Ingeniería Social – ¿Acaso me conoces?

Por: MC Rafael Llamas Contreras
Con la colaboración especial de Adrián Marcelo López Ávila y Cesar Vicente Luna Gallegos

Un sistema puede ser el más seguro pero siempre dependerá de un ser humano, lo que será su más grande debilidad. Como decía Kevin Mitnick “Usted puede tener la mejor tecnología, firewalls, sistemas de detención de ataques, dispositivos biométricos, etc. Lo único que se necesita es un llamado a un empleado desprevenido e ingresar sin más. Tiene todo en sus manos”. La ingeniería social es una herramienta poderosa que facilitara las cosas a los atacantes informáticos porque les abrirá muchas puertas, le dará acceso a datos de importancia etc. sin ninguna complicación.

Quizás hablar de la ingeniería social para muchos de nosotros puede parecer un tema que no siempre relacionamos con algún tipo de delito, pero si lo pusiéramos en términos más coloquiales, los extorsionadores telefónicos, tan de moda hoy en día, utilizan la ingeniería social para intentar cometer sus extorsiones, por lo que respecta a Internet, con la aparición de la redes sociales los delincuentes utilizan esos espacios para seleccionar a sus víctimas en base a la información que obtienen de sus perfiles y de la información que los usuarios publican en esos espacios.

La ingeniería social comienza con la investigación del individuo que será atacado. Por lo tanto, es altamente efectivo, como atacante, como ya dijimos valerse de las redes sociales y la interacción con los contactos allegados al individuo en cuestión. Un ingeniero social exitoso es incluso capaz de desarrollar diferentes perfiles de personalidad para engañar a todo aquel que pueda revelarle información valiosa.

Los ataques de ingeniería social son muy similares a los ataques que hacen las agencias de inteligencia para infiltrar sus objetivos, pudiera parecer muy descabellada la idea, sin embargo en la precisión de los ataques esta el éxito del mismo. Los pasos que normalmente se siguen son [1]:

1. Recolección de información de inteligencia
2. Selección del objetivo
3. Ataque

Este último punto se puede dividir en 3 sub-categorías:

3.1 Ataques que se basan en la vanidad o el ego de la victima
3.2 Ataques que sacan ventaja de la empatía y simpatía
3.3 Ataques que están basados en la intimidación

Los ataque pueden venir de cualquier lado y con solo realizar acciones que el usuario cree inofensivas como un simple llenado de cuestionarios en línea puede provocar un ataque a sí mismo, digamos que se suscribe en una red social y empieza a agregar amigos, las redes sociales por lo regular sugieren agregar a sujetos que tienen amigos en común contigo pero son personas que realmente no conoces, decides agregarlo y en tu perfil pones toda tu información como dónde vives en que trabajas etc. Esto facilita la primera etapa en la que el atacante obtiene toda la información necesaria para generar un perfil para engañar a la persona (recolección de información de inteligencia). Esta puede usarse para ataques de ingeniería social pero también con solo tener esa información ya se puede proceder a sacar beneficios con los datos recopilados a partir de un perfil del usuario objetivo.

En otra etapa es ganarse la confianza de la victima ya sea por la misma red social o por otros medios a través de los cuales se pueda acceder a información. Normalmente a partir ataque, dependiendo del tipo de información que se obtenga, se puede llegar a obtener un beneficio económico a través del secuestro o la extorsión.

Es por eso que se vuelve más que importante cuidar la información que proporcionamos de manera personal a desconocidos o en todo caso, cuidar lo que publicamos en nuestras redes sociales ya que la información, sobre todo la de índole personal, corre el riesgo de ser usada por los ingenieros sociales para cometer sus ilícitos en nuestro perjuicio.

Referencias

[1] “Social Engineering: The Forgoten Risk”. Information Security Management Handbook. Fifth Edition. Harold F. Tripton,
Micki Krause.

Uso responsable de Redes Sociales

por: MC Rafael Llamas Contreras

Actualmente la forma en cómo nos allegamos de información ha cambiado a comparación de hace algunos años, hoy el internet, a través de sus diferentes herramientas, se ha convertido en nuestra principal fuente de información para algunos de nosotros; ahora gracias a la web 2.0, podemos acceder a diferentes redes sociales, en donde podemos compartir información con usuarios que en algunos casos ni siquiera conocemos personalmente.

Actualmente dos de las redes sociales que más usuarios atraen son twitter y facebook, solo como referente “Twitter alcanza los 200 millones de usuarios y 110 millones de tweets diarios” incorporando esta red social una media de 700.000 usuarios por día.

En el caso de facebook esta por alcanzar los 700 millones de usuarios, la nota curiosa es que se prevé que este año (2011) facebook perderá un puñado relativamente pequeño de usuarios, 1.78 millones por el simple motivo de que se van a morir, curioso el dato, ¿no?

Bueno pasando de los número a los hechos tenemos que pensar que en las redes sociales nos volvemos vulnerables a los delincuentes informáticos por no cuidar lo que publicamos, que es esto, que de una manera inconsciente y con el paso del tiempo publicamos datos personales tal como, donde trabajo, donde vivo, quien es mi familia, la técnica de estos delincuentes normalmente se basa en aspectos de ingeniería social, recabando toda la información que para ellos es valiosa y en el momento que consideran oportuno dan el “golpe” que puede ser desde amenazas, robo de identidad, secuestros virtuales, etc, etc. Recomendación no publiques información personal, ni elementos multimedia (fotos, videos, audio) que puedan convertirte en blanco de un ataque, personalmente tengo casos reales a través de los cuales he comprobado que es relativamente fácil recabar este tipo de información personal.

Por otro lado debemos de ser conscientes que lo que publicamos puede llegar a trascender más allá de nuestro grupo de amigos o “followers” que tenemos en nuestras redes sociales, de ahí la importancia de que lo que se publica, sobre todo en situaciones de emergencia debe de hacerse de manera responsable no haciendo caso a rumores y especulaciones que genera gente sin escrúpulos o mal informada que tiene como consecuencia que la gente caiga en psicosis colectiva, por lo tanto mis recomendaciones son para estos casos:


1. No propagues un rumor que viene de una fuente no confirmada o no oficial dependiendo de la noticia que se trate
2. Normalmente cuando el suceso es real, hay más de una persona que lo confirma por lo tanto se vuelve más certera la noticia
3. No reenvíes mensajes de usuarios que no conoces y que normalmente basan sus comentarios en el “me dijeron” , “informan de.. “ o “me pareció ver”, “como que escuche”
4. Recuerda que por el hecho de querer ser el primero en propagar un “rumor” no te vuelve más famoso ni más popular, mantén la calma a la hora de reenviar la información.


Para finalizar un poco “off-topic” los invito a que vean el video ilustrativo de lo que puede pasar en el caso en que platiquemos con desconocido por messenger http://www.youtube.com/gia2s

La seguridad en Internet es responsabilidad de todos

por: MC Rafael Llamas Contreras

Hoy en día vivimos en una revolución tecnológica constante, se preguntaran con justa razón y ¿qué es eso?, tomemos como referencia que, hace unos años era imposible pensar en que la telefonía fuera móvil y peor aún que pudiéramos estar “conectados”, es decir tener acceso a internet desde cualquier lugar en donde nos encontráramos, otro ejemplo, en la década de los 80’s solamente las grandes compañías podían tener acceso a computadoras personales, esto debido a su elevado costo y sobre todo porque quien llegaba a tener computadora en casa para esa época se consideraba que era un lujo, como quizás lo fue el teléfono en su momento, sin embargo esta tendencia se ha revertido puesto que dadas las facilidades y bondades que nos brindan algunas tiendas para adquirir una computadora, estaríamos fuera de “onda”, como dirían los chavos, si no tenemos una en casa, y realmente en la actualidad eso no significa que sea un lujo, sino mas bien se ha convertido en una necesidad, y ejemplos del uso de la computadora en la actualidad tenemos muchos, pues bien ya no solo es tener la computadora sino que hay un requerimiento que demanda esta “revolución tecnológica” como lo es, la conexión al internet, quizás hasta aquí todo va bien, vamos, tengo computadora, tengo internet ¿pero realmente somos conscientes de los riesgos y peligros que corremos al estar conectados a lo que algunos llaman la súper carretera de la información? A lo mejor hay quien piensa que no hay riesgos, que eso solo le sucede a los novatos, se ha preguntado estimado lector, usted que tiene computadora en casa, ¿si su antivirus esta actualizado? En el mejor de los casos me dirá que si, entonces le pregunto, ¿qué tan confiable es su antivirus? ¿qué otras medidas de seguridad tiene instaladas aparte de un antivirus?. Así como este ejemplo relacionado con su computadora, veamos ahora los riesgos que corremos cuando navegamos por internet, si usted es de las personas que le gusta que todo mundo lo conozca, que lo “chulien” dejándole mensajes en su espacio virtual o por correo y si es de los que quiere que todo el mundo se entere de sus gustos, aficiones y quizás hasta de la hora que sale por el pan, pues tenga cuidado porque los delincuentes ahora utilizan esa información que usted “inocentemente” deja en esos espacios virtuales como facebook, su metroflog, su hi5, etc., solo por citar algunos, para cometer diversos delitos tales como el chantaje, la intimidación, el acoso. La recomendación es que sea moderado, no publique información que se puede considerar confidencial tal como su dirección de casa, números de teléfonos, cuantos hermanos tiene, como se llama sus papas, etc.

En relación con el uso del correo electrónico la recomendación es que no habrá correo de personas que desconoce pues estos correos por lo regular suelen tener alguna trampa para que usted descargue ciertos programas que vienen infectados con algún virus, de repente solemos ser tan curiosos y nos dejamos llevar por el título del correo para pensar que es inofensivo y que realmente alguien nos está enviando una tarjeta postal, una presentación para reflexionar, etc., cuando realmente lo que contienen son archivos infectado con algún virus, así que la próxima vez que llegue a su buzón de correo electrónico un mensaje llamativo de una persona que usted desconozca piense que la curiosidad mató al gato.

Cualquiera que sea la situación lo que nos debe de preocupar y ocupar es la protección de nuestra información por lo que aquí les dejo estos sencillos consejos que créanme nos ayudaran a evitar muchos dolores de cabeza sobre todo cuando se nos presenta un problema relacionado con la perdida de nuestra información. Primero trate de tener un respaldo de su información, en otras palabras haga una copia de su información en un medio de almacenamiento distinto a donde se encuentra actualmente, otra recomendación que nos puede servir, es actualizar periódicamente todos aquellos programas que se puedan considerar vulnerables tales como, navegadores (browsers) o el propio sistema operativo, en este sentido microsoft saca actualizaciones periódicas para sus sistemas operativos tales como windows xp y windows vista, se mencionan estos últimos por considerarse que son los más utilizados actualmente, ya que hablamos de actualizaciones, asegúrese de que su antivirus este con las actualizaciones más recientes, esto garantiza una mejor protección contra cualquier tipo de virus. Creo que con estas recomendación es suficiente para empezar, en posteriores entregas estaremos ahondando de manera más específica sobre otro tipo de vulnerabilidades a los que estamos expuestos y como protegernos.

Los dejo con esta frase para la reflexión: “la tecnología va haciendo al hombre cada vez mas anticuado”.

La importancia del Computo Forense en nuestros dias

Por: MC. Rafael Llamas Contreras

Que tal estimados lectores, hemos visto como la actividad criminal en la sociedad ha crecido de manera alarmante, el sistema legal, para poder resolver este tipo de ilícitos se basa en técnicas especiales para ello, en el mejor de los casos basan su investigación en un trabajo de investigación científica, tal y como sucede en algunas de las series televisivas que a lo mejor usted ya ha visto, por ejemplo, la ley y el orden o C.S.I (Crime Scene Investigation), el tema viene a colación porque quizás usted no se imagina que para la persecución e investigación de delitos informáticos existe un área especializada que se conoce como “computo forense”, esta área trata de la identificación, preservación, análisis y presentación ante las instancias legales, de toda evidencia que se puede considerar como evidencia digital, por ejemplo información almacenada en discos duros de una computadora o servidor, información que se almacena en teléfonos móviles o celulares o en asistentes digitales personales (PDA's), dispositivos GPS, memorias USB, etc.

En ocasiones los delincuentes informáticos tratan de no dejar “huellas” de sus delitos cometidos, pero el computo forense se encarga de rastrearlos o en su defecto de recuperar información que ha sido borrada por ellos con la finalidad de “desaparecer evidencia” de un dispositivo de almacenamiento como los que se describen líneas arriba, para ello se utilizan herramientas y programas especializados, así como técnicas y metodologías científicas. Recuerde que toda actividad que se genera por Internet deja un rastro, toda actividad que hagamos en nuestra computadora también deja un rastro. Por ejemplo, si algún intruso accede a un sistema informático a través de internet para extraer información confidencial y usted sospecha de ello, al aplicar las técnicas correctas de computo forense se puede llegar a determinar, cuando se acceso a la computadora, quien lo hizo, desde donde lo hizo y que información fue la que sustrajo, interesante, ¿no?.

Pues bien el cómputo forense no sólo se aplica a computadoras personales, sino también a dispositivos móviles, por ejemplo, se sospecha que un teléfono móvil está siendo utilizado para hacer llamadas amenazantes o para el envío de mensajes intimidatorios, el delincuente para borrar la “evidencia” lo que hace es tratar de borrar la lista de llamadas realizadas o en su defecto tratará de borrar los mensajes enviados, sin embargo no sabe que a través de la aplicación de técnicas de computo forense es posible rescatar la información que ha sido borrada, en este caso de su teléfono celular, haciendo la aclaración obviamente, que para poder recuperar la información necesitamos tener físicamente el dispositivo. Sin embargo para que esta área del computo forense sea efectiva en términos de la persecución de un delito de tipo informático, tendría que ser respaldada por un sistema judicial que contemple este tipo de delitos, es decir para que fueran válidos los resultados obtenidos de una investigación forense, el sistema judicial tendría formalmente que aceptar dicha evidencia, y más que aceptarla estar en la capacidad de interpretarla, sin embargo me puedo atrever a afirmar que nuestro sistema judicial no está preparado para enfrentar este tipo de casos, es decir, no está preparada para aceptar o interpretar lo que se llegará a presentar como evidencia digital, vaya desde aquí una recomendación a las personas que se encargan de la procuración de justicia en nuestro estado para que de verdad tomen en serio esta área, ya que la tendencia indica que va a la alza el número de delitos informáticos que se cometen en nuestros días, mi pregunta sería, ¿están actualmente en condiciones de recibir una denuncia de este tipo? Si es así, ¿cómo le darían seguimiento? ¿Qué persona y con qué perfil estaría al frente de la investigación?, ojalá alguien me pudiera dar respuesta a estas interrogantes.