abril
Bienvenidos a nuestro resumen semanal de noticias. Durante esta semana, una de las principales novedades involucra a Microsoft y la suspensión del soporte técnico para el sistema operativo Windows XP, que por un tiempo fue omnipresente, siempre vulnerable, pero aún sigue siendo usado ampliamente.
En cuanto a lo ocurrido la semana pasada, tenemos más noticias sobre Bitcoin; problemas de seguridad relacionados con el auto Tesla S; revelaciones sobre el “juego” de phishing a nivel mundial; Fixes en el navegador Safari de Apple; bugs en un Smart TV de Phillips y mucho más.
Según un informe de Reuters, un juez federal del estado de Texas le ordenó al director ejecutivo de Mt. Gox, Mark Karpeles, que viaje a EE.UU para ser indagado sobre la declaración de quiebra de la plataforma de intercambio de Bitcoin: Mt. Gox. Mt Gox fue la plataforma de intercambio de Bitcoins más grande a nivel mundial y se declaró en quiebra en febrero pasado, luego de perder unos 400 millones de dólares. Según consta, con el objetivo de evitar una demanda colectiva presentada en Chicago, Karpeles apeló al Capítulo 15 de protección de bancarrota en la misma corte de Texas en donde será interrogado. El juez texano fue contundente en este aspecto: “Si Karpeles quiere obtener protección por parte de la corte, entonces deberá venir y presentarse delante de ésta”
Según mi compañero Chris Brook de Threatpost, algunos modelos de SmartTVs de Philips con acceso a Internet contienen una vulnerabilidad que podría permitirle a un atacante acceder a información sensible no sólo del sistema, sino también de los archivos de configuración de la TV y de cualquier dispositivo USB conectado al televisor. En este sentido, si un usuario navegara por Internet en alguno de estos modelos, un atacante podría robar las cookies y utilizarlas para acceder a determinados sitios web o cuentas en línea. El problema radica en una función de WiFi llamada Miracast, que es habilitada por defecto con una contraseña predeterminada y fija. Esta contraseña permite que cualquier persona dentro del alcance del WiFi del dispositivo pueda conectarse al televisor y acceder a sus múltiples funciones.
Uno de mis otros compañeros en Threatpost, Dennis Fisher, informó que el popular automóvil eléctrico Tesla S utiliza un débil sistema de autenticación de un factor para una aplicación móvil que permite a los usuarios abrir/desbloquear su vehículo y más. El investigador Nitesh Dhanjani descubrió que, cuando los nuevos propietarios registran una cuenta en la página web de Tesla, deben crear una contraseña de sólo seis caracteres. Esa contraseña se usa luego para iniciar sesión en una aplicación de iPhone que ofrece al conductor la posibilidad de manejar las cerraduras, los sistemas de suspensión y frenado y el techo solar del auto. El verdadero problema aquí es que no hay límite en los intentos de inicio de sesión, lo que significa que un atacante podría realizar ataques contra una contraseña relativamente corta. Seis caracteres son fáciles de descifrar en un sistema sin límites de inicio de sesión.
De paso, me gustaría recordarles a todos los usuarios de Apple que el gigante de la informática de Cupertino, California, ha publicado más de 25 fixes para vulnerabilidades de seguridad de su navegador Safari. Algunos de estos bugs son muy graves, por lo que sería mejor actualizar el navegador lo antes posible.
Por otro lado, nuestros amigos investigadores de Securelist lanzaron la primera parte de su análisis sobre el oscuro mundo de las ciber-amenazas financieras del 2013. Este informe consiste en un extenso análisis del entorno global del phishing. En pocas palabras, el informe explica que el 31 por ciento de todos los ataques de phishing en 2013 se dirigieron a instituciones financieras. Además, cerca del 22 por ciento de todos los ataques involucraron sitios web bancarios falsos -lo que duplica los datos del año anterior, en el que sólo el 11 por ciento de este tipo de ataques usaba páginas web falsas de bancos-. El 60 por ciento de los ataques de phishing bancarios se centraron en 25 grandes bancos internacionales, mientras que el 40 por ciento restante se reparte en más de 1.000 bancos.
Finalmente, según una noticia de la BBC: un niño de cinco años de San Diego, California, descubrió un defecto en la popular plataforma de videojuegos online Xbox Live, que le permitió iniciar sesión en la cuenta de su padre sin la contraseña correcta. Según las autoridades, el niño, Kristoffer Von Hassel, intentó entrar a la cuenta web XBOX Live de su padre. Cuando introdujo la contraseña incorrecta, se le pidió que la introduzca de nuevo. El niño, sin saber lo que hacía, apretó la barra espaciadora, y, como si tratara de magia, consiguió entrar.
“Me puse nervioso. Pensé que [mi papá] se iba a enterar” dijo Kristoffer en el canal de televisión local, KGTV. “Pensé que alguien se iba a robar la Xbox”, agregó.
La BBC dice que el padre de Kristoffer, quien trabaja en seguridad, informó de los detalles del error a Microsoft. A su vez, Microsoft corrigió el problema y dio las gracias al chico por su ayuda.
Traducido por: Guillermo Vidal Quinteiro
