Análisis de Riesgos Tecnológico, en la vida cotidiana

La World Wide Web y la FIDO Alliance W3C confirmaron esta semana que WebAuthn pasó a ser un estándar oficial de autenticación web y promueven su adopción por parte de las empresas para facilitar inicios de sesión fáciles y seguros sin necesidad de contraseñas. El consorcio World Wide Web (W3C) y la FIDO Alliance anunciaron el pasado 4 de marzo que a partir de ahora la especificación Web Authentication (WebAuthn) pasó a ser un estándar de autenticación web oficial. Esto permitirá que usuarios de navegadores compatibles con WebAuthn, como Chrome, Firefox, Edge o Safari puedan pasar a utilizar esta API como mecanismo de ingreso a sus cuentas mediante dispositivos móviles, llaves de seguridad USB o sistemas biométricos, sustituyendo así al uso de las contraseñas y robusteciendo la seguridad. Este sistema es más seguro que el que ofrece una contraseña débil, como la que muchas veces terminan eligiendo los usuarios . En abril del 2018 la W3C y la FIDO Alliance aprobaron WebAuthn co...

Se trata de una vulnerabilidad de CSRF que permitía a un atacante tomar posesión de una cuenta con solo lograr que la víctima hiciera clic en un enlace. El fallo ya fue reparado. El investigador bajo el seudónimo “Samm0uda” reportó el pasado 26 de enero a Facebook el hallazgo de una vulnerabilidad que permitía a una atacante secuestrar la cuenta de un usuario con solo lograr que hiciera clic en un enlace . Se trata de una vulnerabilidad conocida como Cross Site Request Forgery (CSRF) , que traducido sería falsificación de petición en sitios cruzados. Este tipo de vulnerabilidad lo que hace es forzar al navegador de una víctima a realizar acciones no deseadas en una aplicación web en la cual no están autenticados. En este caso, el investigador descubrió el fallo luego de identificar un endpoint defectuoso que podía explotarse para evadir la protección ante ataques de CSRF y tomar control de la cuenta de la víctima. Según explicó el investigador a través de su blog , “para que est...

En el día de San Valentín, repasamos algunos datos interesantes para entender la magnitud de esta problemática y compartimos algunos casos de estafas recientes. La aceptación sin prejuicios de los servicios de citas online, como son las apps de citas o sitios para conocer personas, es un fenómeno que se ha dado a nivel mundial. Según datos de GlobalWebindex , en América Latina y la región Asia-Pacífico, las apps y sitios de citas tienen una aceptación de entre el 45% y el 46%, mientras que en Estados Unidos y Europa la cifra es de entre el 28% y el 29%. Sin embargo, pese a la diferencia que existe en cuanto a la aceptación en las distintas regiones del mundo, en países como Estados Unidos el 30% de los usuarios de Internet de entre 18 y 29 años utiliza una app o sitio web de citas. Además, los pronósticos estiman que para el 2023 el número de usuarios de servicios de citas online a nivel mundial será de más de 328 millones, de los cuales se cree que 48,1 millones serán usuarios de ...

A pocos días de haberse revelado una vulnerabilidad que afecta a WinRAR, detectan una campaña que se distribuye a través del correo y que intenta explotar el fallo para instalar un backdoor  La semana pasada compartimos la noticia sobre el hallazgo de una vulnerabilidad crítica en WinRAR que afecta a todas las versiones y que permite a un atacante obtener control total de la máquina de la víctima al aprovecharse de archivos en formato ACE. Esta semana, la noticia es que investigadores detectaron lo que podría ser el primer exploit que busca aprovecharse de este fallo crítico, el cual era distribuido a través de un correo que incluía un archivo RAR como adjunto . El problema identificado en WinRAR radica en una librería de terceras partes, llamada UNACEV2.DLL, que se utiliza en todas las versiones del programa y que se utiliza para desempaquetar archivos en formato ACE. Como la compañía responsable de este conocido programa para comprimir archivos no tenía acceso al código f...

El malware para robar criptomonedas mediante el reemplazo la dirección de una billetera en el portapapeles, ya no se limita a Windows o a tiendas de aplicaciones para Android de origen dudoso Por razones de seguridad, las direcciones de billeteras de criptomonedas están compuestas de largas cadenas de caracteres. Por lo tanto, en lugar de digitarlos manualmente, los usuarios tienden a copiar y pegar las direcciones utilizando el portapapeles (en inglés “clipboard”). Existe un tipo de malware, conocido como “clipper”, se aprovecha de esto. Lo que hace es interceptar el contenido del portapapeles y reemplazarlo de manera oculta con lo que el atacante quiere alterar. En el caso de una transacción de criptomonedas, el usuario afectado puede sufrir, sin darse cuenta, la sustitución de la dirección de la billetera copiada por una perteneciente al atacante. Esta peligrosa forma de malware hizo sus primeras apariciones en 2017 sobre la plataforma de Windows y fue identificado en tiendas de...

Un servidor malicioso sería capaz de ejecutar código en 3 de los principales clientes RDP: FreeRDP, rdesktop y mstsc.exe (el cliente de serie de Microsoft). No existe un parche para este último. <img data-attachment-id="34409" data-permalink="https://unaaldia.hispasec.com/2019/02/multiples-clientes-rdp-vulnerables-a-ejecucion-remota-de-codigo.html/connection_box_thumb800" data-orig-file="https://i1.wp.com/unaaldia.hispasec.com/wp-content/uploads/2019/02/connection_box_thumb800.png?fit=800%2C449&amp;ssl=1" data-orig-size="800,449" data-comments-opened="1" data-image-meta="{&quot;aperture&quot;:&quot;0&quot;,&quot;credit&quot;:&quot;&quot;,&quot;camera&quot;:&quot;&quot;,&quot;caption&quot;:&quot;&quot;,&quot;created_timestamp&quot;:&quot;0&quot;,&quot;copyright&quot;:&quot;&quot;,&quot;focal_length&quot;:&quot;0&...

Google lanzó una nueva extensión para Chrome que advierte al usuario cuando la combinación de nombre de usuario y contraseña que ingresó fue filtrada en sitios ajenos a Google. En el día de ayer Google lanzó una nueva extensión para Chrome llamada Password Checkup , que advierte a los usuarios del navegador cuando las credenciales de acceso que utilizó al ingresar a un sitio fueron expuestas en alguna brecha de seguridad previa. ¿Cómo funciona? La herramienta compara las credenciales que ingresa el usuario con una base de datos con más de 4 mil millones de credenciales que han sido robadas en brechas de datos que ocurrieron con anterioridad. La extensión fue desarrollada junto a expertos en criptografía de la universidad de Stanford para asegurarse de que Google nunca aprenderá el nombre de usuario o contraseña del usuario. Esta utilidad que lanzó Google en su intento por contribuir a la seguridad de sus usuarios se suma a otras acciones, como la funcionalidad de gestor de ...