¿Ordenador público? Usa la opción del navegador «navegación privada»

Nuestro navegador habitual nos ayuda a recordar las páginas web que visitamos o las contraseñas que usamos. Pero, si compartimos ordenador con alguien, ¿cómo navegar sin dejar información en el navegador? Usando la navegación privada.

Si activamos el modo de navegación privada en nuestro navegador, podemos navegar por Internet evitando que nuestro navegador guarde información sobre las páginas web que vistamos, las búsquedas que hacemos o las contraseñas que introducimos para entrar en nuestros perfiles de redes sociales. Una opción muy útil cuando estamos utilizando un ordenador compartido o público, ya que impide que las otras personas que tienen acceso al navegador puedan averiguar por dónde hemos estado navegando y a qué páginas hemos entrado.

Sin embargo, debemos tener claro que la opción de navegación privada del navegador no significa que estemos navegando de forma anónima por Internet. Aunque el navegador no guarde información sobre nuestras acciones, existen otros sitios donde sí quedan registradas. Por ejemplo, las propias páginas que visitamos saben que las visitamos y lo que buscamos en ellas. Por tanto, esta característica es útil para preservar tu privacidad, especialmente cuando se comparte un dispositivo, pero no te hace invisible en Internet.

Fuente: https://www.osi.es/es/actualidad/blog/2014/09/01/ordenador-publico-usa-la-opcion-del-navegador-navegacion-privada

Siete reglas de oro para proteger tu privacidad en Internet

El 1 de septiembre será recordado por el día en que más de cien famosas vieron sus “vergüenzas“ al descubierto en la Red.  Jennifer Lawrence, Ariana Grande, Rihanna, Kate Upton o Kim Kardashian, entre muchas otras, no sólo han visto comprometida su privacidad al descubrir en la Red las fotos íntimas que guardaban en servicios de almacenaje online, como iCloud, sino que muchas de ellas podrían estar siendo víctimas de un chantaje por parte de quien ha cometido el robo de este material para no hacer público contenido erótico más subido de tono. 

Es sólo otro incidente más en la larga lista de celebridades que se han visto comprometidas por no llevar a cabo unas normas básicas de seguridad y privacidad. ESET España ofrece a todos los internautas, sean o no famosos, siete reglas de oro para la protección de la privacidad en la Red. 

Regla número 1: no subas a la Red lo que no quieras que se comparta

En ESET España siempre decimos que lo que se publica en Internet, se queda en Internet. De una manera u otra: bien sea por la privacidad del servicio que estés utilizando, porque haya alguien que captura el contenido antes de que puedas borrarlo y lo comparte, o porque utilizas un servicio que puede ser vulnerable a ataques. 

Esta norma de oro es mucho más importante si además el usuario es un personaje famoso o popular, ya que seguro que está en el punto de mira de muchos ciberdelincuentes ávidos de conseguir dinero y visibilidad a cambio de hacer públicos los secretos más íntimos. 

Regla número 2: no te fíes de ningún servicio online

Es lamentable, pero es así. Ni iCloud ni ningún otro servicio de Internet son totalmente seguros. Las razones son muchas, pero básicamente hay dos grandes riesgos: que el servicio pueda ser atacado, ya que no existe sistema informático 100% seguro, o que roben la contraseña al usuario de cualquier manera y, de esta forma, puedan acceder a su cuenta y a su información.

Por lo tanto, y aunque los sistemas de almacenamiento online son sumamente útiles, sobre todo si permite el acceso a la información desde varios dispositivos, desde ESET recomendamos no guardar en estos ningún documento sensible, sea del formato que sea.

Regla número 3: asegura tus contraseñas

Con noticias como la de ayer vemos que el uso de usuarios y contraseñas es algo que puede terminar en un desastre para nuestra privacidad si no utilizamos contraseñas robustas. Por eso, muchas empresas están incorporando el uso del doble factor de autenticación, entre ellas Apple. 

Por este motivo, recomendamos a todos los usuarios que averigüen si su servicio online está utilizando esta tecnología. Y si es así, que la activen, ya que aunque tampoco garantiza la seguridad al 100%, al menos pone más barreras a los ciberatacantes. 

Regla número 4: nunca accedas a tus servicios online a través de aplicaciones

Cada vez más usuarios comparten su vida digital desde dispositivos móviles, aunque muchas veces sin la conciencia de seguridad que tendrían si lo hicieran desde un ordenador. No obstante, los móviles también son víctimas de robos de datos y debemos de ir con cuidado vigilando a que redes nos conectamos y que información consultamos o compartimos para evitar que alguién pueda espiar nuestras información privada.

Además, debemos revisar si las aplicaciones móviles disponen de las mismas características de seguridad que sus homónimas para ordenadores. En demasiadas ocasiones, una aplicación para móviles no cifra los datos o utiliza un protocolo seguro como HTTPS, por lo que estamos utilizando un canal inseguro para actualizar nuestro estado en redes sociales o compartir documentos confidenciales. 

Regla número 5: cierra bien las sesiones antes de abandonar el servicio que estés utilizando

Algo que casi nunca nadie hace. Utilizamos una red social o un servicio y simplemente cerramos el navegador, pensando que, de esta manera, hemos cerrado la sesión. Pero realmente no es así. Si queremos dejar nuestra cuenta cerrada de cualquier tipo de servicio, tenemos que buscar la opción “Salir“ o “Logout“. Entonces sí estaremos dejándola cerrada.

Si utilizamos algún dispositivo que no es nuestro, o un ordenador de uso común, al cerrar simplemente con el navegador estaremos dejando la sesión abierta para cualquiera que utilice el dispositivo posteriormente, abriéndole la puerta, de esta manera, a nuestra privacidad.

Regla número 6: asegura bien tus dispositivos móviles

Aunque en este caso el problema no ha sido derivado del uso de dispositivos móviles, lo cierto es que cada vez se producen más robos y pérdidas tanto de smartphones como de tablets. Si no tenemos contraseñas de acceso, cualquiera que llegue a ellos puede tener acceso a absolutamente toda nuestra información y nuestros perfiles o servicios que utilicemos. 

Además, si contamos con un sistema antirrobo eficaz, podremos no sólo tratar de localizar nuestro dispositivo perdido o robado sino que también podremos eliminar remotamente toda la información privada almacenada en el dispositivo, evitando así que se use en nuestra contra.

Regla número 7: no te hagas fotos íntimas con el móvil ni las compartas en Internet, ni siquiera en un servicio privado

Aunque no entramos a valorar el porqué de la moda de hacerse fotos en ropa interior, sin ropa interior o en situaciones eróticas o subidas de tono, recomendamos a los que gusten de esta tendencia que utilicen cámaras digitales en vez de smartphones y que las guarden cifradas en sus tarjetas de memoria o discos duros locales, en vez de en sus teléfonos y/o servicios en la Red.

Sobre todo en el caso de personajes famosos y conocidos. Sea porque puedan acceder a su dispositivo móvil, o porque les roben las contraseñas, o porque accedan a iCloud o servicios similares, siempre estaremos en el punto de mira de ciberdelincuentes que buscan sacar un beneficio económico de este material. 

Este consejo también es extensible, por supuesto, a todos los usuarios de smartphones y tablets, pero también, y sobre todo, a adolescentes, ya que se ha convertido en una moda peligrosa que ya ha supuesto más de un problema. 

Fuente: http://www.globbtv.com/4260/noticias/las-siete-reglas-de-oro-para-proteger-tu-privacidad-en-internet

Aprende a identificar correos electrónicos maliciosos

Fuente: https://www.osi.es/es/actualidad/blog/2014/08/18/aprende-identificar-correos-electronicos-maliciosos

Cómo acabar con el ciberacoso: 8 consejos útiles para los padres

El bulling no es nuevo, por supuesto. Pero la tecnología ha hecho que sea más fácil que nunca para los acosadores atacar a las personas vulnerables. Y la cultura de la divulgación de información personal, generalizada en las redes sociales, y que se ha convertido en la norma en la sociedad actual, ha añadido involuntariamente más leña al fuego.

El bulling no es nuevo, por supuesto. Pero la tecnología ha hecho que sea más fácil que nunca para los acosadores atacar a las personas vulnerables. Si eres padre de un niño que sufre acoso, recuérdale que no está solo.

Es importante que hablemos con nuestros hijos acerca del ciberacoso. Si eres padre de un niño que está sufriendo acoso, recuérdale que no está solo. Es un problema que afecta a muchos otros niños; y es algo que muchos de sus ídolos también han sufrido – Miley Cyrus, Cheryl Cole, Demi Lovato, Kim Kardashian y otros muchos han hablado acerca de sus experiencias.

Si eres padre, nuestra lista de consejos útiles para mantener seguros a los hijos podría serte útil.

1. Habla con tus hijos sobre las consecuencias del ciberacoso.
2. Anímales a hablar contigo acerca de sus experiencias en Internet, en particular, sobre cualquier cosa que les haga sentir incómodos o amenazados. Proteger a los niños de los ciberacosadores es especialmente difícil con los smartphones, ya que pueden ser amenazados de muchas maneras, especialmente fuera de la vista de los padres. Enfréntate al ciberacoso igual que harías con el acoso en la vida real: anima a los niños a ser abiertos y a hablar con un adulto de confianza si reciben cualquier mensaje amenazante o inapropiado. Los números de teléfono y contactos de las aplicaciones pueden ser bloqueados si hacen que los niños se sientan incómodos o tristes.
3. Establece normas muy claras sobre lo que pueden y no pueden hacer en Internet y explícales por qué lo haces. Debes recordarle estas normas a tu hijo a medida que vaya creciendo.
4. Utiliza el control parental para establecer un marco de actuación adecuado – la cantidad de tiempo (y cuándo) que pueden pasar navegando por Internet, el contenido que debe estar bloqueado (chats, foros, etc.). Los filtros de control parental se pueden configurar para diferentes perfiles de ordenador, lo que permite personalizar los filtros para cada niño.
5. No te olvides de hacer uso de la configuración proporcionada por el ISP (Proveedor de Servicios de Internet), el fabricante del dispositivo y el proveedor de red de telefonía móvil. Por ejemplo, la mayoría de los teléfonos te permiten bloquear las compras integradas en aplicaciones o in-apps, para evitar que los niños al jugar con tu teléfono aumenten la factura de móvil.
6. Protege el ordenador usando un Software de Seguridad para Internet
7. No te olvides de los smartphones de tus hijos – son como ordenadores sofisticados, no sólo teléfonos. La mayoría de los smartphones vienen con control parental integrado y existen proveedores de software de seguridad que ofrecen aplicaciones para filtrar contenidos inapropiados, mensajes SMS molestos, etc.
8. Haz uso de la gran cantidad de consejos útiles que hay disponibles en Internet – incluyendo los de la web thinkuknow, de CEOP (http://www.thinkuknow.co.uk/)

Fuente: http://blog.kaspersky.es/como-acabar-con-el-ciberacoso-8-consejos-utiles-para-los-padres/

Decálogo de la concienciación en ciberseguridad en la empresa

La utilización de las nuevas tecnologías en el desempeño de nuestra actividad profesional con smartphones, tablets, ordenadores portátiles, etc. unido a la facilidad de acceso a Internet, ha convertido nuestro puesto de trabajo y el de cualquier empleado en un puesto móvil. De esta formapodemos trabajar desde cualquier parte y en cualquier momento.

Este nuevo escenario de trabajo ha hecho que, desde el punto de vista de la seguridad de la información, el perímetro de seguridad de la organización se desvanezca. Ha convertido a cada empleado en el nuevo perímetro de seguridad a proteger, en el punto más importante.

Por ello, es si cabe aún más importante la implicación del empleado en la protección de la información que maneja. No desde el punto de vista técnico, sino adoptando unas pautas de comportamiento seguro en el uso de las tecnologías. Ante esta situación, la formación y la concienciación en ciberseguridad se convierten en iniciativas básicas y fundamentales.

Los tres pilares en la ciberseguridad son: las personas, de los procesos y de la tecnología. La formación y concienciación de los empleados se centra en la dimensión de las personas. El objetivo de la concienciación no es convertir a los empleados en expertos en seguridad de la información. El objetivo es trasladar las mejores prácticas en materia de seguridad para que adopten pautas de comportamiento seguro en los distintos entornos en los que desempeñan su actividad profesional. De esta forma mejora la cultura de seguridad de la organización. Incluso el empleado puede extender estas pautas en su ámbito personal.

A continuación veremos los puntos más importantes sobre los que debemos concienciar al empleado de cualquier organización.

Check Usernames: ¿Qué identidad te puedo robar?

Repetir contraseña, repetir información personal, repetir la dirección de correo electrónico, pero sobre todo repetir el nombre del usuario (o login) es una de las cosas más comunes en la gestión de identidades personales que la gente hace enInternet. Esto es bueno para establecer una marca personal en la red, pero también para que se puedan localizar fácilmente las identidades de una persona a lo largo de múltiples sitios de Internet.

Esto es especialmente importante cuando alguien está pensando en realizar un ataque dirigido contra una organización de la que se ha sido capaz de sacar una lista de los empleados objetivos. ¿Por qué no atacarle por alguna de sus cuentas o identidades online?

Ahí se podrían utilizar, por ejemplo, las contraseñas que salen filtradas en los grandes dumpeos de identidades de Internet, que tiene en su base de datos Have I Beem Pwned? Es más, no solo es más que probable que haya alguna identidad con la misma contraseña, sino que además es más que probable que ni se acuerde de esas cuentas que se creo, así que se puede encontrar cualquier pedazo de información más que útil en ellas.

Figura 1: Dumpeos de bases de datos de identidades en Have I been Pwnd?

Para localizar esas otras cuentas uno se puede volver loco. La gente se saca cuentas en sitios insospechados que pueden ir desde un foro de un blog, a un club temático sobre alguna de las aficiones del objetivo. Es una tarea ardua que los especialistas en doxing se dedican a automatizar en lo posible y a cuidar en detalle.

Los trucos para buscar esas cuentas son diversos. Pueden ir desde con el correo del objetivo buscar un leak de información en el sistema de registro de nueva cuenta de un sitio - como contaron en Security By Default con Ashley Madison -, o en el de recuperación de contraseña, o en cualquier otro lugar. Por eso es importante no usar nunca correos electrónicos de la empresa en la creación de cuentas de servicios de Internet.

Figura 2: El servicio de recuperación de contraseñas de menéame te dice si tiene cuenta o no

A veces es tan sencillo como simplemente buscar la URL con el nombre del usuario, algo que utilizan muchos sitios web en la red, así que no sería nada difícil saber donde se han creado esas cuentas. Una web que permite localizar un nombre de usuario en una lista de 300 sitios es Check Usernames, que utiliza estos pequeños leaks de información para localizar los perfiles de un usuario en los distintos lugares de la red.

Figura 3: Check Usernames te lleva a los perfiles de un determinado nombre de usuario

En el mundo del social media, se hace justo para lo contrario, los responsables de marca buscan reservarse los usuarios de la imagen corporativa, y los BlackSEOrobarle las cuentas a la competencia. Por supuesto, también se buscan usuarios de sitios que en el futuro puedan ser de utilidad, como los nombres de usuario que puedan usarse para engaños, como support, help, admin, root, etcétera, o los de nombres muy significativos que puedan valer mucho dinero en el futuro, como sex o los nombres de usuarios en Twitter cortos que tan valiosos se han vuelto.

Figura 4: Sitos con el usuario Viagra creado y sitios con él disponible

Si tienes un nombre de usuario, que haya aparecido en un correo electrónico, en una cuenta de una web, o en el metadato de un fichero ofimático, localizar cuentas con ese nombre de usuario en otros servicios de Internet puede ser una buena idea para ver qué sale.

Fuente: http://www.elladodelmal.com/2014/08/check-username-que-identidad-te-puedo.html

Cryptolocker victims to get files back for free

All 500,000 victims of Cryptolocker can now recover files encrypted by the malware without paying a ransom:

The malicious program encrypted files on Windows computers and demanded a substantial fee before handing over the key to the scrambled files.

Thanks to security experts, an online portal has been created where victims can get the key for free.

The portal was created after security researchers grabbed a copy of Cryptolocker's database of victims.

"This time we basically got lucky," said Michael Sandee, principal analyst at Fox-IT - one of the security firms which helped tackle the cyber-crime group behind Cryptolocker.

Cash call

In late May, law enforcement agencies and security companies seized a worldwide network of hijacked home computers that was being used to spread both Cryptolocker and another strain of malware known as Gameover Zeus.

This concerted action seems to have prompted an attempt by the gang to ensure one copy of their database of victims did not fall into police hands, said Mr Sandee.

What the criminals did not know, he said, was that police forces and security firms were already in control of part of the network and were able to grab the data as it was being sent.

The Gameover Zeus family of malware targets people who bank online, and is thought to have racked up millions of victims.The action also involved the FBI charging a Russian man, Evgeniy Bogachev, aka "lucky12345" and "slavik", who is accused of being the ring leader of the gang behind Gameover Zeus and Cryptolocker.

Cryptolocker was created by a sub-group inside the larger gang, said Mr Sandee, and first appeared in September 2013, since when it has amassed about 500,000 victims.

Those infected were initially presented with a demand for $400 (£237), 400 euros ($535; £317) or an equivalent amount in the virtual Bitcoin currency. Victims had 72 hours to pay up or face the keys that would unlock their files being destroyed.

Analysis of the back-up database indicates that only 1.3% of all the people hit by the malware paid the ransom.

Despite the low response rate, the gang is believed to have netted about $3m from Cryptolocker. Many of those caught out did not pay because they were able to restore files from back-ups.

However, others are believed to have lost huge amounts of important files and business documents to the cyber-thieves.

"There's a bit of guesswork in that figure because some of it was paid in bitcoins and that does not have a fixed exchange rate," said Mr Sandee.

Now, security firms Fox-IT and FireEye - which aided the effort to shut down the Gameover Zeus group - have created a portal, called Decrypt Cryptolocker, via which any of the 500,000 victims can find out the key to unlock their files.

"All they have to do is submit a file that's been encrypted from that we can figure out which encryption key was used," said Greg Day, chief technology officer at FireEye.

Mr Day said people wishing to use the portal should submit a file that did not contain sensitive information to help it verify which key they needed.

Operación Epic Turla, ciber-espionaje

Cuando G-Data hizo pública la investigación inicial sobre la campaña APT "Turla" o "Uroburos" en marzo de 2014, todavía no estaba claro cómo se infectaban las víctimas. Ahora, los últimos análisis de Kaspersky Lab sobre la denominada operación "Epic" o "Epiccosplay" revelan que podría ser un proyecto paralelo de Turla. En concreto, el uso de ciertos códigos, técnicas de cifrado y muestras indican una fuerte relación de cooperación entre estos dos grupos, Epic y Turla, o incluso que son la misma amenaza. 

Víctimas: La campaña Epic Turla se ha utilizado para atacar a una gran variedad de objetivos al menos desde 2012, con el pico en su nivel de actividad en enero-febrero de 2014. Más recientemente, Kaspersky Lab detectó este ataque cuando atacaba a uno de sus usuarios, el 5 de agosto de 2014. 

Objetivos: Parece estar dirigido a entidades gubernamentales (Ministerio del Interior, Ministerio de Industria y Comercio, Ministerio de Asuntos Exteriores, agencias de inteligencia), embajadas, militares, centros de de investigación y de educación, así como compañías farmacéuticas. 

La mayoría de las víctimas parecen estar ubicadas en Oriente Medio y Europa. Sin embargo, los analistas observaron múltiples víctimas en otras regiones, incluidos los EE.UU. y Rusia. En total, los expertos de Kaspersky Lab contaron cerca de 500 IPs de víctimas distribuidas en más de 45 países, con Francia a la cabeza de la lista. En España también hay víctimas de este ciber-espionaje.

Vectores de ataque: Los analistas de Kaspersky Lab descubrieron que los atacantes de Epic Turla utilizan exploits zero day, ingeniería social y waterholering para infectar a las víctimas. En el pasado, se utilizaron al menos dos ataques zero day: uno para escalada de privilegios (EOP) en Windows XP y Windows Server 2003 (CVE-2013-5065), que permite que el backdoor Epic logre privilegios de administrador en el sistema; y un exploit para Adobe Reader (CVE-2013-3346). 

Los ataques detectados en esta campaña utilizan distintos vectores de ataque para infectar a sus víctimas: 

• Archivos PDF con exploits (CVE-2013-3346)
• Instaladores de malware con extensión “scr”, a veces comprimidos con RAR
• Falso "Flash Player", que instala el malware

En los dos últimos casos, los ciberatacantes se basan en técnicas de ingeniería social para conseguir que la víctima ejecute el archivo. Los atacantes utilizan tanto spearphishing como waterholering para infectar a sus víctimas. 

Si el usuario se infecta, el backdoor Epic se conecta inmediatamente al servidor de Comando y Control (C&C) para enviar información del sistema de la víctima. Este backdoor también se conoce como "WorldCupSec," "TadjMakhal," "Wipbot" o "Tavdig".

Hasta el momento, no se ha observado ningún módulo de persistencia y  tras el reinicio del sistema, el malware ya no está activo. En algunos casos, los atacantes añaden el módulo de persistencia manualmente al backdoor mediante la programación de una tarea para ejecutarlo. 

Una vez que el sistema se ve comprometido: Los atacantes reciben un breve resumen de la información de la víctima y, en base a eso, ellos entregan un lote pre-configurado de archivos que contienen una serie de comandos que se ejecutará con una lista de varias carpetas, conexiones de red y así sucesivamente. 

Además de eso, los atacantes suben herramientas personalizadas de movimiento lateral. Esto incluye un keylogger específico, el archivador RAR y utilidades estándar, como herramienta de consulta DNS de Microsoft.

La primera etapa de Turla: Durante el análisis, los analistas de Kaspersky Lab observaron que los atacantes utilizan el malware Epic para desplegar un backdoor más sofisticado, conocido como "Cobra / Carbon" o "pfinet". Después de algún tiempo, los atacantes van más allá y utilizan el implante Epic para actualizar el archivo de configuración de pfinet con un conjunto diferente de servidores C&C. El modo de actuación de estos dos backdoors indica que existe una conexión entre ellos y que los atacantes son los mismos. 

"Los cambios de configuración en el malware Cobra/Carboo, también conocido como pfinet, son interesantes, porque se trata de otro proyecto relacionado con el actor Turla. Esto sugiere que se trata de una infección de varias etapas que comienza con Epic Turla - para hacerse un hueco y validar si la víctima es de alto perfil. Si la víctima es interesante, se mejora al sistema de Turla Carbon completo"- explica Costin Raiu, director de GReAT de Kaspersky Lab. 

Además, puede haber más conexiones con otros actores: en febrero de 2014 los expertos de Kaspersky Lab observaron el actor Miniduke utilizando el mismo WebShell que usa Epic Turla en sus servidores hackeados. 

Otra pista del enlace de Epic con Turla y Miniduke es un posible nexo rusoparlante. Además, un backdoor de Epic tiene el nombre interno de "Zagruzchik.dll", que significa "gestor de arranque" en ruso. El panel de control de Epic Turla configura para el idioma la página de código 1251, que se utiliza para representar caracteres cirílicos.

Fuente: http://www.globbtv.com/4208/noticias/operacion-epic-turla-ciber-espionaje-con-victimas-espanolas 

Detectadas oleadas de correos fraudulentos que suplantan al Banco Santander (España)

Se han detectado varias campañas de phishing contra el Banco Santander con el objetivo de engañar a los usuarios para que hagan clic en un enlace que le redirige a una web maliciosa que suplanta la identidad del banco para capturar sus claves de acceso, datos bancarios, etc.

Recursos afectados

Potencialmente cualquier usuario que haga uso del correo electrónico y reciba un correo malicioso de las características descritas en este aviso de seguridad.

Solución

Si has recibido un correo de estas características, y has hecho clic en el enlace y has facilitado tu nombre de usuario y contraseña, modifica lo antes posible tu contraseña de acceso a tu banca online, y las de todos aquellos servicios en los que utilizases la misma contraseña. Recuerda: es muy importante gestionar de forma segura las contraseñas de acceso a los distintos servicios de Internet para evitar problemas.

Además, si has facilitado otro tipo de información personal -número PIN, CVV, coordenadas de la tarjeta de seguridad, etc.- contacta con tu banco a través de los canales que facilita para estos casos.

Evita ser víctima de fraudes de tipo phishing siguiendo nuestras recomendaciones:

• No abras correos de usuarios desconocidos o que no hayas solicitado, elimínalos directamente.
• No contestes en ningún caso a estos correos.
• Precaución al seguir enlaces en correos aunque sean de contactos conocidos.
• Precaución al descargar ficheros adjuntos de correos aunque sean de contactos conocidos.

Por otro lado, ten en cuenta SIEMPRE los consejos que facilitan todos los bancos en su sección de seguridad:

1. Cierra todas las aplicaciones antes de acceder a la web del banco.
2. Escribe directamente la url en el navegador, en lugar de llegar a ella a través de enlaces disponibles desde páginas de terceros o en correos electrónicos.
3. No accedas al servicio de banca online de tu banco desde ordenadores públicos, no confiables o que estén conectados a redes wifi públicas.
4. MUY IMPORTANTE: ningún banco envía por correo electrónico solicitudes de datos personales de sus clientes. Si recibes un correo en este sentido, no facilites ningún dato y contacta inmediatamente con él.

Detalles

Se han detectado gran cantidad de correos fraudulentos (phishing), más de 1.200 en las últimas 24 horas, que se hacen pasar por el Banco Santander para robar información a los usuarios afectados.

Los correos electrónicos tienen el siguiente aspecto:

Hasta el momento se han identificado correos con los siguientes asuntos:

• Registrar su tarjeta a CES
• Registracion CES
• Registrar a CES sms

Fuente: https://www.osi.es

Descubren una campaña de robo de datos que actuó durante cinco años

Bautizada como Nighthunter, la campaña fue diseñada para robar las credenciales de inicio de sesión de los usuarios en los servicios de Google, Yahoo, Facebook, Dropbox y Skype. Se estima que lleva activa al menos desde 2009 afectando a empresas energéticas, instituciones educativas, sanitarias y de caridad.

Cyphort Labs ha descubierto una amplia campaña de robo de datos que han denominadoNighthunter y que ha estado activa desde 2009, acumulando credenciales de inicio de sesión de los usuarios en numerosos servicios web y redes sociales, tales como Google, Yahoo, Facebook, Dropbox y Skype.

Según los investigadores, no parece probable que Nighthunter se dirigiera a organizaciones o industrias específicas, ya que varios mercados verticales se han visto afectados, incluyendo organizaciones energéticas, financieras, educativas, e incluso instituciones benéficas. Se desconoce cual es la intención de la recopilación de datos, pero los atacantes tienen muchas opciones para aprovechar las credenciales y su potencial para el análisis y la correlación de los datos robados para montar ataques dirigidos.

Fuente: http://www.csirtcv.gva.es/

Infografía: Seis consejos de seguridad para smartphones

Fuente: http://www.informationweek.com.mx

En USA, Millones de Smartphones vulnerables por Hotspots fraudulentos

El proveedor de servicios móviles estadounidense AT&T, ha puesto a disposición de sus clientes de iOS y Android una lista de redes inalámbricas de confianza. De esta manera, los usuarios se conectan automáticamente a una variedad de puntos de acceso WiFi gestionados por AT&T. Por su parte, Comcast Corporation, una de las compañías proveedoras de servicios por cable más grandes de Estados Unidos, conocida por la marca XFINITY, también está trabajando en una lista de puntos de acceso inalámbricos para sus clientes. El problema está en que, una vez conectado a uno de estos puntos de acceso, parece que el dispositivo puede conectarse automáticamente a cualquier red inalámbrica que tenga el mismo nombre y SSID.
Por supuesto, conectarse a estas redes tiene sus ventajas, si asumimos que son seguras. Sin embargo, ahí está uno de los problemas: no se sabe hasta qué punto son seguras. Podrían ser muy seguras o podrían tener fugas. Sencillamente no puede saberse. Incluso si los hotspots de XFINITY y AT&T son seguros, tú realmente no puedes saber si una red está efectivamente controlada por la entidad que dice que la gestiona. Las conexiones Wi-Fi se usan cada día más y esto llama la atención de los hackers que, aprovechando la situación, crean puntos de acceso WiFi falsos con el fin de monitorizar las comunicaciones en Internet a través de ataques man-in-the-middle, robando credenciales de acceso, infectando a los usuarios con malware y realizando otras acciones maliciosas.
Según un informe elaborado por Sean Gallagher, de Ars Technica, los teléfonos móviles que operan en la red de AT&T, están configurados para conectarse automáticamente a cualquier red titulada “attwifi”. Por otra parte, como señalan informes recientes, el servicio de Internet XFINITY de Comcast, está a punto de lanzar su red llamada “XFINITY WiFi”. El servicio se basa en los módems y routers de sus usuarios. Una parte del router y módem generará un servicio Internet para tu hogar y tu red privada, mientras que la otra parte actuará como punto de acceso público a disposición de cualquier persona con un nombre de usuario y contraseña de Comcast XFINITY.

Gallagher configuró su portátil personal como punto de acceso inalámbrico con el nombre “attwifi”. Después, quitó todas las configuraciones de redes preferidas de su dispositivo móvil y encendió su red inalámbrica. Casi inmediatamente se conectó a la red fraudulenta que acababa de crear. Después se desconectó del hotspot. En cuestión de segundos, estaba conectado automáticamente a una red XFINITY con el nombre “wifi Xfinity” que estaba transmitiendo datos desde el módem y el router de un vecino.

La razón de que sucediera eso, explica Gallagher, es que había accedido recientemente a otra red inalámbrica ‘XFINITY WiFi’ mientras esperaba a una cita a principios de semana. Cada vez que un usuario se conecta, tiene que volver a registrarse con un nombre de usuario y contraseña XFINITY. Sin embargo, si te has conectado ese mismo día, no te lo pedirá de nuevo. Esto supone unos cuantos problemas. En primer lugar, los usuarios de AT&T con la configuración por defecto, o los que se han conectado previamente a una red inalámbrica con el SSID “attwifi”, se conectan automáticamente a cualquier red con ese nombre, tanto si la conexión es peligrosa, como si es de propiedad legítima de AT&T. En segundo lugar, un delincuente podría crear una web inalámbrica XFINITY WiFi falsa y mostrarle a los usuarios una página de inicio de sesión falsa cuando traten de conectarse, dándole al atacante la posibilidad de robar las credenciales de inicio de sesión de XFINITY. Esto, a su vez, podría dar al atacante la oportunidad de acceder a las cuentas web de XFINITY y a los pagos y otra información sensible.

Con el fin de evitar que estas conexiones automáticas se produzcan, los usuarios de iOS deben hacer que sus dispositivos les pidan permiso antes de conectarse a una red inalámbrica. Los usuarios pueden activar la función “Preguntar al conectar” entrando en ajustes y accediendo a la página de opciones “Wi-Fi”. Gallagher explica que a los usuarios de Android se les ha dado la posibilidad de desactivar la conexión automática hace poco, con una función reciente de AT&T. Así, los usuarios de AT&T para Android deben asegurarse de haber instalado la última actualización.

Como siempre, es aconsejable evitar las redes WiFi públicas en general y tener instalado unantivirus fuerte para protegerse en caso de que algo vaya mal.

Fuente: http://blog.kaspersky.es

Batalla por la privacidad

Por María Gabriela Ensinck  | Para LA NACIÓN

Batalla por la privacidad

En Trascendencia, identidad virtual, su más reciente película, Johnny Deep interpreta a un especialista en inteligencia artificial que hace un backup de su mente en una computadora..., que tras su muerte cobrará existencia autónoma y ubicua.
Sin entrar en la ciencia ficción, cada día, nuestros pensamientos, preferencias y emociones se ven reflejados en miles de posteos, fotos tageadas, tuits, likes, correos electrónicos y búsquedas online. Muchas veces no somos nosotros, sino nuestros amigos, contactos o seguidores y sus amigos, contactos y seguidores quienes suben y replican toda esa información, que circula fuera de nuestro control en la nube.
El sueño de una Internet de las cosas, en la que el televisor, la heladera y hasta la ropa que usamos estén interconectados y nos solucionen temas domésticos, como qué cocinar, o nos recomienden ofertas para comprar online, se está volviendo realidad y pesadilla.
"Hoy somos 6500 millones de habitantes, con 6500 millones de equipos conectados. En 2020 seremos 8000 millones de personas con 150 mil millones de cosas conectadas, y habrá 57 bytes de información por cada grano de arena en el mundo", profetiza Jim Reavis, especialista en Seguridad y Privacidad online y cofundador de la ONG Alianza para la Seguridad en la Nube (CSA, por sus siglas en inglés).
Con una Web cada vez más móvil y ubicua, mantener la privacidad de los datos personales se ha vuelto una utopía. Y la sensación de estar siendo espiado se convirtió en certeza, sobre todo después de que el ex técnico de la Agencia de Seguridad Nacional estadounidense (NSA) Edward Snowden revelara, en junio de 2013, cómo el gobierno de su país sigue el rastro de mandatarios, empresas e individuos a través de la Web.

El costo de la privacidad

Acceder a información y los servicios en Internet parece gratis, pero no lo es. A cambio de este beneficio, los usuarios entregan gran cantidad de información sobre sus necesidades, hábitos e intereses, lo que alimenta un bombardeo publicitario segmentado con cada búsqueda o mensaje online.
Hasta el momento, el modelo de negocios de Internet ha funcionado de esta manera, pero "en el futuro es probable que convivan varios esquemas, y muchos usuarios preferirán pagar para navegar en la Web a cambio de que sus datos no sean recolectados", dice Brendon Lynch, jefe oficial de privacidad de Microsoft.
Los consumidores están cada vez más preocupados por su privacidad online, según surge del informe Privacy Index, elaborado por la compañía tecnológica EMC, para el que encuestó a 15.000 usuarios de Internet en 15 países. Según este estudio, sólo un 27% de las personas está dispuesto a ceder cierto grado de privacidad a cambio de "servicios más convenientes y personalizados". Sin embargo, este porcentaje varía según el país. Mientras un 61% de los encuestados en la India dijo abiertamente que estaría dispuesto a ceder privacidad a cambio de mayor conveniencia, sólo un 36% de los alemanes opinó lo mismo. En México y Brasil (el estudio no incluye a la Argentina), ese porcentaje se acerca al 50 por ciento.
Pero a pesar de su preocupación por la privacidad, muy pocos usuarios actúan realmente en consecuencia. El 62% de los encuestados no cambia regularmente sus contraseñas, el 33% no personaliza las opciones de privacidad en las redes sociales y el 39% no usa password para bloquear sus equipos móviles. No obstante, la mayoría ha tenido malas experiencias: un 25% dice haber sufrido el hackeo de su cuenta de correo electrónico, el 18% perdió o le fue robado su teléfono móvil, y al 17% le hackearon su cuenta en las redes sociales.
Y aquí se da otra paradoja. Más de la mitad de los usuarios (60%) considera que el gobierno y las compañías proveedoras de Internet son las principales responsables de velar por la privacidad de los datos. Sin embargo, el nivel de confianza en la capacidad y ética de estas organizaciones es del 58 y 49 por ciento.

El encanto de lo efímero

Las redes sociales fugaces como Snapchat o el aplicativo Slingshot de Facebook, que permiten enviar mensajes e imágenes con fecha de caducidad, o que se autodestruyen después de ser vistos, tienen cada vez más adeptos. En el primer caso se trata de una red social para compartir imágenes y videos, que desaparecen luego de ser vistos. En el aplicativo de Facebook, el contenido también se autodestruye, pero para poder verlo el usuario tiene que mandarle una foto o un video a su interlocutor.
También la aplicación de mensajería instantánea WhatsApp tiene su competidor más discreto. Se trata de HushHushApp, un aplicativo para chatear sin revelar el número de teléfono o correo electrónico. Todos los mensajes y archivos enviados están cifrados y se puede definir contacto a contacto quién puede ver si estamos o no conectados, o si hemos leído o no el mensaje.
Al contrario de lo que suele pensarse, los más jóvenes son quienes más se ocupan de su privacidad online. Una encuesta del Instituto de Internet de la Universidad de Oxford entre 2000 usuarios británicos reveló que el promedio de edad de quienes nunca habían comprobado su configuración de privacidad en las redes sociales es bastante alto: 43 años. Por el contrario, la edad promedio de quienes sí lo hacían es de 26. En el extremo están los adolescentes: casi el 95% de los encuestados de 14 a 17 revisan lo que comparten con su vida social y con quién, y ajustan su configuración de privacidad según la ocasión.

Reputación online

"Información privada no es lo mismo que información secreta. Y de hecho las personas quieren compartir información, pero en un entorno controlado -destaca Lynch-. Cada persona tiene derecho a elegir con quién comparte qué información."


Un concepto nuevo, el de la reputación online, está cobrando cada vez más importancia para las personas. "Cada uno de nosotros crea su imagen digital, a través de opiniones en blogs, foros, tuits, fotos, videos y links que recomendamos. Otras personas pueden aportar sus comentarios, tagearnos en imágenes, y así contribuyen a moldear positiva o negativamente esta imagen", apunta Jacqueline Beauchere, responsable de Seguridad Online en Microsoft y vicepresidenta de la Alianza Nacional para la Ciberseguridad (NCSA).
"Periódicamente debemos revisar la configuración de seguridad y privacidad en nuestras redes sociales, y determinar quién puede ver nuestra información y agregar comentarios", recomienda la especialista. Es conveniente separar el perfil profesional del personal, y para esto hay redes sociales diferentes: Facebook y Flickr son más apropiadas para las cuestiones personales, y Linkedin para cuestiones profesionales y de negocios.
La imagen online es cada vez más importante para el desarrollo de una carrera. Según una investigación de Microsoft, el 79% de los empleadores en los Estados Unidos chequea información de los candidatos en Internet y las redes sociales, y no se limita a las puramente profesionales. "Muchos reclutadores consideran este tipo de información como muy relevante, y 70% ha rechazado candidatos en base a lo que encontraron online", destaca Beauchere.

El derecho a olvidar

El 12 de mayo, la Corte Suprema de Justicia Europea dictó un fallo que obliga a Google a facilitar un formulario para que ciudadanos pidan la remoción de contenidos online que los perjudican. El caso que originó el dictamen fue presentado por el comerciante español Mario Costeja González, quien recurrió al máximo tribunal luego de fracasar en las instancias inferiores con su reclamo: el buscador seguía indexando un viejo anuncio sobre una subasta de bienes que le fueron embargados por una deuda con la Seguridad Social varios años después de resuelta la cuestión.
La Corte con sede en Luxemburgo dictaminó que "si a raíz de la solicitud de la persona afectada se comprueba que la inclusión de esos enlaces es incompatible con la directiva (de protección de datos personales), la información como los enlaces que llevan a ella deben eliminarse".
El fallo encendió la controversia entre los defensores de la libertad de expresión en primer término y los que priorizan el derecho a la privacidad, y es un importante antecedente para el caso Belén Rodríguez vs. Google y Yahoo que se debate en la Corte Suprema argentina (ver entrevista en esta edición).
Tanto Google, a través de sus voceros, como el propio Jimmy Wales, creador de Wikipedia, salieron a responder que la medida facilita la censura y afecta el derecho a informarse y la libertad de expresión.
Para Ramiro Álvarez Ugarte, abogado y director de la Asociación por los Derechos Civiles (ADC), "no se debería responsabilizar a los buscadores por los contenidos erróneos o difamatorios, ya que no los producen, sino que al indexarlos se convierten en intermediarios de la información en Internet".
Si bien el fallo a favor del comerciante español sólo tiene injerencia para los ciudadanos de la Unión Europea, "sería interesante que tenga un alcance global", especula desde la otra vereda Enrique Quagliano, docente, periodista e investigador en Nuevas Tecnologías, uno de los creadores de la campaña Por el derecho al olvido en Internet.
La iniciativa surgió a causa de una entrevista que el comunicador rosarino tuvo -junto a su colega porteño Alejandro Tortolini-, en 2008, con Viktor Mayer Schönberger, abogado especialista en privacidad y protección de datos de la Universidad de Harvard y profesor en el Internet Institute de Oxford. Schönberger es el impulsor de la idea de que "las computadoras sean programadas para poder olvidar, tal como lo hacemos los humanos. La estela de información que vamos dejando a medida que nos movemos por el mundo online, nuestra huella digital, puede hoy ser rastreada y el pasado siempre está allí para condenarnos", argumenta el especialista en su libro El arte de olvidar en la era de la computación ubicua. El caso que lo llevó a él a investigar y escribir esta obra fue el de una joven madre de dos hijos que estudiaba para ser maestra y no pudo recibirse porque una foto suya en una fiesta subida a las redes sociales les pareció inapropiada a quienes debían darle el título, aun cuando ella había quitado la foto de su perfil. Pero la imagen había sido almacenada, catalogada y replicada en otros sitios, porque Internet no olvida.

Pienso, luego hago clic

"El primer responsable de nuestra privacidad e imagen digital somos nosotros mismos", afirma Alberto Arébalos, director de Comunicaciones de Facebook para América latina y ex director de Asuntos Públicos en Google. "Hoy nuestra vida transcurre tanto online como offline. Descuidar nuestra imagen digital por falta de tiempo es como excusarse de una mala imagen real porque estamos demasiado apurados para peinarnos o bañarnos."
Una buena práctica para cuidar la imagen digital es tipear nuestro nombre en los principales buscadores y ver qué aparece. Si lo que encontramos no se ajusta a quienes somos o cómo queremos presentarnos, esto significa que debemos trabajar en ello. "La reputación se construye y para esto debemos ocuparnos de producir y actualizar nuestro perfil online. El mal contenido se combate con buen contenido", propone Arébalos.
Pero cuidar la privacidad y la reputación online requiere de método. De nada sirve que proveedores de Internet y compañías tecnológicas inviertan millones en seguridad y protección de datos si los usuarios no configuran bien su perfil ni utilizan un buen password.
"Hoy cada persona tiene 26 cuentas -entre correos electrónicos personales y laborales, redes sociales, perfiles de usuarios en instituciones bancarias, de salud, educativas y plataformas de e-commerce, entre otras- y usa seis passwords, la mayoría variantes de una misma palabra o secuencia de números, con el riesgo muy alto de ser víctimas del robo de información", destaca Dustin Ingalls, responsable de Seguridad del sistema operativo Windows 8.
Las políticas de confidencialidad están accesibles cada vez que nos suscribimos a un sitio online o una red social. Pero son tan largas y su lenguaje tan complicado que llevaría buena parte de nuestra vida leerlas. Por eso, la mayoría de los usuarios las acepta sin mirar. Más allá de las herramientas tecnológicas para preservar nuestra información e intimidad, la más importante es la más sencilla: pensar antes de hacer clic.

Ocho claves para ser un buen ciudadano en Facebook

1- Respetar las pautas de edad: esta red social es para mayores de 13 años
2- No aceptar solicitudes de amistad de desconocidos
3- Configurar el perfil de seguridad (www.facebook.com/settings/?tab=privacy). Hay tres opciones: amigos, contactos de amigos y público
4- Vista previa: esta herramienta muestra la información de nuestro perfil que ven quienes no son nuestros amigos en Facebook
5- Aplicaciones y sitios: esta sección controla qué información se comparte con las compañías que crean aplicaciones para Facebook, como juegos y trivias. También controla la información de nuestro perfil que otros sitios y motores de búsqueda pueden captar. Es recomendable eliminar o desactivar las aplicaciones que no se usan
6- Bloqueados: en esta sección de configuración de seguridad se pueden bloquear personas concretas para que no interactúen o vean información de nuestro perfil
7- Informar y denunciar contenidos y conductas abusivas o inapropiadas con la opción reportar abusos
8- Tener en cuenta que nada es realmente privado en las redes sociales
Fuente: Facebook Argentina

Internet en 2025

• 4700 millones de usuarios de la Red
• 75% en las economías emergentes
• 150 mil millones de cosas conectadas.Computadoras, heladeras, televisores, autos, ropa, casas. Todo va a estar conectado y controlado a través de Internet

Fuente: Cyberspace 2025, Microsoft Research

Cómo cultivar nuestra reputación online

• Revisar qué aparece en los principales buscadores (Google, Yahoo, Bing) cuando tipeamos nuestro nombre
• Separar el perfil personal del laboral o profesional (conviene utilizar redes sociales diferentes para cada uno)
• Publicar lo positivo: conectarse, pedir recomendaciones,
• Actualizar la información profesional o de carrera; tener un blog donde aportar contenido sobre nuestra especialidad o temas de interés
• Pensar antes de postear comentarios, fotos y contenidos
• No difamar ni ofender a otras personas. Tratar a los demás como queremos ser tratados

Fuente: Microsoft.com

Cuatro tendencias que definirán el cibercrimen hasta final de año :

En el análisis recogido en el documento se detectan cuatro tendencias principales que afectarán a la seguridad en los próximos meses, según el rastreo hecho por la RSA.

1) Por un lado están las amenazas dirigidas a dispositivos móviles, que cada vez se vuelven más sofisticadas y generalizadas. Las aplicaciones móviles piratas dirigidas a los usuarios de Android proliferan en las app stores y se extenderán como un virus a través de las plataformas sociales. Por otra parte, crece el peligro de los SMS rastreadores, capaces de robar las contraseñas de los usuarios para llevar a cabo transferencias fraudulentas.

2) Además, la popularidad que está teniendo Bitcoin convierte a la moneda en un objetivo importante.Los propietarios de bitcoins están expuestos a acciones de phishing y a otras modalidades de ataque de ingeniería social. La creciente adopción de monedas virtuales facilita a los ciberdelincuentes realizar transacciones de forma segura dentro de la propia comunidad.

3) El malware también aumenta su sofisticación y los ataques APT son cada vez más numerosos. Los ciberdelicuentes usan las redes P2P y las redes TOR para ampliar la vida de sus botnets. Los ataques de malware dirigidos hacia terminales puntos de venta ya están provocando un cambio hacia la adopción de tarjetas de pago EMV con microprocesador. Malwares cómo Zbot se utilizan cada vez más en las estrategias de fraude, tales como envenenamientos SEO.

4) También, la autentificación de usuario será redefinida por móvil. Con la expansión de los dispositivos móviles, las contraseñas más seguras dejan de ser cómodas para el usuario. Las nuevas soluciones de autenticación aprovecharán las características inteligentes de cada dispositivo y se basarán en el comportamiento y en datos biométricos.

Fuente: http://cso.computerworld.es/

Pautas sobre mejores prácticas para empresas:

01-Utilizar estrategias de defensa profunda 
Emplee activamente sistemas defensivos múltiples, superpuestos 
y de soporte mutuo para protegerse contra fallas de punto único 
en cualquier tecnología o método de protección específico. Esto 
debe incluir la implementación de cortafuegos actualizados con 
regularidad, así como antivirus de puertas de enlace, sistemas 
de detección o protección contra intrusiones (IPS), escaneos de 
vulnerabilidad de sitios web con protección contra malware y 
soluciones de seguridad de puertas de enlace web en toda la red.
02-Monitorear para detectar intentos de incursión 
en la red, vulnerabilidades y abuso de marca 
Reciba alertas sobre nuevas vulnerabilidades y amenazas en las 
plataformas de los diversos proveedores para tomar medidas de 
reparación proactivas. Detecte casos de abuso de marca mediante 
alertas de dominio e informes sobre sitios web ficticios.
03-Un antivirus en los extremos no alcanza 
En los extremos (endpoints), es importante tener instaladas las 
últimas versiones de software antivirus, pero esto por sí solo 
no brindará una protección completa. Se debe implementar 
y usar un producto integral para seguridad en extremos que 
tenga capas adicionales de protección, incluyendo: 
• Prevención contra intrusión en extremos que impida el 
aprovechamiento de vulnerabilidades sin parche, proteja contra 
ataques de ingeniería social y evite que el malware llegue a los 
extremos;
• Protección del explorador para evitar ataques complejos basados 
en la web;
• Soluciones de reputación basadas en archivos y en la web que 
proporcionen una calificación de riesgo y reputación de cualquier 
aplicación y sitio web para impedir la ejecución de malware 
polimórfico y de mutación veloz; 
• Funciones de prevención conductual que observen la conducta de 
las aplicaciones e impidan la ejecución de malware; 
• Configuración del control de las aplicaciones que impida que 
las aplicaciones y los complementos (plug-ins) del explorador 
descarguen contenido malicioso no autorizado;
• Configuración del control de los dispositivos que impida y limite los 
tipos de dispositivos USB que se utilizarán.
04-Proteger sus sitios web contra “Man In The 
Middle” (ataques de intermediarios) 
e infecciones de malware
Evite comprometer su relación de confianza con sus 
clientes tomando las siguientes medidas: 
• Configurar “SSL Always On” (protección SSL en su sitio web desde el 
inicio hasta el cierre de sesión); 
• Escanear su sitio web en forma diaria para detectar malware; 
• Establecer el marcador seguro para todas las cookies de la sesión;
• Evaluar en forma regular su sitio web para detectar vulnerabilidades 
(en 2013, uno de cada 8 sitios web escaneados tenía 
vulnerabilidades); 
• Optar por Certificados SSL con Validación Extendida, que muestra a 
los usuarios del sitio web la barra de direcciones del explorador en 
verde;
• Mostrar marcas de confianza reconocidas en ubicaciones de 
gran visibilidad en su sitio web para demostrar a sus clientes su 
compromiso con la seguridad.
05-Proteger sus claves privadas 
Asegúrese de obtener sus certificados digitales de una autoridad 
reconocida y confiable que demuestre excelentes prácticas 
de seguridad. Se recomienda a las organizaciones: 
• Usar infraestructuras independientes de Firma de Prueba y Firma 
de Versión; 
• Proteger las claves en dispositivos de hardware seguros, 
criptográficos y a prueba de alteraciones; 
• Implementar seguridad física para proteger sus activos contra 
robos.
06-Usar encriptación para proteger datos sensibles 
Se recomienda implementar y hacer cumplir una política de seguridad 
que exija que todo dato sensible sea encriptado. El acceso a la 
información sensible debe ser restringido. Esto debe incluir una 
solución de Protección Contra Pérdida de Datos (DLP). Asegúrese de 
que los datos de los clientes también estén encriptados. Esto sirve 
no sólo para impedir violaciones de datos sino que además puede 
ayudar a mitigar los daños provocados por las posibles fugas de datos 
desde dentro de una organización. Use la Prevención Contra Pérdida 
de Datos para ayudar a prevenir las violaciones de datos: Implemente 
una solución de DLP capaz de descubrir dónde residen los datos 
sensibles, monitorear su uso y protegerlos contra pérdidas. Debe 
implementarse la prevención contra pérdida de datos para monitorear 
el flujo de información a medida que va saliendo de la organización 
hacia la red, y el tráfico hacia dispositivos externos o sitios web.
• La solución de DLP debe configurarse para identificar y bloquear 
acciones sospechosas de copiado o descarga de datos sensibles;
• También debe utilizarse para identificar activos de datos 
confidenciales o sensibles en sistemas de archivos de red y 
computadoras. 
07-Asegurarse de que todos los dispositivos 
autorizados a acceder a las redes de la empresa 
tengan protecciones de seguridad adecuadas 
Si se aplica una política de ‘Traiga su propio dispositivo’ 
(BYOD), asegúrese de que haya un perfil de seguridad mínimo 
para todo dispositivo autorizado a acceder a la red. 
08-Implementar una política de medios extraíbles 
Where practical, restrict unauthorized devices such as external 
portable hard-drives and other removable media. Such devices can 
both introduce malware and facilitate intellectual property breaches, 
whether intentional or unintentional. If external media devices are 
permitted, automatically scan them for viruses upon connection to 
the network and use a DLP solution to monitor and restrict copying 
confidential data to unencrypted external storage devices.
09-Tomar medidas enérgicas de actualización y 
parcheo 
Haga actualizaciones, parcheos y migraciones desde exploradores, 
aplicaciones y complementos de exploradores obsoletos e inseguros. 
Siempre tenga las últimas versiones disponibles de las definiciones 
de prevención de virus e intrusiones utilizando los mecanismos de 
actualización automática de los proveedores. La mayoría de los 
proveedores de software trabajan con esmero para parchear las 
vulnerabilidades de software explotadas; sin embargo, los parches 
sólo pueden ser eficaces si se adoptan en el campo. Siempre que sea 
posible, conviene automatizar las implementaciones de parches para 
mantener la protección contra vulnerabilidades en toda la organización.
10-Aplicar una política de contraseñas eficaz 
Asegúrese de que las contraseñas sean sólidas, con un mínimo de 
8-10 caracteres de largo y con una combinación de letras y números. 
Recomiende a los usuarios evitar reutilizar las mismas contraseñas 
en distintos sitios web y compartir sus contraseñas con otras 
personas, práctica que debería estar prohibida. Las contraseñas 
se deben cambiar con regularidad, al menos cada 90 días.
11-Hacer copias de seguridad regularmente
Es recomendable crear y mantener copias de seguridad (backups) de 
los sistemas críticos y de los extremos con regularidad. Si ocurriera una 
emergencia de seguridad o de datos, se debe poder acceder fácilmente 
a las copias de seguridad para minimizar el tiempo de inactividad 
de los servicios y garantizar la productividad de los empleados.
12-Restringir los archivos adjuntos de correo 
electrónico 
Configure los servidores de correo electrónico de manera tal 
de bloquear o eliminar mensajes de correo electrónico que 
contengan archivos adjuntos que suelen usarse para difundir 
virus, por ejemplo archivos .VBS, .BAT, .EXE, .PIF y .SCR. Las 
empresas deben examinar las políticas relativas a los archivos 
.PDF autorizados a incluirse como datos adjuntos de correo 
electrónico. Asegúrese de que los servidores de correo electrónico 
estén bien protegidos por software de seguridad, y de que los 
mensajes de correo electrónico se escaneen de forma exhaustiva.
13-Asegurarse de contar con procedimientos de 
respuesta a infecciones e incidentes 
• Tenga siempre a mano los datos de contacto de su proveedor de 
soluciones de seguridad, sepa a quién va a llamar y qué pasos va a 
seguir si tiene uno o más sistemas infectados;
• Asegúrese de contar con una solución de copias de seguridad y 
restauración para recuperar datos perdidos o comprometidos si 
ocurriera un ataque exitoso o una pérdida de datos grave;
• Aproveche las funciones de detección post infección de los 
cortafuegos y soluciones de seguridad de puertas de enlace web y 
extremos para identificar sistemas infectados;
• Aísle las computadoras infectadas para prevenir el riesgo de 
infectar otros equipos de la organización, y recupere los datos 
usando medios confiables de copias de seguridad;
• Si los servicios de red son víctima de un código malicioso o alguna 
otra amenaza, hay que deshabilitar o bloquear el acceso a esos 
servicios hasta aplicar un parche.
14-Educar a los usuarios acerca de los protocolos 
básicos de seguridad
• No abra datos adjuntos si no esperaba recibirlos o si no provienen 
de una fuente conocida y confiable, y no ejecute software 
descargado de Internet (si se permiten dichas acciones), salvo que 
la descarga haya sido escaneada para detectar virus y malware;
• Se debe tener cuidado al hacer clic en URL en mensajes de 
correo electrónico o programas de redes sociales, incluso cuando 
provienen de fuentes confiables y amigos;
• Implemente soluciones con complementos de reputación de URL 
en exploradores web que muestren la reputación de los sitios web 
desde las búsquedas;
• Descargue únicamente software (si está permitido) compartido por 
la empresa, o directamente del sitio web del proveedor;
• Si los usuarios de Windows ven una advertencia que indica que 
están “infectados” luego de hacer clic en una URL o de usar un 
motor de búsqueda (infecciones de antivirus falsos), se debe 
enseñar a los usuarios a cerrar o salir del explorador pulsando 
Alt-F4 o CTRL+W o utilizando el administrador de tareas.

Fuente: http://www.symantec.com/