Revista de Ciberseguridad SIC #152

 Ya se encuentra disponible para su acceso el numero 153 de la  Revista de Ciberseguridad SIC #152

Contenido

• 6 Editorial

• 8 Doble Fondo

• 10 Sin Comentarios

• 12 Noticias

• 82 Ley Europea de Ciberresiliencia: el corazón de la ciberseguridad por diseño en el mundo conectado, por Lorena Boix 

• 86 Especial XVIII Premios SIC y Cena de la Ciberseguridad 

• 96 Especial SECURMÁTICA 2022: Los CISOs y sus colaboradores toman la palabra 

• 107 Especial IDENTIDAD: Ser o no ser digital 

 • Credenciales seguras, legales y fáciles de usar para ser y hacer en la sociedad conectada, por Ana Adeva y José Manuel Vera

• Sobre cómo una tecnología del pasado siglo es esencial para el despegue de una tecnología de este siglo, por Alberto Partida 

• Estado del arte del monedero electrónico europeo, por Paloma Llaneza 

• Propuestas tecnológicas 

• 156 El advenimiento de los Valores Ocultos, por Jorge Dávila 

• 164 Laestrategiadedefensaenprofundidadparalos Sistemas de Control Industrial, por Antonio Delgado 

• 168 Mejoresprácticas enlacazaefectivade ‘insiders’: De laprevención a la respuesta, por Juan Antonio Calles y David Jiménez 

• 172 Estrategia: Innovate, la respuesta de Mnemo a los nuevos retos de seguridad de la nube, por David Pérez Lázaro

• 176 Informes y Tendencias

• 182 Propuestas 

• 188 Novedades

• 194 Eventos y Formación

• 196 Bibliografía

• 198 Actos y Convocatorias

DESCARGA

Ponencia sobre los cambios en la nueva ISO/IEC 27002:2022 - Evento del INACAL

En el marco del día internacional de la seguridad de la información, el INACAL (Perú) realizó una actividad de difusión sobre las normas técnicas peruanas disponibles en esa materia, incluyendo como tema final un overview sobre los principales cambios que trae la nueva tercera edición de la norma sobre controles de seguridad de la información ISO/IEC 27002:2022

Aumenta robo de cuentas de WhatsApp solicitando el código de verificación

El Instituto Nacional de Ciberseguridad Español (Incibe) ha alertado a través de su sitio web sobre el aumento de los casos de intento de robo de cuentas de WhastApp. Los ciberdelincuentes engañan a los usuarios para que les faciliten el código de verificación que han recibido a través de un SMS. Todo esto con el objetivo de configurar la cuenta asociada a ese número de teléfono en otro dispositivo. 

El secuestro o robo de cuentas de WhatsApp es una técnica muy utilizada en los últimos meses para el robo de información personal de los usuarios. Funciona de la siguiente forma: 

• Un ciberdelincuente configura en un smartphone la aplicación con el número de teléfono de su víctima. 
• Como WhatsApp solo permite tener un perfil por número de teléfono, el ciberdelincuente se apoya en técnicas de ingeniería social para conseguir el código de verificación que el usuario víctima recibe a través de un SMS y que es necesario introducir para finalizar la configuración de la aplicación en el nuevo dispositivo. 
• La solicitud del código de verificación, en muchas ocasiones, viene supuestamente de un contacto conocido, que ha sido también víctima del robo de su cuenta previamente. De esta forma, es más fácil caer en el engaño al venir la petición de un contacto de confianza. En algunos casos, para que el usuario víctima recupere supuestamente el acceso a su cuenta, pueden solicitar a través de otro medio diferente a WhatsApp, como por ejemplo SMS, realizar un pago económico a cambio de devolverle el acceso. 

¿Cómo podemos prevenir el robo de cuentas de WhatsApp? 

Hay una serie de medidas que puedes aplicar y que evitarán que caigas en el engaño: 

• No compartir el código de verificación. Si alguien te lo solicita, desconfía. Contrasta por otras vías alternativas a WhatsApp el mensaje recibido. 
• Activar la verificación en dos pasos. WhatsApp dispone de una función que permite añadir una capa extra de seguridad para evitar que terceros puedan configurar tu cuenta, incluso si disponen de tu código de verificación. Se trata de un código adicional que sólo tú conoces y que en ningún caso deberías compartir con nadie. Este código lo solicita la aplicación en distintas situaciones entre la que se encuentra la configuración de la app en un nuevo dispositivo. Encontrarás cómo habilitar dicha funcionalidad en el artículo «Cómo administrar los ajustes de la verificación en dos pasos«. No caigas en la trampa Los usuarios que hayan recibido una solicitud de su código de verificación y lo hayan facilitado a quien se lo haya pedido bajo cualquier excusa, ya han caído de este engaño. 

Más..

 

Fuente:  altadensidad.com

 

 

Día Internacional de la Seguridad de la Información (30 de noviembre)

El 30 de noviembre se celebra el Día Internacional de la Seguridad de la Información. Una celebración que surgió en el año 1988, como consecuencia del primer caso de malware de propagación en red que se registró en el mundo, conocido bajo el nombre de "Gusanos de Morris", el cual afecto al 10% de las maquinas conectadas al Internet de aquel entonces, que era Aparnet.

A raíz de esta situación la Association for Computing Machinery (ACM), decreto que cada 30 de noviembre, se recordaría a todas las personas la obligación y necesidad que tienen de proteger sus datos de cualquier tipo de acción corrupta que puede ocurrir en el plano digital. 

 

Los empleados son el primer escudo de protección

Actualmente, la mayoría de la información sensible de las empresas se encuentra en Internet, más específicamente en las diferentes nubes. Los trabajadores son los primeros responsables de asegurar estos datos y no compartirlos por ningún otro medio que pueda poner en riesgo la información. 

 

 www.diainternacionalde.com

 

Bridge, la nueva revista multiplataforma de ciberseguridad

BRIDGE es una revista multiplataforma de seguridad, que nace mediante el encuentro entre personas, conocimiento e intercambio de información que culmina con la variedad de nuevas opciones.

En esta publicación distintos especialistas en ciberseguridad nos traen un sin fin de artículos que profundizan en las necesidades que tiene el mundo de la seguridad y la vinculación entre la tecnología, los procesos y las personas hoy en día.

Bridge Magazine

Descargar

Revista en PDF

Informe semanal sobre la Gobernanza de Internet (S29A20E)

GEOPOLÍTICA CIBERNÉTICA

El Reino Unido anunció que prohibiráa Huawei sus redes 5G. Según el Secretario de Cultura del Reino Unido, los operadores de redes móviles en el Reino Unido dejarán de comprar equipos de Huawei a finales de año. Además, se les exigirá que retiren el equipo Huawei de su infraestructura para 2027. Estados Unidos ha elogiado la decisión del Reino Unido luego de meses de presión para convencer al Reino Unido de prohibir Huawei

El secretario del Reino Unido, Dominic Raab, dijo que Rusia trató de interferir en las elecciones del Reino Unido 2019 filtrando documentos en línea. Además, los funcionarios del Reino Unido dijeron que están «casi seguros» de que los «actores rusos» intentaron interferir en las elecciones generales del año pasado.

POLÍTICA CIBERNÉTICA

La división de las instituciones públicas y de Gobierno Digital (DPIDG) del Departamento de Asuntos Sociales de la ONU (DESA) Económico y de la ONU ha puesto en marcha la edición2020 de la Encuesta de Gobierno Electrónico de las Naciones Unidas como Dinamarca, Corea y Estonia encabezan el ranking 2020 .

PROTECCIÓN DE DATOS – PRIVACIDAD

El Tribunal de Justicia de la Unión Europea emitió su fallo en el Comisionado de Protección de Datos v. Facebook Ireland Limited, Maximillian Schrems (C-311/18). Por lo tanto, el Tribunal ha invalidado elsistema de intercambio de datos «Escudo de privacidad» entre la UE ylos EE. UU. Debido a una vigilancia excesiva de los EE. UU. Sin embargo , el Tribunal confirmó la validez de las Cláusulas contractuales estándar de la Comisión de la UE, que siguen siendo una herramienta eficaz para transferir datos personales fuera de la UE. Tras la decisión, la Comisión Europea emitió una declaración en la que subrayaba la necesidad de contar con una amplia caja de herramientas para las transferencias internacionales al tiempo que garantizaba un alto nivel de protección para los datos personales.

En cuanto a la seguridad de los datos sobre COVID-19, la Comisión Europea ha adoptado una decisión para apoyar la creación de un servicio de puerta de enlace voluntario para facilitar la interoperabilidad de las aplicaciones de rastreo y advertencia de contactos. Además, el Supervisor Europeo de Protección de Datos publicó un documento para asesorar sobre cuestiones como herramientas de teletrabajo, gestión del personal, aspectos de datos de salud y respuesta a solicitudes de acceso de sujetos de datos.

En la India, el Ministerio de Electrónica y Tecnología de la Información emitió un informe sobre varias ideas innovadoras emergentes sobre datos no personales, como los intentos de dar una definición de datos no personales y los derechos y privilegios apropiados sobre estos datos. Además, se firmó un Memorando de Entendimiento (MoU) entre la Junta Central de Impuestos Directos (CBDT) y la Junta de Valores e Intercambio de la India (SEBI) para el intercambio de datos entre las dos organizaciones.

En Israel, la Autoridad de Protección de la Privacidad anunció su cumplimiento del Artículo 1 del Reglamento de Protección de la Privacidad , 5761-2001, haciendo hincapié en que la información puede transmitirse desde el Estado de Israel a los Estados miembros de la UE . 

En Brasil, la Fiscalía del Servicio Federal de la Fiscalía de São Paulo Público llegó a un acuerdo con Microsoft Informática Ltda. en relación con el cumplimiento del sistema operativo Windows 10 con la ley brasileña. 

SEGURIDAD

En los EE. UU., En reconocimiento de la creciente convergencia de los delitos financieros tradicionales y cibernéticos, el Servicio Secreto de los EE. UU. fusionó sus Fuerzas de Tarea de Delitos Electrónicos (ECTF) y las Fuerzas de Tarea de Delitos Financieros (FCTF) en una única red unificada, llamada Fuerzas de Tarea de Fraude Cibernéticosraude cibernéticoso (CFTFs). La Iniciativa Nacional para la Educación en Ciberseguridad (NICE) ha publicado un borradorde revisión de la Publicación Especial NIST 800-181 , el Marco de la Fuerza Laboral para la Ciberseguridad, que es una referencia para describir y compartir información sobre el trabajo de ciberseguridad . Además, el senador estadounidense Angus King y el Congresista Mike Gallagher, co-presidentes de la Comisión Solarium ciberespacio (CSC) anunciaron el lanzamiento de las propuestas legislativas para el añofiscal 2021 del (CSC) que, en conjunto con el informefinal , que defienden la infraestructura crítica de la nación de los ataques cibernéticos.  

La Agencia de la Unión Europea para la Ciberseguridad lanzó su Estrategia para una Europa segura y cibersegura que describe su objetivo de lograr un alto nivel común de ciberseguridad en toda la UE.

Más...

Fuente:internetgov.news/es

Logran piratear la Dark Web y filtrar datos de miles de sus usuarios

La llamada ‘Deep Web’ es lo que subyace bajo el Internet que conoces y usas cada día. Es todo aquello que no puede ser descubierto usando los buscadores habituales de Internet, y que Google y cía no tienen indexado por tanto. Pero más abajo aún tenemos la ‘Dark Web’, una parte de la Deep Web diseñada para estar todavía más oculta, y a la que no se puede acceder si no es usando una tecnología que fue creada por investigadores militares en los años 90, para permitir que las agencias de Inteligencia se enviasen datos e informes usando Internet pero de forma anónima, sin que los usuarios pudiesen rastrearlo.

Pirateado el mayor hosting de la Dark Web

Llamado the ‘Onion Router’, el router cebolla por su sistema de cifrado en capas, popularmente se le conoce de otra forma, TOR. La dark web es un gigantesco mercado negro de todo, desde mercenarios, hackers y asesinos que cuelgan su lista de tarifas hasta compra-venta de cualquier tipo de droga, webs de contenido violento, de tortura, de pornografía infantil, de ventas de armas, de exploits y bots para quienes quieran dedicarse la cibercrimen, de movimiento de grandes cantidades de dinero digital que no deja rastro, de venta de documentos falsificados, foros de grupos terroristas y extremistas, etc.

Por ello, es curiosa la noticia de un hackeo en la Dark Web, porque es como decir que han hackeado dentro del ciberespacio de los hackers.

Más...

Fuente:  as.com

¿Qué es y en qué consiste Deepfake?

La palabra Deepfake es una composición de los términos deep learning y fake, es decir: aprendizaje profundo, una de las ramas de la inteligencia artificial, y la palabra falso. El nombre le viene perfecto, ya que de lo que os estamos hablando es de una tecnología basada en la Inteligencia Artificial que consigue superponer el rostro de una persona en el de otra y falsificar sus gestos para hacernos creer que están haciendo o diciendo algo que no ha pasado en realidad.

Los primeros vídeos falsificados con esta tecnología se empezaron a ver hace un par de años. En ellos se habían manipulados los rostros de varias actrices internacionales, como Natalie Portman o Emma Watson, para que encajaran en cuerpos de actrices de la industria pornográfica.

Más..

Fuente: computerhoy.com

Rusia ha conseguido desconectarse de INTERNET con ÉXITO

El gobierno ruso anunció el lunes que concluyó una serie de pruebas durante las cuales desconectó con éxito el país de Internet en todo el mundo.

Las pruebas se llevaron a cabo durante varios días, comenzando la semana pasada, e involucraron a agencias gubernamentales rusas, proveedores locales de servicios de internet y compañías locales de internet rusas.

El objetivo era probar si la infraestructura nacional de internet del país, conocida dentro de Rusia como RuNet, podría funcionar sin acceso al sistema global de DNS y a internet externo. El tráfico de Internet se redirigió internamente, lo que convirtió a la RuNet de Rusia en una Intranet gigante.

Lógicamente, no han compartido detalles técnicos, pero han probado varios escenarios de desconexión, incluido un escenario que simulaba un ciberataque hostil desde un país extranjero.

Más..

Fuente:wwwhatsnew.com/

Los diez dominios a implantar para evitar ciberataques

El ciberespacio se ha convertido en el blanco perfecto para desarrollar una economía underground nutrida del robo de información y datos

Distancia y tiempo han sido eliminadas gracias al desarrollo de las tecnologías de la comunicación, un nuevo entorno donde imperan rapidez e inmediatez. La tecnología ocupa un papel relevante en cuanto a riesgos globales para los individuos (el 55% de los habitantes del planeta se relaciona por internet), los gobiernos y las empresas. El ciberespacio se ha convertido en un lugar activo “rentable” de amenazas en el que ha encontrado un hueco la economía underground basada en acciones ilícitas que se nutre del robo de información y datos. Las empresas se convierten en un blanco de posibles ataques al disponer de información privilegiada o confidencial.

Las principales amenazas a las que se enfrentan las empresas, según nos Hasten Group son la interrupción de servicios, esta interrupción conlleva la falta temporal de información intencionada. El sabotaje es otro de los peligros que conlleva deterioro intencionado o destrucción a largo plazo de la disponibilidad de la información. Un riesgo más, la manipulación de la información provoca la alteración intencionada de la información, con la consecuente pérdida de su integridad. Otro, el robo de información mediante copiado o eliminación de la información y que afecta a su confidencialidad. El espionaje protagonizado casi siempre por actores estatales o patrocinados por Estados que copian o eliminan información.

La manipulación de sistemas a través de acciones de deterioro de sistemas o servicios de información, orientadas a atacar la confidencialidad o integridad y pudiéndose utilizar para llevar a cabo otros ataques. Y por último, las amenazas más complejas y multidimensionales denominadas amenazas híbridas que utilizan el ciberespacio como herramienta para realizar sus propósitos, estas son acciones coordinadas y sincronizadas que atacan deliberadamente vulnerabilidades sistémicas (capacidad para explotar los umbrales de detección y atribución de tales acciones).

Los ciberataques más utilizados siguen siendo, en un 90%, la propagación de código dañino a través de correos electrónicos que contienen carga dañina. 

Más...

Fuente: diariosigloxxi.com

Disney+ se enfrenta a su primer problema de seguridad en menos de una semana, miles de cuentas han sido hackeadas y están a la venta

Con 10 millones de usuarios activos en sus primeras horas y solo unos pequeños problemas de conexión al iniciarse, en su primer día consiguió acaparar los medios gracias al estreno de The Mandalorian, la serie situada en el universo de Star Wars.Sin embargo, días después ha descubierto ZDNet que miles de cuentas de suscriptores han sido hackeadas y se ofrecen gratis o venden por entre 3 y 11 euros en las redes.

A pesar de lo barato de la suscripción, solamente 6,99 dólares al mes, las cuentas de Disney+ se han transformado en objetivo de hackers que han conseguido robárselas a multitud de usuarios. Al tratar de conectarse a la plataforma, las víctimas han descubierto que habían modificado su correo electrónico y contraseña, por lo que tenían que ponerse en contacto con la plataforma.

La noticia está causando una importante repercusión mundial ante la indignación de suscriptores que han sido hackeados horas después de haber activado sus cuentas.De momento, no hay ninguna aclaración por parte de Disney, ni se sabe si las cuentas han sido hackeadas mediante phishing o algún otro tipo de estrategia.

Más...

Fuente: businessinsider.es

Vulnerabilidad crítica TrustZone en Qualcomm que podría afectar a casi la mitad de los smartphones del mundo

Check Point descubre una vulnerabilidad crítica en Qualcomm que podría afectar a casi la mitad de los smartphones del mundo. La compañía alerta de que este nuevo caso permite a los cibercriminales tener acceso al terminal y provocar, entre otras cosas, fugas de datos protegidos y el robo de información y credenciales de pago móvil. 

Check Point® Software Technologies Ltd. (NASDAQ: CHKP), proveedor líder especializado en ciberseguridad a nivel mundial, ha descubierto una serie de vulnerabilidades críticas en Qualcomm TrustZone que podría provocar, entre otras cosas, fugas de datos protegidos y el robo de información y credenciales de pago móvil. 

Esta aplicación es una extensión de seguridad integrada por ARM en el procesador Corex-A, que es una parte integral de todos los dispositivos móviles modernos Android de marcas como Samsung, Xiaomi, Sony, Nexus, LG o HTC, entre otros. De hecho, según un estudio de Strategy Analytics, casi la mitad de todos los smartphones del mundo utilizan la tecnología de los procesadores Qualcomm.

Más...

Fuente: frikipandi.com

Google y Amazon en el punto de mira: las vulnerabilidades de sus asistentes de voz

No hay día que pase en el que no salte una información sobre la falta de seguridad y las vulnerabilidades que tienen los asistentes de voz. La última viene del colectivo de investigación de ciberseguridad alemán Security Research Labs que señala claramente a los aparatos de Google y Amazon. Según esta asociación, el desarrollo de aplicaciones por parte de terceros para estos dispositivos puede permitir que ciberdelincuentes puedan espiar o atacar mediante phishing a los usuarios.

Según Security Research Labs, un desarrollador podría crear una aplicación de phishing  para los asistentes de voz de Google y Amazon

Tal y como explican en Security Research Labs, los altavoces inteligentes de ambas compañías están demandándose cada vez más y, por tanto, desarrolladores externos, también crean aplicaciones específicas para estos dispositivos, lo que les dota cada vez de un mayor número de funcionalidades. A medida que se incrementan estas funcionalidades, también se incrementa la posibilidad de que las vulnerabilidades aumenten. Y esto es lo que han encongtrado los investigadores alemanes. Estas vulnerabilidades de Amazon y Google pueden hacer que un ciberdelincuente pueda suplantar la identidad de un usuario, lo que le permitiría obtener datos e información privada, así como espiar a los usuarios.

A través de interfaces de desarrollo, los investigadores de la compañía alemana lograron comprometer la privacidad de los datos de los usuarios solicitando y recopilando datos personales, incluidas las contraseñas de los usuarios.

Más..

Fuente: revistabyte.es/

ISO Survey of certifications 2018 - ISO/IEC 27001:2013

Como parte de los resultados del ISO Survey of certifications to management system standards 2018 podemos observar algunas estadísticas de normas como  ISO/IEC 27001:2013 Information technology -- Security techniques -- Information security management systems -- Requirements:

	Country	certificates	sites
1	China	7.199	7.612
2	Japan	5.093	12.145
3	United Kingdom of Great Britain and Northern Ireland	2.444	4.723
4	India	2.161	4.723
5	Germany	1.057	2.003
6	Italy	1.041	1.818
7	United States of America	911	3.925
8	Taiwan, Province of China	827	1.410
9	Netherlands	788	1.606
10	Spain	726	1.950
11	Turkey	707	1.192
12	Poland	700	1.503
13	Romania	585	821
14	Czech Republic	543	711
15	Hungary	484	735
16	Israel	439	455
17	Korea (Republic of)	353	530
18	Bulgaria	339	404
19	Malaysia	276	470
20	Australia	264	655
21	Greece	240	852
22	Thailand	239	557
23	France	223	925
24	Serbia	223	273
25	Mexico	218	392
26	Ireland	214	311
27	United Arab Emirates	208	342
28	Switzerland	185	313
29	Slovakia	181	150
30	Indonesia	163	335
31	Austria	157	391
32	Colombia	146	201
33	Croatia	138	158
34	Canada	118	345
35	Viet Nam	113	241
36	Sweden	111	266
37	Brazil	110	362
38	Singapore	106	240
39	Belgium	94	208
40	Philippines	94	331
41	Lithuania	92	149
42	Portugal	85	160
43	Saudi Arabia	80	89
44	Slovenia	80	113
45	Norway	74	131
46	Hong Kong	72	131
47	Russian Federation	70	146
48	Finland	59	121
49	Chile	54	75
50	South Africa	53	134
51	Peru	49	117
52	Ukraine	49	90
53	Argentina	48	75
54	Denmark	48	116
55	Nigeria	43	65
56	Iceland	39	65
57	Qatar	38	56
58	Latvia	36	44
59	Pakistan	34	49
60	Macedonia (the former Yugoslav Republic of)	33	36

Code	Sector	Number
	Sector not known	17.851
33	Information technology	6.822
35	Other Services	893
31	Transport, storage and communication	369
28	Construction	309
29	Wholesale & retail trade, repairs of motor vehicles, motorcycles & personal & household goods	304
34	Engineering services	291
36	Public administration	281
38	Health and social work	278
32	Financial intermediation, real estate, renting	276
19	Electrical and optical equipment	227
39	Other social services	155
37	Education	137
9	Printing companies	130
18	Machinery and equipment	104
25	Electricity supply	64
24	Recycling	57
17	Basic metal & fabricated metal products	55
10	Manufacture of coke & refined petroleum products	42
12	Chemicals, chemical products & fibres	38
14	Rubber and plastic products	38
26	Gas supply	28
3	Food products, beverage and tobacco	24
8	Publishing companies	22
4	Textiles and textile products	20
1	Agriculture, Fishing and Forestry	18
23	Manufacturing not elsewhere classified	18
22	Other transport equipment	15
21	Aerospace	12
2	Mining and quarrying	11
30	Hotels and restaurants	9
7	Pulp, paper and paper products	9
27	Water supply	8
13	Pharmaceuticals	6
15	Non-metallic mineral products	5
5	Leather and leather products	2
6	Manufacture of wood and wood products	1
11	Nuclear fuel	1
20	Shipbuilding	1
16	Concrete, cement, lime, plaster etc.

ISO SURVEY 2018

The latest results of the Survey are for 2018 which show an estimation of the number of valid certificates as of 31 December 2018. The scope of the 2018 Survey has been expanded to cover 2 additional standards; ISO 45001:2018, Occupational health and safety management systems — Requirements with guidance for use and ISO 37001:2016, Anti-bribery management systems — Requirements with guidance for use, meaning that a total of 12 ISO management system standards were included in the survey.

The questionnaire used to collect the data was modified this year to ask for three separate sets of data:

• the number of valid certificates,
• the number of sectors per country covered by the certificates, and
• the number of sites per country covered by the certificates.

With these changes, and the fluctuations in the data reported by some providers, ISO decided to publish the 2018 results in a separate file from the past results since comparison could be misleading. Instead, the number of certificates and the number of sites are presented for each standard providing a more comprehensive picture of the situation.

Más datos...

Fuente:isotc.iso.org 


Link relacionados:
- THE ISO SURVEY OF MANAGEMENT SYSTEM STANDARDCERTIFICATIONS – 2017 – EXPLANATORY NOTE