A medida que los negocios y la vida social se mudan a la Web, la propagación de malware ya no se limita a la difusión de virus, gusanos o spam. Con la informatización de vastos sectores de la vida cotidiana, los celulares, tarjetas de crédito y transacciones bancarias también son foco de interés de quienes vulneran sistemas informáticos para obtener algún tipo de beneficio, ya sea económico, de información o recursos.

Se suele conocer como crimeware a cualquier tipo de malware que se desarrolla para cometer un delito de tipo económico o financiero.
Con la creciente popularidad de los celulares y el home banking, los hackers fueron desarrollando metodologías cada vez más pulidas para robar información y dinero, al punto que los criminales informáticos suelen recibir distintos nombres de acuerdo al objetivo de sus acciones. Así, se suele denominar "carder" a quienes se dedican al robo con tarjetas de crédito (la palabra surge de card, tarjeta de crédito en inglés), "phreaker" a los que realizan actividades no autorizadas con celulares y "bankers" a quienes se dedican a vulnerar información bancaria.
Según la Organización para la Seguridad y la Cooperación en Europa, el mercado negro de robos de tarjetas de crédito, fraudes bancarios y otros robos a usuarios de computadoras mueve aproximadamente 100 billones de dólares al año.
Julio Cella, manager regional de la empresa de seguridad informática Laboratorio Kaspersky, explica que este tipo de robos se asemejan bastante a los engaños más frecuentes de la vida real. "Son metodologías sofisticadas entre comillas. Cuando uno empieza a ver, tienen la misma lógica que los cuentos del tío que ya todos conocemos".
Banca "on line"
La posibilidad de revisar el estado de una cuenta y hacer transacciones on line sigue ganando adeptos. Y como suele suceder cada vez que una tecnología o servicio gana popularidad, existen criminales informáticos dispuestos a sacar provecho de la masividad del home banking.
La novedad en materia de delitos contra información bancaria viene del cruce de varias estrategias maliciosas, como el pishing (robo de información mediante la falsificación de un ente bancario de confianza) más troyanos y llamadas telefónicas engañosas. "Por ejemplo, te envían un corre electrónico aparentemente de tu banco en el que te piden que no cambies tus datos on line, sino que llames a un teléfono. Cuando hablás, te atiende una persona que dice ser del banco. Si uno se descuida, cae en la trampa", apunta Cella.
También puede suceder que el usuario recibe un e mail que redirecciona a la web del banco, cuando en realidad se trata de una página fraudulenta. Una vez allí, el sitio puede recomendar la instalación de una versión actualizada del antivirus o volver a configurar los datos personales de la cuenta. Cuando el usuario accede a esas sugerencias o pedidos, se activa el fraude.

Seguir leyendo el articulo original >>

Compartelo:

[?]

Según una encuesta realizada por Steria el pasado mes de mayo a los 10 principales bancos y entidades financieras de 22 países europeos, el 76% de estas instituciones prevé que el riesgo de fraude bancario crezca durante los próximos años. Para contrarrestarlo, consideran que los mayores retos residirán en el ámbito de las Tecnologías de la Información y en determinadas áreas muy asociadas por su naturaleza al fraude.

Sin embargo, las medidas adoptadas para prevenir el fraude varían mucho de país a país. Mientras que las entidades alemanas centran más su vigilancia contra el fraude en el tráfico de información privilegiada y la manipulación del mercado (71%), otros países europeos ponen el acento principalmente en medidas de prevención en las áreas de operaciones de pago (92%). Estas son las conclusiones más destacables de un estudio titulado “Delitos de cuello blanco en la industria financiera", llevado a cabo por Steria.

Además, los bancos y los proveedores de servicios financieros no sólo temen los daños estrictamente económicos sino también los riesgos relacionados con su reputación en caso de que los intentos de fraude acaben teniendo éxito finalmente. Esta la razón por la que las entidades europeas emplean una amplia gama de métodos de lucha contra el fraude para garantizar de forma eficaz su seguridad.

De acuerdo con los expertos consultados en el estudio, los enfoques más efectivos son la separación de funciones (72%), el principio de doble autorización (68%) y la introducción de la auditoría interna (65%). El estudio indica que las entidades financieras afirman que con una combinación adecuada de metodologías rentables en términos de costes y bien conocidas como las mencionadas, se puede obtener una efectiva seguridad básica contra los riesgos.

Dada la diversidad y complejidad de los datos que deben ser examinados, los sistemas de TI son esenciales para las medianas y grandes instituciones. Casi tres cuartas partes de las instituciones declararon que utilizan soluciones basadas en TI para el seguimiento de sus transacciones. Sin embargo, la mayoría de las instituciones (62%) actualiza irregularmente y en función de necesidades puntuales el catálogo de índices establecidos para su monitorización por las TI. La realización de actualizaciones más frecuentes son sólo abordadas por una minoría de entidades: el 5% de manera semanal, el 3% de forma mensual y el 13% cada trimestre.

Fuente: DiarioTI

Compartelo:

[?]

Una estafa telefónica a una pequeña empresa de seguridad, ha dejado a la misma con una deuda considerable. Todo por no proteger debidamente sus sistemas y servicios internos.

Desde Manitoba, provincia de Canadá, hasta Bulgaria hay una considerable distancia. Y en cuestiones de llamadas internacionales el costo no es nada barato.

Un atacante logró acceder a los sistemas de una pequeña compañía canadiense y utilizó los servicios de correos de voz de la misma, para realizar cientos de llamadas a Bulgaria, Europa. HUB Computer Solutions, quien contratara los servicios de comunicación con la telefónica Manitoba Telecom Services, percibió el fraude cuando le llegó la factura que alcanzó un monto de más de treinta mil euros.

El propietario de la empresa contactó a la telefónica para advertirle lo sucedido, argumentando que no eran el responsable real de los gastos que se les atribuían. Pero la respuesta, dada públicamente por un portavoz de Manitoba Telecom Services, es que el contratante del servicio es quien debe pagarlo, porque los cargos fueron generados desde sus teléfonos.

De acuerdo con los datos, el atacante solo habría tenido que descifrar un código de 4 dígitos para acceder al sistema de correo de voz y reprogramarlo para aceptar los gastos de una llamada internacional.

Las estafas de esta índole suelen ocurrir los fines de semana o en periodo de vacaciones, cuando disminuye la actividad en la mayoría de las empresas. La principal vulnerabilidad en estos casos es no cambiar las contraseñas de fábrica al instalar los sistemas. Las mismas suelen tener 4 dígitos numéricos, a veces tan simples como 1234.

Para mejorar la seguridad en cualquier dispositivo o servicio, uno de los primeros pasos es cambiar la clave inicial con la que se habilita el servicio por una más compleja, con más de 6 dígitos y que no tenga una secuencia predecible (que no sea 000000 o 123456, etc.)

Para los usuarios de estos servicios se recomienda deshabilitar las opciones del servicio que no estén en uso, especialmente llamadas internacionales, redirección de llamadas, operador automático, etc.

Fuente: http://www.enciclopediavirus.com/noticias/verNoticia.php?id=1086

Compartelo:

[?]

Todos usamos el Internet diariamente para comunicarnos, hacer búsquedas, comprar, etc. Pero sabemos cuales son los peligros reales? sobre como pueden robar nuestros datos personales? sobre los diferentes tipos de fraudes y programas usados para realizarlos?. Este documento publicado por el Instituto Nacional de Tecnologias de Comunicacion – INTECO de Espana nos habla amplia y claramente sobre los tipos de fraudes y como prevenirlos.

Temario:
- Fraudes en Internet
- Tipos de Fraudes
1. Compras fraudulentas.
2. Phishing.
3. Robo de datos.
4. Pharming.
5. Fraudes basados en ofertas falsas.
6. Programas maliciosos al servicio del fraude
- Precauciones generales
- Que hacer si somos victimas de un fraude

Descargue el documento aqui.

Compartelo:

[?]

Por Rosalía Arroyo

Un scam es un mensaje de correo electrónico que busca convencer a quien lo recibe de realizar alguna acción que no es provechosa más que para el remitente.

La empresa de seguridad Websense ha descubierto los primeros virus scam de las Navidades.

Según puede leerse en la enciclopedia de virus informáticos, un scam es un fraude o engaño que se realiza a través de mensajes de correo electrónico que buscan convencer a quien lo recibe de realizar alguna acción que no le resultara provechosa nada más que al remitente. Los ejemplos más comunes de Scams se relacionan con fraudes comerciales originados en países africanos, principalmente Nigeria, conocidos como 419 dado que, en ese país, ese número equivale al código asignado a los crímenes originados en ese tipo de engaños.

En esta ocasión en mensaje de correo electrónico llega en forma de tarjeta navideña que esconde código malicioso que, si se descarga, crea una puerta trasera en el ordenador que permite el acceso y control de la máquina comprometida.

Durante el proceso de instalación se muestra una imagen llamada xmas.jpg, que no es más que una técnica para distraer al usuario.

Fuente: http://www.vnunet.es/es/vnunet/news/2008/12/01/las_navidades_ya_han_llegado_para_los_virus_scam

Compartelo:

[?]

Y todo ello, simplemente creando miles de variantes de un nuevo adware y distribuyéndolas a través de Internet. Los usuarios se infectan de diferentes formas: navegando por páginas con contenido adulto; bajándose ficheros de redes de intercambio peer-to-peer; accediendo a postales con dedicatoria que reciben por correos electrónicos; descarga de ficheros que aprovechan agujeros de seguridad, de forma que el usuario ni se entera, etc. Incluso, se han dado casos de jemplares que manipulaban la página de inicio de Google.

El mecanismo de todas las variantes es el mismo: avisan al usuario que su PC está infectado, y comienzan a aparecer ventanas emergentes, fondos de escritorio y salvapantallas que realmente abruman al internauta y no le dejan hacer prácticamente nada. Estas prácticas buscan, sobre todo, asustarle, utilizando por ejemplo cucarachas que se comen el escritorio hasta que el usuario no tiene más remedio que hacer clic en el botón de compra, o bien simulan fallos de Windows con el típico pantallazo azul.

Seguir leyendo el articulo original >>

Compartelo:

[?]

Si usted busca la tercera versión del popular paquete ofimático OpenOffice, es preciso ser precavido antes de comenzar a descargar el producto.

El paquete fue publicado esta semana, y los ciberdelincuentes vieron inmediatamente una nueva oportunidad de capitalizar la popularidad del programa. La compañía de seguridad informática CSIS ha detectado intentos de usar OpenOffice para estafas.

En uno de estos sitios se intenta vender el paquete de código abierto, que por cierto es 100% gratuito. Al hacer clic en un link determinado se llega a un sitio que parece genuino, pero donde se pide pagar una cuota de “filiación" que permite descargar el programa. Evidentemente, la intención es que usuarios inexperimentados entreguen información económica personal en el sitio falso.

Se trata aparentemente del mismo procedimiento empleado anteriormente este año, en que el señuelo fue el servicio iTunes de Apple.
El enlace correcto para las descargas de OpenOffice está incluido al final de este artículo.

A pesar de usar una diagramación sencilla, el sitio de los estafadores no es el sitio de. OpenOffice. Sólo se trata de un sitio falso desde el que se intenta obtener información financiera de usuarios incautos.

Compartelo:

[?]

Varias veces se ha hablado aquí de seguridad en el hardware, y de cómo la fabricación globalizada de hardware se está convirtiendo en una nueva fuente de problemas de seguridad. Hace meses vimos la noticia de un caballo de troya en los equipos de los militares de EE.UU. Esta vez el objetivo era la población civil. Y demuestra la cada vez más compleja sofisticación del fraude electrónico más alla de Internet.

Se trata de uno de los ataques tecnológicos más avanzados que se han visto, y ha ocurrido en Europa, a través de una serie de bien orquestadas operaciones realizadas en los datáfonos que la mayoría de comercios disponen para el pago con tarjeta de crédito. Estos dispositivos contenían ‘hardware añadido’ en fábricas de China que se encargaban de copiar la información de los clientes antes de que ésta fuera cifrada, para almacenarla, cifrarla con sus propios medios, y enviarla entonces a través de una conexión 3G a un servidor de Lahore, Pakistán, donde era descifrada y utilizada para clonar tarjetas de crédito.

Lo verdaderamente relevante de este fraude era la capacidad de decisión de robo provista en estos datáfonos, adaptándose al establecimiento donde operaban para complicar así su presencia. Si se trataba de un pequeño comercio, robaban poco dinero a la semana y realizaban un envío semanal al servidor remoto, si por el contrario estaban situados en grandes superficies, las cantidades robadas aumentaban así como la frecuencia de envíos al servidor remoto.

Esta capacidad de decisión, era descargada cada vez que subían los datos robados al servidor de Pakistan. Hemos robado X datos de clientes en este periodo de tiempo, ¿cuánto robamos la próxima vez?

La cantidad de dinero que se ha conseguido estafar a través de este fraude es presumiblemente de entre 50 y 100 millones de dolares.
No ha tardado ni 1 mes en cumplirse dos de las predicciones que David mostraba en el post Tendencias en el fraude online:

• Código malicioso cada vez más complejo.
• Amenaza de países emergentes (China).

Los requisitos que marca PCI para el manejo de tarjetas de crédito, no hubieran servido de nada en este caso. El aviso de un guardia de un establecimiento víctima alertado por algunas interferencias que nunca se materializaban en mensajes o llamadas y una auditoría de caja blanca tras sospechas de Mastercard desvelaron el fraude.

Emilio Casbas

Fuente: http://blog.s21sec.com/2008/10/sistemas-de-pago-ingeniosamente.html

Compartelo:

[?]

Hace relativamente poco tiempo Internet entró en gran parte de los hogares españoles. En estos años ha facilitado mucho la vida a los ciudadanos y ha abierto una gran ventana al conocimiento. Con un solo clic se puede acceder a enciclopedias, biografías, visitar virtualmente cualquier parte del mundo o manejar las cuentas bancarias sin necesidad de salir de casa. Pero paralelamente a este desarrollo han surgido métodos, cada vez más sofisticados, de engañar al internauta mediante correos basura y usurpación de identidades, que puede permitir la apropiación, por parte de "ciberdelincuentes" de los datos personales, claves bancarias y firmas electrónicas

Seguir leyendo el articulo original >>

Compartelo:

[?]

Durante la semana pasada tuvimos un webminar donde se presentaba el tercer informe de Fraude Online que hemos presentado desde que iniciamos nuestra andadura por estos temas. Una de las diapositivas finales presentaba una serie de ‘predicciones’ o tendencias sobre el fraude online, que son las que aparecen a continuación:

• Ingenieria Social: cualquier método es bueno para engañar al eslabón más débil: eurocopa, elecciones, declaración de la Renta, loterías, trabajos desde casa, desastres naturales, … Todos alguna u otra vez hemos recibido algún tipo de correo parecido y seguiremos recibiéndolo. Cada vez veremos asuntos más sorprendentes (inmobiliarios, seguros, etc.)
• Spear phishing: utilización de datos personales para hacer los mensajes más creíbles (datos sacados de las redes sociales: amigos, aficiones, correos, fotos, …)
• Código malicioso cada vez más complejo (entornos virtuales (hypervisor), rootkits, creación a medida, P2P, cifrado). Nada nuevo bajo el sol, pero ya aparecen técnicas muy interesantes como la del Rustock.C.
• Proliferación de ISP a prueba de balas. Acórdemonos de la famosa RBN (Russian Business Network), pero lamentablemente cada vez existen más.
• Amenaza de los países emergentes (e.g. China). Es una realidad, tan sólo hay que buscar en tu buscador favorito malware+china.
• Irrupción en los dispositivos móviles (iPhone, BlackBerry, Windows Mobile, Symbian). Tiene que estar al caer. Hoy en día no existen ninguna amenaza comprometida, pero es cuestión de tiempo (seguramente no del mismo tiempo que IPv6 o DNSSEC).
• Aumento del número de sistemas Microsoft comprometidos debido a la baja penetración de Windows Vista (esperaremos hasta Windows 7 para controlar su penetración en el mercado) Recordemos que Windows XP es un sistema operativo programado en 2001.
• Aumento del número de sistemas MacOS X comprometidos. El crecimiento en ventas de Apple se hará notar (más aún con los nuevos MacBook que van a sacar que se comentan que van a bajar notablemente el precio).

Indudablemente otro factor muy relevante es la presente y futura situación económica mundial, puesto con mucha probabilidad forzará a ciertas personas o grupos a intentar conseguir dinero de todas las formas posibles, con lo que, además de que las estadísticas lo indican, se augura un fuerte crecimiento de cualquier tipo de fraude en Internet.

¿Qué opináis? ¿Cuáles añadiríais? Dentro de un año las revisaremos, esperemos haber acertado en un alto porcentaje!!!

David Barroso
S21sec e-crime

Fuente:
http://blog.s21sec.com/2008/09/tendencias-en-el-fraude-online.html

Compartelo:

[?]