El usuario como factor de inseguridad

Ampliar imágen Foto:  Cortesía de Wong Junhao > Flick Las bondades del Internet abierto pueden resultar adversas si no se usan adecuadamente. Para sitios sensibles no se recomienda navegar con WiFi abierto.

PYMES y la seguridad

 

>Según Labaca, el primer error de las PYMES es subestimar la seguridad.  El segundo:  creer que se necesita un departamento completo.  Para una PYME Labaca recomienda, como mínimo, tener una persona con autonomía en la organización que se dedique exclusivamente a la parte de seguridad.

A su paso por Guatemala, Raphael Labaca Castro, especialista de Awareness & Research de ESET, habló con Hi-Tech sobre varios temas relacionados con la seguridad digital.

¿Cuáles son los errores más comunes que cometemos en el uso de la banca en línea?

– Muchos usuarios creen que la mayoría de estos ataques ocurren del lado del banco, siendo esto falso.  La mayoría de los ataques ocurren del lado del cliente.  Es decir, el banco jamás llega a enterarse de que el cliente está siendo amenazado.  El cliente, es decir los usuarios, tienen que darse cuenta cuándo están realmente dentro de la página del banco, o no.   Existen diferentes mecanismos para poder darse cuenta de eso, por ejemplo, los bancos siempre tienen que trabajar con lo que nosotros llamamos el protocolo https, es decir, el http seguro, en donde la comunicación entre el cliente y el servidor va a viajar de forma cifrada para que no se pueda acceder a esos datos.  Eso sería una buena forma de poder asegurarse.  Luego, los certificados digitales.  Cuando estamos hablando de entidades financieras, normalmente ellos tienen el certificado de ese banco que está avalado por otra entidad, como por ejemplo VeriSign u otras entidades por el estilo.   Cuando se realiza un engaño al usuario a través de un phishing, es decir páginas falsas, estas no cuentan con este certificado.

Y del lado de la banca, ¿cuáles son algunas medidas de protección usuales?

– Del lado de la banca tienen que tener una tecnología de seguridad.  De hecho tienen que tener diferentes tecnologías de seguridad, no solamente un antivirus.  Tienen que tener un firewall, un IDS, un IPS, o sea sistemas que detectan y previenen los ataques de intrusos.  Tienen que tener configuraciones y actualizaciones de hardware y software para evitar vulnerabilidades.  Deben tener una infraestructura montada para evitar ataques de negación de servicio y balanceadores de carga, por ejemplo.  

¿Cúal es su análisis respecto de los riesgos que conlleva el acceso a la banca digital a través de móviles?

– Efectivamente, el tema de las aplicaciones para móviles se ha extendido muchísimo.  La primera recomendación que damos en este sentido es que ese tipo de aplicaciones siempre se descarguen de los sitios oficiales.  Es muy probable que si alguna entidad financiera empieza a ofrecer aplicaciones móviles para poder comunicarse, haya personas que empiecen a modificar estas aplicaciones y vuelvan a publicarlas, de modo que si el usuario no presta atención, estaría descargando la aplicación que no corresponde al banco y sí a otro usuario, entonces es un buen mecanismo el darse cuenta de lo que estamos bajando.  Respecto a la comunicación de esa aplicación, eso va a depender de cómo el banco decida proteger los datos de los usuarios.  Lamentablemente nosotros, como empresa de seguridad, lo que podemos hacer es un análisis de esa aplicación pero no podemos forzar a los bancos a que trabajen.

¿Existe en el ámbito móvil algo como el https o certificados de seguridad para plataformas móviles?

– Lo que existe en el ámbito móvil es algo que permite que la comunicación sea cifrada desde el móvil hasta el destino.  Permite que esa comunicación sea de alguna manera encriptada para que no se lea del otro lado. Además, lo que existe en el ámbito móvil, es que muchas veces el usuario se conecta por ejemplo por WiFi.

¿Qué amenaza representa el WiFi?

– Cuando se conecta por WiFi, este no está protegido y la aplicación no provee un cifrado, entonces esos paquetes están viajando en lo que nosotros llamamos texto plano.  Es decir, están viajando legibles para cualquier persona.  Ocurre, por ejemplo que van a un café y se conectan al WiFi libre, en donde cualquier persona se puede sentar y analizar el tráfico de esa red para tratar de robar paquetes.  Entonces, lo que decimos es, si utilizan la aplicación a través del teléfono, tiene que haber dos alternativas: o la aplicación cifra los datos, o bien utiliza un WiFi seguro que cifra la información, en lo posible, WPA.  

Si el usuario usa esa conexión para leer el periódico, no es grave porque no hay que darle ninguna información sensible.  Pero también hay que recordar que muchas veces los teléfonos están con las contraseñas cacheadas (almacenadas de accesos anteriores), entonces cuando se conectan de nuevo todos sus servicios tratan de loguearse (incluyendo la banca en línea).  Frente a la duda del WiFi abierto, ¿tienen información sensible o se conectan a servicios sensibles en su celular? no lo utilicen con conexiones abiertas.  Vayan a un lugar protegido por una clave y en lo posible que no sea público sino en su casa o la de un amigo.

Nombre y apellido: Correo: Título: Comentario: Escriba el siguiente código de autenticación, así nos ayuda a bloquear los mensajes automatizados (Spam).

Reglas para comentar en el foro

Este espacio es para promover el diálogo, compartir, discutir y argumentar sobre el artículo publicado, únicamente.

Se prohíben mensajes que contengan:

• Ataques personales, insultos, acusaciones o faltas de respeto
• Mensajes incoherentes, sin objeto alguno o comerciales
• Mensajes con spam, lenguaje sms o escrito todo en mayúsculas
• Mensajes con contenido racista, sexista, o cualquiera que discrimine
• Mensajes de contenido pornográfico
• Piratería, o mensajes que permitan el uso ilícito de material con derechos de autor

Nos reservamos el derecho de editar o eliminar cualquier mensaje que no cumpla con las condiciones anteriores. Y de ser necesario bloquear a usuarios.

Al participar, acepta las reglas y el aviso legal.