizando un antivirus online que analice y desinfecte gratuitamente, como ESET Online Scanner) también te recomendamos que denuncies la aplicación en concreto o los síntomas a Facebook para que tome cartas en el asunto.
Yolanda Ruiz
Crece la suplantación de identidad en Redes Sociales: la cuenta en Twitter de Justin Bieber, secuestrada de nuevo
A medida que somos más los que utilizamos las redes sociales, y que accedemos a ellas a través de dispositivos móviles, también crece la suplantación de identidad y los casos de hackeo o secuestro de cuentas, sobre todo de personajes conocidos y populares. Y si hay dudas, que le pregunten a Justin Bieber, que a raíz de presumir que tenía 19 millones de seguidores en Twitter, alguien consiguió vulnerar la seguridad de su cuenta y se hizo con ella, bloqueando a muchos de sus seguidores y publicando el siguiente Tweet:
Tweet corto y contundente que ha provocado la hilaridad de seguidores, pero sobre todo de detractores. Solo hay que hacer la búsqueda en Twitter para pasar un buen rato con los comentarios de los usuarios. La cuenta fue recuperada en un corto espacio de tiempo y no ha habido ningún tipo de declaración oficial sobre lo sucedido, por lo que no es posible saber cómo han accedido a su perfil.
Lo cierto es que este tipo de problemas es cada vez más frecuente, y eso contando con que no se publica todo lo que sucede… De acuerdo con un estudio realizado por Javelin Strategy & Research, cerca de 12 millones de americanos sufrieron la suplantación de identidad en 2011, un 13% más que el año anterior. La culpa es principalmente de redes sociales y de los smartphones y tablets: no por los dispositivos en sí, sino por la falta de educación sobre cómo proteger la información sensible por parte de los usuarios y el bajo nivel de concienciación sobre la problemática en concreto.
De hecho, la pregunta más frecuente que nos suelen hacer es “¿para qué querría alguien tener acceso a mi información? Si no tengo nada interesante”. Pero como en nuestro país, y tal y como dice el refranero español que es muy sabio, “nos acordamos de Santa Bárbara cuando truena”, cuando tenemos un problema de este tipo es cuando recordamos que teníamos que haber adoptado medidas preventivas de seguridad y software apropiado que nos ayude en caso necesario.
Según este estudio, durante 2011, el 7% de los propietarios de smartphones fueron víctimas de suplantación de identidad. Los usuarios de Smartphone son un tercio más propensos a caer en este tipo de fraudes que el resto. El porqué es sencillo de explicar:
- Por un lado, los smartphones y las tablets poseen mucha información personal de sus usuarios y no todos saben proteger este tipo de dispositivos.
- Por otro, no existe realmente una clara conciencia de que los datos del teléfono o la tablet sean interesantes para alguien. Más bien se valora la cuantía económica del dispositivo en cuestión, sin reparar en la cantidad de accesos a redes sociales u otros servicios que solemos utilizar a diario y que guarda las claves memorizadas. Este hecho nos facilita mucho la vida cuando accedemos (no necesitamos introducir nuestra clave una y otra vez), pero supone un peligro si el teléfono o la tablet cae en manos de indeseables.
- Cuando esto sucede, una de las cosas que solemos hacer es cambiar automáticamente nuestras claves de servicios online, incluyendo la de redes sociales. El problema lo encontramos cuando aún habiendo cambiado dichas claves, si accedemos desde el dispositivo móvil a través de un app que tuviera memorizado dicho acceso, podremos utilizar el mismo perfil con ambas claves. Es decir, solo cuando salimos de la app y tenemos que volver a hacer login nos encontraremos con que la clave antigua no vale. Pero mientras esto no suceda, el acceso desde el dispositivo móvil es total.
- Este hecho no sería un problema si no estuvieran creciendo los datos de robos o pérdidas de terminal. Tal y como comentábamos en este post, 4 de cada 10 españoles afirman haber perdido el terminal o haber sido víctimas de un robo.
- Y, por último, pero no menos importante, un 62% de los propietarios de smartphones no tienen puesta contraseña en sus dispositivos, por lo que cualquiera que encuentre o robe un terminal puede acceder a su información más personal sin ningún tipo de problema.
Un sencillo experimento
Hemos llevado a cabo un sencillo experimento para ver cómo se comportan realmente las apps y otras herramientas cuando cambiamos las claves de nuestros perfiles en redes. En este caso hemos cogido Twitter y hemos seguido la siguiente secuencia:
- Accedemos a Twitter a través del portal web. Cambiamos la contraseña de acceso. Lanzamos un primer tweet: “Experimento fase 1″.
- Con el programa TweetDeck con sesión abierta anteriormente, lanzamos otro tweet, “Experimento fase 2″, sin tener ningún problema y sin que la herramienta nos lance ningún tipo de mensaje que nos indique que debemos introducir nuestras nuevas claves.
- Hacemos lo mismo con la aplicación de Twitter a través del iPhone. Al lanzarla, tampoco nos solicita la introducción de nueva información de identificación. Lanzamos otro tweet, “Experimento fase 3″.
- Y repetimos la operación a través de la aplicación de Twitter del iPad. De nuevo, no tenemos ningún problema en hacerlo y lanzamos “Experimento fase 4″.
Redes sociales y la suplantación de identidad
La suplantación de identidad en redes sociales puede producirse por el robo o la pérdida del dispositivo móvil que utilicemos, tal y como hemos descrito anteriormente, o por otras causas o factores: que obtengan acceso a nuestros datos porque nuestro ordenador está infectado por algún tipo de amenaza que registra este tipo de información, porque utilizamos ordenadores públicos y memorizamos las contraseñas o no limpiamos las cookies o el historial, porque utilizamos contraseñas débiles o fáciles de identificar, etc. También se puede dar la suplantación de identidad por la creación de perfiles falsos utilizando nombres verdaderos de personas que, evidentemente, no utilizan ni administran sus cuentas.
Lo que es cierto, es que este tipo de incidentes sigue pasando. Si nos fijamos en las redes sociales en particular, LinkedIn, considerada más de negocios que social, tienen un alto índice de fraudes de identidad en su haber, un 10% frente al 5% de la media del resto. Google+ tiene un 7% y Twitter alcanza el 6.3%. En Facebook, el porcentaje desciende hasta el 5,7%.
Yolanda Ruiz
Google y su mina de datos
¿Utilizas Google? Bueno, actualmente la verdad es que esta pregunta podría resultar un poco absurda si utilizas Internet, o un iPhone, o un teléfono con Android, o Kindle o un iPad, porque desde luego en este caso seguro que utilizas Google de alguna manera.
Como ya te informamos recientemente, desde el 1 de marzo de 2012, el mayor recolector de datos personales del mundo, Google, cambió la forma en cómo usa la información que tiene de ti. ¿Qué cambio supone esto? Y lo que es más, ¿qué debo hacer para proteger la información que Google está recopilando sobre mí?
Empecemos a contestar estas cuestiones fijándonos en la infografía, que representa potencialmente cuánta información es capaz Google de recopilar sobre nosotros a través de sus diferentes servicios.
La infografía, llamada “Google y su mina de datos”, muestra algunos –aunque no todos– de sus servicios, a través de los cuales Google podría, potencialmente, acceder para recopilar información y hacerse una imagen de ti y de tus intereses, según utilices dichos productos.
Para ser claros, no estoy diciendo que Google esté activamente recopilando todos estos datos para crear perfiles detallados de la gente que se compartan de forma inapropiada con terceros. Lo que digo es que los cambios que Google hizo el pasado 1 de marzo han levantado numerosas cuestiones que no tienen contestación, y no somos lo que se puede decir nuevos en esto de la privacidad de Internet.
El indicador más visible de los cambios realizados el pasado 1 de marzo es la “unificación de las políticas de privacidad”, que combinó unas 60 políticas de privacidad de diferentes productos de Google en una sola. Pero la aplicación de solo una política de privacidad de forma retroactiva es problemática. Es por esto que todo el mundo que ya utilizaba un servicio de Google ha tenido que dar de nuevo su consentimiento.
Vamos a ver un ejemplo práctico. Cojamos Gmail: empecé a utilizarlo hace muchos años (Google dice que tiene 350 millones de usuarios activos en Gmail). Aunque no utilizo la dirección de Gmail como mi correo principal, en la actualidad tengo como 47.000 mensajes en mi bandeja de entrada, lo que puede darte una imagen más o menos certera de qué ha pasado en los últimos siete años de mi historia, que han sido un montón de cosas.
¿Y qué pasa con el motor de búsqueda de Google? Si hago un cálculo rápido, es posible que haya realizado más de 47.000 búsquedas vía Google en estos últimos años. Bueno, con estos datos mi imagen puede estar mucho más completa. Y todavía podemos completarla más si tomamos en cuenta la cantidad de vídeos de YouTube que he publicado, comentado, buscado o visto.
Creo que el punto crítico de todo esto, es cuánto valgo para Google como un cliente potencial de sus anunciantes online, ya que Google se ha dado cuenta de que mi valor es más alto según va recopilando más información sobre mí. Como un montón de gente, incluyendo los fans de Google, ahora me pregunto qué podría llegar a pasar con todo el set de datos que Google tiene de mí.
¿Y cuáles son mis opciones si quiero impedir que Google utilice todos los datos que tiene míos? El sitio por donde debemos empezar, sitio que deberías visitar incluso si no estás preocupado sobre tus datos y Google, es el Dashboard.
El Dashboard de Google
Necesitas hacer login en Google para ver la información del Panel de Control o Dashboard, y seguramente te sorprenderás por la gran cantidad de información que el gigante tiene sobre ti.
¿Están seguros los dispositivos conectados a la red?
Durante la semana pasada se celebró en Madrid la Rooted Con, congreso sobre seguridad informática que en solo tres ediciones se ha convertido en un referente y es de visita obligada para todos los que estamos interesados en este tema. Las charlas fueron muchas y muy variadas, con unos ponentes entregados y con temáticas de lo más interesante.
Todas las charlas a las que pude asistir me parecieron de lo más interesante, pero hubo una que me gustó especialmente, y fue la que ofreció Jaime Peñalba (aka @Nighterman) con el sugerente título de “Live Free or Die Hacking”. En dicha charla, y acompañado de @JaviOver como representante del grupo de delitos telemáticos de la Guardia Civil, se explicaba cómo tanto los investigadores como los ciberdelincuentes cubrían su rastro o lanzaban ataques desde otras ubicaciones distintas a la suya para evitar ser detectados.
Esto se consigue “saltando” entre dispositivos conectados a Internet, pero ello no significa necesariamente que se acceda a ordenadores tal y como la mayoría de la gente pueda pensar. De hecho, algunas veces incluso se llegaba a recurrir a estaciones meteorológicas conectadas por GPRS como la que vemos a continuación, aunque lo normal era recurrir a dispositivos más comunes como impresoras o vídeos conectados a la red.
Si hay algo que quedó bastante claro en la charla, fue que había una gran cantidad de dispositivos conectados a la red que no contaban con una configuración de acceso adecuada. Se llegó a hablar incluso de tostadoras conectadas a Internet, cosa que no debería extrañarnos, ya que hace años hablábamos en este mismo blog de cafeteras que podrían funcionar como medio de propagación de malware.
Con esta información hemos decidido comprobar si en verdad existen tantos dispositivos conectados y que permiten que cualquiera entre a husmear, cambiar su configuración o alojar malware en ellos, así que en el laboratorio nos hemos puesto manos a la obra y hemos realizado una sencilla búsqueda usando Shodan, un útil buscador de ordenadores y todo tipo de dispositivos basándose en su sistema operativo, situación geográfica o dirección IP entre otros parámetros.
No tardamos en encontrar más de dos mil impresoras que respondían a ese modelo específico, pero faltaba averiguar cómo de expuestas se encontraban a un acceso externo. La respuesta no podía ser más sorprendente, y es que en muchas de las direcciones IP encontradas no se solicitaba ningún tipo de autenticación, por lo que se podía acceder a todo el panel de configuración web de la impresora.
Desde este panel de administración se pueden controlar todos los parámetros de esa impresora, que van desde el tipo de papel usado, la gestión de los cartuchos de color o la configuración IP de la impresora, por poner solo unos ejemplos.
Incluso podríamos hacer lo que el administrador de esa red no hizo (y es altamente recomendable); es decir, configurar una contraseña de acceso para evitar que cualquier intruso pueda acceder desde el exterior y nos cambie la configuración de la impresora a su antojo.
Esto es solo la punta del iceberg, ya que en esa misma charla vimos cómo se podía usar la memoria interna de la impresora (y de casi cualquier otro dispositivo con nula protección conectado a Internet) para alojar malware o lanzar un ataque desde un país lejano al nuestro, con lo que las posibilidades de cazar al culpable se reducen notablemente, sobre todo si se usa más de un dispositivo como es habitual.
En resumen: tanto los investigadores como los ciberdelincuentes utilizan todo tipo de dispositivos conectados a Internet en beneficio propio, cosa que no debería extrañarnos viendo las pobres medidas de seguridad que implementan aquellos encargados de gestionarlos. Es por ello que desde el laboratorio de ESET en Ontinet.com abogamos por una política de administración responsable, que sepa gestionar todos aquellos dispositivos que conectemos a una red.
Josep Albors
Érase una vez hace 20 años… ¿o fue ayer?
Recuerdo perfectamente la situación en la que nos encontrábamos los fabricantes de antivirus hace 20 años. No era fácil que las empresas entendieran que es necesario tener una solución de seguridad en los ordenadores. Para ellos los antivirus eran una cosa extraña y poco necesaria.
Los comerciales que vendían antivirus se encontraban en una situación muy difícil, se les veía casi como unos potenciales estafadores que querían asustar a los usuarios para venderles sus productos, casi como los charlatanes del Far West vendiendo crecepelos.
Luego llegó Melissa, I Love You, Sircam, Blaster… y los usuarios se dieron cuenta de que sí, que era necesario proteger los equipos. Y a pesar de todo, muchísimos ordenadores siguen desprotegidos. El “NO-ANTIVIRUSING” se convertirá en un deporte de riesgo, y si no, al tiempo.
Exactamente la misma situación de hace 20 años la he vivido la semana pasada en el Mobile WorldCongress. Ha sido una especie de “déjà vu” tecnológico con los móviles. Si antes no había conciencia de que había que proteger los PC, hoy pasa lo mismo con los móviles. Instalar una solución de seguridad se ve como una cosa rara, como si no hiciera falta.
Y no, no estamos metiendo miedo como pensaban los compradores hace años. Las mismas amenazas que se ciernen sobre un PC están ya revoloteando por encima de los móviles. Y de nuevo salta la frase… “si me infecto, formateo y vuelvo a instalar”.
No, señores, no. Ya no es cuestion de que el “Viernes 13″ esté en el móvil, estamos hablando de dinero, de muchísimo dinero que circula por nuestro móvil. De contraseñas, de contactos, de documentos o de fotos (preguntémosle a Scarlett Johansson).
Instalar una protección para nuestro Android, nuestro Windows Mobile o nuestro Symbian está al alcance de un solo click.
Fernando de la Cuadra
Malware de prensa rosa utiliza a Shakira, Alexis y Piqué para propagarse
Sabemos que los ciberdelincuentes utilizan todo tipo de artimañas para hacernos caer en sus trampas, normalmente aprovechando noticias con mucha repercusión para aprovecharse de la curiosidad de los usuarios. No obstante, tampoco es extraño encontrarnos con casos como el que comentamos a continuación y que han analizado nuestros compañeros de ESET Latinoamérica.
La historia es digna de haber salido de cualquier redacción de prensa rosa y sugiere un posible romance entre el jugador de fútbol Alexis Sánchez y la cantante Shakira, que a la postre es la actual pareja del compañero de Alexis, Gerard Piqué, en el mejor equipo de fútbol del mundo actualmente, el Fútbol Club Barcelona. Esta información nos llega a nuestra bandeja de entrada en forma de un correo electrónico como el que vemos a continuación:
El objetivo está claro: conseguir la atención tanto de los seguidores del deporte rey como de los interesados en los cotilleos de la prensa rosa y aprovecharse de su curiosidad para lograr el máximo número de usuarios infectados. Además, como este tema tiene repercusión en ambos lados del Atlántico, las víctimas potenciales se multiplican.
El correo contiene un supuesto vídeo donde se afirma que se ve a Shakira bailándole de forma sugerente a Alexis Sánchez, además de declaraciones de algunos jugadores del Fútbol Club Barcelona opinando al respecto de esta noticia. Si un usuario pulsa sobre alguno de los enlaces proporcionados en este correo, se descargará un troyano que las soluciones de seguridad de ESET detectan como Win32/Qhost.OQJ, el cual modifica el archivo hosts del sistema para realizar un pharming local (en este caso, para suplantar entidades bancarias) y obtener un beneficio económico mediante técnicas de phishing.
Una vez un usuario ha sido infectado, si intenta acceder a una de las entidades bancarias que han sido suplantadas tras editar el archivo hosts del sistema, se conectará a una web falsa que simula ser la del banco real. En esa web se le pedirán los datos de acceso a su cuenta, además de otros datos usados como medidas de seguridad como su pin o los datos de su tarjeta de coordenadas, mostrando al final del proceso una ventana animada que le informa de que la información está siendo verificada.
Como vemos, a pesar de que la técnica no es nada novedosa, la utilización de una noticia polémica y que despierta la curiosidad de los usuarios puede hacer que esta sea una campaña muy exitosa para los ciberdelincuentes. Desde el laboratorio de ESET en Ontinet.com recomendamos desconfiar de este tipo de correos con noticias sensacionalistas, verificar siempre la información sospechosa en otros medios y nunca pulsar en los enlaces que se nos proporcionan de esta forma.
Josep Albors
Pinterest y la nueva moda en redes sociales: quedarse con toda la información del usuario
Hace como tres años, una amiga me recomendó Pinterest, una nueva red social que consistía en compartir “pins” (imágenes) clasificadas en categorías. Su lema es “I pin it!”, que es algo así como el “I Love You” de toda la vida pero enfocado a destacar aquellas imágenes que nos suscitan algún tipo de atracción por algún motivo. El modo de funcionamiento es el mismo que el resto de redes sociales: sigues a personas que comparten contenido, al cual te suscribes por categorías, y tú mismo puedes ir publicando imágenes (bien propias o ajenas) simplemente haciendo clic en un botón que te colocas en el navegador.
En su momento eché un vistazo y no me enganchó. Pero ahora, de repente, se está poniendo de moda en España y todo el mundo está como loco por conseguir una invitación para la “nueva” red social (que de nueva no tiene nada). Por cierto, si quieres registrarte, solicita una invitación: suelen darte acceso a las 48 horas, aproximadamente.
Pero a lo que vamos… Como siempre, al darnos de alta, tenemos la mala costumbre de leernos los términos y condiciones de uso de la plataforma. Y si hace unos días hablábamos sobre qué pasa con la información que compartimos en Facebook y hacíamos hincapié en que lo que se comparte en la Red, se queda en la Red, en el caso de Pinterest la privacidad queda todavía más relegada si cabe. Echemos un vistazo a la cláusula específica que habla sobre este asunto:
“By making available any Member Content through the Site, Application or Services, you hereby grant to Cold Brew Labs (Pinterest) a worldwide, irrevocable, PERPETUAL, non-exclusive, transferable, royalty-free license, with the right to sublicense, to use, copy, adapt, modify, distribute, license, SELL, transfer, publicly display, publicly perform, transmit, stream, broadcast, access, view, and otherwise exploit such Member Content only on, through or by means of the Site, Application or Services”.
Lo que básicamente significa que todo lo que compartes a través de Cold Brew Labs (compañía desarrolladora de Pinterest) está sujeto a esta cláusula. Es decir, que cedes tu material a la red con carácter universal, irrevocable, perpetuo, no exclusivo, transferible, libre de cualquier tipo de pago de propiedad intelectual, y además les otorgas el derecho a alquilar, utilizar, copiar, adaptar, modificar, distribuir, licenciar, vender, transferir, utilizar en publicidad, transmitir, etc.
Hay que decir que la inmensa mayoría de los usuarios, según estoy viendo desde que estoy en esta red social, comparten imágenes que encuentran navegando, pero también muchos de ellos publican fotos personales, como de la familia, con niños incluidos. Lo cual quiere decir que, según esta cláusula, si mañana publico una foto de mi familia es posible que Pinterest la venda a cualquier agencia de publicidad y me la pueda encontrar algún día en cualquier campaña de publicidad en alguna marquesina o valla publicitaria en la carretera.
Pero vamos un paso más allá: el usuario cede con carácter perpetuo su material a esta red social, incluso en el caso de que nos demos de baja. Y en cualquier momento puede venderlo a terceros sin el conocimiento ni el consentimiento del usuario.
Que los datos personales son el auténtico negocio de la Red es innegable: desde el principio de los tiempos de Internet hemos visto cómo, de forma lícita o no, nuestros datos valen dinero. Nosotros, muy generosos, los damos muy alegremente, ya que en el fondo nos divierte participar y ser miembros de redes sociales, comunidades verticales y de todas aquellas organizaciones, portales o grupos que tienen que ver con nuestros gustos, aficiones o inclinaciones personales u profesionales.
No tenemos más que echar un vistazo al negocio del cibercrimen: la verdadera fuente de ingresos reside en la obtención de información personal de los usuarios -si puede ser, financiera- para posteriormente venderla en el mercado negro a otros que cometan fraude con ella y se beneficie, de esta manera, toda la cadena. La gran diferencia estriba en que cuando un troyano se cuela en nuestro ordenador y nos roba la información, el usuario no es consciente. Es decir, es un robo en toda regla.
En este caso no podemos hablar de un robo, dado que la cláusula anuncia cuál va a ser el destino de la información que compartimos. Pero el gran problema es que prácticamente ninguno de nosotros se lee los acuerdos de licencia o condiciones de uso de los sitios (que consiste habitualmente en una ristra de cláusulas muchas veces ininteligibles) y, por lo tanto, las aceptamos sin pena ni gloria…
Yolanda Ruiz
ACTA y TPP: unas medidas equivocadas para proteger la propiedad intelectual
Las medidas que se están tomando últimamente para, supuestamente, luchar contra la piratería en Internet han causado un revuelo sin precedentes. Varios Gobiernos han promulgado sus propuestas de leyes antidescargas con el consecuente enfado de buena parte de los usuarios. A continuación traducimos un artículo de nuestro CEO para Norteamérica, Andrew Lee, en el que expone su opinión sobre estas polémicas leyes:
“Este fin de semana (por el que acabamos de pasar) hay programadas varias protestas en Europa contra ACTA (Anti-Counterfeiting Trade Agreement). Quiero que quede constancia de la oposición de ESET Norteamérica a ratificar este acuerdo a la vez que aplaudimos las acciones de países como Polonia, Eslovaquia, Letonia, República Checa y Alemania de mantener en espera o retrasar la ratificación. Asimismo, animo a todo aquel que comparta esta opinión a hacerse oír.
Pero, ¿cómo es que ESET, una compañía que se basa en licencias de protección intelectual, una compañía que lucha contra la piratería, se opone a ACTA y la muy relacionada TPP (Trans-Pacific Partnership)?
Hace tres meses, escribí en este blog una carta abierta al Congreso donde expresé la oposición de ESET a un número de disposiciones en un par de propuestas, la Stop Online Piracy Act (SOPA) y la Preventing Real Online Threats to Economic Creativity and Theft of Intellectual Property Act (PROTECT-IPA o PIPA). Pensé que era importante para la gente saber que ESET, cuyo software es usado por más de 100 millones de usuarios en más de 180 países, tenía serias reservas sobre una legislación que amenazaba con minar la confianza y seguridad de Internet en nombre de la prevención de la piratería.
Conforme un número cada vez mayor de compañías tecnológicas y varios usuarios mostraban sus preocupaciones contra la SOPA, los legisladores terminaron tumbando la propuesta. Tras un día repleto de acciones en el que participaron 75.000 páginas web y 162 millones de usuarios vieron la página de protesta de la Wikipedia, el mayor promotor de la SOPA retiró el proyecto de ley mientras que, con una votación en el Senado, la aprobación de la PIPA se retrasó. No obstante, los mismos intereses que apoyaron la SOPA y la PIPA no han tenido en cuenta ni la opinión pública ni las preocupaciones de muchas empresas tecnológicas. Todavía siguen buscando la manera de usar los acuerdos internacionales de comercio como una “puerta trasera” para imponer leyes parecidas a la SOPA, no solo en Estados Unidos, sino también en el resto del mundo.
Tanto ACTA como las previsiones de protección de la propiedad intelectual de la TPP son documentos complejos* que fueron escritos sin supervisión legislativa. Ahora que ACTA está recibiendo un mayor escrutinio público queda mucho más claro que la mayoría de su lenguaje ha sido elaborado para coincidir con los intereses de las mismas empresas y grupos empresariales que apoyaron la SOPA. Como resultado, los países que aprueben ACTA podrían, al mismo tiempo, debilitar las protecciones legales que existen actualmente para proteger la innovación, competencia e incluso la privacidad personal. Por esta razón, ESET se opone a la aprobación del ACTA. Si accedes, te animo a actuar ahora y hacerte oír.”
*Para más información revisa la entrada en la Wikipedia sobre ACTA y la página que comenta los documentos publicados por la Organización Europea de Derechos Digitales sobre el impacto del ACTA en la innovación, competencia y derechos fundamentales.
Andrew Lee
CEO
ESET Norteamérica
Phishing al Banco Popular
Durante este fin de semana hemos recibido en nuestro laboratorio varios correos que simulaban provenir del Banco Popular. Se trata de una nueva campaña de phishing que está orientada a los clientes de dicha entidad y que recibimos en nuestra bandeja de entrada camuflada como unas nuevas medidas de seguridad que están adoptando desde el banco.
El mensaje en sí tiene una redacción con errores que demuestra la utilización de una plantilla genérica para este tipo de fraudes. Junto con el texto viene el enlace característico de esta clase de estafas, y que los ciberdelincuentes han colgado esta vez en varios sitios webs legítimos.
En la captura de pantalla podemos observar un enlace con dominio español, pero en los correos que hemos recibido hemos visto enlaces pertenecientes a otros países como Japón, lo que parece apuntar a que los creadores de este ataque querían asegurarse de que sus enlaces permaneciesen activos el máximo tiempo posible.
En el caso de que un usuario cayese en la trampa y rellenase los campos de la web fraudulenta, sus datos serían enviados a los ciberdelincuentes, que podrían usarlos para sustraer dinero de su cuenta bancaria o realizar compras a cargo de la víctima. Una vez estos datos han sido obtenidos, se redirige al usuario a la página original del Banco Popular.
Observemos las diferencias entre la web fraudulenta y la original. Además de la diferencia en el diseño y en los campos solicitados, observamos una más importante en la barra del navegador: en la web original tenemos el certificado de que se trata de una conexión segura https, mientras que en la fraudulenta no solo ese certificado no aparece, sino que el dominio resaltado es el de la web comprometida que se está usando para alojar esta web fraudulenta.
Desde el laboratorio de ESET en Ontinet.com volvemos a recordar a todos los usuarios que nuestro banco nunca nos solicitará datos de nuestra cuenta por correo. Asimismo, si somos observadores y nos fijamos en los detalles, podremos detectar una web fraudulenta y evitar caer en la trampa de los ciberdelincuentes.
Josep Albors
« Artículos Posteriores — Artículos Anteriores »