Bitácora de Ciberseguridad

El quinto episodio de Bitácora de Ciberseguridad es un experimento peculiar, en lugar de un capítulo al uso, os traemos una recopilación de audios que pudimos recoger durante nuestra participación en la HoneyCON16, las segundas jornadas de ciberseguridad organizadas por HoneySec.

Si queréis ver más sobre lo que ocurrió en las jornadas, podéis buscar en Twitter el hastahg #HoneyCON16 para ver qué se comentaba durante las conferencias, charlas y talleres.

• Viernes 11 de Noviembre:

Este fue el track al que asistimos. A continuación os dejamos las cuentas de twitter de los ponentes y los títulos de las ponencias de cada uno.

• Jacob Peregrina: «Soy hacker, ¿necesito un abogado?»
• Jose Aurelio: «Cómo demostrar una evidencia y no morir en el intento.»
• Miriam Garcia: «Desaparecer de Internet, ¿se puede?»
• Manuel Guerra y Silvia Barrera: «Trabajo policial»
• Francisco Perez Bes: «Retos y oportunidades de la ciberseguridad»

• honeysec.blogspot.com Asociación Honey Sec
• honeycon.eu Web de las jornadas HoneyCON
• TECNOIURIS, Despacho jurídico de Jacob Peregrina
• Blog del Perito Informático Forense, de José Aurelio
• Ecix Group, la empresa en la que trabaja Miriam García
• Ciudad con Ley, un blog de Silvia Barrera
• Facebook de la UIT (Unidad de Investigación Tecnológica del Cuerpo Nacional de Policía)
• Programa de Cibercooperantes de INCIBE

La entrada «#HoneyCON16» se publicó originalmente en AVpodcast.

Ha llegado el cuarto episodio de Bitácora de Ciberseguridad con el objeto de ahondar en los aspectos prácticos de la legislación de Protección de Datos de Carácter Personal que tratamos en el episodio 3 y cuya escucha te recomendamos antes de escuchar este episodio.

En concreto, nos centraremos en el nuevo reglamento intracomunitario de la Unión Europea y en como afecta a todos los estados miembros y a las empresas que realicen tratamiento de datos dentro del territorio comunitario, tengan o no sede en el mismo.

Como decimos, no sólo la legislación española se verá afectada. De hecho es la menos afectada ya que el reglamento europeo está fuertemente basado en el español. Pero sí hay cambios importantes que afectan incluso a empresas de países extracomunitarios.

Además, como viene siendo costumbre, traeremos algunas noticias de ciberseguridad, desarrollaremos nuestro ciberglosario y os propondremos un consejo final que esperamos que os pueda resultar útil.

• 00:00 – Introducción
• 01:10 – Noticias.log
• 01:21 – Noticia 1 – Malware Marai vulnerable
• 04:00 – Noticia 2 – El hogar inteligente en peligro
• 09:05 – Noticia 3 – Grave vulnerabilidad en el kernel de Windows
• 10:17 – Noticia 4 – Aplicaciones para robar datos bancarios
• 15:47 – Ciberglosario: Derechos ARCO
• 18:08 – Error 503 – Nuevo Reglamento Europeo de Protección de Datos
• 52:59 – El consejo del día – Guía de Privacidad y Seguridad en Internet
• 55:20 – Despedida

• Malware Marai vulnerable
• El hogar inteligente en peligro
• Grave vulnerabilidad en el kernel de Windows
• Aplicaciones para robar datos bancarios

Como repaso al episodio anterior, y basándonos en las definiciones de la Agencia Española de Protección de datos, recapitularemos los 4 derechos fundamentales de los ciudadanos respecto a la protección de datos de carácter personal. Los conocidos como derechos ARCO:

• Acceso
• Rectificación
• Cancelación
• Oposición

El tema central de episodio es el reglamento europeo que se ha aprobado el 27 de abril de 2016 con respecto a la Ley de Protección de Datos de Carácter Personal, o equivalente de todos los países miembros de la Unión Europea. La fecha límite de adopción de un reglamento compatible por cada país y de la implantación en todas las empresas que traten datos de carácter personal es el 27 de abril de 2018.

Este reglamento establece un marco común de actuación que facilitará la adopción de las normas regulatorias nacionales a empresas que presten sus servicios en más de un país europeo, sean o no empresas europeas. Y al mismo tiempo proveerá de los mismos derechos a todos los ciudadanos comunitarios.

Enlaces de interés:

• Real decreto 1720/2007. Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, LOPD
• Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos)
• Derecho al Olvido
• Ley Orgánica de Protección de Datos de Carácter Personal en el BOE
• Agencia Española de Protección de Datos
• Guía de la LOPD para el Ciudadano
• Listas Robinson

En esta ocasión en lugar de una herramienta tecnológica os recomendamos que descarguéis, leáis y difundáis la Guía de Privacidad y Seguridad en Internet desarrollada por la OSI y la AEPD para concienciar al gran público sobre los riesgos intrínsecos del uso de las redes y los dispositivos conectados así como de las distintas consideraciones y soluciones a tener en cuenta.

La Guía de Privacidad y Seguridad en Internet está disponible en formato PDF para su libre descarga y distribución.

La entrada «Ley de Protección de Datos II» se publicó originalmente en AVpodcast.

Ya hemos llegado al tercer episodio de Bitácora de Ciberseguridad. Como no sólo de ciberseguridad vivimos, en la intro indicamos que no hay que proteger sólo los ordenadores, lo importante es la información y por eso, en este episodio vamos a tratar la Ley Orgánica de Protección de Datos Personales de la legislación española.

Tratamos esta ley, no sólo porque es la de nuestro país de residencia y la que mejor conocemos, también porque al ser de las más duras que existen, está siendo empleada como ejemplo en otros países e incluso en organismos supranacionales como la Union Europea.

• 00:00 – Introducción
• 01:10 – Noticias.log
• 01:21 – Noticia 1 – AEPD investiga Whatsapp
• 03:29 – Noticia 2 – El mayor ataque DDoS hasta la fecha
• 05:20 – Noticia 3 – Valla publicitaria hackeada
• 07:02 – Noticia 4 – Informe de seguridad de Whatsapp
• 08:40 – Ciberglosario: términos de la LOPD
• 13:44 – Error 503 – Introducción a la Ley Orgánica de Protección de Datos
• 57:51 – El consejo del día – Fing, una app para analizar tu red
• 1:02:40 – Despedida

• La Agencia Española de Protección de Datos abre investigación contra Whatsapp
• El mayor ataque DDoS realizado hasta la fecha. Ejecutado por dispositivos conectados, no por PCs.

Los términos definidos en esta ocasión son los empleados en la Ley Orgánica de Protección de Datos, de la que hablamos en la sección Error 503:

• Datos de carácter personal
• Tratamiento de datos
• Fichero
• Responsable del fichero o del tratamiento
• Encargado del tratamiento
• Afectado o interesado
• Tercero
• Consentimiento del interesado
• Cancelación
• Datos de carácter personal relacionados con la salud
• Cesión o comunicación de datos
• Destinatario o cesionario

El tema central del episodio 3 es la Ley Orgánica de Protección de Datos de Carácter Personal. Esta ley establece el marco regulador por el que particulares y empresas deben regirse a la hora de tratar información privada de otras personas, principalmente en su ámbito profesional.

Además de los conceptos principales y de las obligaciones de las empresas que recojan datos personales, también explicamos los derechos fundamentales de las personas a la hora de interactuar con dichas empresas. Son los conocidos como derechos ARCO:

• Acceso
• Rectificación
• Cancelación
• Oposición

Enlaces de interés:

• Ley Orgánica de Protección de Datos de Carácter Personal en el BOE
• Agencia Española de Protección de Datos
• Guía de la LOPD para el Ciudadano

La sugerencia del día es utilizar aplicaciones de análisis de red para descubrir qué dispositivos tenemos en casa o en al oficina que estén conectados y así, además de conocer mejor nuestra propia infraestructura, poder identificar dispositivos intrusos, es decir, que hayan conseguido acceder a nuestra red sin nuestro permiso, por ejemplo, descubriendo la contraseña de la red WiFi.

Hablamos principalmente de la aplicación Fing, básicamente porque es sencilla y gratuita y porque está disponible tanto para Android como para iOS. Además de la web oficial, podéis descargarla en las tiendas oficiales:

• Para Android
• Para iOS

La entrada «Ley de Protección de Datos I» se publicó originalmente en AVpodcast.

En el 2º episodio vamos a centrar el espacio principal, el Error 503, en las copias de seguridad. Te contaremos los 4 puntos clave a la hora de planificar un buen sistema de copias de seguridad y te explicaremos algunos métodos y herramientas.

Además del espacio sobre copias de seguridad, o backups, escucharás las secciones habituales de noticias, ciberglosario y el consejo del día.

• 00:00 – Introducción
• 01:10 – Noticias.log
• 01:21 – Noticia 1 – Culos en una cuenta de twitter de la NASA
• 03:08 – Noticia 2 – 6.6 millones de contraseñs de Clixense a la venta
• 04:19 – Noticia 3 – La 4ª plataforma de Telefónica
• 09:48 – Noticia 4 – Hack para navegar gratis con T-Mobile
• 11:54 – Ciberglosario: NAS, nube, dd e imagen de disco
• 14:35 – Error 503 – Copias de seguridad
• 56:37 – El consejo del día – ¿Me ha afectado algún hackeo?
• 59:02 – Despedida

• Culos en una cuenta de twitter de la NASA
• 6,6 millones de contraseñas de clixense.com a la venta
• La 4ª Plataforma de Telefónica: aquí os dejamos enlaces variados, para que tengáis una de cal y una de arena:
  • En elandroidelibre.com
  • En xataka
  • En la web de Telefónica
  • En blog del CDO de Telefínica
• Navegando con tarjeta de pago de T-Mobile habiendo gastado la tarifa de datos

En esta sección, tal y como la definimos, hacemos una breve explicación de algunos términos relacionados con el tema principal del episodio. En este caso trataremos:

• NAS
• Nube
• dd
• Imagen de disco

En la sección principal del programa tratamos un tema que nadie nunca ha tratado antes en ningún blog o podcast de tecnología. Captada la ironía, esperemos que entendáis el porqué de la insistencia, que no es otro que la extrema importancia de las copias de seguridad.
Recuerda que las 4 claves para diseñar un plan de copias de seguridad son:

• Identificar la información importante e irrecuperable
• Establecer frecuencia y método
• Deslocalizar y proteger las copias
• Comprobar que funcionan

A continuación os dejamos una serie de enlaces de interés:

• Windows:
  • Historial de archivos
  • Copia de seguridad de archivos y restauración
  • Restauración del sistema
• Herramientas para hacer copias de seguridad en Ubuntu
• Backups en macOS:
  • TimeMachine
  • Carbon Copy Cloner
  • Superdupper
• Android Backup Service
• iOS en iCloud
• Más herramientas, estas recomendadas por la Oficina de Seguridad del Internauta.

En esta sección también os recomendamos Podcast Linux del siempre amable Juan Febles.

Esta vez el consejo trata sobre aprovechar los servicios de haveibeenpwned.com para saber si el hackeo que pueda haber sufrido alguna red social o empresa de la que seas usuario o cliente ha podido afectarte.

La entrada «Haz copias de seguridad ¡YA!» se publicó originalmente en AVpodcast.

En este nuevo episodio de Bitácora de Ciberseguridad el plato fuerte, el Error 503, es la entrevista a Goyo, director del podcast Histocast, quien una soleada mañana de veranos se despertó feliz para comprobar que la tormenta le llegaba por email en forma de cierre del servicio de hosting de su web por detección de malware debido al hackeo de histocast.com.

En la entrevista Goyo nos cuenta esta muerte de la web, el hackeo de histocast.com, y cómo con algo de maña, perseverancia y un poco de suerte, logró recuperar el control de la web donde publica su podcast y, lo más importante, las medidas que adoptó a posteriori para que no vuelva a ocurrirle algo parecido y podamos seguir disfrutando de sus programas.

Ya sabes que si te ha ocurrido algo parecido o quieres compartir una experiencia similar, puedes contactar con nosotros por los medios que indicamos más abajo.

A parte de la sección principal, también tendremos las secciones Noticias.log, la nueva sección Ciberglosario donde definimos algunos términos de interés para usarlos con corrección y el siempre práctico Consejo del Día.

• 00:00:00 – Introducción
• 00:01:10 – Noticias.log
• 00:01:21 – Noticia 1 – iOS 9.3.5
• 00:02:26 – Noticia 2 – Falsa alarma sobre cadena de Facebook
• 00:03:56 – Noticia 3 – Los teléfonos OnePlus transmiten su IMEI sin cifrar
• 00:05:11 – Noticia 4 – Nuevos Términos de Servicio de Whatsapp
• 00:07:21 – Ciberglosario: Ciberseguridad
• 00:11:32 – Error 503 – Hackeo, muerte y resurrección de Histocast.com
• 01:00:23 – El consejo del día – ¿Cómo debe ser una contraseña?
• 01:01:45 – Despedida

• Notas de Apple sobre la actualización iOS 9.3.5
• Falsa alarma sobre una cadena de Facebook que podría servir para robar datos
• Los terminales OnePlus transmiten su código IMEI sin cifrar
• Nuevos Términos de Servicio de Whatstapp

Durante la entrevista a Goyo sobre el hackeo de histocast.com se habla de algunas herramientas de seguridad, principalmente para wordpress, cuyos enlaces os dejamos a continuación:

• Wordfence Security
• Anti-Malware Security and Brute-Force Firewall
• CloudFlare
• iThemes Security

También hablamos del maremagnum de empresas que pujan por poner sus anuncios en los espacios reservados en la web. En este artículo (en inglés) explican todas las partes que intervienen y en este otro un diagrama de los jugadores.

La entrada «Hackeo, muerte y resurrección de Histocast.com» se publicó originalmente en AVpodcast.

Bienvenidos a este episodio piloto de Bitácora de Ciberseguridad, un podcast 100% libre de virus y para todos los públicos. Nuestra meta principal es cooperar en la labor que tantos profesionales de tantas ramas hacen por concienciar al público particular y profesional acerca de los riesgos intrínsecos de las tecnologías de la información.

En este episodio Raúl Fernández y Sergio R.-Solís, componentes ambos del podcast, nos presentamos y te contamos qué queremos hacer, qué queremos contarte, las secciones del programa y cuales son los objetivos de este podcast.

Si quieres compartir cualquier historia relacionada con la ciberseguridad, una anécdota, un caso real o cualquier historia que ayude a otros oyentes a estar más seguros, no dudes en escribirnos. Por supuesto, te garantizamos toda la discreción y el anonimato que consideres necesario.

También te invitamos a contactar con nosotros para darnos ideas sobre temas a tratar, noticias interesantes o para contarnos tu opinión. Queremos que el podcast sea ligero y asequible, pero no queremos cometer errores, así que si detectas alguno escríbenos para que apliquemos la correspondiente fe de erratas.

A continuación te dejamos el índice, los enlaces a las noticias de las que hablamos en este episodio y los métodos de contacto.

• 00:00 – Introducción
• 01:10 – Noticias.log
• 01:53 – Noticia 1 – Sorteando sistemas de reconocimiento facial (wired.com)
• 02:21 – Noticia 2 – Campaña de phishing (osi.es)
• 03:09 – Noticia 3 – Código Español de Derecho en Ciberseguridad (certsi.es)
• 03:30 – Noticia 4 – Falsos virus de la batería del smartphone (elandroidelibre.com)
• 05:28 – Error 503 – Presentación del podcast
• 13:08 – El consejo del día – Ya has sido hackeado
• 16:11 – Despedida

• Hackers sortean sistema de reconocimiento facial mediante avatares en 3D, por wired.com
• Campaña de phishing empleando imagen de Carrefour, por osi.es
• Código Español de Derecho en Ciberseguridad: Noticia y Descarga.
• El virus de la batería del smartphone, por elandroidelibre.com.

La entrada «Piloto de Bitácora de Ciberseguridad» se publicó originalmente en AVpodcast.