Impresiones sin dueño. Vulnerabilidad en las Empresas


Desde securityartwork.es hemos leído un artículo escrito por Jose L. Villalón, bastante interesante donde exponen que las empresas pueden ser vulnerables por lo que imprimen sus empleados. A continuación el texto completo del artículo.





Titulo Original: Los papeles sin dueño

Hace ya algún tiempo, Toni Villalón nos hacia referencia a una técnica habitual en las auditorías de seguridad hace algunos años, el basureo (trashing), a partir de la cual podíamos obtener gran cantidad de información a partir de una papelera o cubo de basura. Sin embargo, ¿por qué ir rebuscando en la basura (que es algo sucio, desagradable y no sabemos con que podemos encontrarnos) si existen maneras mucho más fáciles, cómodas y limpias de obtener información? Además, sin ir muy lejos ni que te miren raro.

¿Dónde? En su impresora más cercana. Levántese, diríjase a ella y observe la documentación que nadie recoge, bien porque la envió a imprimir y olvidó que la había enviado, porque ya no la necesita, o por cualquier otra razón que se le ocurra. En realidad, el porqué no nos importa, lo que nos interesa es la información que contiene. Cójala y llévela a su sitio. Quizá le preocupe que su dueño legítimo aparezca de repente y le vea hacerlo, pero no se preocupe; lo más probable es que la haya abandonado, y en cualquier caso si acude a la impresora y ve que no está, la volverá a mandar imprimir, y probablemente volverá a olvidarla.

Una vez en su sitio, observe detalladamente la información que acaba de obtener. Con un poco de suerte, a lo largo de un par de semanas, habrá podido hacerse con información como la siguiente:

Contratos para la prestación de servicios a clientes junto con sus acuerdos de confidencialidad. También ofertas para el suministro de material, donde indicaba precios y tarifas ofertadas.
Listado de nombres, apellidos, teléfonos y correo electrónico de todo el personal de la empresa.
Manuales de instalación de software junto con sus números de licencia.
Informes para clientes, correos electrónicos impresos, correspondencia postal, etc.
Documentación generada por los clientes de la empresa, donde aparecen las incidencias reportadas.

Además, si tiene la fortuna de que la impresora dispone de funciones de fax y servidor de correo electrónico, también podrá obtener sin demasiados problemas los listados de faxes enviados y recibidos durante los últimos meses, con los teléfonos de destino, cuentas de correo y nombres de usuario, junto con algunos reportes de faxes enviados, donde aparece la propia información enviada de forma parcial.

Quizá le parezca que la información que le comento no tiene apenas valor, pero lo cierto es que piensa eso porque probablemente no la tenga para usted. Ese es, entre otros, el propósito de un sistema de clasificación de la información: identificar y clasificar la información en base a criterios objetivos, evitando que cada uno valore la información con la que trabaja según le afecte más o menos. Ahora, para acabar esta pequeña simulación, imagine ahora que usted no trabaja allí. Usted es “sólo” un externo que trabaja allí de manera temporal. Dentro de un par de semanas se irá de allí, con una carpeta llena de información que nadie jamás echará de menos (sus dueños piensan, extrañamente, que se la comió la impresora, por lo que la volvieron a imprimir).

La conclusión lógica a este pequeño episodio es que dedicamos muchos esfuerzos en implantar medidas de seguridad técnicas, como cortafuegos, controles de acceso lógico, sistemas de monitorización, o detectores de intrusos, para asegurarnos de que las personas no autorizadas puedan acceder a información sensible de la empresa. Sin embargo, muchas veces nos olvidamos o dedicamos menos esfuerzos en la implantación de medidas menos técnicas y más organizativas, como podrían ser destructoras de papel, controles de acceso físico, políticas para el uso correcto de las impresoras y faxes, política de mesas limpias…

Ahora, acérquese a su impresora. Quizá descubra algún tesoro oculto sin dueño.

Leído en:
http://www.securityartwork.es/



Otras noticias de interés:

Publicado el primer borrador de la licencia GPL v3.0
El primer borrador público de la versión 3 de la licencia GPL acaba de ser publicado, junto con una explicación de las razones de los cambios introducidos. Las primeras reacciones, a pesar de la anticipada polémica...
INTECO: Qué son las vulnerabilidades del software?
Una vulnerabilidad del software es un fallo de seguridad en una aplicación a través de la cual, un atacante puede llegar a comprometer la seguridad de todo el sistema sobre el que se ejecuta esa aplicación. ...
Actualización para Mozilla, Firefox y Thunderbird, y recompensas en metálico
Se ha publicado una actualización para Mozilla, Firefox y Thunderbird que elimina todos los problemas de seguridad conocidos en dichas plataformas....
Se inaugura el mes de los fallos en el núcleo
Como ya hiciera HD Moore en julio con su mes de los fallos en los navegadores, otro investigador relacionado con el proyecto Metasploit ha desarrollado la iniciativa month of the kernel bugs que ha decidido encuadrar en noviembre. La idea ser...
Pérez Martí: Software libre es ejemplo del éxito del modelo solidario
El software libre (SL) es un tremendo ejemplo del éxito del modelo solidario de producción y distribución de bienes entre las comunidades que trabajan para sí mismas, según lo aseguró el vocero de la Asociación Venezolana por el Software Libre...
El 50% de los ataques a Internet proceden sólo de cuatro países
Un informe sobre el estado de Internet en el mundo revela que el 50% de los ataques de denegación de servicio que sufre la red proceden de sólo cuatro países: China, Estados Unidos, Taiwan y Venezuela. Asimismo, el informe, elaborado por la empres...
Fallo de seguridad en WebGL
Context Information Security, la empresa que ha descubierto el problema, asegura que el fallo no está limitado a un navegador en particular y recomienda a los directores de TI que deshabiliten esa opción....
Cuando un antivirus es peor que la enfermedad
El software antivirus puede causar más dolores de cabeza que el propio gusano. Eso es lo que afirma Fabio Gomes de Souza, un operador de sistemas de Brasil, en un mensaje a una lista sobre vulnerabilidades. ...
Posible ejecución de código (sin parche) en Firefox 3.6
La reputada compañía rusa de seguridad Intevydis, asegura conocer una vulnerabilidad del navegador Firefox que puede permitir la ejecución de código arbitrario con solo visitar una página web. Mozilla dice que no puede confirmar el fallo....
Vulnerabilidad a través de MHTML en Microsoft Windows
Han sido publicados los detalles acerca de una vulnerabilidad en el manejador del protocolo MHTML. El fallo podría permitir a un atacante remoto obtener información importante a través de un enlace HTML especialmente manipulado....

Brindanos
un o una


Redes Sociales

Publicidad


Gana Bitcoins desde tu casa

Categorías


Planeta Vaslibre

Blog Roll




Nube de tags

  • anonimato
  • anonimo
  • antivirus
  • apache
  • blog
  • bsd
  • bug
  • centos
  • chrome
  • cifrado
  • computer
  • debian
  • dueno
  • empresas
  • exploits
  • fedora
  • fice
  • firefox
  • forense
  • freebsd
  • gentoo
  • github
  • gnome
  • gnu
  • gpl
  • gtk
  • hack
  • hacking
  • hosting
  • impresiones
  • informatica
  • internet
  • isos
  • libre
  • licencias
  • linux
  • linuxmint
  • lxde
  • micros
  • mint
  • mit
  • mozilla
  • mysql
  • noticia
  • opensource
  • pgp
  • php
  • sabayon
  • seguridad
  • system
  • tecnologia
  • thunar
  • thunderbird
  • tor
  • troyanos
  • tware
  • ubuntu
  • underground
  • vaslibre
  • virus
  • viserproject
  • vivaldi
  • vulnerabilidad
  • vulnerabilidades
  • web
  • website
  • windows
  • xanadu
  • xfce
  • xombra