Crean organismo internacional para combatir cibercrimen

Por primera vez gobiernos europeos, así como empresas internacionales y agencias policiales como Interpol y Europol han formado una alianza para crear un organismo que combata el cibercrimen globalmente.

Firmas de seguridad como Trend Micro y McAfee forman parte de esta organización que fue dada a conocer este martes en Londres por el primer ministro de Reino Unido, David Cameron.

Cameron dio la bienvenida a esta iniciativa y anunció que el gobierno que encabeza ha inyectado 650 millones de libras para mejorar la infraestructura nacional y protegerse contra los cibercrímenes.

El nombre de este organismo  es “Alianza Internacional de Protección y Seguridad Cibernética” (ICSPA, por sus siglas en inglés) y se encargará de mejorar la aplicación de la ley internacional, así como de proteger a las empresas y sus clientes de amenazas informáticas. El financiamiento para ICSPA provendrá de los gobiernos y de la misma Unión Europea.

“Internet ha traído grandes oportunidades no sólo para los individuos y las empresas, también para los delincuentes que operan más allá de las fronteras. La ciberdelincuencia es un problema global y para hacerle frente es necesaria una alianza entre los gobiernos de los países, así como de los sectores públicos y privados” expresó James Brokenshire, ministro del Interior para la Prevención y la Seguridad de Reino Unido.

John Lyons, jefe ejecutivo de ICSPA, espera que la nueva organización representa la mejor oportunidad para enfrentar a los grupossE de delincuentes cibernéticos quienes, dijo, sienten que tienen la libertad de hacer lo que quieran en internet porque las probabilidades  de ser detenidos son muy pocas.

Recientemente los gobiernos de los Estados Unidos  y del Reino Unido dieron a conocer que considerarán un acto de guerra en contra de sus soberanías los ciberataques que sus sistemas reciban por parte de otro país.

Estos hechos coinciden con la confirmación de que China cuenta con un escuadrón de expertos en ciberseguridad, cuya misión es  responder a cualquier ciberataque o intento de ciberguerra contra la nación asiática.  Conocido como “Ejército Azul”, está conformado por 30 elementos, expertos en los temas de infiltración y ataque de redes, espionaje cibernético y mecanismos de defensa electrónica, según información atribuida a Geng Yansheng, vocero del Ministerio de la Defensa de China.

Fuente: http://www.netmedia.info

Llévela, llévela su propia botnet a $800 pesitos

Nuevo León, Monterrey.-Si los licenciados, ingenieros, doctores supieran lo que ganan un hacker al mes, muchas veces sin mover un solo dedo o salir de su casa, quizá repensarían la profesión que estudiaron.

Esto luego de que Jorge Mieres, Malware Analyst, Global Research &Analisys Team de Kaspersky América Latina, explicara durante su conferencia en el b:Secure Conference Monterrey que un hacker puede ganar hasta $24,000 dólares al mes y hasta $280,000 dólares por rentar un botnet en el mercado negro de internet.

“Sabemos que no es nuevo decir que el cibercrimen es una industria muy rentable, pero pocas veces nos damos cuenta del valor que una actividad como esta puede dejar, muchas veces sin mover un dedo”, dijo Mieres.

El experto de Kasperky explicó que actualmente los cibercriminales rentan redes bot en $80 dólares por cada 1,000 computadoras. Una de estas redes es suficientes para mandar más de 5 millones de correos basura alrededor del planeta en menos de un mes.

El problema es que para los ciberdelincuentes armar una red zombi con más de 300,000 computadoras infectadas no solo es relativamente sencillo sino también barato, y en muchos casos ni conocimiento en informático necesitan.

“Para armar una botnet de más o menos 300,000 PC infectadas los cibercriminales necesitan invertir $1,000 en el malware de infección, más $2,500 en kits de crimeware, más $500 en herramientas de protección contra la detección de sistemas de seguridad, es decir menos de $4,000 dólares para ganar más de $24,000 dólares al mes”, dijo Mieres.

El analista de malware advirtió que cada así como los mercados internacionales se especializan en productos y servicios, en el mundo del cibercrimen la situación no es diferente.

“Rusia es un país especializados todo tipo de actividades delictivas, Alemania es una de las primeras naciones en ataques de denegación de servicios (DDoS en inglés), Asia tiene foco en fraudes para plataformas de juegos en línea y Estados Unidos tiene un foco importante para el robo de identidades”, explicó.

Incluso los países de América Latina han comenzado a especializarse en diversos aspectos del cibercrimen. Así, de acuerdo a los datos de Kaspersky, Brasil y Perú son naciones con un alto índice de troyanos bancarios, Argentina en botnets de canales IRC y gusanos de USB y México, similar a España,  tiene un alto rango de redes bot en http, como Tequila, Mariachi y Volk.

“Maricahi, por ejemplo, es una botnet 100% mexicana y enfocada a usuarios mexicanos, lo que demuestra que los usuarios del país  ya son rentables para los delitos informáticos”, explicó.

Víctimas de ciberfraudes no denuncian por vergüenza

Internet se ha convertido en uno de los espacios donde los criminales han encontrado una mina de oro lucrando con la curiosidad y un tanto con la ociosidad humana, sin embargo, las personas que han sido víctimas de estos ciberdelincuentes regularmente no los denuncian debido a la vergüenza que les produce haber caído en un engaño de este tipo.
El ministro de justicia de Australia, Brendan O’Connor comentó que recientemente conoció a un hombre que perdió una fuerte cantidad de dinero debido a un fraude en internet, publica el Centro de Investigación de Delitos Informáticos.
“Como muchas víctimas de fraude, el hombre fue humillado y avergonzado, y esto probablemente es lo que le impide buscar ayuda. Al igual que una estafa tradicional, las personas afectadas por estos delitos en línea pueden sentirse humilladas y estar reticentes a reportar sus pérdidas a las autoridades”, dijo O’Connor.
El ministro también comentó que está buscando la manera de mitigar este tipo de riesgos electrónicos a través de la creación de una cultura preventiva, como el ciclo de conferencias que está organizando llamado “Conociendo las necesidades de las víctimas del crimen” en Sidney, Australia.
De acuerdo con el  “Reporte del Crimen en Internet 2010” (PDF) el año pasado en Estados Unidos se registraron más de 300,000 quejas relacionadas con algún tipo de fraude en internet, siendo el robo de identidad, la falta de pago o entrega de mercancía adquirida en línea y las estafas hechas por supuestos agentes de FBI los delitos que encabezaron la lista.
A nivel mundial EU es el país con más fraudes registrados en el 2010, siendo responsable del 91% de las denuncias hechas a nivel global. Canadá logró ubicarse en el segundo sitio al registrar 1.5% de las quejas, mientras que Reino Unido, Australia e India obtuvieron el tercero, cuarto y quinto lugar con 1, 0.7 y 0.5%, respectivamente.
En México este tipo de delitos se pueden denunciar a nivel federal ante la Unidad de Policía Cibernética y Delitos Contra Menores dependiente de la Secretaría de Seguridad Pública, así como ante la Comisión Federal de Telecomunicaciones (Cofetel) y la Comisión Nacional para la Protección y Defensa de los Usuarios de Servicios Financieros (Condusef).
Asimismo, sí la víctima pertenece a alguna entidad académica puede recurrir a instancias como al Equipo de respuesta a incidentes de Seguridad en Cómputo dependiente de la Universidad Nacional Autónoma de México (UNAM) o bien a la Subdirección de Seguridad de la Información que también pertenece a la UNAM.

Fuente: http://www.netmedia.info

Cómo saber si un mensaje de correo electrónico es fraudulento

A continuación, se incluyen algunas expresiones que el usuario debe comprobar si cree que un mensaje de correo electrónico es una estafa de phishing.

"Compruebe su cuenta."
Ninguna empresa debería pedirle que envíe contraseñas, nombres de usuario, números de la Seguridad Social u otra información personal a través del correo electrónico.
Si recibe un correo electrónico de Microsoft pidiéndole información de su tarjeta de crédito, no responda: se trata de una estafa de phishing.

"Si no responde en un plazo de 48 horas, su cuenta se cancelará".
Estos mensajes tienen un tono de urgencia cuyo objetivo es que responda inmediatamente, casi sin pensar. Los correos electrónicos de phishing alegan que la respuesta es necesaria porque la cuenta ha sufrido algún ataque.

"Estimado cliente"
Los mensajes de correo electrónico de phishing suelen enviarse de forma masiva y, a menudo, no contienen su nombre o apellido.

"Haga clic en el vínculo que aparece a continuación para obtener acceso a su cuenta".
Los mensajes con formato HTML pueden contener vínculos o formularios que puede completar del mismo modo que se completan los formularios en sitios web.
Los vínculos que se le pide que utilice pueden contener la totalidad o parte del nombre de la compañía real y suelen aparecer "enmascarados", lo que significa que el vínculo no lo dirigirá a la dirección indicada, sino a algún otro sitio, normalmente un sitio web falsificado.
En el siguiente ejemplo, fíjese que al colocar el cursor en el vínculo puede verse la dirección web real, como se muestra en el cuadro con fondo amarillo. La cadena de números crípticos no se parece en nada a la dirección web de la empresa, lo que resulta sospechoso.

Ejemplo de una dirección URL enmascarada

Los estafadores también utilizan Localizadores uniformes de recursos (URL) que parecen tener el nombre de una conocida compañía pero que se han alterado ligeramente agregando u omitiendo letras, o bien cambiándolas de posición. Por ejemplo, la URL "www.microsoft.com" podría aparecer como:

www.micosoft.com
www.mircosoft.com
www.verify-microsoft.com

FRAUDE: Estafadores llaman en nombre de Microsoft para arreglar su Pc

En tiempos de crisis el número de estafas crece. Microsoft ha detectado una estafa en la que delincuentes cibernéticos llaman a consumidores de todo el mundo, haciéndose pasar por personal de soporte técnico de Microsoft, informando de un virus que ha infectado su Pc y ofreciéndose para solucionarlo. Es muy importante informar de que Microsoft nunca realiza este tipo de llamadas
El modus operandi de estos estafadores suele ser similar:

1. El consumidor recibe una llamada de alguien que se identifica como personal de Microsoft u otra compañía conocida indicando que su Pc tiene un problema y se ofrece para resolverlo.

2. Una vez ganada la confianza del consumidor, le piden que inicie sesión en un sitio Web para descargar un archivo que facilita la resolución del problema. De este modo logran acceder a la información personal del usuario, incluso a su información bancaria. En algunos casos solicitan los datos de su tarjeta de crédito y en otros, además de acceder a sus datos personales, también pueden llegar a infectar su Pc con un virus o software malintencionado.

3. Los estafadores, para evitar ser localizados por las autoridades, utilizan teléfonos móviles robados o de prepago, bajo identificación falsa.

Para evitar este engaño recomendamos que desconfíe de aquellas personas que contacten con usted por teléfono, e-mail o en persona solicitando sus datos personales, sobre todo los referidos a datos bancarios, y en ningún caso, proporcionen su información personal.

Microsoft nunca llama a los usuarios para decirles que tienen un problema en sus ordenadores. Si recibe una llamada de una persona identificándose como personal de Microsoft y ofreciéndole su ayuda para solucionar una incidencia técnica, por favor, no haga caso y cuelgue.

Microsoft trabaja en todos los países con las autoridades policiales y judiciales para identificar a estos delincuentes cibernéticos, por lo que es muy importante su colaboración.
http://www.microsoft.com/spain/protect/linea-denuncia/default.mspx

Hay otro tipo de estafas conocidas en las que también se usa de modo fraudulento el nombre de Microsoft:

- No existe la Lotería de Microsoft Corporation. Si usted recibe una comunicación que le anuncia ser el ganador de la Lotería de Microsoft debe saber que es falsa. Mas información en: http://www.microsoft.com/spain/protect/fraudeloteria/default.mspx

- Microsoft no pide los datos de la tarjeta de crédito para validar su copia de Windows. Windows y Office requieren ser validados, por ejemplo, cuando usted quiere acceder a una descarga de seguridad. Se trata de un proceso, siempre gratuito, de autentificación del software en el que únicamente se comprueba si éste es original y no se requiere información personal.

- Microsoft no envía emails con actualizaciones de seguridad de productos en las que hay que descargarse archivos adjuntos. Todas las actualizaciones de seguridad puede obtenerlas directamente desde nuestra página web o a través de las suscripciones a nuestros boletines de seguridad.

Fuente: http://www.microsoft.com

Smishing amenaza a usuarios de telefonía móvil

En términos concretos el Smishing es una de las recientes actividades delictivas del ámbito informático que utilizando técnicas de ingeniería social, por medio de mensajes de texto, ataca directamente a los usuarios de telefonía móvil.

Se trata de una variante del phishing. No obstante, este último ataca a los usuarios de computadoras. El smishing, por su parte, aprovecha de expandirse a partir de la diversificación en el uso de los teléfonos móviles, gracias a su mayor conectividad o la banda ancha a través redes celulares, lo que permite a estos dispositivos contar con más aplicaciones y funcionalidades.

Las actuales capacidades de los teléfonos para acceder a operaciones de banca móvil, pagos de cuentas, correo electrónico y diversas operaciones por Internet con autenticación, son el imán que atrae los ataques de smishing.

¿Cómo funciona?

Detrás de estos ataques se encuentran motivaciones económicas. Los hackers que lo practican pretenden explotar brechas legales y utilizar las últimas tecnologías para captar datos personales.
De este modo, se intenta suplantar la identidad de alguna persona conocida entre los contactos telefónicos, o incluso de una empresa de confianza.

Las víctimas de smishing reciben mensajes SMS indicando que su número telefónico se ha dado de alta para un servicio determinado (citas, concursos, etc.), y que se descontará una suma de dinero a menos que visite una página web para cancelar la “petición".

Cuando se visita la dirección web o url, las víctimas son engañadas para que descarguen algún programa que en su mayoría suele ser un Troyano, con el propósito de capturar claves e información personal contenida en el teléfono móvil, con el propósito de efectuar estafas cibernéticas.

Fuente: Global Crossing

"Una dirección IP no es una persona"

Fallo estadounidense podría sentar un importante precedente para la detección y castigo de piratas.

Según el juez de distrito Harold Baker, de Illinois, es dudoso que una dirección IP pueda ser usada como prueba fehaciente en un tribunal de justicia. A juicio del magistrado, los margenes de duda son demasiado grandes como para iniciar acciones judiciales contra personas, con base en direcciones IP.

En su fallo, el juez Baker presenta precedentes legales en que, por ejemplo, la industria discográfica ha cometido graves errores, como por ejemplo demandar a abuelas que nunca en sus vidas se habían sentado frente a un PC,  o niños que debido a su edad no pueden ser enjuiciados (ver RIAA se querella contra niña de 12 años y La industria cinematográfica acusa a impresoras de piratería).

Una dirección IP identifica un PC o una unidad de hardware que, conectada a una red, puede ser usada por varias personas. Por lo tanto, no es seguro que la persona registrada como propietaria del artefacto sea quien ha descargado material ilegal, ya sea películas o música pirateada, pornografía infantil, programas, etc.

A menos que el fallo sea revocado por una instancia judicial superior, podría sentarse un precedente legal que anularía el procedimiento muy utilizado en Estados Unidos, en que los demandantes envían cartas intimidatorias que básicamente dicen "pague o lo demandamos". Solo en 2010, más de 100.000 estadounidenses recibieron cartas de ese tipo en sus buzones. La mayoría optó por pagar la multa y así evitar un costoso juicio que podría reportarles un gasto aún mayor.

En la causa en cuestión, el juez desestimó un requerimiento presentado por VPR Internationale, empresa canadiense de entretenimiento para adultos, mediante el cual intentaba obligar a proveedores de conexión a Internet a entregarle las identidades de personas que, a su entender, habían descargado ilegalmente sus películas. Según el juez, especialmente al tratarse de material audiovisual para adultos, el tema de las direcciones IP podría obstruir "la causa de la justicia".

Fuente: http://www.diarioti.com