Crea una cuenta o inicia sesión

¡Continúa aprendiendo sin ningún costo! Únete y comienza a potenciar tu carrera

InfoSec o seguridad de la información

5/15
Recursos

Aportes 83

Preguntas 8

Ordenar por:

¿Quieres ver más aportes, preguntas y respuestas de la comunidad? Crea una cuenta o inicia sesión.

🛡 Seguridad de la información:
Medidas para resguardar y proteger la información buscando mantener la confidencialidad 🤐, la disponibilidad 👨🏽‍💻 e integridad de los datos 👍.

Casos de filtración de datos de Facebook:

  • Filtración en foro de la darkweb de datos de 533 millones de usuarios de Facebook en 2021. Mucho de esta filtración era de la filtración de 2019, solamente que ahora está disponible de forma pública.

  • Empresa de medios mexicana Cultura Colectiva, 146 gigabytes y contiene más de 540 millones de registros que detallan comentarios, me gusta, reacciones, nombres de cuentas, ID de FB y más
    https://www.upguard.com/breaches/facebook-user-data-leak

  • una copia de seguridad separada de una aplicación integrada en Facebook titulada “At the Pool”, de un fabricante de aplicaciones que ya no está operativo, expuesta a la Internet pública a través de un bucket de Amazon S3. Esta copia de seguridad de la base de datos contenía columnas para fk_user_id, fb_user, fb_friends, fb_likes, fb_music, fb_movies, fb_books, fb_photos, fb_events, fb_groups, fb + checkins, fb_interests, contraseña y más. Las contraseñas son presumiblemente para la aplicación “At the Pool” en lugar de para la cuenta de Facebook del usuario, pero pondrían en riesgo a los usuarios que hayan reutilizado la misma contraseña en todas las cuentas. Contiene contraseñas de texto plano (es decir, sin protección) para 22.000 usuarios. Lo peor de todo es que At the Pool dejó de funcionar en 2014, pero esa información pudo filtrarse años después.

Según UpGuard, se pusieron en contacto tanto con ‘Cultura Colectiva’ como con ‘At the Pool’ para informar de los riesgos de seguridad de estas bases de datos expuestas, pero nunca tuvieron respuesta.

Según Facebook, ambas bases de datos ya han sido eliminadas y hasta el momento no hay evidencia de que los datos hayan sido usados con fines maliciosos.

  • Escándalo Cambridge Analytica: Antes de 2014, Facebook permitía a aplicaciones con fines de investigación recopilaran datos de los usuarios que consintieran el acceso a la app en cuestión y también de sus amigos (que no tenían que consentir nada). Nótese que en esta frase hay dos partes importantes:
    +Los datos sólo se podían utilizar para investigación: no podían venderse ni utilizarse con fines comerciales. Cambridge Analytica no cumplió esta parte, según Facebook.
    +Aunque tú no dieras acceso a la app para que consultara tus datos, bastaba con que uno de tus amigos lo hiciera.
    Cambridge Analytica, a través de una aplicación aparentemente inofensiva que hacía un supuesto test de personalidad (Thisisyourdigitallife), pagó en 2013 para que 270.000 usuarios hicieran el test, dando acceso además a los datos de todos sus amigos. Aproximadamente, recolectaron datos de 87 millones de usuarios. Esto fue comprado por Cambridge Analytica para hacer Dig Data Science con IA, perfilar votantes, y vender esta información para campañas de fake news que inclinen la opinión de los votantes calificados como “dudosos”.

Algo no tan grave pero sirve de ejemplo:
En alguna escuela de educación básica se hicieron exámenes en línea por la nueva normalidad. Sin embargo estaba mal programado el frontend por lo que con un poco de conocimiento del tema los alumnos podían leer el código y encontrar la respuesta correcta antes de marcarlo.
Usé este ejemplo porque claramente el maestro que aplicó el examen desea mantener la confidencialidad de las respuestas, pero hubo un fallo en la escritura de código que pudo detectarse con seguridad informática.
No todo es hackers 😃

Tríada CID: Confidencialidad, Integridad y Disponibilidad.
Hay muchísimos casos de fuga de información y la mayoría de las veces se debe a alguna persona, desleal o afectada por ingeniería social, del interior de la organización.

0 day exploit es cuando se realiza un ciberataque el mismo día que se descubre la vulnerabilidad

Ejemplo práctico de la Triada de la CID, vas al banco a crear una cuenta de ahorros y depositas $200.

Después de una semana un amigo te presta dinero, le indicas que no cuentas por el momento, pero el sabe que tienes un ahorros con $200, se vulnero la Confidencialidad de tus datos.

Después de tiempos vas a retirar el dinero de tu cuenta, y te das con la sorpresa que ya no tienes $200, en cambio tienes $90, se vulnero la Integridad de los datos, ya que estos fueron cambiados sin tu consentimiento.

Vas al banco a realizar una operación, y no puedes retirar tu dinero ya que te indican que no funciona el sistema, ocurrió un evento que afecta la Disponibilidad de acceso a tus datos.

Aquí va mi definición de la TRIADA CID:

  • CONFIDENCIALIDAD: Solo debe acceder a la información el personal autorizado.

  • INTEGRIDAD: Se da cuando la información no se perdió o sufrió manipulación y sigue siendo util para la toma de decisiones.

  • DISPONIBILIDAD: Se puede acceder a la información cuando y donde la necesita el usuario.

Insider attack! Nunca se está completamente a salvo de las filtraciones por internos.

Una filtración creo que sería ahora el sistema operativo de Windows 11 que fue visto en capturas antes de su lanzamiento oficial.

En un call center donde trabaje en el departamento de IT (esto pasó antes de que yo entrara) dejaron los puertos abiertos de la red y se filtraron y los de administración eran muy malos con este tema y secuestraron toda la red con un ransomware y todo por no querer usar un antivirus o bueno no querer gastar en uno y perdieron muchas bases de clientes. jajaja y ya por eso contrataron a más personal más calificado en el área

3 PILARES DE LA SEGURIDAD DE LA INFORMACIÓN

  • Confidencialidad
  • Disponibilidad
  • Integridad

algo que la educadora indica es que señala el robo o vulneracion de sistemas por hackers y ese termino no esta asociado con realizar actividades maliciosas, lo correcto seria ciberdelincuentes.

En una empresa donde trabaje, era mas importante darles gusto a los gerentes en cuanto a bajar los que quisieran un día se metió un ransomeware y cifro toda la info de los gerentes

En la empresa donde trabajaro hacen de vez en cuando pishing a los colaboradores, para despues evidenciarlos ante todo el corporativo y correrlos por no ponerse las pilas. No es cierto, es broma jaja, pero la ultima vez “regalaron” 3 meses de Disney+ y caí 😭. Ya que como Quetzally dice, los colaboradores son la primer linea de batalla ante estos ataques.

En algun sistema de administracion publica en Venezuela, sus sistema administravito tenia fallas de inyeccion SQL , lo cual fueron atacados y sus BD borradas, errores, no sanitizar los inputs de su aplicacion, 2. no tener una metodologia de gestion de seguridad, y gestion de incidentes.

Un cliente tenia una tienda de electrónicos, me encargo crear un sistema para gestionar su inventario y sus ventas, para mi era un desafío increíble, lo hice en java y me llevo como un mes, a la mitad del desarrollo le pregunte si quería que le agregara un login para los funcionarios, el me dijo que no, que confiaba en todos ellos, 3 meses después que le entregue el sistema me entere que uno de los funcionarios renuncio y elimino toda la base de datos.

2017: WannaCry

Un ataque con un ransomware conocido como WannaCry infectó a unas 300.000 computadoras en 150 países en mayo de 2017. El software cifró los archivos y exigió a los usuarios entregar cientos de dólares a cambio de claves para descifrar los archivos.

El ataque afectó a hospitales, incluidos muchos pertenecientes al Servicio Nacional de Salud (NHS) del Reino Unido, bancos y otras empresas. La compañía FedEx dijo que había perdido cientos de millones de dólares como resultado del ataque. Estados Unidos y Reino Unido culparon a Corea del Norte, una acusación que Pyongyang negó y que calificó de “grave provocación política”.

ref:// https://www.dw.com/es/seis-ataques-cibernéticos-que-sacudieron-el-mundo/a-46967214

quizas si se hubiera limitado el area donde se desarrolla el nuevo software y la gente que tiene acceso a el. Con empleados bancarios que llenan bolsas de dinero se hace de esa forma. Se cambian al llegar al banco y se ponen overoles sin bolsas. No pueden accesar nada: celulares , joyas, dinero,etc. y en sus lugares tiene varias camaras grabando lo que hacen.

No sé si es el vídeo que se anuncia, igual me parece muy pertinente. Link: https://youtu.be/8kpSQN3WjWU

Pues una noticia del 2019 fue de una banda de hackers mexicanos que fueron descubiertos al intentar comprar un equipo de fútbol de la Tercera División Profesional.

Cuál es el 0 day exploit más famoso?

Les comparto un canal de telegram donde suben noticias de ciberseguridad
https://t.me/SeguridadInformatica

Aquí una de sus noticias.

Acer confirma un tercer ciberataque en 2021

Desorden, el grupo de cibercriminales, ha anunciado que ha comprometido Acer Taiwán, liberando información sensible de empleados. Acer confirmó recientemente la brecha de datos.

Aparte de lo sucedido, encontraron más fallos de seguridad en las redes de Malasia e Indonesia.

El 20 de enero se descubrió la filtración de datos personales más grande en la historia de Brasil, ya que se robaron 23 bases de datos y expusieron la información personales de 223 millones brasileños. Esta filtración se pudo evitar incrementando la seguridad cibernética e investigar mas acerca de las leyes que protegen nuestros datos personales

hace algunos meses hubo una fuga de datos de twitch donde incluia pagos de los streamers entre otros datos, segun la fuga de datos se debio a un error en sus servidores

En Junio del 2021 hubo un ciberataque que comprometió todos los datos de una Universidad en Colombia y sus estudiantes. Lo pueden leer aquí https://www.google.com/amp/s/forbes.co/2021/06/28/actualidad/hackean-a-la-universidad-el-bosque-y-dicen-haber-borrado-rastros-de-calificaciones/amp/

La mas reciente que recuerdo es cuando hackearon la Universidad El Bosque en Bogota, borraron todo, notas, trabajos, tesis. No quedo nada.

Según datos de Fortinet (NASDAQ: FTNT), líder global en soluciones amplias, integradas y automatizadas de ciberseguridad, revelan que Panamá sufrió más de 232 millones de intentos de ciberataques en el primer trimestre de 2021. La cifra total para el mismo período en la región de América Latina asciende a 7 mil millones de intentos de ciberataques. “Este tipo de campañas de phishing web tiene un método de propagación automática que utiliza los contactos de servicios de mensajería o redes sociales como WhatsApp, Facebook o Instagram de la víctima. Si los usuarios hacen clic en uno de estos anuncios que ofrecen premios o atractivos concursos, se les redirige a la página de destino del kit de explotación, donde se descarga malware que crea "pop-ups” o anuncios con código malicioso oculto para propagarse y exfiltrar información. Luego se invita a compartir con los contactos, generando el efecto de propagación”, explica Rodolfo Castro, gerente senior de Ingeniería de Fortinet para Centroamérica.

Por ejemplo el robo de usuarios y contraseñas en el banco de el salvador las medidas era tener mas seguridad por parte de sus empleados tener mas protocolos de seguridad tener firewall con mas paginas seguras para que no ocurran estos problemas que al final desprestigian a las empresas

Hace unos cuantos años nuestro sitio web fue objeto de ataque de un hacker de San Petersburgo y el administrador de la misma no pudo hacer nada hasta que ya era tarde…construyo una nueva111

No imagino las consecuencias legales que tuvieron que afrontar estas personas que filtraron lo de Apple…

  • ¿Qué es seguridad de la información?
    Medidas para resguardar y proteger la información buscando mantener la confidencialidad, la disponibilidad e integridad de los datos.

  • ¿A qué se refiere la seguridad?

    Mantener el software (sobre todo, el código fuente dentro de la empresa.

  • ¿A qué se refiere la disponibilidad?

    Que un servicio esté habilitado cuando se necesite.

  • ¿A qué se refiere la integridad?

    Que lo datos se mantengan seguros, sin alteraciones ni daños realizados.

  • ¿Qué vulnerabilidad del día cero?

    Fallo de tecnología cuando recién se lanza, y no existe, en ese momento, la forma de protegerse.

  • ¿Qué prácticas establece la ISO 27001?

    Son diversas. Una de ellas es que los usuarios tienen derecho de que sus datos no sean filtrados a personas no autorizadas.

Detrás de ese envio de sólo ese dispositivo móvil esos ciberdelincuentes obtuvieron mucho $$$$$ imaginence la cantidad de zerodays que hay implicados ahí. Sean eticos es lo mejor.

Historia sobre InfoSec (caso). U.U

Hola soy de Perú - Piura y estoy estudiando en la Universidad Nacional de Piura (UNP), el cual cuenta con dos sitios wed para los estudiantes el SIGA (Sistema Integrado de Gestión Academia) y el REGEVA. En este mes se comenzó la inscripción para el nuevo ciclo académico y bueno vulneraron el SIGA y el ciclo académico se tuvo que postergar, hasta ahora sin fecha exacta.

Versión resumida: Atacaron el sitio de registro académico en la UNP.

Actualmente, hay una vulnerabilidad muy difícil de solucionar se llama log4j

Hoy es 2 de noviembre de 2021. En este mismo mes se han de realizar las elecciones generales en mi país. Siento que están fallando en las plataformas digitales de censo, pues se puede encontrar en ellas la posible ubicación de las personas con conocer el DNI. Teóricamente nadie más que uno mismo debe tener conocimiento de del DNI propio, pero por distintas circunstancias esa información es filtrada.

hola buenas tardes

Comparto link del caso de hackeo a Yahoo.

Rersumen del capitulo en Notion
https://acortar.link/Z4gOh

Confidencialidad, disponibilidad e integridad de los datos.

  1. Que se quede DENTRO de la empresa (el código fuente).
  2. Que un servicio esté disponible cuando se necesite.
  3. Que los datos estén siempre a salvo (?

Alguna vez Freddy compartió una noticia, no recuerdo el nombre de la empresa, quizás fue por el 2020, el punto es que las contraseñas de los usuarios los guardaban como texto plano. Creo que con eso es más que suficiente.
Siempre encripten las contraseñas.

Este tipo de ataques son una realidad, pero pocas organizaciones tienen en cuenta estas medidas de la seguridad de la información

La seguridad de la información podría ser un conjunto de medidas preventivas y reactivas de las organizaciones y sistemas tecnológicos que permiten resguardar y proteger la información buscando mantener la confidencialidad, la disponibilidad e integridad de datos.

La integridad

La disponibilidad

La confidencialidad

¿Qué es la seguridad de la información?

Consecuencias de la filtración de un sistema operativo

Caso: IOS 14

Robo de datos que sufre la empresa facebook en abril del 2021, donde se presenta un robo de 533 millones de usuarios aproximadamente. Esto implica una vulnerabilidad a la información de los usuarios registrados en esta red social y un riesgo enorme por posibles suplantaciones de identidad con fines diversos.

Esto me suena a cuando a un chico de Estados Unidos que vendió un NFT y por un error de decimales perdió una buena cantidad de dinero, debido a que un hacker vió ese error en la blockchain y lo usó para comprar ese NFT y hacerse con 200 mil dólares en un solo ratito

Han habido muchos leaks a las bases de datos y se han robado nuestros datos y contraseñas por eso es importante estarlas cambiando y tener una contraseña segura, en esta pagina se puede saber si nuestros datos también están expuestos

Estudio de IBM Security las filtraciones de datos ahora cuestan a las empresas un promedio de USD 1.82 millones por incidente en América Latina, el mayor costo en la historia del informe.

“El estudio, que se basa en un análisis profundo de filtraciones de datos experimentadas por más de 63 organizaciones en la región y más de 500 globalmente, indica que los incidentes de seguridad son ahora más costosos debido a los cambios operativos drásticos que tuvieron lugar durante la pandemia”, especifica el comunicado oficial.

En esa misma línea, con el estudio se pudo determinar que casi la mitad (45%) de las filtraciones analizadas expusieron datos personales de clientes como nombre, correo electrónico, contraseña o incluso datos médicosrme.

Fuente: https://caracol.com.co/radio/2021/07/29/tecnologia/1627515032_000531.html

Particularmente existen muchos casos de flujo de información confidencial debido a que las empresas no mantienen los controles al momento de la vinculación de una persona, uno de los principales controles que todas las empresas deben implementar es la firma de un acuerdo de confidencialidad y no divulgación. Otro de los controles de suma importancia es la clasificación de la información, lo cual ayuda a diferenciar los niveles y roles de acceso a cierto tipo de datos que residen en la empresa, ya sean físicos o electrónicos.

Lo complicado en este tema es que la tendencia de utilizar los medios digitales implica toda esa cantidad de vulnerabilidades que son intrìnsecas a estos recursos.
El usuario regular ignora la mayoría de estas amenazas y mantiene su “casa” abierta a este tipo de infiltraciones.

Un caso muy corriente hace referencia a las claves de acceso para las cuentas “online” o de software laboral de los usuarios comunes. Suelen utilizar claves de muy baja seguridad y no se molestan en manejarlas en formas confidencial, dando acceso a sus allegados a los datos almacenados o a los procesos de administraciòn.

La confiabilidad es importante y la existencia del software aun es más ya que buscar nuevos diseños y mejores rendimiento tienen un alto costo para quien lo desarrolla y esto debe estar siempre resguardada.

una univercidad de una ciudad de arg renovo computadoras. las pc viejas fueron regaladas y otras entregadas para destruir a gente q no era profecional y todas esas maquinas estaban con informacion de usuarios red vpn fotos trabajos practicos de alumnos etc, suerte que era una univercidad tecnologica 😃 no respetaron la triada CIA …

Santa Trinidad de la Seguridad Informática:

  1. Confidencialidad: Acceso exclusivo a usuarios autorizados. Ejemplo: Consultar el saldo de tu cuenta bancaría. Solo tu tienes acceso a esta información.
  2. Integridad: Información en un estado coherente y sin alteraciones por terceros. Ejemplo: Tus datos bancarios son exactos a la realidad y no han sufrido de alteraciones sin tu consentimiento.
  3. Disponibilidad: Puedes acceder a tu cuenta bancaria cuando y donde lo necesites, siempre que te identifiques con tu usuario.

teniendo en cuenta las vulnerabilidad en correo de las empresa y redes sociales que manejan los empleado hay puede venir virus tanto como link de correo sospechoso y fotos o archivos.

no recuerdo la fecha de cuando fue pero recuerdo que un trabajador de apple creo tenia acceso a un nuevo iphone terminado no recuerdo cual y que tenia una hija que mayor de edad que era popular entre las redes sociales y para ganar mas seguidores esta chica filtro fotos y videos del nuevo iphone por todas sus redes sociales y apple tomo cartas en el asunto despidiendo al empleado en este caso seria tener una seguridad mayor o tener algunas restricciones en cuanto a entregarles a sus empleados equipos que aun no deben ser revelados.

En una Funeraria en Colombia le hicieron ransomware, esto fue por culpa de mal manejo y poco conocimiento en la seguridad de la información. Asi que la persona que hizo el ransomware tenia el camino facil pára el hackeo y lo hizo con facilidad.

La confidencialidad hace referencia al acceso que tiene un archivo o componente, pudiendo ser privado o público.

la vulnerabilidad de zeroday es que no habia sido descubierto antes, lo cual conlleva a que no tengan un plan de ocntingencia al respecto o alguna manera de repelar un ataque a dicha vulnerabilidad.

seguridad de informacion muy vinculada con corrupción, y con políticas del manejo de material sensible para ciertas empresas

En el caso de la afectación de Ransomware a PEMEX.

Se hace importante constituir unas políticas de Seguridad de información en las empresas.

filtración de los datos de playstation plus.

Los hackers lograron ingresar a los bancos de datos de los clientes y sustraer números de tarjetas de crédito con su fecha de caducidad, nombres, direcciones postales, correos electrónicos, nombres de acceso y contraseñas, Por este motivo Sony suspendió totalmente los servicios durante par de días.

sony pudo haber manejado mejor el hackeo pero evito en todo momento que esto fuera publico y asi perder credibilidad. se olvido del consumidor por cuidar una reputacion.

La que este momento recuerdo es el ataque a PlayStation donde fueron hackeados y gran parte de la información de sus usuarios con contenidos personal fue expuesta.

Para estos tipos de casos donde se filtran parches o algo así de un producto privado. Esto siempre pasa por algunos del personal que estuvo trabajando en el proyecto, en el caso de los video juegos al crear o desarrollar un juego el empleado tiene un contrato muy estricto y restringido para que así no pase casos similares como los de Apple.

La seguridad de los datos esta ligada mediante la confidencialidad, disponibilidad, e integridad de los datos para proteger la información.

La empresas por lo general no aseguran su informacion como deberian y por el contrario solo se preocupan porque se realicen respaldos de sus datos en medios fisicos, en caso de un perdida de datos para que en teoria su downtime tenga el menor impacto posible.

En el caso de la filtración de imágenes de las cuentas de famosos en Icloud, siento que Apple se lavó las manos dejándoles toda la responsabilidad a los usuarios y no se aseguró de mejorar la verificación del acceso al ICloud, o hacer un análisis de impacto en esa situación.

Actualmente hay muchos anuncios que te ofrecen capacitaciones,cursos, gratis pero nada es gratis, si te dicen que ingreses tu correo les pagas con tus datos.

Muchos de los casos de vulnerabilidades se debe por ser complacientes con los altos mandos ejecutivos de las organizaciones. Por más que se intente generar conciencia o utilizar técnicas blandas, terminan escuchando ya cuando esta la afectación en todo el sistemas, muchas de las veces en las bases de datos ERP.

Justo ahora hay un problema muy grande de seguridad en México, ya que hackearon al INE (institución que regula los temas de política en México), filtrando datos de cerca de 90,000,0000 de personas tales como su nombre completo, dirección, edad, huellas digitales, fotografías, etc. y al parecer está información puede ser adquirida por varios miles de dólares en la deep web, el INE ya se pronunció al respecto pero aún no dan una respuesta clara de qué medidas puedan o no tomar.

En el lanzamiento de Nintendo Switch el chip Tegra tubo una vulnerabilidad que hackers aprovecharon para crackear a la consola. Gracias a este Zero Day Exploit puedo tener todo el catalogo de switch gratis.

The story is from the country that I am living at this moment.
What happen was that a local company of cars reting did not put the necesary updates in the servers where the information of their clients was stored, so hackers entered and stole several thousands of accounts, which mostly content numbers of credit cards. Thakfuly the company noticed on time and warned the banks and the victims so that the cards will be need to ask for double verification process in order to be used.

Los bancos son muy vulnerables en la seguridad de la informacion constantemente botan a la basura informacion que de aspecto sensible y nadie los demanada.

En el minuto 2:17 hay un error en edición.

Por eso no tengo iphone

Seguridad de la información

“Medidas para resguardar y proteger la información buscando mantener la confidencialidad, la disponibilidad e integridad de datos.”

Además de la triada de la ciberseguridad, se recomienda añadir estos 3 conceptos que son parte de medidas de ciberseguridad.
Autenticidad: Q la información provenga de la fuente original.
No repudio: Que el autor de una información no puede rechazar su autoridad.
Trazabilidad: Que el ciclo de vida de una información digital puede ser rasteable.

Es importante mencionar, que una persona que utiliza sus conocimientos para hacer daño y obtener beneficio propio se considera ciberdelincuente, no hacker. Adicionalmente, hay diferentes tipos de hacker dependiendo de su objetivo.