La entrevista que los bancos no querrían publicar
Los bancos y las empresas relacionadas con el sector financiero, lo consideran un especialista de seguridad informática y a la vez una preocupación para sus sistemas. Su nombre es Oscar Banchiero, un especialista en el área de seguridad de la información y trabaja para uno de los proveedores de comunicaciones más importantes del país, es instructor internacional contando con varias certificaciones importantes, ofrece sus servicios de enseñanza en universidades, y es considerado por grandes empresas, una fuente importante de consultas y asesoramientos sobre sistemas de seguridad informáticos. Mi pregunta obligada: usas Homebanking? “Si por supuesto, que vea fallas en casi todos, no significa que no lo deba utilizar, tampoco es para ser tan paranoico, dado que el problema viene por dos lados que trabajan en conjunto: el usuario y el servicio” Así empieza esta entrevista, con una respuesta directa al problema que viene siendo una pesadilla para algunos, como por ejemplo: “me robaron el saldo de mi cuenta” o “seguramente fue una falla en el sistema”, donde el punto en común está relacionado con los incidentes de robos financieros a través de la informática. Hace cuanto que estas relacionado con este tema de la seguridad informática? “Más de 20 años, pasando por varias tecnologías, sistemas y dispositivos. Por suerte tuve un buen acceso a todo, mis padres me regalaban lo que yo les pedía y así podía ponerme al tanto de lo nuevo. He trabajado siempre en sectores involucrados con la tecnología y la comunicación, donde pude hacer mis primeros pasos a través de una manera de llamar gratis al exterior, por intermedio de una placa que me regalaron. Hoy en día, aparte de mi trabajo, doy charlas y cursos tanto aquí como en el exterior y trato de ponerme al día con los incidentes actuales, pero es complicado porque cada vez hay más y no hay tiempo. Me intereso mucho aprender el uso de los lectores magnéticos y tuve acceso a muchos diagramas y soluciones de mejoras de los mismos, lo que me hace acordar que hace un buen tiempo me había conseguido uno, en una época que recién empezaban a salir los cajeros automáticos. A propósito, son seguros? Muchos se sorprenderían de cómo son internamente, hay videos en Internet, de algunos locos que le meten un juego dentro, o de que pueden cambiar el sistema, mostrando un mensaje lo que obviamente asustarían a muchos. En nivel técnico, cada vez están mejor preparados, pero es increíble cómo sale un modelo nuevo de cajero y a la semana ya está el dispositivo llamado skimmer, para insertarlo y usarlo en el mismo. Contanos desde un principio porque pasan estas cosas...
La mayoria de los websites bancarios son inseguros.
Un nuevo estudio de la universidad de Michigan ha encontrado que mas del 75% de los websites bancarios no precisamente lo mejor en cuanto a seguridad se refiere. El estudio estuvo compuesto de 214 sitios web de instituciones financieras, y se enfoco en fallas de diseño y practicas de seguridad impropias. Ninguna de estas fallas representa cuestiones de seguridad catastróficas, sin embargo muchas ayudan a un acceso mucho más fácil a las contraseñas y los nombres de usuarios, que son una llamada atractiva para cualquier atacante. Las fallas estudiadas comprendían lo siguiente: Sistema de ingreso inseguro Casi la mitad de los bancos examinados tenían un sistema de ingreso “seguro” en paginas web inseguras, las cuales no utilizaban SSL como protocolo de comunicaciones. El no usar SSL, dice el estudio, permite la posibilidad de un ataque que pueda facilitar la intercepcion de los detalles de ingreso a las cuentas del usuario si este ingresaba mediante conexiones inalambricas (man in the middle). El estudio también dice que la mayoría de los bancos aseguran las partes internas del sitio, pero muchos dejan la pagina de login sin seguridad. Colocando información de contacto en paginas inseguras La mayor falla de muchas entidades (55% fallaron según la prueba). Un ataque similar al anterior podría simplemente dar al atacante la posibilidad de cambiar los números telefónicos listados en la pagina de información de contactos, redirigiendo a los clientes a un call center listo para capturar su nombre de usuario y contraseña. Redirigiendo a las afueras del banco sin una advertencia Cuando los usuarios son dirigidos a servicios terceros (como por ejemplo, sitios de pago de recibos), el banco no les advierte de dicho cambio. Un usuario puede no saber si lo que esta observando es confiable o no. Usar números de seguridad social o direcciones e-mail como ID de usuario Este tipo de cosas son fáciles de adivinar o de encontrar, especialmente las direcciones de correo. Los bancos deberían permitir a los usuarios crear un nombre de usuario personalizado, así como tener una política de passwords débiles, pero el 28% de los bancos que se revisaron no lo tenían. Enviando al correo información clasificada de manera insegura Cosas como reset de contraseñas y estados financieros deberían ser enviados de manera segura: Passwords, por ejemplo, jamas deberían ser enviados como texto plano, sin embargo el 31% de los bancos fallaron dicha prueba. El estudio completo (10 paginas, PDF) pueden ser leidos. Los sitios especificos que fallaron varias pruebas no son revelados. Tambien hay que notar que el estudio fue realizado en el 2006 (los resultados son publicados hasta ahora) asi que muchas de las cosas pueden...
La seguridad en las transacciones electrónicas
Aprende sobre seguridad con las recomendaciones del grupo Bancolombia El Grupo Bancolombia ofrece en su portal de servicios algunas recomendaciones importantes para asegurar nuestras transacciones electrónicas. El sistema de publicación es bastante agradable visualmente, sumado a un amplio contenido que abarca los siguientes temas: Seguridad virtual Phishing Robo de clave Espía en la red Intruso virtual Virus Reenvío en serie Seguridad física El samaritano La clonación Robo de tarjeta Ver recomendaciones de seguridad en las transacciones...
Diplomado de Seguridad Informática Ofensiva
