Noticias

WhatsApp avisa sobre un fallo de seguridad en varios sistemas operativos

osi - Mar, 14/05/2019 - 13:39
Publicado el: 14/05/2019 Importancia: Media Actualización Vulnerabilidad Whatsapp

Facebook ha confirmado la vulnerabilidad con CVE-2019-3568 que podría permitir a un atacante instalar software malicioso en teléfonos de las víctimas a través de una simple llamada telefónica. Se recomienda actualizar a la última versión de Whatsapp disponible que parchea dicha vulnerabilidad.

Categorías: Noticias

Nueva campaña de phishing que suplanta la identidad de PayPal

osi - Lun, 13/05/2019 - 18:05
Publicado el: 13/05/2019 Importancia: Media Fraude PayPal Phishing

Se ha detectado una campaña de correos electrónicos que intentan suplantar a la empresa intermediaria de pagos PayPal.

El correo avisa al usuario de que su cuenta ha sido bloqueada y solicita actualizar información. En el cuerpo del mensaje se facilita un enlace para poder acceder a una página falsa de acceso a su cuenta de PayPal, a través de la cual se solicitan las credenciales de usuario y los datos personales y bancarios vinculados a la cuenta.

Categorías: Noticias

La AEPD publica el listado de tratamientos en los que es obligatorio realizar una evaluación de impacto

ccn-cert - Vie, 10/05/2019 - 06:15
  • Las organizaciones que tratan datos están obligadas a realizar una evaluación de impacto cuando sea probable que ese tratamiento entrañe un alto riesgo para los derechos y libertades de las personas.
  • El listado completo de estos tratamientos puede consultarse aquí

La Agencia Española de Protección de Datos (AEPD) ha publicado el listado de tratamientos de datos personales en los que es obligatoria la realización de una evaluación de impacto. El Reglamento General de Protección de Datos (RGPD) establece en su artículo 35.1 que las organizaciones que tratan datos tienen obligación de realizar una Evaluación de Impacto relativa a la Protección de Datos (EIPD) con anterioridad a la puesta en funcionamiento de dichos tratamientos cuando sea probable que, en función de su naturaleza, alcance, contexto o fines, entrañen un alto riesgo para los derechos y libertades de las personas.

Por otro lado, el apartado 4 de ese mismo artículo prevé que cada autoridad de control establezca y publique una lista de los tipos de operaciones de tratamiento que requieran de una evaluación de impacto. Esta lista tiene, por tanto, la finalidad de ofrecer seguridad a los responsables respecto a cuáles son los tratamientos en que siempre se considerará que es probable que exista un alto riesgo. También de acuerdo con lo previsto por el RGPD, la lista ha sido comunicada al Comité Europeo de Protección de Datos, que ha emitido un dictamen favorable sobre ella, siguiendo los criterios establecidos en la valoración de todas las listas remitidas por las autoridades nacionales.

La Agencia ha definido que será necesario realizar una EIPD en la mayoría de los casos en los que en los que el tratamiento cumpla con dos o más criterios de la lista, entre los que se encuentran la realización de perfilado; observación, geolocalización o control de forma sistemática y exhaustiva; el uso de datos biométricos para identificar de forma unívoca a una persona; datos que permitan determinar la solvencia patrimonial o procesamiento de identificadores únicos que permitan identificar usuarios de servicios de la sociedad de la información como pueden ser los servicios web, televisión interactiva o aplicaciones móviles, entre otros tratamientos. Cuantos más criterios reúna el tratamiento en cuestión, mayor será el riesgo que entrañe y mayor la certeza de la necesidad de realizar una Evaluación de impacto.

Las Evaluaciones de impacto

El Reglamento establece que en aquellos casos en los que sea probable que los tratamientos entrañen un alto riesgo para los derechos y libertades de las personas físicas incumbe al responsable del tratamiento realizar una evaluación de impacto relativa a la protección de datos, que evalúe, en particular, el origen, la naturaleza, la particularidad y la gravedad del riesgo.

Como herramienta de ayuda al cumplimiento, la Agencia presentó con anterioridad a la aplicación del RGPD las guías de Análisis de Riesgo y Evaluación de Impacto en la Protección de Datos. La Guía de Evaluación de Impacto en la Protección de Datos ayuda a las organizaciones a identificar las actividades que conllevan un alto riesgo, afrontar y gestionar los posibles peligros antes de que produzcan y establecer las medidas de control más adecuadas para minimizar el mismo antes de iniciar el tratamiento. En el proceso de la evaluación, la organización debe conocer para qué y cómo se van a utilizar los datos, identificar, evaluar y tratar los riesgos potenciales y elaborar un plan de acción donde se incluyan las medidas de control para garantizar los derechos y libertades de las personas.

AEPD (06/05/2019)

Más información

 

Categorías: Noticias

Desmantelada en España una banda que blanqueaba capitales a través de criptomonedas

ccn-cert - Jue, 09/05/2019 - 08:19
  • La policía española, con ayuda de la Europol, ha desarticulado una red internacional que ofrecía servicios de blanqueo de dinero a organizaciones criminales. Un total de ocho personas han sido arrestadas por la Guardia Civil.

La Guardia Civil española ha desarticulado, con el apoyo de la Europol, una banda delictiva con ramificaciones internacionales, que ofrecía servicios de blanqueo de dinero por encargo a organizaciones criminales.

Tras un operativo desplegado en Madrid, las autoridades policiales españolas detuvieron a ocho sospechosos, quienes presuntamente usaron varios métodos para legitimar capitales provenientes del narcotráfico y otras actividades delictivas. Ente ellos, se incluye el intercambio de moneda fiduciaria por criptomonedas para dificultar el rastreo de los fondos, según explica Europol en el comunicado que lanzó el pasado miércoles.

La operación se encubría tras un modesto servicio de telefonía e Internet ubicado en Madrid, en el cual se instalaron dos cajeros automáticos (ATM) de criptomonedas. De acuerdo con la información, la banda logró blanquear 9 millones de euros a través de transacciones con criptomonedas.

El ‘modus operandi’ de los implicados incluía la técnica de smurfing o pitufeo, que consiste en dividir los montos en cantidades pequeñas, depositadas en varias cuentas bancarias controladas por los delincuentes. El dinero finalmente se intercambiaba por criptomonedas y se enviaba a direcciones de las organizaciones delictivas en plataformas de intercambio.

Se cree que la organización operaba desde hace unos cuatro años, blanqueando dinero para organizaciones delictivas, principalmente de Colombia. Según el comunicado de Europol, el operativo fue un seguimiento de la operación Guatuzo, que resultó en la detención de 23 personas entre España y Colombia a mediados de 2018.

Más información: Europol y Criptonoticias

 

Categorías: Noticias

10kBlaze, Exploits que están afectando a miles de empresas que utilizan aplicaciones SAP

ccn-cert - Mar, 07/05/2019 - 11:07
  • Se ha detectado una gran actividad de ataques dirigidos a las empresas que utilizan SAP como sistema de gestión. A partir de una herramienta 10kblaze (pysap) que aprovecha errores de configuración conocidos de hace más de 10 años.  

A raíz de la actualización de la herramienta pysap, las charlas de la conferencia OPCDE de Mathieu Geli y Dmitry Chastuhin, y de la publicación de las pruebas de concepto (PoC) del exploit dirigido a aplicaciones SAP ha aumentado exponencialmente los ataques a dichos sistemas.

Este ataque denominado 10kblaze no aprovecha ninguna vulnerabilidad conocida en el código de SAP, sino que su efecto se causa a partir de un problema de configuración de las ACL (Listas de control de acceso) se los servidores Message y Gateway, ya conocido desde 2005.

Se estima que 50.000 sistemas son vulnerables a esta explotación a partir de dichas configuraciones erróneas. Los exploits pueden darle al atacante un compromiso total de la plataforma, con la opción de alterar, extraer o modificar información confidencial de aplicaciones comerciales como SAP Business Suite, SAP ERP, SAP CRM, SAP S/4HANA, SAP Solution Manager, SAP GRC Process and Access Control, SAP Process Integration/ Exchange Infrastructure (PI/XI), SAP SCM, y SAP SRM, entre otros.

Lo más preocupante es que un atacante tan solo necesita acceso a la IP y el puerto donde está corriendo el servicio y sería posible ejecutar código remoto en el servidor si este es vulnerable.

El problema con las ACL se produce porque SAP deshabilita esta opción en NetWeaver por defecto para permitir que las empresas adapten su producto a las necesidades de sus clientes.

Para mitigar el error de configuración es posible consultar las SAP Security Notes 821875 (2005), 1408081 (2009) y 1421005 (2010). En ellas se detallan los pasos necesarios para configurar las ACL en los servidores SAP Gateway y Message (es necesario iniciar sesión).

Más información:

Categorías: Noticias

El Departamento de Seguridad Nacional de EE.UU. insta a reducir el tiempo para actualizar las vulnerabilidades

ccn-cert - Lun, 06/05/2019 - 09:14
  • La Agencia de Ciberseguridad y Seguridad de la Infraestructura (CISA) del Departamento de Seguridad Nacional (DHS) de EE. UU. ha dado a las agencias gubernamentales un plazo de 15 días para actualizar las vulnerabilidades críticas.

El Departamento de Seguridad Nacional (DHS) estadounidense ha reducido el tiempo inicial del que disponían las agencias gubernamentales para actualizar sus vulnerabilidades críticas, 30 días, a un plazo de 15 desde que estas fueron detectadas.

La Agencia de Ciberseguridad y Seguridad de la Infraestructura (CISA) lanzó una nueva Directiva Operativa Vinculante (BOD) 19-02 dando instrucciones a las agencias federales y departamentos para actualizar estas vulnerabilidades en el plazo señalado, y mantiene el plazo de 30 días para dar solución a los fallos severos encontrados.

“Mientras que las agencias federales no cesan de aumentar su presencia en Internet por medio de la implementación de sistemas complejos e interconectados, es más importante que nunca que estas solucionen las vulnerabilidades encontradas lo antes posible pues, de no ser así, estas podrían permitir a ciberdelincuentes comprometer sus redes”, asegura en un comunicado el director de la CISA Chris Krebs.

The Hacker News (01/05/2019)

Más información

 

Categorías: Noticias

Desmantelada en Alemania la segunda mayor plataforma global de venta en la "Dark Web""

ccn-cert - Vie, 03/05/2019 - 11:40
  • La Europol, la Oficina Central para la lucha contra la Delincuencia en Internet (ZIT) de la Fiscalía de Fráncfort y la Oficina Federal de Investigación Criminal alemana (BKA), así como autoridades policiales de Estados Unidos y Holanda han participado en diversas investigaciones que han llevado a varias detenciones y al cierre de plataformas ilegales.

La Fiscalía y la policía alemanas informaron el viernes, 3 de mayo, de la detención de tres hombres sospechosos de administrar la segunda mayor plataforma de venta ilegal a nivel global en la denominada "internet oscura" (darknet), que funcionaba bajo el nombre de "Wall Street Market".

Los tres alemanes, de 22, 29 y 31 años, fueron detenidos entre el 23 y el 24 de abril y durante los registros de sus viviendas, los agentes de la Oficina Federal de Investigación Criminal (BKA) se incautaron de más de 550.000 euros en efectivo, criptomonedas bitcoin y monero en una cantidad de centenares de miles y varios vehículos de gama alta.

Asimismo, la policía se incautó de los servidores de la plataforma y de otras numerosas pruebas, como ordenadores, soportes de datos y un arma de fuego que hallaron en la vivienda del sospechoso de 22 años.

A través de esta plataforma, accesible únicamente a través de la red TOR se comerciaba principalmente con drogas -entre ellas cocaína, heroína, cánnabis y anfetaminas-, datos confidenciales, documentos falsificados y software dañino.

La plataforma contaba hasta su cierre con más de 63.000 ofertas de venta activas, así como más de 1.150.000 cuentas de clientes y más de 5.400 vendedores.

Europol (3/05/2019)

Más información

 

 

Categorías: Noticias

Páginas

Subscribe to Asociación Valenciana de Informáticos de Sanidad agregador: Noticias