martes, 7 de julio de 2015

Hacking Team, el cazador cazado

Esta mañana me he levantado y al mirar Twitter lo primero que he visto es la reciente noticia que le ocurrió el pasado domingo al equipo de Hacking Team. Así que el post que tenía para subir hoy lo dejaremos para mañana, ya saben como se suele decir:  la actualidad manda. 



Como os comentaba nada más despertarme esta mañana, me encontrado mi Twitter repleto de menciones a esta noticia, pero empecemos por el principio, quién son estos tipos de Hacking Team.

Pues bien, Hacking Team es una empresa que se dedica a la venta de herramientas de software
de vigilancia, principalmente para gobiernos y grandes organizaciones.

Venta de herramientas de espionaje

Hacking Team es conocida por las herramientas de vigilancia y espionaje que desarrolla (con la herramienta Da Vinci a la cabeza) y vende a países y organizaciones de todo el mundo. Por eso resulta tan polémico conocer el listado de sus clientes, listados que supuestamente están ya circulando (junto con otro tipo de material confidencial como correos y código fuente) por todo Internet.

Y quizás este haya sido el motivo por el que se haya desencadendo esta sucesión de hechos .
¿Pero que es lo que ha sucedió?

Pues al parecer el domingo mientras casi todo el mundo veía la final de la Copa America, hubo un grupo de ciberdelincuentes que se dedicó a atacar los activos más valiosos de esta empresa, sus datos.



Los ciberdelincuentes también se hicieron  con la cuenta de Twitter de la empresa, en la que empezaron a twittear y a subir fotos de los correos electrónicos de las cuentas robadas. Presuntamente se han filtrado unos 400gb de información en un archivo torrent que contiene grabaciones de audio, correos electrónicos, código fuente y credenciales de acceso para sitios de soporte de la compañía en Egipo, México y Turquía.




Fuentes: http://www.theregister.co.uk/2015/07/06/unified_cdm_static_password/
         
 http://www.zdnet.com/article/hacking-team-hit-by-breach-files-suggest-it-sold-spyware-to-oppressive-regimes/#ftag=RSSbaffb68





viernes, 3 de julio de 2015

Secretos, mentiras y recuperación de cuentas

Bajo el título de “Secretos, mentiras y recuperación de cuentas” Google ha publicado un interesante informe sobre la protección y recuperación de contraseñas basada en preguntas de seguridad.



El análisis realizado por Google confirma que en general las preguntas secretas ofrecen un nivel de seguridad mucho más bajo que las contraseñas elegidas por el usuario. Debería ser al revés. La respuesta a la pregunta secreta debería considerarse como otra contraseña más, incluso más
compleja que la principal si cabe.

Una de las conclusiones de Google, es que parece casi imposible encontrar preguntas secretas que sean a la vez seguras y fáciles de recordar. Las preguntas secretas continúan teniendo algún uso si se combinan con otras fórmulas, pero no deberían emplearse de forma única. Un buen procedimiento debería favorecer alternativas más fiables.

De millones de intentos de recuperación de cuentas, se observó una fracción significativa de los usuarios (40% de usuarios de habla Inglés de EE.UU.) no pudo recordar sus respuestas. Este porcentaje es mucho más bajo que la tasa de éxito con mecanismos de recuperación alternativos, como los códigos de restablecimiento por SMS (más de 80%).

Según las conclusiones del estudio de Google, “resulta importante que los usuarios y los propietarios
de sitios web se lo piensen dos veces antes de utilizar dicho método”, recomienda la compañía. “Nosotros animamos firmemente a los usuarios de Google para que se aseguren de que la información para la recuperación de cuentas de Google esté actualizada”. En el caso de Google, ofrece cuenta con un sitio para Comprobación de la Seguridad.