El sistema en línea del Servicio de Impuestos Internos estuvo bajo mantención durante la noche redireccionando a todos los usuarios a https://www.sii.cl/pagina/actualizada/suspension/hpi_suspension.htm. El problema es que el mensaje no se desplegaba al momento de ingresar al sitio, sino que luego de iniciar la sesión o más bien, luego de enviar el formulario de inicio de sesión o de intentar ingresar mediante certificado.
VTR es un proveedor de servicios de telefonía, internet y televisión, que desde hace un tiempo está instalando en los domicilios el famoso modem Arris WTM652, como el de la foto de a continuación
Como todos los routers o modem, este dispositivo tiene varias opciones de configuración ya sea para la red cableada como al wireless. Entre las opciones está reiniciar el router, volver a los valores por defecto, modificar la configuración de la red WiFi pudiendo incluso dejarlo sin servicio.
Si el acceso a la configuración de este dispositivo estuviese correctamente configurada y solo permitiera ingresar desde una red privada, no habría ningun problema, pero no es así.
Me atrevería a decir que en chile, estos dos bancos (que en realidad son lo mismo) son los únicos que no implementan un login con seguridad HTTP+SSL o más conocido como HTTPS.
Una implementación segura de este protocolo necesita que tanto el formulario de inicio de sesion como la URL de destino del formulario esten bajo HTTPS, de lo contrario perfectamente mediante un ataque MITM u otro tipo de ataque un atacante podría modificar los parámetros del formulario que está sin seguridad.
El pensamiento para implementar HTTPS de ambos bancos es: “Hagamos el login sin https, pero cuando el usuario presione ‘entrar’ se envie el formulario a un sitio con https“.
En el post anterior se expuso a una empresa que almacenaba en sus servidores registros de un KeyLogger. La empresa es INFOMIN y presta servicios a grandes mineras del país.
En el post se menciona el hecho de espionaje informático a un empleado de la empresa. La publicación repercutió en distintos medios sociales como twitter y facebook, hasta que llegó a uno de los responsables de la empresa INFOMIN, quien vía correo electrónico y luego vía telefónica, se contactó conmigo y luego de una larga conversa, creo que es necesario emitir las siguientes aclaraciones:
Como punto a parte, la persona con la que hablé me reconoció no haber tomado en cuenta el correo que se le envió el día 6 de Diciembre porque lo encontró poco serio. Esto nos deja dos moralejas:
Espero que esto sirva de aclaración y de ejemplo para quienes no toman en serio la seguridad informática y la privacidad de las personas. Más vale tarde que nunca. Muy bien INFOMIN por haber reconocido el incidente y actuar de forma correcta.
ACTUALIZADO
Finalmente Google eliminó los resultados de sus busquedas y me contactaron de INFOMIN para comunicarme que hicieron la denuncia respectiva en fiscalía.
Un KeyLogger es una herramienta que permite almacenar todo lo que un usuario escribe con el teclado, permitiendo almacenar contraseñas, nombres de usuarios, datos bancarios, textos, etc. Ser víctima de esta herramienta es potencialmente peligroso, ya que por lo general se oculta entre los procesos y no nos damos cuenta de que alguien está registrando todo lo que hacemos y enviandolo a un servidor externo.
La empresa INFOMIN, dedicada a otorgar servicios de consultoría tecnológicas a las mineras de chile, está almacenando en sus servidores información obtenida desde un KeyLogger aparentemente de un empleado. La información corresponde al año 2012 y recocleta todo tipo de información como usuarios y contraseñas de Facebook y tiendas comerciales, entre otros. Un claro espionaje de la empresa (o alguien de la empresa) hacia los empleados.
Muchas veces nos preguntamos por quien es el responsable al momento de encontrar una vulnerabilidad en un sitio web que expone información de las personas, si quien hace publico el hallazgo o bien quien comete el errror de dejar esa vulnerabilidad. La verdad es que obviamente es una responsabilidad compartida, pero cuando los encargados de resguardar dicha información no hacen bien su trabajo y no implementan ningún tipo de medidas de seguridad, la responsabilidad –creo yo– corresponde a quien comete el error de dejar la puerta abierta.
Tambien es cierto que existe una gran diferencia entre romper un sistema informático para acceder a información confidencial y encontrar todo abierto, donde es llegar y descargar información donde incluso los motores de busqueda son capaces de indexar dicha información. En este caso en particular, yo me referiré al segundo caso: Cuando dejan todo abierto.
La idea de este artículo no es exponer información confidencial ni mucho menos, simplemente hacer una comparativa de casos en la vida real e internet.
© 2024 El rincón de Zerial
Tema por Anders Norén — Subir ↑
Comentarios recientes