Author: admin

No es sorpresa que en los últimos años la popularidad de sitios como LinkedIn creció considerablemente, ya que es una red que permite contactar y comunicarte con distintas personas relacionadas a tu empresa o área, o simplemente la utilizan para encontrar trabajos o reclutar gente.

 

Sin embargo, como cualquier red social, este tipo de plataformas no pueden evitar en su totalidad la creación de cuentas falsas que busquen aprovecharse de una persona que está buscando trabajo, o evitar el robo de información y extorsión a empresa reales, mediante el uso de “acuerdos” en los que sugieren empezar una relación de negocios.

 

Pero, ¿qué métodos utilizan los atacantes para recolectar información?

 

Scraping

Scraping es una técnica que lamentablemente no puede ser controlada o mitigada al 100% por tu empresa, ya que recopila información pública que se encuentre en internet relacionada a tu empresa o información de contacto. Scraping se entiende como “extracción”, y se refiere a la extracción de datos de una fuente pública, en este caso la fuente ha sido Linkedln.

 

De acuerdo con un estudio realizado por la AARP en conjunto con Javelin Strategy & Research, el año pasado (2020), se recopilaron alrededor de 500 millones de cuentas en LinkedIn, incluyendo nombres, correos electrónicos, cargos, empresas y relaciones públicas con otras compañías, esto significa un incremento del 40% en el número de casos de intento de fraude o fraude cometido por supuestas “empresas”. 

Robo de identidad o suplantación

Algo muy utilizado por los estafadores sigue siendo la suplantación de identidades, incluso de empresas, utilizando su nombre e incluso los logotipos de las mismas, a veces sólo utilizan el logotipo con un nombre diferente.

 

Tan solo el año pasado se recibieron 1.5 millones de quejas sobre el robo de identidad, cifra que es mucho más que el doble que se presentaron en 2019, y las estimaciones para el año en curso es que sean triplicadas , ya que tan sólo en lo que llevamos de año se han presentado 3 millones de quejas frente a la COFECE (Comisión Federal de Competencia de Económica).

  

¿Tú empresa es víctima de esto?

Seguramente podrías pensar que tu empresa está a salvo de ello, sobre todo si no has recibido quejas o algún tipo de ataque utilizando estos medios, sin embargo, es muy posible que sea todo lo contrario a lo que piensas y que estén hablando de ti o haciéndose pasar por ti o tu empresa. Y no lo decimos nosotros, lo dicen las estadísticas, 4 de cada 5 empresas está sufriendo suplantación de identidad en cualquiera de los niveles administrativos o personales.

Y es que... ¿eres consciente y conoces a todos los que te contactan?, ¿sabes con certeza que no eres víctima de ello, y que tu empresa no está siendo suplantada en alguna red social, sitio web o incluso en la deep web?

 

Entonces, ¿no estamos seguros?

La realidad es que nunca se está al 100% seguro, pero se pueden implementar normativas, políticas y controles que ayuden a disminuir los riesgos que se puedan presentar, pues sabemos que no está en tu plan, ni en el de ninguna otra empresa el sufrir cualquier tipo de fraude o estafa mediante una red social como lo puede ser LinkedIn.

  

¿Qué tipos de fraudes puedes sufrir?

Estrictamente hablando, no existen tipos específicos de estafa o fraude que pudieran sucederse, pero en este caso creemos importante proporcionarte casos reales de intentos de fraude que nos hemos dado a la tarea de recolectar mediante diversas técnicas de investigación.

 

Día con día se envían mensajes como el siguiente:

 

Recientemente Josehp Rodriguez, experto consultor en seguridad, hizo público que logró hackear algunos cajeros automáticos únicamente utilizando su celular y una app que él mismo desarrolló. Revela que logró obtener acceso a los datos almacenados en el cajero, bloquear o inhabilitar operaciones e incluso retirar dinero del mismo cajero automático.

 

Es por ello que nos dimos a la tarea de estudiar, analizar y compartir el funcionamiento a detalle de este tipo de ataque, a fin de prevenir y concientizar a los bancos de este tipo de ataques.

 

¿Qué utilizó para realizar el hackeo?

Como bien se mencionó anteriormente, únicamente necesitó de un dispositivo móvil y de una aplicación desarrollada por el mismo. Sin embargo, esto no fue lo único, ya que el dispositivo móvil tenía la tecnología NFC.

 

NFC significa Near Field Communication, o Comunicación de Campo Cercano en español, la cual es utilizada para transmitir datos de forma inalámbrica a una distancia muy corta que generalmente es utilizada para realizar pagos, transferencias de archivos o conectarte a una red inalámbrica. Al ser una tecnología tan versátil, no es imposible imaginarse que puede ser utilizada para muchas más aplicaciones.

 

En este caso, fue utilizada para enviar los datos de la app maliciosa hacia el cajero automático de forma inalámbrica, ya que como sabemos, el cajero automático se encuentra conectado a la red interna del banco, por lo tanto, y por cuestiones de operatividad, también se necesita de los adaptadores inalámbricos para cualquier fallo físico que pueda presentar, entonces, nombraremos a estos adaptadores como el vector de ataque principal del hacker, ya que es en donde se establece un canal de comunicación entre ambas partes.

 

¿Cuál es el contenido de la app utilizada?

Ahora bien, no únicamente se necesita de un canal de comunicación, si no se tiene acceso a la información o no se pueden enviar los datos correctos, no se podrá obtener nada más que una conexión vacía.

 

Es aquí donde entra la app desarrollada por el experto, y de la que se explica paso a paso el ataque y el funcionamiento de la app:

 

1.- Como primer paso, se necesita obtener el control del cajero automático, o bien, por lo menos poder ejecutar código dentro del mismo, es decir, nuestra app. Para ello se utiliza el teléfono móvil con NFC, con el que se envían miles y miles de paquetes hacia el cajero automático.

 

2.- El ATM en su procesador central tiene una memoria que utiliza una estructura de datos llamada “cola” para almacenar todas las peticiones o paquetes de información que recibe y así poder atenderlas en el orden correcto. Sin embargo, dicha memoria no es infinita, por lo que llega un punto en el que la memoria que guarda las peticiones se desborda y el cajero pierde funcionalidad, debido a que una parte central se encuentra inoperativa.

 

3.- Una vez que se hubo desbordado la memoria, nos deja el camino libre para ejecutar nuestro código malicioso, ya que hemos corrompido el funcionamiento normal y ahora nos permite ejecutar el código aprovechándose del estado de la máquina, ya que seguramente está tratando de ejecutar un código de emergencia para restablecer la memoria.

 

4.- Al tratar de ejecutar dicho código de emergencia tenemos dos opciones: o bien ejecutamos nuestra app junto con el código de emergencia, o en nuestra propia app restablecemos la memoria y después ejecutamos el código malicioso.

5.- Una vez que el código puede ser ejecutado, necesitamos obtener los privilegios necesarios para realizar las operaciones que queramos. Para ello buscamos una elevación de privilegios en el propio ATM.

 

6.- Generalmente los sistemas operativos de los cajeros automáticos son Windows o similares como UNIX, Linux y algunos basados en los anteriores. Por lo que no es muy diferente de tratar de escalar privilegios en una máquina personal. Es por ello que pueden presentar vulnerabilidades ya conocidas debido a que es un software ya viejo o que no es actualizado correctamente.

 

7.- Finalmente, ya con los permisos necesarios, podemos extraer información o realizar operaciones como transferencias electrónicas o retiro de efectivo.

 

Como se puede entender, es bastante “sencillo” vulnerar un ATM, ya que como se reitera, son máquinas con software obsoleto o que no es actualizado constantemente, además de que no se cuentan con las suficientes medidas necesarias para prevenir y actuar de forma correcta ante este tipo de ataques que van dirigidos directamente hacia la memoria u otros periféricos. 

 

Seguramente si usted piensa en un “hacker” piensa en alguien que es malo, como un delincuente. Y puede que tenga razón, sin embargo, existen los “hackers buenos”, o en este caso el hacking ético.

 

El hacking es una disciplina que se encarga de entender cómo funcionan las cosas, es decir, hasta el más mínimo detalle, esto para poder manipular, modificar o crear nuevas cosas a partir de lo estudiado para obtener una meta o lograr un objetivo. En este caso el hacking es utilizado por los criminales para obtener información sensible o para obtener beneficios económicos, o simplemente por intereses propios.

 

Seguramente usted piensa que la única manera de detener los ataques hacia su empresa, es mediante la implementación de políticas y controles, así como de diferentes tecnologías que le hagan pensar que se encuentra protegido. Sin embargo, esto no es del todo cierto, ya que, con el paso de los años, los expertos han coincidido en una cosa, que no es suficiente con tener buenas políticas y tecnologías si no se es consciente de los verdaderos peligros que suponen un ataque real y, sobre todo, planificado hacia su compañía.

 

Porque así es, los ataques actuales son mucho más especializados, ya que consisten en una serie de técnicas que le permiten a un atacante descubrir y planificar de mayor medida un ataque hacia una empresa, aprovechándose de su gente, su infraestructura y sus tecnologías.

 

Es aquí donde entra el hacking ético, que consiste en simular un ataque real hacia una empresa, llevado a cabo por uno o varios expertos en ciberseguridad, con el único propósito de revelar aquellas vulnerabilidades o puntos más débiles dentro de una organización, para que éstos sean del conocimiento de la empresa y que puedan ser solucionados lo más pronto posible y de la mejor manera.

 

Puede que este trabajo sea realizado con el consentimiento y conocimiento de la empresa, sin embargo, el hacking ético también incluye a esas personas que vulneran un sistema sin que la empresa lo sepa, y puede que se vea como un ataque real para ellos, pero este hackeo ético no inflige ningún daño a la empresa, ni divulga la información que se pueda obtener, únicamente notifica a la empresa del problema y les expone las causas y posibles soluciones.

 

Es por ello que el hacking ético abarca todos aquellos escenarios en los que una persona o grupos de personas simulan ser atacantes reales, pero utilizando técnicas, métodos y metodologías que los atacantes utilizan, para obtener resultados reales y que tengan impacto económico o social en una empresa, a fin de tener conciencia de aquellas vulnerabilidades y poder remediarlas o eliminarlas.

 

¿Por qué es necesario hoy más que nunca contar con este tipo de servicios?

Como ya se mencionó, aporta un panorama más real a su empresa, haciéndolo consciente de los riesgos, sobre todo económicos, que corre. Además de que incrementa el nivel de confianza en el sector y con los clientes, al realizar este tipo de servicios de manera continua, ya que, combinado con otros servicios, le permite saber de manera eficiente cuál es su nivel de madurez en temas de seguridad informática.

 

Además, de acuerdo con estudios realizados por consultoras internacionales, el aumento de ataques informáticos en el último año derivado de la pandemia, ha sido de un 51% comparado con el 2019. Todo esto debido a la exigencia que nos “obliga” a trabajar de manera remota, y en el que todas las operaciones se realizan de manera digital y mediante el uso de Internet. Es por ello que los ataques informáticos han aumentado, pero, para algunas empresas, su seguridad no lo ha hecho. Entonces tenemos una grave disparidad, en la que los ataques son mayores, pero los esfuerzos y la capacidad para prevenir o para responder a aquellos ataques no lo ha hecho.

 

Así que es sumamente importante tener en cuenta, que el hacking ético es muy importante, no sólo para conocer las vulnerabilidades de nuestra empresa, sino también para poder crecer y evolucionar día a día, algo que actualmente, es más indispensable que nunca.

 

En ID SEC Group contamos con diferentes servicios orientados para ayudar a las empresas a identificar y probar vulnerabilidades informáticas mediante los servicios de análisis de vulnerabilidades, análisis de código y análisis de configuración en hardware de propósito especifico (por ejemplo firewall); pero también dichas vulnerabilidades las probamos para saber si alguna de ellas realmente tiene un vector real que pueda ser aprovechado por un atacante mediante nuestro servicio de pruebas de penetración y pruebas de código (SAST, DAST, IAST y RASP).

 

Las empresas líderes en su respectivo sector no lo son únicamente por sus avances tecnológicos, ingenieros o científicos, sino porque comprenden e implementan las medidas, controles y políticas de seguridad de la información necesarias para no sólo proteger su propia información confidencial, sino también la de sus clientes y todas las terceras partes involucradas en los procesos de desarrollo, fabricación y comercialización.

 

Es por ello que, sobre todo en momentos como este en el que casi toda la información se encuentra digitalizada, es necesario contar con las certificaciones adecuadas para generar confianza y seguridad en todos los niveles.

 

¿Qué es TISAX?

Trusted Information Security Assessment Exchange (TISAX) es una plataforma de carácter internacional, que al mismo tiempo se comporta como una certificación, dirigida a aquellas empresas u organizaciones dedicadas a la industria automotriz, o actividades afines a ésta, que también incluye a proveedores, empresas de apoyo, etc. Que manejen información digital e importante acerca de los procesos, prototipos, proyectos, servicios, insumos y demás información importante tanto para la empresa como para los involucrados.

   

TISAX se encuentra regulada por la ENX (Red Europea para el intercambio de información), es por ello que es de carácter internacional y de suma importancia, ya que al estar certificado en TISAX, le permite entrar a una plataforma en la que se encuentra toda la comunidad(empresas, proveedores, etc.) certificada, que, además de hacer pública su certificación con la comunidad, también le permite establecer relaciones de confianza o que otras organizaciones tengan contacto con usted, en busca de nuevos negocios y/o proyectos.

 

¿Qué protege TISAX?

Tal como se mencionó anteriormente, TISAX está orientada al aseguramiento de la información digital, pero no únicamente información estática, es decir, información que se encuentra ya almacenada, sino que también está orientada a el intercambio seguro de información entre clientes, proveedores y la empresa responsable de los servicios o productos. Esto quiere decir que el objetivo de TISAX, es el de implementar los controles de seguridad necesarios para garantizar que toda la información que se comparte está protegida y que, por lo tanto, ni el producto o servicio, así como las partes involucradas, corren algún riesgo de daño, robo o pérdida.

 

Todo gracias a que TISAX está basada en los controles de seguridad de la norma ISO 27001 y en los controles de seguridad de la VDA-ISA (Asociación de la industria de la automoción- Evaluación de la seguridad de la información), es por ello que se puede garantizar la protección de la información al establecer las políticas y controles sugeridas por TISAX, ya que combina lo mejor de dos normas.

 

Sin embargo, es importante mencionar que TISAX se diferencia de la norma ISO 27001 en:

a) TISAX se enfoca en los procesos de la seguridad de la información, sobre todo aquellos apegados a la industria automotriz.

b) Su enfoque es hacia la madurez de la compañía.

c) El análisis de riesgo está basado en las políticas de VDA-ISA.

d) No requiere auditorías periódicas.

e) El alcance siempre es fijo.

f) TISAX emite la etiqueta y el registro que permite el intercambio, es decir, es dinámico.

 

¿Por qué certificarse en TISAX?

TISAX le permite una gestión de riesgos de la información de alto nivel, ya que está orientado a la protección tanto estática como dinámica de la misma. Es por ello que TISAX le permite implementar a su empresa:

64 controles para la Seguridad de la información.

4 controles sobre la relación con terceras partes.

22 controles para la protección de prototipos.

4 controles sobre RGPD Protección de datos de carácter personal.

 

Lo que le otorga numerosos beneficios, entre los que se encuentran:

 a) Mantener un estándar en cuestiones de seguridad para la industria automotriz a nivel internacional.

 b) El tener conocimiento y certeza de las evaluaciones permite reducir costes en tiempo y precio de los procesos y operaciones.

 c) Formar una comunidad que permita mejorar las prácticas y compartir experiencia.

 d) Permitir un libre albedrío a la hora de proporcionar detalles.

 e) Incremente la credibilidad de tu empresa no únicamente con tus clientes sino con las empresas parte de TISAX y los proveedores.

 f) Estrategias fuertes para el manejo efectivo de riesgos.

 g) Que la prueba de certificación sea cada tres años ahorra tiempo y dinero, sobre todo en auditorías innecesarias.

 

¿Cómo certificarse en TISAX?

El proceso de certificación es relativamente sencillo, únicamente se requiere de seguir los cuatro pasos:

1.- Se identifica el nivel de los activos y de la información que se maneja en la compañía, existen tres niveles de acuerdo al tipo de información, se identifica el alcance y se registra a la empresa en TISAX para poder indicar que quieres realizar la prueba para certificación.

2.- Se selecciona un proveedor, quienes son los que se encuentran registrados con TISAX para realizar la auditoría a tu empresa.

3.- Se realiza una evaluación a los procesos, información, etc., por parte del o los auditores a la empresa.

4.- Se publican los resultados en la plataforma y se da a conocer si fuiste certificado o no, además de la notificación y la etiqueta que certifica a tu empresa.

 

Nosotros en ID SEC GROUP podemos orientarte para tomar la certificación TISAX, realizando pruebas realistas para que conozcas el estado de tu empresa y si ya estás listo para certificarte. Además, de ayudarte a crear los documentos, políticas, cursos y lineamientos para logar el objetivo planteado por la organización.