A través del correo electrónico coordinamos y resolvemos multitud de tareas laborales en nuestro día a día. En ocasiones, las prisas y rutinas hacen que no apliquemos todas las medidas de seguridad que serían necesarias al utilizar esta herramienta, algo que utilizan los ciberdelincuentes para llevar a cabo sus propósitos de engaño.
Uno de los casos más habituales es lo que conocemos como email spoofing o suplantación de identidad por correo electrónico. Mediante esta técnica maliciosa se envían correos con remitente falso para enviar spam, difundir malware o llevar a cabo ataques de phishing y suplantar la identidad de directivos de la empresa, proveedores, clientes, etc.
Los métodos cada vez más depurados de los ciberdelincuentes hacen que sea complicado distinguir un correo legítimo de otro que no lo es. Pero, no te preocupes, vamos a darte ventaja explicándote las pautas necesarias para que identifiques cuándo estás recibiendo este tipo de mensajes.
Interpretando las cabeceras de los correos serás capaz de identificar, entre otros, los siguientes datos:
La información relativa al emisor y al receptor,
los servidores de correo intermedios por los que pasa el correo desde el origen hasta su destino,
el cliente de correo que se utilizó para enviarlo, y
la fecha de envío y recepción del email.
Toda esta información está en las cabeceras o encabezados de los correos. Una parte que a simple vista queda oculta, la podemos visualizar con un par de clics.
Una campaña de ‘malware’ ataca a fábricas de España usando de gancho una falsa vacuna contra el COVID-19
Ciberseguridad – PIXABAY/CC/THEDIGITALARTIST – Archivo MADRID, 30 Mar. (Portaltic/EP) – La compañía de ciberseguridad Proofpoint ha alertado sobre una campaña de ‘malware’ que ha atacado a fábricas e industrias de España y Portugal con el gancho de ofrecerles fabricar una supuesta vacuna contra el COVID-19 a pesar de no haberse descubierto una todavía. El ataque se ha difundido a través de un correo electrónico malicioso en castellano con el asunto ‘Vacuna COVID-19: prepare …
Soldados alemanes trasladan un tanque durante unos ejercicios el 12 de febrero, en Bergen Hohne.FABIAN BIMMER / Reuters
El portal eBay se ha hecho popular en Alemania por vender todo tipo de cosas relacionadas con el mundo militar: los visitantes pueden hacerse, por precios módicos, con herramientas, uniformes y trajes diseñados para combatir guerras químicas. Pero la compra realizada recientemente por una firma de seguridad supera con creces las expectativas: un viejo ordenador portátil de la Bundeswehr, el Ejército alemán, con información clasificada sobre un sistema de misiles aún en funcionamiento.
Fue la curiosidad lo que llevó a un grupo de expertos informáticos a descubrir en el portal la oferta de un viejo ordenador Rocky II+ RT686 del fabricante alemán Roda, equipado con el sistema operativo Windows 2000, un anticuado procesador Pentium III, 128 MB de memoria y cinco kilos de peso. El portátil, que arranca sin necesidad de solicitar datos de acceso, fue comprado por 90 euros. Cuando lo encendieron se llevaron una sorpresa que dejó en ridículo las estrictas medidas de seguridad militar de la Bundeswehr: los expertos en informática encontraron, entre otras cosas, instrucciones para destruir el sistema de defensa aérea Ozelot en caso de emergencia.
Los investigadores de seguridad de la empresa G Data, con sede en Bochum, descubrieron esta documentación, así como el software para pedir piezas de repuesto, en ese viejo portátil que habían comprado por pura curiosidad en eBay. Aunque el procedimiento establece que hay que retirar el disco duro o borrarlo con métodos fiables antes de vender un ordenador viejo, los responsables militares no lo hicieron con este portátil, que llevaba almacenada, sin encriptar, documentación clasificada sobre este sistema armamentístico.
Tim Berghoff y su colega Alexandra Stehr de la empresa G Data vieron con sorpresa que podían tener acceso al software de gestión Modis al escribir la contraseña guest (invitado). A partir de ese momento, ambos expertos tuvieron acceso con detalle a toda la documentación del sistema de defensa antiaérea ligera (LeFlaSys) Ozelot, un pequeño tanque ligero armado con antimisiles que sigue siendo utilizado por la Bundeswehr. También encontraron instrucciones sobre cómo utilizar y destruir todo el sistema en caso de una emergencia.
“Las viejas computadoras de los LeFlaSys fueron todas desechadas y enviadas a reciclar con la orden de borrar o inutilizar los medios de almacenamiento existentes”, anunció una portavoz del Ministerio de Defensa, citada por la revista Der Spiegel, que dio a conocer la compraventa del ordenador. “Se supone que se produjo un error durante el reciclaje del ordenador en cuestión”, añadió.
Según el Ministerio de Defensa existe desde 2019 la obligación de retirar o destruir todos los soportes de datos antes de vender un equipo informático. Al ministerio tampoco pareció incomodarle el hallazgo hecho por los expertos del grupo G Data y en un intento para restar importancia al error cometido señaló que sus computadoras no contienen información que pueda permitir a un tercero obtener datos confidenciales.
El ministerio tampoco ha mostrado interés en recuperar el dispositivo. “El portátil sigue en posesión de G Data y pronto será utilizado como un ordenador de juegos retro”, dijo Berghoff.
No es la primera vez que algo así le ocurre a la Bundeswehr. El pasado mes de julio, un guardabosques de la Alta Baviera había comprado un ordenador portátil junto con las instrucciones de funcionamiento clasificadas de un lanzacohetes MARS. Esta computadora la compró en una subasta de la Sociedad de Recaudación Federal (Vebeg) que tiene, entre otras cosas, la misión de gestionar los objetos que desecha el Ejército, desde teléfonos y vehículos hasta helicópteros y ordenadores viejos.
El guardabosques que encontró los datos contó al periódico Süddeutsche Zeitung que se habían marcado como información clasificada “solo para uso oficial” y que el disco duro no había sido borrado por Vebeg por alguna razón desconocida. El guardabosques había comprado cuatro computadoras a la vez, pero solo encontró datos en una de ellas y también contó que había podido burlar la protección de la contraseña con unos pocos intentos.
Aquéllos que se hayan enfrentado a alguna de las habituales normas que establecen los requisitos para los sistemas de gestión (calidad, medioambiente, seguridad de la información, continuidad de negocio, etc), habrán descubierto, y a menudo sufrido, el hecho de que la estructura de cada una de ellas es distinta, si bien, en algunos casos, a lo largo de los últimos años, se han producido algunos acercamientos entre algunas de estas normas.
Para solucionar este problema y, por lo tanto, favorecer la integración y convivencia de los requisitos procedentes de distintas normas, se ha creado el denominado Anexo SL, cuya finalidad es armonizar la estructura, terminología y definiciones usadas en las distintas normas de sistemas de gestión.
Para la creación del Anexo SL se han tenido en cuenta cuestiones como:
Contexto de la organización.
Gestión de riesgos y oportunidades.
Los recursos financieros de la empresa.
La capacidad de la empresa para hacer frente a los cambios.
Mejorar la coherencia entre los requisitos, el producto/servicio y la entrega.
Buenas prácticas de gestión.
El Anexo SL define un marco común de requisitos para el desarrollo de las normas de sistema de gestión genéricos, debiendo ser éstos completados con los requisitos específicos que, en cada caso, sea necesario.
En el futuro, podremos esperar que todas las normas de sistemas de gestión posean un mismo formato y estructura, basado en el Anexo SL.
Estructura del Anexo SL:
Cláusula 1 – Ámbito de aplicación
Cláusula 2 – Referencias normativas
Cláusula 3 – Términos y definiciones
Cláusula 4 – Contexto de la organización
Cláusula 5 – Liderazgo
Cláusula 6 – Planificación
Cláusula 7 – Soporte
Cláusula 8 – Funcionamiento
Cláusula 9 – Evaluación del desempeño
Cláusula 10 – Mejora
Actualmente ya se han publicado tres normas de sistemas de gestión, basadas en el Anexo SL:
ISO 30301:2011, Información y documentación – Sistemas de gestión de documentos – Requisitos.
ISO 22301:2012, la seguridad societal – Los sistemas de gestión de continuidad de negocio – Requisitos.
ISO 20121:2012, sistemas de gestión de la sostenibilidad de eventos – Requisitos con orientación para su uso.
En los próximos meses, la nueva ISO 27001:2013, de la que hemos hablado en un post anterior, se sumará a esta lista de normas de sistemas de gestión elaboradas de acuerdo al Anexo SL.
A la mencionada ISO 27001:2013 le seguirán las nuevas versiones de ISO 9001 (se espera que vea la luz en el 2015), iso 14001, etc.
Utilizamos cookies para optimizar nuestro sitio web y nuestro servicio.
Funcional
Siempre activo
The technical storage or access is strictly necessary for the legitimate purpose of enabling the use of a specific service explicitly requested by the subscriber or user, or for the sole purpose of carrying out the transmission of a communication over an electronic communications network.
Preferencias
The technical storage or access is necessary for the legitimate purpose of storing preferences that are not requested by the subscriber or user.
Estadísticas
The technical storage or access that is used exclusively for statistical purposes.The technical storage or access that is used exclusively for anonymous statistical purposes. Without a subpoena, voluntary compliance on the part of your Internet Service Provider, or additional records from a third party, information stored or retrieved for this purpose alone cannot usually be used to identify you.
Marketing
The technical storage or access is required to create user profiles to send advertising, or to track the user on a website or across several websites for similar marketing purposes.
Comentarios recientes