El clásico “los niños vienen con un pan debajo del brazo” se ha transformado en los últimos años con la era digital en un “los niños vienen con un smarthphone debajo del brazo”, y podemos ampliar este término a portátil, tablet o cualquier otro dispositivo con el que poder interactuar a través de una pantalla y que, por supuesto, tiene conexión a Internet. Si bien, según el estudio realizado por Net Children Go Mobile, la edad media de acceso a Internet se establece en los 7 años.
Actualmente, todos tenemos acuñado el término nativos digitales, haciendo referencia a esta generación de usuarios acérrimos a la tecnología desde prácticamente la cuna, pero ¿ser nativo digital es sinónimo de saber hacer un uso seguro y responsable de la tecnología? La respuesta es no.
No podemos confundir, ni negar que una cosa es saber cómo usar un dispositivo, refiriéndonos a como “tocarlo”, y otra muy distinta y alejada, es saber cómo usarlo de forma segura y cómo prevenir y actuar ante los posibles riesgos con los que nos podamos encontrar. Para ello, es vital tener una madurez y formación adecuada en cuanto a ciberseguridad se refiere.
¿Cuáles son los primeros usos de la tecnología que hacen los más pequeños? De forma general, comienzan a tener un dispositivo en sus manos para visualizar contenido audiovisual y jugar online. Actividades aparentemente inofensivas pero que, como todo, puede conllevar unos riesgos tales como el consumo de contenidos no apropiados para su edad, el uso excesivo o el contacto inadecuado con otras personas, conocidos o no, a través de Internet.
Teniendo en cuenta estas premisas y atendiendo a la demanda de materiales de concienciación en ciberseguridad adecuados para estas edades tempranas, hemos desarrollado la Unidad Didáctica “Comenzamos con Ciberseguridad” destinada a menores comprendidos entre los 5 y los 8 años. De forma novedosa, este es el primer contenido concreto y específico para este rango de edad que ponemos a vuestra disposición dentro de nuestro catálogo de recursos.
Con esta nueva incorporación al catálogo, son ya seis las Unidades Didácticas disponibles. Entre todas ellas se abarcan las principales problemáticas relacionadas con el uso de Internet por parte de los menores; el respeto online, el cuidado de la privacidad, la protección de dispositivos, el desarrollo de un espíritu crítico en Internet y aprender a contrastar la información son algunas de las temáticas que se tratan.
Cada una de ellas está compuesta por dos sesiones de trabajo, para realizar en el aula a través de divertidas dinámicas y poner en práctica competencias clave como la comunicación lingüística, la competencia digital y aprender a aprender, entre otras. Para facilitar la labor del docente y poder preparar el desarrollo de cada sesión, se incluye una amplia información de apoyo y a modo de guion explicando cómo aplicar metodologías para el aprendizaje de forma motivadora, además de los materiales imprimibles necesarios.
La principal misión de esta nueva Unidad Didáctica es que los menores puedan tener un primer contacto con la ciberseguridad para evitar riesgos y aprendan a utilizar las tecnologías de forma segura y positiva. Está compuesta por dos actividades distintas:
- ¿Y tú qué ves en Internet? Con el objetivo de prevenir el acceso a contenidos inapropiados y reforzar positivamente el uso responsable y equilibrado de la visualización de contenidos. Se propone una actividad donde los alumnos deberán crear un mural con consejos sobre qué hacer y cómo actuar si se encuentran con contenidos inapropiados mientras navegan en Internet.
- Juegas en línea. Prevenir los riesgos en los juegos con conexión a Internet y fomentar el respeto y la capacidad crítica en las comunicaciones online son los principales objetivos de esta actividad. Para ello, se facilita un juego de cartas donde cada alumno deberá asumir el rol que le ha tocado; policía, ciberdelincuente, centro de ayuda, jugadores… la partida termina cuando el policía identifica al ciberdelincuente o bien este elimina al resto de jugadores.
¿Conocías las Unidades Didácticas?, ¿has puesto alguna en práctica? ¡Cuéntanos tus experiencias!
Nota de DavidHellin: La noticia es original de OSI
Actualmente la tecnología que poseemos en nuestros hogares nos permite continuar con nuestras «tareas de oficina» cuando llegamos a casa. Abrir el correo de la empresa para estar al día de las últimas notificaciones recibidas, realizar un pedido a uno de nuestros proveedores o actualizar la lista de clientes son solo algunas de las tareas corporativas que podemos realizar cómodamente desde nuestro hogar. Hasta aquí todo parecen ventajas pero, ¿y si hablamos de la seguridad? ¿Tomamos en casa las mismas precauciones que en la oficina? ¿Realmente conocemos todas las medidas de seguridad que necesitamos? Por si acaso, toma nota y sigue nuestros consejos.
Actualmente la tecnología que poseemos en nuestros hogares nos permite continuar con nuestras «tareas de oficina» cuando llegamos a casa. Abrir el correo de la empresa para estar al día de las últimas notificaciones recibidas, realizar un pedido a uno de nuestros proveedores o actualizar la lista de clientes son solo algunas de las tareas corporativas que podemos realizar cómodamente desde nuestro hogar. Hasta aquí todo parecen ventajas pero, ¿y si hablamos de la seguridad? ¿Tomamos en casa las mismas precauciones que en la oficina? ¿Realmente conocemos todas las medidas de seguridad que necesitamos? Por si acaso, toma nota y sigue nuestros consejos.
Cómo teletrabajar de manera segura
- No regales tus datos a la primera de cambio. Protege tu equipo y tus dispositivos móviles con credenciales de acceso y diferencia tus cuentas personales de las profesionales. Recuerda utilizar siempre contraseñas robustas y el doble factor de autenticación siempre que sea posible.
- Mantén los sistemas operativos y las aplicaciones actualizados, tanto los que usas profesionalmente como a nivel usuario. Instala software de repositorios oficiales y nunca olvides disponer de un antivirus.
- Cifra tus soportes de información para proteger los datos de tu empresa de posibles accesos malintencionados y garantizar así su confidencialidad e integridad.
- Realiza copias de seguridad periódicas de todos tus soportes para garantizar la continuidad de negocio en caso de que ocurra cualquier incidente de seguridad o cualquier otro posible desastre (robo o pérdida del dispositivo, avería, etc…). Comprueba regularmente que estas copias pueden restaurarse.
- Si necesitas acceder a la información almacenada en los equipos de la empresa, evita el uso de aplicaciones de escritorio remoto. Estas herramientas pueden crear puertas traseras (backdoors) a través de las cuales podría comprometerse el servicio o las credenciales de acceso de usuario y por lo tanto permitir el acceso a los equipos corporativos. Además, al usar este tipo de aplicaciones aceptamos ciertos términos y condiciones de uso que podrían otorgar algún tipo de «privilegio» a las mismas sobre nuestros equipos e información.
- En lugar de las aplicaciones de escritorio remoto, conéctate a tu empresa de forma segura a través de una red privada virtual o VPN, del inglés Virtual Private Network. De este modo, la información que intercambiamos entre nuestros equipos viaja cifrada a través de Internet. Documéntate sobre las diferentes opciones para elegir una VPN segura y que mejor se adapte a tu organización.
- Si en casa disponemos de conexión Wifi, debemos asegurarnos de que la configuración es correcta y segura. Así evitaremos que un ciberdelincuente pueda conectarse a ella y robar nuestra información o la de nuestros clientes.
- Recuerda que aunque trabajes desde casa, siempre debes garantizar la seguridad de tus datos y cumplir con las exigencias de seguridad marcadas por la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD).
- Si utilizas dispositivos móviles (smartphones, tablets, ordenadores portátiles, etc.) para acceder a tu información corporativa, instala aplicaciones de administración remota. En caso de robo o pérdida, te permiten localizarlo o realizar un borrado de los datos si fuera necesario.
- Si no dispones de una VPN, cuando viajes evita el uso de redes wifi públicas (hoteles, cafeterías, aeropuertos, etc.), utiliza las conexiones 4G/5G en su lugar y accede a servicios utilicen comunicaciones seguras (SSL, HTTPS, etc.).
- Cuando la información deje de ser necesaria para tu organización, debes borrarla de forma segura. Si se trata de soportes no electrónicos (papel, negativos fotográficos, radiografías, etc.) será necesario utilizar una trituradora. Para los soportes electrónicos utiliza el proceso de sobrescritura, si quieres reutilizar el dispositivo, o el de desmagnetización o destrucción física, en el caso de que quieras desecharlo.
Si tu casa a veces también es tu oficina, ahora ya sabes cómo protegerla. ¡Protege tu empresa esté donde esté!
Etiquetas:
Protección información, Protección clientes, Protección puesto de trabajo, Salud, Protección, Logística, Ocio, Servicios profesionales, Industria, Comercio mayorista, Buenas prácticas, Asociaciones, Comercio minorista, Empresa, Educación, Cumplimiento legal, Construcción, Continuidad de negocio
Nota de DavidHellin: La noticia es original de INCIBE
El 14 de enero de 2020 Windows 7 dejará de tener soporte técnico, llega el momento de migrar a un nuevo sistema operativo.
Windows 7 es uno de los sistemas operativos de Microsoft que mejor aceptación y uso ha tenido en los últimos años. No obstante, a partir del próximo 14 de enero de 2020, dejará de contar con actualizaciones, según informan desde su página oficial. Si utilizas este sistema operativo en tu empresa, busca una alternativa antes de que termine el soporte oficial.
¿Qué sucederá si continuo con Windows 7 después de este fin de soporte?
En 2020, a partir del 14 de enero, utilizar Windows 7 tendrá aparejado un riesgo para la privacidad y seguridad de la organización, debido a varios factores:
- Microsoft dejará de solucionar cualquier problema o fallo de seguridad que se descubra. Esto conlleva graves implicaciones sobre la seguridad y privacidad de los equipos, ya que las vulnerabilidades descubiertas no serán parcheadas y los ciberdelincuentes podrán valerse de ellas para comprometer el equipo. Además, tampoco recibirás nuevas funcionalidades ni mejoras a las ya existentes.
- El hardware poco a poco dejará de ser compatible. Los fabricantes de hardware (impresoras, micrófonos, TPV, etc.), dejarán de desarrollar componentes compatibles con Windows 7.
- El software también dejará de ser compatible. El software, al igual que sucede con el hardware, dejará con el tiempo de ser compatible, ya que no será rentable invertir en desarrollos para un sistema operativo obsoleto. Esto, además de afectar a la funcionalidad de las herramientas, también afectará a la seguridad del equipo. Al dejar de recibir actualizaciones no se corregirán los errores y fallos de seguridad descubiertos.
¿Cómo migro a un nuevo sistema operativo?
Para migrar de Windows 7 a un nuevo sistema operativo evitando contratiempos o deterioros en la calidad del servicio, habrá que llevar a cabo una serie de pasos y comprobaciones.
Realizar un inventariado de software y hardware existente
El primer paso será realizar un inventariado de todo el software y hardware existente en la empresa. Este paso será de vital importancia, ya que esto nos permitirá verificar con antelación si el nuevo sistema operativo seleccionado es compatible o no.
Determinar a qué sistema operativo se quiere migrar
Para determinar el sistema operativo al que migrar hay que realizar una serie de comprobaciones previas:
- si el hardware utilizado en los ordenadores y periféricos es compatible con el nuevo sistema operativo;
- si el software utilizado en Windows 7 es compatible con el nuevo sistema operativo; y en caso de no serlo, si existen versiones o alternativas a ese software para el nuevo sistema operativo.
Principalmente, existen tres tipos de sistemas operativos a los que se podría realizar la migración: Windows (actualizando la versión), Chrome OS, Mac OSx, Linux u otro basado en Unix. Determinar qué sistema operativo seleccionar dependerá de las necesidades de cada empresa, ya que cada sistema cuenta con una serie de ventajas y desventajas con respecto a los otros dos.
Realizar pruebas en un entorno controlado
Antes de migrar el equipo utilizado por un trabajador es recomendable realizar pruebas en un entorno controlado, que deberá contar con los mismos componentes de software y hardware que se utilizarán en los equipos finales. Una vez se comprueba que todos los sistemas y aplicaciones necesarios (nóminas, facturación, CRM, producción, etc.) funcionan en un entorno de pruebas, podremos pasar a actualizar los equipos de los empleados.
Problemas con el antiguo software y posibles soluciones
El sistema operativo Windows cuenta con modo de compatibilidad que permite ejecutar aplicaciones antiguas válidas únicamente hasta una determinada versión de Windows en sistemas operativos modernos.
Cuando el software utilizado en la empresa únicamente es compatible con Windows 7, y ésta decide migrar a otro sistema operativo que no sea Windows, existe la posibilidad de hacer uso de lo que se conoce como virtualización. Esto permitirá crear una versión virtual de Windows 7 dentro de otro sistema operativo. Es importante saber que aunque se virtualice el sistema operativo seguirá contando con los mismos problemas de seguridad fruto de la falta de actualizaciones. Si optamos por esta solución, lo ideal será aislar de la red el ordenador con el sistema operativo vulnerable.
Establecer la estrategia de migración
Se ha de definir el orden en el que se actualizarán los equipos al nuevo sistema operativo. Éste dependerá de las necesidades de la empresa, aunque es recomendable buscar la estrategia que tenga el menor impacto posible.
Ofrecer formación a los empleados sobre el nuevo sistema operativo
Aunque la mayoría de sistemas operativos actuales cuentan con interfaces «amigables» de fácil manejo, cambiar de sistema operativo siempre es traumático. Permitir que los empleados puedan formarse en las nuevas características del sistema operativo permitirá una adaptación mucho más rápida y simple para el desempeño de sus funciones.
Realizar copias de seguridad
Para asegurarse que no se pierde ningún dato en el proceso de migración hay que realizar copias de seguridad de toda la información que contenga el dispositivo, tanto de documentos como la utilizada por las aplicaciones.
Si quieres más información sobre cómo realizar copias de seguridad visita nuestra guía:
Instalar el nuevo sistema
Por último, habrá que instalar el nuevo sistema operativo en los equipos, junto con todas las herramientas necesarias para que los trabajadores puedan desempeñar sus labores cotidianas. También hay que restaurar los datos de las copias de seguridad en sus equipos respectivos y comprobar que se puede acceder y trabajar con ellos.
Cambiar de sistema siempre es algo que altera las labores cotidianas, pero todas las empresas deberían tenerlo presente en su política de actualizaciones de software. Continuar utilizando Windows 7 tarde o temprano pondrá en riesgo la seguridad y privacidad de tu organización y por lo tanto su continuidad. No lo dejes para el último día, comienza a migrar a un nuevo sistema operativo.
Etiquetas:
Empresa, Continuidad de negocio
Nota de DavidHellin: La noticia es original de INCIBE
¿Te has preguntado alguna vez qué debes hacer si en tu empresa de diera algún incidente de seguridad? ¿Cuáles son los pasos que se deben seguir y en qué orden? Por muchas y muy bien implantadas que estén las medidas de seguridad en tu negocio, siempre estará presente el riesgo de que un incidente de seguridad se convierta en una realidad.
¿Te has preguntado alguna vez qué debes hacer si en tu empresa se diera algún incidente de seguridad? ¿Cuáles son los pasos que se deben seguir y en qué orden? Por muchas y muy bien implantadas que estén las medidas de seguridad en tu negocio, siempre estará presente el riesgo de que se materialice una amenaza. Por este motivo, es imprescindible contar con un plan de acción que marque las pautas a seguir en caso de que se produzca algún incidente de seguridad.
Análisis inicial. ¿Qué ha pasado?
El primer paso que se tiene que dar a la hora de afrontar un suceso de este tipo que pudiera afectar a la seguridad de la empresa, es saber qué ha pasado. Para ello, se deberán tener en cuenta los siguientes puntos:
Antecedentes
Con los datos que se poseen en el momento en el que se ha detectado el incidente, tendremos que definir el problema. Para ello, habrá que valorar los aspectos relacionados con la gravedad o criticidad, en función de la prioridad con la que necesitamos que se resuelva. También es recomendable saber si el problema tiene un origen interno o externo y sobre todo, qué tipología tiene: malware, denegación de servicio, acceso no autorizado, robo de información, daño físico, etc.
Comunicación
Una vez definido el problema, habrá que saber qué personas de la organización tienen constancia acerca del mismo. Posteriormente, saber si estos cuentan con los contactos del personal de apoyo en caso de incidente, ya sean internos o externos: soporte técnico; proveedores de servicios; perito forense; Policía Nacional o Guardia Civil, en caso de que haya que proceder con una denuncia; INCIBE-CERT, etc.
A la hora de contar con un plan de acción deberemos identificar a un responsable para su coordinación. Además, hay que saber quién o quiénes están autorizados para tomar decisiones sobre las operaciones o servicios que se hayan visto comprometidos.
Por último, asegurarse de que todos sepan cuál será el vehículo utilizado para realizar las notificaciones relacionadas con incidentes de seguridad como el e-mail, el teléfono, etc., y cada cuánto tiempo se actualizará la información relacionada con el mismo.
Alcance
Para poder hacer una valoración certera, habrá que saber qué elementos de la infraestructura se han visto comprometidos (dispositivos, equipos, servidores, redes, etc.), junto con qué procesos, aplicaciones o servicios dependen de esa infraestructura afectada.
Una vez conocido el alcance, podremos plantearnos otro tipo de cuestiones relacionadas con las implicaciones legales o contractuales (RGPD, LOPD, PCI, etc.) o si vamos a proceder a denunciarlo a las Fuerzas y Cuerpos de Seguridad del Estado (FCSE).
Revisa las acciones que se tomaron nada más detectarse el incidente
Toda precaución es poca a la hora de gestionar un incidente de seguridad. Se debe valorar su alcance y plantearse una serie de cuestiones como por ejemplo, qué hizo la persona que detectó el incidente, qué comandos o herramientas fueron utilizadas, qué medidas se tomaron para la contención del mismo, si saltaron alarmas como la del antivirus o si se revisaron los logs para localizar más entradas sospechosas, etc.
Prepara la respuesta al incidente
Toda esta información recabada, será indispensable para preparar una respuesta eficiente ante un incidente de seguridad. Sin embargo, deberemos conocer otro tipo de información:
- si se cuenta con instrucciones o guías para su gestión o con herramientas de monitorización de los sistemas afectados;
- si existen medios para transferir la infraestructura afectada (dispositivos de almacenamiento externo);
- dónde se encuentran físicamente ubicados los mecanismos o sistemas afectados;
- qué mecanismos de backup o restauración están implantados o si será necesario un análisis forense del incidente.
Fases de la respuesta a incidentes
La respuesta a incidentes es un ciclo que cuenta con las siguientes fases.
- Preparación: donde se reúnen las herramientas necesarias para el tratamiento del incidente (antimalware, comprobadores de integridad de ficheros o dispositivos, escáneres de vulnerabilidades, análisis de logs, sistemas de recuperación y backup, análisis forense, etc.).
- Identificación: dónde se detecta el incidente, se determina el alcance y se conforma una solución. Esta fase engloba a los responsables del negocio, operaciones y comunicación (contactos con soportes técnicos, CERT, peritos forenses, policía o asesores legales si fueran necesarios, etc.).
- Contención: impidiendo que el incidente se extienda a otros recursos. Como consecuencia, se minimizará su impacto (separando equipos de la red afectada, deshabilitando cuentas comprometidas, cambiando contraseñas, etc.).
- Erradicación: eliminando los elementos comprometidos, en caso de ser necesario (reinstalación de sistemas afectados o backups), previos a la recuperación.
- Recapitulación: donde se documentan los detalles del incidente. Para ello, se archivarán los datos recogidos y se debatirán las lecciones aprendidas. Se informará a los empleados y se les enseñarán las recomendaciones dirigidas a prevenir situaciones de riesgo futuras.
Son muchos los que creen que los incidentes de seguridad son “cosas de empresas grandes”, o el “eso a mí, no me puede pasar”, sin embargo, es más común de lo que pensamos. Aunque contemos con medidas preventivas y de seguridad, el riesgo de ser víctimas de un incidente de seguridad estará siempre presente. Por lo tanto, plantéate contar con un plan que te asegure saber qué hacer en caso de que tu organización y tu información se vean comprometidas.
Etiquetas:
Protección información, Buenas prácticas, Área de informática, Continuidad de negocio, Amenazas
Nota de DavidHellin: La noticia es original de INCIBE
Segunda entrada sobre cybersquatting, hoy hablamos sobre los principales fraudes y como detectar estas campañas.
Continuamos con la segunda y última entrada sobre el cybersquatting, en el artículo anterior «Cybersquatting, qué es y cómo protegerse» os indicamos varios aspectos a tener en cuenta en esta técnica maliciosa:
- Qué es el cybersquatting y en qué se diferencia del acaparamiento de dominios.
- Diferentes métodos utilizados en esta técnica.
- Qué hacer cuando se es víctima de este fraude.
Cómo detectar una campaña de cybersquatting contra tu marca
Debido a los múltiples métodos (adición, sustitución,…) empleados para aplicar esta técnica maliciosa se hace inviable comprobar todas las combinaciones posibles de forma manual, por ello sugerimos utilizar herramientas que automaticen el proceso.
Utilizando el buscador de dominios de los ISP
Los ISP, Internet Service Providers o proveedores de servicios de Internet, que ofrecen entre sus servicios alojamiento web y registro de dominios, suelen contar con herramientas que generan diferentes combinaciones de nombres de dominio. Entra en la página de un ISP y haz como si vas a contratar un dominio con ellos. Si haces una búsqueda del dominio de tu marca, la herramienta generará múltiples combinaciones que pueden ser utilizadas en campañas de cybersquatting, además estas herramientas suelen indicar los dominios ya registrados y que pueden estar cometiendo fraude.
Continuemos con el ejemplo de INCIBE, un buscador de dominios nos muestra el siguiente resultado.
Si alguno de los dominios registrados no es propiedad tuya, debes realizar una comprobación manual para ver su contenido y si se está realizando algún tipo de fraude.
Utilizando herramientas online «dnstwister»
Otra posibilidad es utilizar herramientas online como dnstwister. El funcionamiento es similar al de los registradores de dominios con la salvedad de que se obtienen más resultados y dispone de funcionalidades añadidas.
Para utilizarla únicamente hay que introducir el dominio que queremos comprobar y presionar el botón «search».
La herramienta realiza múltiples combinaciones y comprueba si han sido registradas, mostrando los resultados positivos (han sido registradas) y negativos (no están registradas). Como opciones complementarias podemos descargar el informe y también comprobar si los dominios registrados están aparcados o si han sido reportados como phishing.
Como con los resultados del buscador de dominios de los ISP, es recomendable realizar una comprobación manual para verificar el contenido de cada dominio registrado.
Tipos de fraudes relacionados con el cybersquatting
El objetivo más común de los ciberdelincuentes que realizan este tipo de técnica maliciosa es sacar provecho comercial de una forma u otra y para ello siguen alguno de estos métodos:
- El ciberdelincuente adquiere un nombre de dominio similar al de una marca comercial en concreto y a continuación se pone en contacto con la marca legítima solicitando una cantidad económica que supera los gastos normales de registro. Además, el ciberdelincuente puede utilizar diferentes técnicas para extorsionar a la víctima, como publicar contenidos que manchan la imagen de la marca.
- El ciberdelincuente puede adquirir el nombre de dominio de una marca registrada antes de que lo haga la propia marca, o si ha expirado antes de que lo renueve, evitando así que el propietario de la marca sea o siga siendo el propietario del dominio. Al igual que en el caso anterior, puede también querer vendérsela o extorsionarle.
- El ciberdelincuente adquiere un nombre de dominio similar al de la marca registrada para realizar campañas phishing con el objetivo obtener información de clientes o proveedores. También puede utilizar la imagen de la marca para ofertar productos o servicios aprovechando la difusión de la marca original.
Otra opción es que el ciberdelincuente tenga como único objetivo dar mala publicidad de la marca y de esta forma conseguir que potenciales clientes o los ya afianzados se pasen a la competencia.
El cybersquatting puede afectar a cualquier empresa dañando su imagen o robándole los clientes. Para protegerse contra esta técnica es recomendable monitorizar los nombres de dominio similares al tuyo siguiendo las recomendaciones anteriores. Así, se puede detectar este tipo de campañas fraudulentas y tomar las medidas oportunas para proteger tu marca.
Etiquetas:
Protección clientes, Web, Ciberdelito, Empresa, Fraude, Identidad online, Amenazas
Nota de DavidHellin: La noticia es original de INCIBE
Muchos usuarios que navegan por la Red utilizan contraseñas que son poco robustas y fáciles de adivinar para los ciberdelincuentes. El problema reside en que seguimos haciendo uso de las mismas sin ser conscientes de los peligros que esta práctica conlleva. Contraseñas como “12345” o “password” son solo algunos de los ejemplos de este tipo de claves “sencillas”, que más que aportarnos seguridad, ponen en riesgo todo aquello que estemos tratando de proteger.
¿Por qué seguimos utilizando contraseñas tan sencillas?
El problema reside en la cantidad de claves y combinaciones que, como usuario, debemos recordar. Cada vez que queremos registrarnos en una web o crearnos una cuenta debemos pensar en una combinación nueva de caracteres, y tendemos a repetir la misma contraseña sencilla de siempre para facilitarnos esta tarea. No es de extrañar, por tanto, que la creación de una nueva contraseña cada vez nos suponga una tarea más tediosa, repetitiva y, en muchos casos, una molestia que preferimos evitar lo más rápidamente posible.
Las contraseñas dejan de ser una herramienta de seguridad con la que sentirnos a salvo. Al final, los usuarios prefieren recurrir a claves fáciles de recordar, que son precisamente las más vulnerables.
Sin embargo, por muy tediosa que nos parezca esta tarea, es fundamental para mantener a salvo nuestras cuentas y, por tanto, nuestra información. Los riesgos a los que nos enfrentamos son mucho peores que dedicar ese tiempo extra a crear una nueva contraseña.
¿Cuál es el problema de no usar claves robustas?
Un ejemplo real con el que comprender la magnitud del problema, es el caso de un spambot, un programa destinado a la generación de correos basura o “spam”, y envío masivo de los mismos, que llegó a nuestras bandejas de entrada del correo electrónico afectando a millones de e-mails. Un estudio analizó las credenciales afectadas en busca de patrones de vulnerabilidad, y descubrió que las contraseñas más vulnerables resultaron ser combinaciones sencillas, secuencias consecutivas, repeticiones de un dígito o palabras simples como “password”.
Si quisiésemos hacer un ranking de las más vulnerables, esas serían las primeras:
Este tipo de claves, que muchos consideran la mejor opción debido a la facilidad que tenemos para recordarlas, no suponen ningún reto para los ciberdelincuentes, incluso para los menos experimentados, que son capaces de descifrarlas en cuestión de segundos. Siendo conscientes de estas listas de contraseñas “fáciles”, un ciberdelincuente siempre recurrirá a ellas como primera opción a la hora de hacerse con el control de una cuenta de usuario.
Generalmente, utilizarán programas con los que probar automáticamente todas y cada una de las claves antes de recurrir a técnicas más sofisticadas.
No podemos ignorar que el porcentaje sería mucho mayor si no existiesen políticas de seguridad aplicadas por muchos de los servicios de correo electrónico, que obligan al usuario a crear combinaciones cada vez más complejas a la hora de elegir su contraseña.
¿Qué podemos hacer los usuarios?
Según un estudio realizado por la empresa Deloitte, casi el 90% de las contraseñas de los usuarios de todo el mundo son vulnerables a los ataques de los ciberdelincuentes. A modo de pronóstico, dicho estudio defiende que algunas de las medidas que hoy en día consideramos como seguras a la hora de crear una contraseña, como utilizar una combinación de 8 dígitos de números y letras, alternar entre mayúsculas y minúsculas y recurrir a caracteres especiales no alfanuméricos, dejarán de ser tan robustas como pensamos. En poco tiempo, los ciberdelincuentes serán capaces de descifrarlas sin demasiado esfuerzo.
En palabras de Duncan Stewart, Director de investigación y coautor de dicho estudio, este tipo de pautas a la hora de mejorar la seguridad son contrarias al comportamiento humano, que tiende a reutilizar contraseñas y que por tanto, ponen en riesgo nuestra seguridad. Entonces, ¿qué medidas de seguridad adicionales podemos aplicar?
1. Tokens y otros dispositivos de autenticación. La única forma de mantener nuestras cuentas seguras sería la utilización de factores múltiples de autenticación a través de la utilización de “tokens”, el uso de los dispositivos móviles para asegurar la identificación del usuario, tarjetas de crédito o incluso las medidas de seguridad basadas en la biometría.
Existen distintos tipos de tokens:
- Basados en hardware (llaveros o tarjetas): muestran en su pantalla la contraseña generada de forma aleatoria para cada proceso de login. Realizan una operación criptográfica al pulsar un botón o conectar el dispositivo.
- Basados en software: generan contraseñas de un solo uso a través de una app en el móvil o en nuestro ordenador.
2. Teclados virtuales. Cuando tratamos de acceder a nuestra información privada desde un teclado cualquiera, corremos el riesgo de que sea interceptada por un spyware sino disponemos de las herramientas de protección adecuadas.
Aplicaciones como los keyloggers permiten grabar y compartir con el ciberdelincuente las pulsaciones del teclado mientras escribimos.
Existe una función denominada “teclado virtual” o “teclado táctil” que puede ayudarnos a evitar el robo de nuestros datos personales si creemos que nuestro equipo se encuentra infectado.
Para ello, deberemos activar esta función en nuestro equipo. Generalmente, bastará con utilizar el buscador de nuestro sistema operativo y encontrar la aplicación “teclado en pantalla”, “teclado virtual” o “teclado táctil”.
3. Gestores de contraseñas. Disponemos de varias opciones con las que ordenar y categorizar nuestras claves, como es el caso de los gestores de contraseñas. Son herramientas utilizadas para almacenar y gestionar nuestras claves.
Gracias a este tipo de herramienta se acabó el tener que recordar cientos de usuarios y claves. Únicamente necesitemos los datos de acceso del gestor de contraseñas para acceder al programa. Una vez dentro, podremos organizar los usuarios y contraseñas de todos nuestros servicios como si de una biblioteca se tratase.
¿Utilizas algunas de las contraseñas consideradas como vulnerables? ¿Crees que podrías mejorar algo más la seguridad de tus cuentas? Comparte tus opiniones y experiencias con el resto de los usuarios y mantente atento a las nuevas actualizaciones para mejorar la seguridad de tus contraseñas.
Artículo enmarcado dentro de la campaña ¡Contraseñas seguras!
Nota de DavidHellin: La noticia es original de OSI
