Robo de Datos en Tarjetas de Debito

Autor: Luciano Salellas

Cada día son más las personas que son estafadas en cajeros automáticos y con el avance de la tecnología los métodos son más sofisticados. Existe desde la posibilidad de estar ante un cajero automático “ficticio” hasta la posibilidad de que se haya puesto una cámara oculta para grabar la operación.

Se estima que en Argentina el 60% de los fraudes con tarjetas se debe a la clonación de los plásticos y al uso no autorizado de las cuentas, un 33% está relacionado con el robo o la pérdida del plástico y un 7% a otros tipos de fraudes informáticos.

La ventaja de la tarjeta de débito respecto a la de crédito es que la primera solo permite extraer o gastar dinero mientras que haya saldo disponible en la cuenta y muchas tienen un límite diario.

COPIA DE DATOS

Se coloca un lector de tarjetas en el cajero que tiene una apariencia similar al que se usa para abrir la puerta.

El usuario utiliza su tarjeta para retirar dinero, consultar saldos, ver sus últimos movimientos, etc. Al pasar la tarjeta por este lector se copian los datos de la banda magnética. La clave de la tarjeta es obtenida a través de una cámara oculta que enfoca el tablero o touchscreen del cajero automático. La filmación es enviada en forma inalámbrica a los delincuentes quienes normalmente se encuentran en un radio no mayor de 100 metros con alguna computadora portátil que recibe estos datos.

Una vez obtenidos el número de tarjeta (copiado de la banda magnética) y la contraseña del usuario se pueden duplicar las tarjetas las cuales generalmente son usadas en forma inmediata antes de que el titular de la misma denuncie a su banco emisor el faltante de dinero.

REPLICA DE CAJEROS

El usuario al intentar realizar su transacción recibe un mensaje en pantalla de “operación cancelada”, extrae su tarjeta y se retira.

La víctima realmente ha ingresado sus datos en una réplica de cajero que ha sido utilizada sobre la real (touchscreen, teclados y lector de banda magnética). Luego los estafadores desmontan sus equipos obteniendo de esta manera los datos bancarios de la víctima.

“LAZO” o “LAZO LIBANES”

En este caso se introduce en la ranura del cajero un trozo de placa de rayos x en forma casi imperceptible provocando de esta forma que el cajero no reconozca a la tarjeta o la reconozca a medias.

Al encontrarse con que el cajero no devuelve el plástico, el estafador intenta ayudar a la víctima indicándole que ingrese nuevamente la contraseña. Como esta posibilidad tampoco provoca la expulsión del plástico, la víctima se retira y el estafador obtiene la tarjeta y su clave.

RECOMENDACIONES

  • Al crear su contraseña o clave no la vincule con datos personales (fecha de nacimiento, DNI, patente de su vehículo, número de teléfono, cumpleaños de hijos, conyuge o padres), etc. Memorice su clave y no la revele a persona alguna.
  • Al utilizar un cajero automático verifique que éste no presente imperfecciones en sus bordes (de la pantalla, del slot en que ingresa la tarjeta, del teclado, etc). Si observa una irregularidad de estas características, no utilice ese cajero en particular.
  • Siga las instrucciones que le brindan por pantalla.
  • No converse con extraños que estén cerca suyo en el cajero.
  • Guarde el recibo emitido ya que el mismo tiene información de su cuenta (y en muchos casos el número de cuenta bancaria completo) Cuando termine de extraer dinero, teniendo el plástico y el comprobante en su poder, verifique que la pantalla se encuentre emitiendo la misma información que usted vio antes de ingresar su tarjeta.
  • ADECUA (Asociación de Defensa de Consumidores y Usuarios de la Argentina) aconseja cambiar los códigos de las tarjetas cada tres meses.

Autor: Luciano Salellas
Auditor en Seguridad Informática
Miembro de GARP (Global Association of Risk Professionals)
Consultor en SR HADDEN SECURITY CONSULTING y RISK INFORMATION ADVISORS
MATR. APPEI 339

Fuente: Portal de seguridad

Asegurando un servidor Apache

Esta serie de artículos desarrollados por Sherekan (Huilén), tienen tips y consejos para securizar un servidor web Apache, protegiéndolo de los ataques más frecuentes. En el primer artículo se ve como verificar la integridad de la distribución descargada, los permisos de los ficheros, y algunas configuraciones básicas que ayudan a estar un poco más protegidos.

En el segundo se ve como asegurar las aplicaciones que hosteadas, mediante un firewall a nivel de aplicación, que va a proteger de las vulnerabilidades más conocidas: ModSecurity

Otra excelente opción para leer algo rápido sobre este tema es Asegurando un servidor Linux de Aarón Mizrachi y Securing Apache: Step-by-Step [EN].

De todos modos, Huilén promete seguir su serie muy pronto.

Cristian de la Redacción de Segu-Info

Recomendaciones para el buen uso de las redes sociales por parte de los chicos

Con frecuencia, padres o madres de familia, lectores de alguno de mis libros, me envían mensajes de correo electrónico donde me cuentan, angustiados, un problema relacionado con el uso que han hecho sus hijos de Internet. Recientemente una madre me escribió pidiéndome que le respondiera “urgentemente”. Me preguntaba cómo podía quitar una foto que había de su hija de 15 años en la red social Tuenti (en la que aparecía en ropa interior) y cómo además podía retirarla de todos aquellos ordenadores en los que se la hubieran descargado.

Añadía esta madre desesperada que como vivían en un pueblo pequeño y su hija, ya muy desarrollada físicamente, en la imagen estaba especialmente “sexy” no cesaban de escucharse todo tipo de comentarios groseros y desairados.

Comentaba además esta señora que por esta situación su hija estaba muy abatida. Cualquier lector podrá imaginarse que tipo de comentarios hacían sobre la “niña”. Me imagino que serían expresiones del tipo: “esa es una warrilla”, como no dudan en etiquetar a las chicas muchos adolescentes que paralelamente presumen de ser muy liberales y enarbolan su derecho a publicar todo de imágenes suyas en la Red. Unas más acertadas que otras, por cierto. Al parecer, aunque hay una especie de epidemia de exhibicionismo juvenil generalizado respecto a las fotos, muchos de ellos son capaces de diferenciar que es algo aceptable de lo que se pasa de la raya. O como me lo explicó una adolescente: “cuando un escote, es muy escotado”.

A la lectora que he mencionado le respondí con toda la celeridad posible, como por otra parte tengo por costumbre hacer en estos casos. Le dije que para poder ayudarla necesitaba saber algunas cosas porque en función de cómo hubieran sucedido los hechos las posibles soluciones, incluso jurídicas, eran unas u otras. Le pregunté: ?¿Quien publicó, es decir, subió la foto a Tuenti, su propia hija o una tercera persona??. Quien la subió es quien la puede bajar con mayor facilidad aunque los demás tengamos derecho a pedirle a cualquier empresa que esté detrás de una Red Social que elimine una imagen nuestra ya que no hemos autorizado, dado nuestra consentimiento por escrito, a que este ahí. Todos tenemos derecho a nuestra propia imagen y ni Tuenti, ni ninguna Red Social, puede abstraerse de este principio constitucional perfectamente regulado.

Otra duda que le plantee a la señora era que, en el caso de que una tercera persona hubiera subido la foto de su hija en ropa interior, ¿De dónde había sacado la foto? ¿La había hecho sin consentimiento de la afectada en el vestuario del gimnasio de su instituto?, o ¿Era la propia menor quien voluntariamente se la había pasado? Y otros asuntos a considerar que le expuse fue: suponiendo que no se trate de una foto robada, ¿Porqué su hija se hace fotos en ropa interior?, ¿Dónde estaba hecha esa foto? Por último le dije que, efectivamente respecto a Tuenti o respecto a que una tercera persona le hubiera hecho fotos sin consentimiento se podía actuar, ahora bien, no había forma de hacer nada si esa foto estaba ya en el ordenador de otros. Lo que se publica en Internet, ya no tiene vuelta atrás. Entra en la Red pero ya jamás sale.

Esta madre inicialmente tan preocupada no me respondió. Y a mí no me extrañó que lo hiciera. Me ha sucedido lo mismo en otras ocasiones similares. Seguramente con mis cuestiones le hice reflexionar sobre la raíz del problema. Es decir, que la falta de comunicación, el que probablemente haya dejado a su hija sola con el ordenador conectado a Internet en su dormitorio, el no estar al corriente de lo que hacía, le había llevado a una situación que preferiría haber evitado. En definitiva, ahora esta madre lamentablemente estaba pagando las consecuencias de no haber estado atenta a la formación digital de su hija. Y la menor estaba soportando las críticas desagradables de sus amigos y vecinos como consecuencia de una acción llevaba a cabo sin más pensar. Sin embargo, supongo que una y otra habrán aprendido en el camino. De los errores todos podemos aprender mucho.

Son incontables los menores españoles que viven una situación como la descrita. Y cuando se vienen a enterar los padres ya es muy tarde. A veces excesivamente tarde. Se comenta en la Red que los autores del crimen de Ripollet, en sus perfiles en Fotolog, ya daban pistas sobre su posible mala cabeza. Sobre la tendencia estética y mental que les llevo a degollar a su compañera. La autora de estas líneas tuvo ocasión de leer esos perfiles y los comentarios que les hacían sus compañeros de clase y vecinos de la localidad, -antes de que esa Red Social los cerrara- y la conclusión que extraje es que si sus padres los hubieran leído ahora no tendríamos que estar lamentando esta desgracia.

En otros casos, tanto en España como en otros países, sucede lo mismo. Los jóvenes que se han suicidado o que han perpetrado todo tipo de tropelías, con frecuencia lo habían anunciado en Internet. Antes en foros y blogs, ahora cada vez más en las Redes Sociales. Lo triste es que son situaciones que se podrían haber evitado en la mayoría de los casos si los padres hubieran estado más atentos. Si no se hubieran querido poner, como hacen algunos, una venda en los ojos. Esta última opción se da sobretodo en los casos de niñas anoréxicas cuyas madres parece que son casi siempre las últimas en darse cuenta. Estas señoras argumentan que las amistades de sus hijas del colegio o del barrio son ?normales? y no consideran las amistades en Internet que tienen las menores y la influencia nefasta que ejercen en las mismas.

Los niños no se pueden autoeducar en el buen uso de Internet ni de nada. Deben ser guiados para que vayan diferenciando que es positivo para ellos de lo que no lo es. Necesitan estar preparados ante aquellas situaciones complicadas para tomar buenas decisiones, salir airosos y evitar problemas. Igual que se les enseña a mirar en ambas direcciones antes de cruzar la calle. Del mismo modo que se les insta a que no hablen con desconocidos, ni que acepten regalos “caramelitos” de ellos. Tal y como, con más o menos intensidad, se les supervisa sus amistades. ¿Porque si todo eso y mucho más se entiende cómo normal, cómo parte del proceso educativo fuera de la Red, no se dedica algo de tiempo a la educación digital?

Hay quien alega que si algunos padres actúan así es por ignorancia sobre las tecnologías de la información y de la comunicación, por falta de conocimientos. Francamente, yo no lo creo. He tenido ocasión de poder ayudar a señoras de la limpieza que, con mucho interés, se anotaban las soluciones que les he iba dando para que sus hijas pudieran usar el ordenador pero no acceder a Internet hasta la hora en que la madre hubiera regresado de su trabajo a casa. Por contra he conocido hijos de informáticos, excelentes profesionales, que han acabado en juicios por ciberacoso o bien que han publicado comentarios y fotos en Redes Sociales de las que sus padres se hubieran avergonzado incluso si fueran de otros niños que no fueran los suyos.

El comportamiento de los hijos no tiene que ver con la formación académica ni tecnológica de los padres. Tiene mucho más relacionado con el nivel de preocupación y dedicación de los padres respecto al uso que hacen los menores de Internet. Y respecto a la formación de todo tipo que se les proporciona. Si como referente único los niños tienen a algunos programas de televisión no es de extrañar que luego vean normal publicar fotos suyas con una ética y estética rayana en la prostitución.

Con todo, no quisiera concluir estas líneas sin ofrecer a los padres algunos consejos relacionados con las Redes Sociales que espero puedan serles de utilidad.

Consejos a los padres sobre las Redes Sociales

1.-Trate de familiarizarse con las Redes Sociales en general para conocer sus mecanismos y tratar de comprender la dinámica de relación y los modelos de comunicación en las mismas. En España pueden resultarle de interés: Facebook, hi5, Orkut, y MySpace (especialmente si le interesan las artes escénicas). En Sudamérica tiene también mucho éxito la red Sonico. También son aconsejables las redes profesionales como por ejemplo: Viadeo, Xing o Linkedin.

2.- Sea prudente con la información personal que proporciona. Sobre todo con los datos de localización: dirección postal, teléfono fijo o lugar de trabajo. Antes de completar su perfil, incluso en una Red Social profesional, vea que es costumbre hacer en la misma. Eso evita a veces añadir datos superfluos o tonterías innecesarias.

3.- Muchas Redes Sociales venden los datos de los usuarios con lo cual es mejor darse de alta con una cuenta de correo electrónico que no nos importe que nos la puedan inundar de spam, es decir, de mensajes comerciales no solicitados. También sucede lo mismo cuando se proporciona el número del teléfono móvil.

4.-Por más que lea alguna información en el sentido contrario, no existe la verdadera privacidad en las Redes, aunque usted crea que las fotos sólo las verán sus amigos, eso jamás es así, en el mejor de los casos se las está cediendo a una empresa privada que puede hacer con ellas lo que quiera. Por ello, publique o suba a las Redes sólo aquellas fotos de las que nunca se pueda arrepentir y de las que no le importaría que terceras personas puedan hacer uso comercial o no de ellas.

5.- Sea cuidadoso con los comentarios que hace y los grupos en los que se da de alta. El conjunto conforma un perfil que puede perjudicarle si en alguna ocasión es visto por alguien que está evaluando su curriculum en una selección para un puesto de trabajo. Particularmente sensibles en este sentido son los asuntos relativos a la política y a la religión. Es aconsejable ser tolerante y respetuoso con las opiniones y creencias de los demás.

6.- Cuando un adulto ya se mueve con soltura en las redes anteriormente mencionadas, está en condiciones de valorar y ayudar a los menores en las que éstos suelen frecuentar. No obstante, antes de hacer una visita al perfil de sus hijos conviene notificárselo para demostrarles cierta confianza y dejar que ellos mismos lo arreglen y eliminen aquello que crean que nos les iba a gustar. Hacer esto es un buen sistema para lograr que los perfiles de los menores sean bastante más presentables.

7.- Otro consejo habitual respecto a las Redes de jóvenes es que los adultos necesitan aclimatarse antes de ver el perfil de sus hijos. De ese modo podrán hacer una valoración más justa y, como me dijo un padre en una ocasión, ?pensar que podría haber sido peor?. Si sólo ven el perfil de sus hijos y no entienden de qué va este mundo, el choque cultural puede ser excesivamente alto.

8.-Una vez sus hijos le muestren en perfil de Tuenti, Fotolog, Metroflog y otras, trate de negociar con ellos aquellos contenidos que no les parezcan correctos. Hay que explicarles el porqué. La prohibición directa (o los gritos y el histerismo) no sirve de nada porque de esa forma sólo consiguen que los menores tengan dos perfiles. Uno de buenecitos que les muestran a sus padres y otro con su verdadero yo, donde hacen ?el bestia? todo lo que quieren.

9.-Trate de agregarse entre los amigos de sus hijos y si eso a ellos les parece muy intrusivo, intente al menos que otros adultos de la familia lo hagan. En este punto es relevante el papel que realizan los tíos jóvenes o los hermanos mayores. Los adolescentes que cuentan entre sus contactos con familiares suelen hacer un uso más responsable de las Redes Sociales. También están más protegidos ante las malas influencias de terceras personas sean o no amigos fuera de la Red (sectas, grupos extremistas, de anorexia y bulimia, tráfico y consumo de drogas o pederastas).

10.-Las Redes Sociales pueden ser muy positivas, así que mi mejor consejo es que
comparta y comente las experiencias de sus hijos en ellas y ayúdenles a lograr que les puedan ser lo más útiles y divertidas posible.

Fuente: http://www.identidadrobada.com/site/index.php?idSeccion=19&idNota=2216

TinyURL usado para evitar el filtro Safe Browsing en Firefox y Chrome

TinyURL, uno de los servicios más populares para acortar direcciones URL (si bien no es nuestro favorito) está siendo usado ahora por cibercriminales para redirigir a los que navegan la web a páginas que contienen virus, troyanos y otros tipos de malware. Según el Centro de Investigación de Código Malicioso de Finjan, estos criminales están usando el servicio para evitar que sus sitios web sean señalados por el mecanismo Safe Browsing (Navegación Segura) integrado en navegadores modernos como Mozilla Firefox y Google Chrome.

Ambos navegadores web emplean Google Safe Browsing, una característica que advierte a los usuarios sobre sitios de phishing y otros con malware. Sin embargo evitar este filtro en su navegador es fácil de lograr, aparentemente. Todo lo que se necesita es que un cibercriminal cree una dirección TinyURL que oculte la URL original, maliciosa. Entonces, en lugar de recibir el mensaje de advertencia “¡Sitio atacante reportado!”, los navegantes web confiados serán enviados directamente a la página web peligrosa al hacer clic en el vínculo.
En las pruebas, la razón por la cual TinyURL pudo ser usado de esta manera fue porque las páginas que enmascaran no eran a nivel de dominio, sino subpáginas de dominios marcados como “seguros”. Esto en realidad señala una debilidad en la característica de Safe Browsing y no un verdadero riesgo de seguridad del servicio TinyURL en sí mismo. Debido a que Safe Browsing solo califica los sitios a nivel de dominio, las subpáginas infectadas siempre serán calificadas como “no-maliciosas” en la medida que el dominio esté categorizado como “seguro”.

TinyURL no es el único servicio del cual se está abusando de esta manera. Otros servicios que acortan las direcciones URL mencionados en el artículo incluyen a bit.ly, w3t.org and is.gd. Sin embargo, durante su investigación, la firma encontró que bit.ly era usado por los mismos cibercriminales. Tanto TinyURL como bit.ly fueron notificados y los enlaces maliciosos fueron eliminados.

Traducido para blog de Segu-info por Raúl Batista
Autor: Sarah Perez

Fuente: www.readwriteweb.com

Usabilidad contra Seguridad: ¿Qué hacemos con el UAC en Windows 7?

El Control de Cuentas de Usuario (UAC) presente en Windows Vista, fue una de las características criticadas por los usuarios ante la gran cantidad de acciones que necesitaban autorización. Estas quejas generalizadas han llevado a Microsoft a permitir en Windows 7 la configuración del nivel de alertas, lo que puede dar como resultado graves problemas de seguridad.

En los últimos días, blogs como Within Windows han informado y demostrado como se puede variar la configuración del UAC mediante código malicioso, hasta conseguir desactivarlo. El usuario no se entera debido a la configuración por defecto presente en Windows 7 (no avisarme cuando haga cambios en la configuración de Windows), por lo que el atacante puede cambiar los archivos del sistema y adueñarse de la máquina.

La respuesta de Microsoft ante este problema no ha sido demasiado satisfactoria y un portavoz indicó que “esto no es una vulnerabilidad. La intención de esta configuración por defecto de UAC es que no se pida autorización al usuario a la hora de realizar cambios en la configuración de Windows, que incluye cambiar la configuración del mismo UAC”.

Es decir que la configuración del control de cuentas en 7 obedece al propio “diseño del sistema”. Sarcásticamente, la única solución parece ser volver a la configuración que ofrecía Vista, con sus molestias añadidas que acababan con la paciencia de la mayoría de usuarios que desactivaban directamente esta medida de seguridad.

Quedan unos meses para la versión final y si Microsoft no lo remedia, nos tememos que el UAC seguirá haciendo de las suyas, ahora por distintas razones que en Vista.

Fuente: The Inquirer