Ciberdelincuentes ven un tesoro en LinkedIn


Los datos que publicas en la red social son sumamente valiosos para los piratas informáticos; conforme la base de información es más grande, el valor para los Ciberdelincuentes también aumenta.





Si usas la red social LinkedIn, probablemente has dicho en qué lugar trabajas, a qué te dedicas y con quiénes laboras. Esa información es una mina de oro para los Ciberdelincuentes, cada vez más sagaces en el uso de esos datos públicos (pero personales) para dirigir sus ataques.

El método, conocido como "spear phishing" (pesca con arpón) provocó dos violaciones de seguridad en empresas de alto perfil: un ataque a Gmail que afectó a varios altos funcionarios del Gobierno estadounidense y un ataque a la empresa RSA, cuyos tokens de autenticación SecurID son usados por millones de personas. En ambos casos, los atacantes engañaron a las víctimas para que abrieran archivos adjuntos en correos que parecían provenir de fuentes confiables o colegas.

Los investigadores no han revelado cómo fue que los Ciberdelincuentes reunieron información de sus víctimas, pero en la conferencia de seguridad RSA del mes pasado, los peligros de las redes sociales -y de LinkedIn en particular- fueron un tema recurrente. Docenas de conferencistas dijeron que dicho sitio de contactos profesionales podría ser una potente arma para los delincuentes cibernéticos.

"Los empresarios usan LinkedIn para fines de investigación, los cazatalentos los usan para reclutar. ¿Por qué no habrían de usarlo también los agentes de inteligencia chinos para la pesca con arpón?", se pregunta el experto en seguridad Ira Winkler, autor del libro "Spies Among Us".

Gran parte del debate sobre los riesgos de LinkedIn fue teorético, pero en un estudio de caso, el hacker Ryan O'Horo demostró cómo usó esa red social para irrumpir en la red corporativa de uno de sus clientes.

O'Horo es asesor de seguridad de IOActive, una firma que ofrece servicios para evaluar la vulnerabilidad informática de quienes la contratan. Su cliente, "una compañía importante con decenas de miles de empleados," contaba con protecciones técnicas de primera categoría. "Así que tuvimos que llevarlo al siguiente nivel", narra O'Horo al referir sus esfuerzos para violar la red.

El experto creó una cuenta falsa en LinkedIn, fingiendo ser un empleado de la compañía. Atiborró el perfil con detalles realistas (una historia laboral creíble y una lista de sus aptitudes) agregando otros datos plausibles, como una membrecía en la liga local de hockey. Desde esta cuenta falsa, O'Horo envió 300 solicitudes de contacto a empleados reales de la compañía, 66 de ellas fueron aceptadas.

Lo siguiente que hizo O'Horo fue pedir acceso a un foro privado de discusión en LinkedIn creado por los trabajadores de la compañía. El moderador del grupo le concedió la entrada sin siquiera revisar un directorio de la empresa para confirmar su identidad. "Ahora tenía una audiencia de 1,000 empleados de la compañía. En el muro del grupo publiqué un enlace que pretendía ser una página de registro en versión beta para un nuevo proyecto. En dos días obtuve 87 hits - 40% de ellos desde dentro de la red corporativa," cuenta.

O'Horo fue desenmascarado tres días después de su ataque en LinkedIn: un empleado avispado descubrió que él no trabajaba en la empresa y dio la voz de alarma. Pero el daño ya había sido expuesto.

"Les sorprendió que ese grupo existiera", comenta O'Horo sobre la respuesta de su clienta al reporte de vulnerabilidad. "No se trataba de un grupo formal de la compañía, nadie lo supervisaba ni había políticas que cubrieran ese aspecto de su presencia social. La gente a cargo de la seguridad de la información no sabía que existía".

Los Ciberdelincuentes, sin embargo, ni siquiera tienen que esforzarse tanto para aprovechar la mina que les ofrece LinkedIn. Los usuarios del sitio muestran abiertamente muchos datos valiosos.

En la conferencia de seguridad DefCon celebrada el verano pasado, un grupo de Ciberdelincuentes de "ingeniería social" organizó un juego en el cual los participantes tenían que engañar a los empleados de más de una docena de compañías importantes (entre ellas Apple, AT&T, Calmar y United Airlines) para que revelaran información corporativa confidencial. El recurso más usado, aparte de Google, fue LinkedIn.

Algunas personas divulgaron en sus perfiles información técnica específica sobre la infraestructura de su empleador, mientras que otros ofrecían detalles que podían ser utilizados para ataques furtivos. Por ejemplo: si sabes los nombres de los colegas de tu víctima, puedes fácilmente falsear un email para que parezca que lo envía uno de ellos.

LinkedIn, por su parte, dice que exhorta a los usuarios para que piensen con cuidado la información que eligen publicar. "Les recomendamos a los miembros conectar sólo con las personas que conocen y confían. Por supuesto, todos los internautas deberían estar conscientes del hecho de que hay personas malas que desafortunadamente recurren a cosas como los ataques phishing, y las personas deberían aplicar el sentido común y las herramientas disponibles para asegurarse de no caer presas", explica el portavoz de la compañía, Richard George.

Empero, la vulnerabilidad de LinkedIn está indisociablemente unida a su crecimiento. Al presente, el sitio tiene 150 millones de usuarios (casi el doble de los que tenía hace un año). Y conforme su base de datos es más rica, su valor crece tanto para los miembros como para quienes quieren embaucarlos.

El experto en seguridad Rob Rachwald monitorea con regularidad las conversaciones en los sitios y foros donde se reúnen los Ciberdelincuentes para intercambiar tips. Y la relevancia de LinkedIn es cada vez mayor, dice. Para ilustrar el punto, recolectó una serie de mensajes publicados en el sitio HackForums.net. Una persona pedía que alguien penetrara en una cuenta LinkedIn específica, mientras que otros anunciaban que tenían "verdaderas conexiones LinkedIn" a la venta.

"Los Ciberdelincuentes van a donde va la gente. Cuando Facebook crecía, allí iban. A medida que LinkedIn crece, allí es a donde van".

Fuente:
http://www.cnnexpansion.com/



Otras noticias de interés:

Metal Gear: proyecto para control de redes sociales
Anonymous ha destapado el proyecto Metal Gear del ejército de Estados Unidos, que pretende construir identidades falsas en Internet con el fin de difundir propaganda. Lo hará con la ayuda un 'software' que creará perfiles en Facebook o Twitter par...
Revista Digital El Derecho Informático Nº 7 - Abril
El Número 7 (Abril 2011) de la Revista Digital El Derecho Informático del sitio elderechoinformatico.com esta listo para su lectura online o descarga: Entre los temas podrá encontrar: ...
Oracle no participará con LibreOffice
La respuesta de Oracle a LibreOffice no se ha hecho esperar.. y ha sido un rotundo y político NO....
Llegan los programas de pares secretos
Se acerca una nueva generación de programas de pares, cuya principal característica consistirá en salvaguardar la intimidad de sus usuarios y mantener en secreto los contenidos que estos intercambian....
De leyes, de Tecnologías y porque no de algunos mitos del cambio
El Dr. Melvin Kranzberg era un profesor de historia de la tecnología en el Instituto de Tecnología de Georgia y fundador y editor de la revista Tecnología y cultura. En 1985, pronunció el discurso presidencial en la reunión anual de la Sociedad ...
Microsoft no demandará a GNU/Linux, por el momento
Microsoft ha querido dejar bien claro, después del revuelo que se ha montado con la comunidad Linux por el asunto de las patentes, que la compañía no tiene planes de entrar en litigios....
IBM eleva seguridad con chip codificador
Con la intención de elevar el nivel de seguridad de la información en las computadoras portátiles, teléfonos celulares y otros artefactos, IBM presentará un método para insertar funciones codificadoras en los circuitos de las máquinas....
MyDoom logra tumbar a SCO
Este domingo día 1 de febrero el troyano MyDoom sale de su letargo y consigue tumbar la página de SCO Group con un bombardeo masivo de datos. En un comunicado publicado la mañana del domingo, la compañía con sede en Utah confirmó que MyDoo...
Actualizaciones de seguridad para Sun Java
Sun ha anunciado actualizaciones de seguridad para dos vulnerabilidades en Java, que podrían poner en peligro los equipos de los usuarios que tengan instaladas las versiones afectadas (Windows y Linux). ...
¿ Sabes, Que es un Zettabyte ?.
Todos conocemos un bit, un byte, un Kilobyte, incluso algunos más avezados un Megabyte y un Gigabyte... ¿ Pero sabes lo que es un Zettabyte ?....

Brindanos
un o una


Redes Sociales

Publicidad


Gana Bitcoins desde tu casa

Categorías


Planeta Vaslibre

Blog Roll




Nube de tags

  • anonimato
  • anonimo
  • antivirus
  • apache
  • blog
  • bsd
  • bug
  • centos
  • chrome
  • ciberdelincuentes
  • cifrado
  • computer
  • debian
  • exploits
  • fedora
  • fice
  • firefox
  • forense
  • freebsd
  • gentoo
  • github
  • gnome
  • gnu
  • gpl
  • gtk
  • hack
  • hacking
  • hosting
  • informatica
  • internet
  • isos
  • libre
  • licencias
  • linkedin
  • linux
  • linuxmint
  • lxde
  • micros
  • mint
  • mit
  • mozilla
  • mysql
  • noticia
  • opensource
  • pgp
  • php
  • sabayon
  • seguridad
  • system
  • tecnologia
  • tesoro
  • thunar
  • thunderbird
  • tor
  • troyanos
  • tware
  • ubuntu
  • underground
  • vaslibre
  • ven
  • virus
  • viserproject
  • vivaldi
  • vulnerabilidades
  • web
  • website
  • windows
  • xanadu
  • xfce
  • xombra