Archivo de la categoría: Riesgos informáticos

Los «Nativos digitales»


Reproduzco de la edición de hoy de ABC la interesante columna de opinión de la que es autor D. Artemi Rallo, Director de la Agencia Española de Protección de Datos

Los «Nativos digitales»

Artemi Rallo, Director de la Agencia Española de Protección de Datos

Sábado, 11-10-08

NUESTROS escolares son auténticos hijos de su tiempo y por lo tanto responden a esa denominación de «nativos digitales», ciudadanos para los que la convivencia instrumental con las nuevas tecnologías constituye algo tan natural como imprescindible y cuyo manejo responde tanto al aprendizaje como a la propia intuición.

En este curso 2008-09 que acaba de comenzar se han incorporado a la Enseñanza en Régimen General no universitario 193.325 alumnos (un 2,7 por ciento más de lo que había el curso pasado) y todos ellos sin práctica excepción van a comenzar desde la infancia a ser usuarios de las nuevas tecnologías, internautas, navegantes por la inmensidad de la Red. Dispondrán en poco tiempo de las mayores habilidades y convertirán su computador en un interlocutor móvil, personal e imprescindible que les habrá de servir para casi todo: comunicarse, entretenerse, cultivar las relaciones sociales y amicales, acceder a servicios y acrecentar sus conocimientos. A través de la pantalla del ordenador verán seguramente la TV, lo utilizarán como teléfono y audio y dispondrán del don de la ubicuidad.

La tecnología hará a estos «nativos digitales» que en estas semanas se incorporan a la Enseñanza más poderosos y versátiles que a los de generaciones anteriores y vivirán en un mundo más abierto, sin fronteras, lleno de virtualidades. La gran cuestión es si esta inédita frontera de las nuevas tecnologías garantizará o no sus derechos de privacidad en los términos que la ley orgánica de Protección de Datos prevé en cumplimiento del mandato constitucional. En la Agencia Española de Protección de Datos contemplamos las nuevas tecnologías en su doble dimensión: como oportunidad inmensa, pero también como problema. Y a la Agencia corresponde cohonestar que el desarrollo tecnológico sea compatible con la preservación de la privacidad. La única forma de lograrlo es introduciendo de manera progresiva una nueva cultura simultánea al imparable dinamismo que plantean las nuevas tecnologías. Se trata de una cultura de prudencia, de contención, de consciencia y conciencia de los riesgos que entraña esa formidable transparencia tecnológica.

Los niños son los objetivos más vulnerables tanto frente a los que, ilegalmente, tratan de hacerse con datos personales y familiares, como de los que preconizan que en la Red vale todo, incluida la falta de respeto a la Propiedad Intelectual. Los padres han de ser conscientes de sus derechos: los menores de 14 años necesitan de su consentimiento para el tratamiento de sus datos; los menores no pueden ser requeridos a facilitar datos familiares que no sean los estrictamente necesarios para mantener la imprescindible relación con el entorno del alumno. Por otra parte, aquellos que traten los datos de los niños deben comunicarse con él de manera accesible para su mejor comprensión, tienen que identificarse y ofrecer todo tipo de explicaciones sobre la utilización de los datos que debe ser siempre proporcional y con un sentido finalista claro y taxativo.

Los ámbitos en los que los menores deben ser protegidos de la depredación de su intimidad es el propio centro escolar en su función de aprendizaje digital; también su hogar cuando navegan por la red -los padres deben acompañarles en esa travesía marcándoles las pautas para hacerlo con seguridad-. Por supuesto, hay que tener especial cuidado en entornos determinados tales como los chats, foros o redes sociales y algunos tipos de video-juegos. Sin perjuicio del respeto a la vida privada del menor -que le es debido-, padres, profesores y tutores deben procurar que los niños accedan a internet de modo personalizado y con cuentas de usuario limitadas o restringidas pudiéndose utilizar para la navegación software de filtrado de páginas de contenido inadecuado y que permita la elaboración de informes de actividad de sitios visitados. Hagamos una advertencia: la monitorización del ordenador del menor, el uso de la videovigilancia o la geolocalización mediante el móvil son soluciones extremas que deben utilizarse cuando resulte imprescindible y teniendo en cuenta la proporcionalidad de la medida. En definitiva: enfrentarse a internet requiere de un proceso educativo basado en la prudencia y en el respeto a sí mismo y a los demás.

En internet no todo el mundo es quien dice ser; jamás deben proporcionarse datos -por ejemplo, la dirección- sin garantías plenas y nunca a desconocidos; debe evitarse el uso del nombre real y descargarse programas desconocidos o sin referencias suficientes. En resumen, hay que mantener ante el extraordinario fenómeno de internet una actitud vigilante, al mismo nivel de alerta que la acechanza de tantos desaprensivos que han convertido la Red en un territorio inseguro y agresivo para la intimidad personal y familiar. En realidad, el gran reto contemporáneo es el restablecimiento del equilibrio en la ecuación libertad-seguridad. Tenemos derecho a ser libres, pero también a estar seguros y ambos derechos han de entrar en sinergia para que el resultado resulte óptimo. Si este equilibrio de valores es preciso en todos los ámbitos, se hace acuciantemente necesario en la utilización, especialmente por los menores, de las nuevas tecnologías. Se trata de un desafío apasionante que debe encararse desde la primera fase: la iniciación escolar. Por eso, ahora, cuando doscientos mil nativos digitales comienzan su aprendizaje en la Enseñanza de Régimen General, conviene la advertencia de cautela desde una instancia que como la Agencia Española de Protección de Datos tiene como objetivo esencial la tutela de derechos de los ciudadanos.

Seguridad Jurídica en Medios de Pago


Mañana y pasado (7 y 8 de octubre de 2008) participaré en el evento Seguridad Jurídica en Medios de Pago organizado por el IIR.

Mis módulos (3 y 4) los impartiré la tarde de mañana y seguiré la mañana del miércoles.

MODULO 3
Gestión del fraude y evidencias electrónicas. Métodos especiales de autenticación

MODULO 4
Implicaciones jurídicas de la contratación electrónica mediante DNIe y otros certificados

En unos dias, el 15 y 16 de Octubre de 2008 tambien participaré en el Seminario Especificaciones Técnicas de la nueva normativa de Facturación Electrónica (facturae) organizado por IIR España, Institute for International Research y que lo desarrollamos completamente personas de Albalia Interactiva

Posteriormente,  el 28 y 29 de Octubre de 2008 tambien participaré en el Seminario PCI DSS organizado por IIR España, Institute for International Research, junto con Lara Fiorani (PCI DSS Technical Manager de Visa Europa) y Pedro Sánchez (Director de Seguridad de ATCA).

Peritos informáticos e Ingenieros forenses


Es un título de post quizá un poco pretencioso, pero es lo que quisiera destacar del artículo que ayer publicó El Pais, con la pluma de Jesús García.

‘Colgar’ delitos en Youtube se paga

Los usuarios de Internet se creen libres, pero la Red ya no es el territorio de la impunidad – Policía e investigadores privados tienen cada vez más medios para rastrear huellas y cazar a los infractores

JESÚS GARCÍA 13/08/2008

Un novio despechado que cuelga fotos de su ex, ligera de ropa, en una página de contactos. Un joven que intenta batir récords de velocidad con su coche tuneado por una carretera comarcal, lo graba y lo comparte con la audiencia mundial de Youtube. O una mujer que exhibe, en su blog personal, fotos de sus amigos sin que éstos lo sepan. Estos comportamientos se han extendido con Internet. Por ignorancia o temeridad, sus autores se creen libres de actuar así sin que haya consecuencias. Pero los responsables policiales, los abogados expertos en delitos informáticos y las asociaciones de usuarios lo tienen claro: Internet no es un oasis de impunidad. Ojo porque, advierten, delinquir en la Red se paga.

“Al usar Internet, la gente cree que todo vale. Y ocurre lo contrario: se persigue cualquier delito”, opina Jordi Bertomeu, abogado experto en la materia. Su confianza se basa en una certeza: la Red deja rastros. El más evidente, la dirección IP. Es un número que identifica el ordenador, una suerte de DNI con el que los investigadores llegan al lugar desde el que se envía la información y cazan a su autor.

Hay otras fórmulas. El contenido de una imagen delictiva (vídeo, fotografía) ofrece una ingente información que, analizada, resulta reveladora. El estilo de escritura también puede ser, en el caso de amenazas vertidas desde un correo electrónico o un foro anónimo, una pista definitiva.

El portal de vídeos Youtube, propiedad de Google, es ahora un depósito de material delictivo. No es el único, pero su popularidad lo ha situado como destino preferente para que cientos de usuarios vuelquen allí gamberradas que, a veces, resultan ser actividades castigadas en el Código Penal.

Ramón, una persona con esquizofrenia de 46 años, sufrió en sus carnes la perversión de la Red cuando, hace meses, unos chicos le grabaron con cámara mientras se burlaban de él. No tardaron ni dos minutos en colgarlo en Youtube. Su familia, de Móstoles (Madrid), consiguió que se retirara la ofensa. En abril pasó algo parecido en Martorell (Barcelona). Tres chicos obligaron a un discapacitado psíquico a romper baldosas con la cabeza, hacer flexiones y consumir droga, mientras captaban la escena con el móvil. Fueron detenidos y las imágenes, apartadas de la circulación.

“En las webs hay cosas que han pasado toda la vida, como los críos que se pegan en el colegio. La diferencia es que, ahora, eso se difunde por puro exhibicionismo”, opina el abogado Carlos Sánchez Almeida. “Una paliza puede ser un delito de lesiones. Pero si esa paliza se publica en Internet, se convierte en un delito de incitación a la discriminación”, señala.

La policía detuvo, semanas atrás, a unos jóvenes por mantener relaciones sexuales con una menor en un parque de Asturias. La adolescente accedió a practicar sexo, e incluso consintió que la grabaran. Los chicos, por tanto, no fueron detenidos por abuso sexual, sino por un delito contra el derecho a la propia imagen, ya que el vídeo corrió de un teléfono a otro hasta aterrizar en Internet.

Almeida y otros letrados reclaman que la Fiscalía intervenga de oficio en los casos más graves, los que afectan a menores y a discapacitados. “Lo primero es proteger su intimidad. Después ya se verá si hay o no delito”, subraya. Hace unas semanas, la Fiscalía de Menores de Granada pidió a Google que indemnice con 1.300 euros a dos menores (un supuesto agresor y su víctima) que protagonizaron una riña en Armilla. Las imágenes fueron colgadas en Youtube, lo que, a juicio de la Fiscalía, supuso “un grave menoscabo de la dignidad” de los dos menores.

El volumen de material susceptible de ser perseguido penalmente crece día tras día. Lo mismo que la sensación de descontrol, de que el vídeo eliminado hace una semana puede estar ahora en otro portal de Internet. Los responsables policiales cuentan con ello. Y tratan de achicar terreno. El Cuerpo Nacional de Policía (CNP) ha creado Grupo de Redes Abiertas. Bajo ese llamativo nombre trabajan decenas de agentes que se pasan el día enganchados a la Red. Hacen lo que buenamente pueden. Cuando no atienden la denuncia de un individuo o una empresa, bucean por el océano de Internet en busca de indicios.

“Esto es inacabable. Aunque fuésemos mil, no llegaríamos a todo. Los delincuentes van a más, por eso es importante que el ciudadano colabore y, si ve una agresión, lo denuncie”, admite el jefe de la Brigada de Investigación Tecnológica de la Policía, Enrique Rodríguez. Los funcionarios de este grupo están pendientes de la actualidad. Se produce un curioso efecto llamada: “Esto va por modas. La gente ve una conducta en la tele y la imita. A raíz de un ataque a una tienda de chinos, empezamos a observar agresiones similares en otros locales. Lo mismo pasó con las peleas entre niños en clase, las palizas a mendigos o las carreras de coches”.

Rodríguez asegura que, “contra la opinión común de la gente, Internet no es anónimo; siempre deja un rastro”. Dice que la policía dispone de medios para perseguir cualquier delito, pero prefiere no dar detalles para “evitar que los malos tengan pistas”.

La inmensidad de Internet ha abierto las puertas a los investigadores privados. Mientras la policía concentra sus recursos en casos con impacto criminal (distribución y consumo de pornografía infantil, grandes estafas online, agresiones a menores o discapacitados) el sector privado se ha volcado en las empresas. Éstas han multiplicado las denuncias por fuga de información, competencia desleal o injurias. Y los investigadores les echan un cable. Uno de los más reconocidos es Abraham Pasamar, perito informático y director general de la empresa de investigación digital Incide.

“Un individuo que sepa algo de informática puede lograr que los comentarios difamantes sobre una empresa aparezcan en Google antes que su web corporativa”, sentencia Pasamar. Por eso, recomienda a las empresas que, antes que nada, acudan al notario “para dejar constancia de que esa injuria estaba ahí, en esa página, tal día y a tal hora”.

La prueba del delito no es suficiente: hay que ir a por el autor. Y hay herramientas para dar con él. “En Youtube, el delincuente cuelga la prueba de su delito, y eso es una gran ventaja. Un analista forense puede sacar punta a cualquier cosa: si aparece un reloj o un calendario, podemos saber en qué país se ha grabado el material”, indica Julián Inza, presidente de Albalia Interactiva y coordinador del Foro de Evidencias Electrónicas. El autor exhibe, por lo general, su nombre de usuario. De modo que, “con un poco de picardía”, se puede saber en qué otro lugar de la Red ha participado ese mismo usuario-ciudadano.

El cotejo de los escritos también ha ayudado a resolver decenas de casos. El abogado Bertomeu narra uno real: “Un clásico: el hombre que cuelga fotos provocativas de su antigua pareja en una web de contactos. Se hizo pasar por ella. Lo curioso es que siempre se despedía con la expresión ‘besicos’ y dejaba un espacio entre la última sílaba y el signo de interrogación. Comparamos esos mensajes con otros escritos de la mujer y dimos en el clavo”. Otro recurso útil es estudiar la metadata, es decir, averiguar con qué programa se elabora un archivo.

Las investigaciones llevan, con frecuencia, hasta el responsable. Pero en el camino hay obstáculos y a menudo cuesta avanzar. Para empezar, la naturaleza de Internet: “Una vez que el contenido está en la Red, es difícil tener la certeza de que ha desaparecido del todo”, señala el presidente de la Asociación de Usuarios de Internet, Miguel Pérez. Los afectados ven que “el contenido lesivo tarda mucho tiempo en retirarse, o que salta a otras páginas web”, explica el jefe de la unidad de delitos informáticos de los Mossos d’Esquadra, Rubén Mora. Y entonces, el denunciante se cansa.

Cuando el prestador de servicios de Internet colabora con la policía, los tiempos de espera se acortan. Por colaborar se entiende aquí algo muy concreto: que Google (por ejemplo) retire, motu proprio, un contenido nocivo. En casos de alarma social (pederastia) las propias páginas web se prestan a ayudar de inmediato. Pero no siempre es tan fácil. Hay diferencias de clase. “En las grandes empresas todo está profesionalizado y se puede llegar a un acuerdo. Un blogger particular puede llegar a ser muy combativo”, incide Sánchez Almeida.

Los prestadores de servicios suelen quedarse al margen en delitos como los de injurias o contra la propiedad intelectual. Y es normal que así sea, razona Alejandro Negro, abogado del bufete Cuatrecasas: “Ellos no supervisan contenidos, de modo que no tienen por qué responder de lo que el usuario publique en una página”, subraya.

La clave, de todos modos, radica en conseguir la dirección IP: es lo que, al final, permitirá a los agentes llegar hasta el usuario. Es “el trabajo más laborioso”, precisa Sánchez Almeida. Aunque los investigadores pueden conocer por sí mismos algunas IP, al final “siempre hay que pasar por el aro del requerimiento judicial”, subraya Pasamar. Un juzgado debe solicitar a la compañía telefónica que facilite esa dirección. “Se produce una colisión entre el derecho a la tutela judicial efectiva y el derecho a la intimidad. Todo el mundo está de acuerdo que la protección de la intimidad de un delincuente ha de tener un límite”, precisa el responsable del Foro de Evidencias Electrónicas.

Rodríguez, el jefe policial, asegura que en ocasiones hay que actuar de urgencia. Como en el caso de un chico que estuvo jugando 15 horas seguidas en la Red. El administrador le advirtió de que no podría seguir jugando. “Amenazó con suicidarse. El operador facilitó la información y se localizó al chaval”. Con asuntos menores es más complicado. “Tenemos una ley de protección de datos muy garantista. Las empresas se ven entre la espada y la pared, porque si facilitan datos, la Agencia de Protección de Datos les regaña”, argumenta Rodríguez.

Todo ello, sin tener en cuenta que los infractores disponen de vías de escape. Así, pueden conectar su ordenador a un sistema wifi (o sea, un acceso a Internet inalámbrico) para colgar los contenidos delictivos. Ya se han dado casos. “La gente usa el wifi gratis de los hoteles para hacer maldades. Te tomas algo desde el bar y, ¿quién te va a pillar? Lo mismo si vas a un cibercafé”, bromea Pasamar. Eso ha llevado la confusión a algunas investigaciones. Se ha dado la paradoja de que un juez ha solicitado una dirección IP y se han visto implicados en una investigación personas que nada tenían que ver con los hechos. Por lo general, el enredo se resuelve rápidamente. A un hombre con conexión wifi le interrogaron sobre sus supuestas actividades ilícitas en una empresa. Fue como si le hablaran en chino: no entendía nada. Por fortuna para él, atinó a precisar que su vecino trabajaba, casualidades de la vida, en esa empresa. Voilà.

La escasa formación de la mayoría de jueces tampoco ayuda a resolver los casos, coinciden diversos letrados. Muchos magistrados ignoran el vocabulario y las cuestiones técnicas que sólo un perito informático les puede aclarar. Por eso reclaman que se creen juzgados especializados. “O, al menos, que los jueces dispongan de un grupo de expertos que les orienten”, dice Pasamar.

Las populares redes sociales (tipo Facebook) ponen en contacto a amigos y promueven el intercambio de información. También estas webs se han convertido, sin pretenderlo, en un terreno espinoso. Existe la costumbre de colgar fotos de amigos en la Red sin su permiso. De nuevo, asoman la inocencia y la temeridad. “Partimos de la base de la buena fe de la gente. Otra cosa es que yo pida expresamente que se retire mi foto y no se haga. Eso podría ser una infracción al derecho a la imagen”, indica Bertomeu, que pide “un equilibrio entre los nuevos usos de Internet, el Derecho y las nuevas tecnologías”.

Otra fuente de conflicto son los foros, donde los usuarios suelen descargar su ira. Algunos comentarios que allí se vierten pueden constituir un delito. En opinión de los expertos, la justicia no puede pedir responsabilidades a los gestores de la web que los contiene: es imposible ejercer un control previo porque, además, se trata de sistemas automatizados de publicación de comentarios. El 70% de los casos que atiende la policía catalana son por injurias, calumnias o amenazas.

“Los jóvenes poseen herramientas potentes, pero no tienen claro qué límites no deben traspasar. Y se pueden encontrar con que, un día, la policía les vaya a buscar a casa y ellos no sepan qué han hecho mal. Es un problema de educación en la tecnología”, dice el presidente de la asociación de usuarios. Y añade: “Hay que transmitir el mensaje de que la legalidad en Internet existe”.

Julián Inza cita un ejemplo real que da a entender la magnitud del “rastro” dejado en Internet: el FBI investigó la muerte de la esposa de un pastor. En principio, parecía una muerte natural: para superar una dolencia, la mujer había consumido una medicación que resultó incompatible con los antibióticos que ya ingería para combatir otra enfermedad. “Los agentes rastrearon el ordenador de la familia. ¿Y qué encontraron? Pues que el pastor había buscado en Google información sobre esos medicamentos. La percepción de impunidad, de que nunca pasa nada, hace que la gente sea imprudente. Y no nos engañemos: para los que investigamos, ya nos va bien que sea así”.

Las empresas, las que más denuncian

– Las empresas son las que más denuncias presentan ante los cuerpos policiales; la mayoría, por presuntas injurias y calumnias vertidas en la Red por usuarios anónimos.

– Los expertos recomiendan recabar pruebas físicas del presunto delito, copias de comentarios y vídeos.

– Algunas empresas disponen ya de una nueva figura profesional, el ?oficial de evidencias electrónicas?, encargado de preparar y custodiar las pruebas.

– Pese a la demanda de las empresas, la policía centra sus prioridades en los delitos más graves: pornografía infantil, grandes estafas en Internet y las agresiones a personas especialmente vulnerables, como ancianos, discapacitados y menores.

 

HomSec 2008


Desde el 1 al 4 de diciembre de 2008 se celebra en el Recinto de Feria de Madrid del Campo de las naciones HomSec (Salón Internacional “Homeland Security”), evento de carácter bienal, que constituye una cita mundial de referencia para el mercado de la Seguridad Interior del Estado y la Defensa.

Las principales amenazas para la seguridad de la sociedad son hoy el terrorismo y el crimen organizado y las grandes catástrofes naturales o humanas. Para hacerles frente, las Fuerzas de Seguridad y de Protección Civil, así como las Fuerzas Armadas, han de contar con medios adecuados de última generación para detectar, prevenir, neutralizar o reparar los daños causados en el menor plazo posible.

Homsec es un lugar de encuentro adecuado para que las Fuerzas de Seguridad y las de Protección Civil conozcan directamente los últimos desarrollos ofrecidos por las empresas y éstas tengan la oportunidad de saber, de primera mano, sus necesidades.

La primera edición, HomSec 2007, tuvo lugar entre los días 9 y 12 de enero de 2007 en el Pabellón de Cristal de la Casa de Campo de Madrid. Esta primera cita contó con la visita de más 3000 profesionales y cerca de un centenar de empresas expositoras. Para más información, puede consultar la sección HomSec 2007 en esta misma web.

El Salón contó con el patrocinio de las empressas Amper, Indra, EADS, HP, IBM y Atos Origin, y fue incluido dentro del programa PROFIT del Ministerio de Industria

Como evitar ser víctima de un fraude


Ayer comentaba el nombramiento de un amigo en SEPFRA.

Hoy voy a hacer un extracto de algunas recomendaciones de SEPFRA para protegerse, detectar y reaccionar contra el fraude on-line y “off-line”.

Este es el enlace para acceder a todas las recomendaciones. VISA también tiene recomendaciones.

Las destinadas a internautas:

  • Sospeche cuando reciba e-mails de remitentes desconocidos. Ante la duda, bórrelos. No abra ningún enlace o documento adjunto, ya que puede ser la puerta de entrada de un programa maligno, como espías y caballos de Troya.
  • No responda nunca a e-mails relativos a supuestos premios ganados en la lotería, ofertas de trabajo sospechosas, propuestas de realización de transferencias bancarias desde otros países a su cuenta, peticiones de auxilio de personas que no pueden disponer de su dinero ?. Son todos ellos trucos para acceder a sus datos personales o estafarle.
  • No participe en “cadenas” (e-mails con noticias curiosas o advertencias, como virus inexistentes, que se le solicita que reenvíe a sus amigos o conocidos), el objetivo de muchas de ellas es recopilar direcciones de e-mail para su posterior utilización en campañas de spam (correo basura masivo) o phishing.
  • Mantenga actualizados los sistemas de seguridad de su equipo (antivirus, firewall y antispyware) así como la última versión del navegador.
  • No proporcione nunca datos o claves bancarias en páginas web a las que se acceda pinchando enlaces desde mensajes de correo electrónico. Incluso aunque no parezcan peticiones de datos. Incluso cuando no sean páginas de entidades financieras sino de servicios que pueda tener lógica que tengan sus datos bancarios como la AEAT y otros organismos públicos. Acceda a su entidad bancaria y a los servicios seguros tecleando usted mismo la dirección web en la linea de direcciones URL del navegador y comprobando el certificado electrónico SSL.
  • Evite acceder a servicios de banca electrónica desde ordenadores públicos (universidad, cibercafés, CDTs, ferias, ayuntamientos, …) ya pueden no cumplir los requisitos mínimos de seguridad. Existe además el riesgo añadido de que alguien pueda verle introducir sus claves (y copiarlas o memorizarlas). Y casi siempre tienen troyanos que roban claves.
  • Cuando se conecte a servicios de banca electrónica, fíjese en la pantalla de su ordenador: la dirección debe comenzar por https:// y en la parte inferior deberá aparecer el símbolo de un candado cerrado, ambos indicativos de que ha entrado en un entorno seguro. El símbolo del candado le permite acceder al certificado de seguridad de la página, que deberá estar emitido a nombre de la entidad con la que está conectado. Si estas señales no aparecen, o el certificado no es válido, cancele la conexión y no introduzca sus claves: probablemente esté en un site fraudulento.

Las generales (todos podemos ser víctimas de suplantaciones):

Nuestros datos personales (número de DNI, de NIE o de Pasaporte, número de la Seguridad Social, número de cuenta bancaria, claves de acceso, datos identificativos como teléfonos, fechas de nacimiento,…) son muy golosos para los delincuentes y debemos asumir nuestra responsabilidad de protegerlos de accesos indiscriminados.

Nuestros datos podrían ser robados de muchas formas

  • A través del robo de documentación:
    • Denuncie cualquier robo o pérdida de documentación a la mayor brevedad posible.
  • Mediante el robo de correo postal:
    • Asegúrese que su buzón está siempre correctamente cerrado con llave.
    • Recoja el correo habitualmente. Si va a estar fuera durante unos días, asegúrese que alguien de confianza se ocupe de ello.
    • Ponga especial cuidado cuando cambie de domicilio, asegurándose que el correo llega a su nueva dirección y no a la anterior:
    • Comunique cambios de domicilio a entidades bancarias, organismos públicos, proveedores de servicios y el resto de compañías con las que tenga relación.
    • Contrate durante un tiempo el servicio de reenvío de correos. Es muy económico y merece la pena.
  • Recuperando los datos de la basuraa la que en muchas ocasiones tiramos datos muy valiosos: extractos bancarios, tarjetas caducadas, copias de certificados que ya no necesitamos. La basura no es un lugar seguro para sus datos:
    • Destruya cualquier documentación que contenga datos personales antes de tirarla. Rómpala en trocitos lo suficientemente pequeños como para que no pueda reconstruirse.
  • Escuchando sus conversaciones:
    • Asegúrese de no revelar información personal en lugares públicos o donde otras personas puedan escucharle.
  • Mediante estafas telefónicas:
    • No dé nunca sus datos personales por teléfono, a menos que haya comenzado usted la comunicación y esté seguro de la identidad de su interlocutor.
    • Su banco nunca le llamaría por teléfono para solicitarle su número de cuenta o sus claves de acceso. Si recibe una llamada en este sentido, solicite el teléfono indicando que llama usted (como prueba), cuelgue y llame a su banco mediante el teléfono y persona de contacto que utiliza habitualmente (aporte el número que ha conseguido). De esta forma no sólo se protege usted, además pone en alerta a su entidad financiera.

Otras medidas preventivas

  • Controle sus operaciones bancarias:Realice frecuentemente una comprobación entre su extracto bancario y los recibos de compras, para poder detectar con rapidez cualquier posible irregularidad: Si hay algún cargo que no reconozca, póngase en contacto con la tienda/proveedor que lo haya realizado así como con su entidad bancaria a la mayor brevedad.
  • Si cambia de banco, cierre la cuenta que ya no utilizará, no la deje “dormida” con un saldo mínimo. Un tercero puede reactivarla para uso delictivo e implicarle a usted.
  • Tenga en un lugar seguro y único y fácil de recordar para usted los datos de sus cuentas y tarjetas bancarias, junto con los números de teléfono de las entidades o emisores, de forma que pueda bloquearlas todas con rapidez en caso de robo o sospecha de fraude. Hay servicios como CCP para facilitar el bloqueo simultáneo de sus tarjetas.
  • Si una entidad financiera le deniega un crédito por una deuda que desconoce, contacte con las entidades que gestionan ficheros de insolvencia, como ASNEF o el Banco de España (CIRBE)  y solicite la información que pudieran tener sobre usted para confirmar que no se trate de una deuda que otro haya contraído una persona que le suplante y que haya puesto a su nombre. Si es así, contacte inmediatamente con la entidad acreedora (con la que aparentemente tiene la deuda) y con su banco habitual y denúncielo a las autoridades, policía y guardia civil.
  • Si teme que sus datos hayan podido ser robados, o simplemente si desea tener un mayor nivel de seguridad, valore la posibilidad de adherirse al fichero DER para poner su identidad en vigilancia durante el tiempo que usted mismo determine.

Cómo protegerse de fraude a través del teléfono

  • No proporcione nunca datos personales o bancarios por teléfono a menos que haya comenzado usted la llamada, o tenga plena seguridad de la identidad de su interlocutor.
  • Si recibe por e-mail comunicaciones de su entidad financiera, solicitándole que se ponga en contacto con ellos en un determinado teléfono, no lo haga, puede que sea falso. Utilice el número de teléfono y el contacto habitual que tenga en la entidad y pregunte si son ellos los que han enviado el e-mail.
  • Si recibe llamadas relativas a ofertas de productos o servicios que ?debe adquirir/contratar ya, porque se termina la oferta?, desconfíe y no se deje presionar. Una compañía seria entenderá que quiera decidir con calma la compra o contratación.
  • Resulta más sencillo descartar un e-mail que decir NO a una persona por teléfono. Sin embargo, si las ofertas o promociones le parecen sospechosas, no se sienta coartado, rechácelas educadamente y termine la comunicación. 

Cómo operar correctamente con tarjetas

  • Para evitar el “skimming”, cuando realice compras con tarjeta, no la pierda de vista, esté pendiente mientras el empleado del establecimiento la pasa por el TPV (Terminal Punto de Venta). Existen pequeños dispositivos capaces de grabar los datos contenidos en la banda magnética con solo pasarla por ellos.
  • Guarde los extractos de sus operaciones con tarjeta y copias impresas de sus pagos online y compruébelas con frecuencia conciliando con sus movimientos de cuenta y los extractos de la tarjeta para detectar lo antes posible cualquier cargo que no reconozca.
  • Si dispone de varias tarjetas, no las lleve todas consigo. En caso de robo, el daño será menor.
  • En caso de pérdida o sustracción de tarjetas, notifíquelo a su entidad financiera o emisora inmediatamente para que sea anulada. A 4b ( 913.626.200 y 902.114.400  ) SERMEPA (902.192.100) Euro 6000 (902.206.000) Extranjeros en España VISA (900.971.231) Visa Europa :900.991.124 En USA:  (800) 847-2911 Llamando a USA desde el extranjero: 1-800-VISA-911 (llamda a USA a cobreo revertido: 1-636-722-7111) Otros Paises: VISA
  • Memorice las contraseñas, no las lleve apuntadas ni en la propia tarjeta, ni en ninguna agenda, cartera o similar que lleve habitualmente junto con ella.
  • Tenga siempre su tarjeta y los recibos de sus operaciones bien guardados, no los deje a la vista de cualquiera, copiar los datos no le llevaría ni un minuto.
  • Cuando opere en Cajeros Automáticos:
    • Si observa algo extraño o distinto de lo habitual (por ejemplo, en la ranura para la introducción de la tarjeta, o el teclado), no realice ninguna operación en el porque pueden estar captando sus datos.
    • Si la tarjeta se queda retenida, llame inmediatamente a su entidad, si es posible antes de alejarse del cajero, desde el móvil o desde el teléfono o interfono del que disponen algunos cajeros. Si alguien se acerca a ayudarle o le sugiere trucos para recuperarla, desconfíe, ya que son técnicas para sonsacarle su clave. No se aleje del cajero mientras no recupere la tarjeta, ya que los delincuentes esperan ese momento para captarla ellos.
    • Al introducir su contraseña, tape el teclado con la mano o con algún objeto, para que nadie pueda verle y para impedir que cámaras disimuladas puedan grabarle mientras lo hace.
  • Cuando realice compras o pagos por Internet:
    • Hágalo en sitios y tiendas-online de confianza (que ya conozca o de las que tenga referencias).
    • Llegado el momento de introducir los datos de pago, compruebe la dirección URL comienza por https:// y que en la parte inferior aparece el símbolo de un candado cerrado, ambos indicativos de que ha entrado en un entorno cifrado. El símbolo del candado le permite acceder al certificado de seguridad de la página, que deberá estar emitido a nombre de la entidad con la que está conectado. Si estas señales no aparecen, o el certificado no es válido, no realice la compra.
    • Tenga cuidado con sitios web de recargas telefónicas a muy bajo precio, ya que muchos de ellos tienen como único fin conseguir datos de tarjeta.
    • No envíe nunca los datos de sus tarjetas por e-mail, ni siquiera a personas de confianza, ya que el correo electrónico también se puede interceptar.
    • Imprima y guarde una copia del justificante de pago que aparecerá una vez finalizada la transacción, para poder realizar la comprobación frente a su extracto bancario.
  • Cuando realice compras por teléfono:
    • Asegúrese que se trata de una compañía de confianza.
    • Solicite el nombre y apellidos de la persona que le está atendiendo, y cualquier otro dato identificativo, como su número de empleado, si lo tiene. Esto hará más sencilla una posible reclamación.
    • Para realizar una compra telefónica no es necesario dar el número secreto de su tarjeta. Si se lo solicitan, valore seriamente no continuar el proceso de compra.

Si ha sido víctima de un fraude de suplantación de personalidad (“impersonación” o simulación de identidad )

Estos son los primeros pasos que debería dar si descubre que ha sido víctima de un fraude de identidad.

  • Denúncielo a la policía: Si tiene alguna documentación relativa al posible fraude, deberá aportarla. De no se así, bastará con su declaración.
  • Comuníquelo a su entidad o entidades financieras, aportando su DNI y el documento de denuncia a la Policía.
  • En caso de que hubiera alguna otra entidad implicada (una entidad con la que usted no tenga relación, pero que le reclame una deuda, un comercio donde supuestamente haya realizado alguna compra) póngase en contacto con ellos para informarles de la situación. Aporte una copia de su denuncia a la Policía.
  • Si desea saber si puede haber otras deudas asociadas a su nombre, contacte con los principales ficheros de solvencia y solicite la información disponible sobre usted, si existen otras deudas ya vencidas y reclamadas, aparecerán en sus registros. Estos ficheros deben notificarle por escrito la inclusión de sus datos, sin embargo, si dentro del esquema de fraude del que ha sido víctima se ha falsificado su dirección de contacto (práctica muy habitual, precisamente para evitar que la víctima se dé cuenta de la utilización de su identidad), la notificación habrá llegado a esta dirección falsa y no a usted. Según la normativa vigente, los derechos de acceso y cancelación de la información contenida en estos ficheros sólo podrán ser ejercidos por el afectado frente al responsable del fichero, para lo que es necesario que acredite su identidad frente a éste. Podrá, no obstante, actuar el representante legal del afectado cuando éste se encuentre en situación de incapacidad o minoría de edad que le imposibilite el ejercicio personal de los mismos, en cuyo caso será necesario que el representante legal acredite tal condición.
  • Puede dirigirse también a la Central De Riesgos de Banco de España (CIRBE), a la que las entidades han de declarar mensualmente la totalidad (con algunas excepciones) de los riesgos que tienen asumidos y los titulares a quienes corresponden. La CIRBE podrá informarle sobre posibles créditos aún no reclamados, asociados a su nombre.
  • Valore así mismo la posibilidad de incluir sus datos en el fichero DER

 

José Antonio Lozano dirigirá el Centro de Observación del Delito Económico (CODE)


José Antonio Lozano se ha incorporado recientemente al SEPFRA, Servicio de Prevención del Fraude, para dirigir el Centro de Observación del Delito Económico.  

Con anterioridad a su incorporación, era Teniente de la Guardia Civil y dirigía una Sección de Investigación del Grupo de Delitos Telemáticos de la Unidad Central Operativa de Policía Judicial

El SEPFRA, liderado por el Centro de Cooperación Interbancaria (CCI) y Experian como socio tecnológico del proyecto, constituye una iniciativa del sector bancario para luchar contra el fraude, y en especial contra todas aquellas prácticas que implican la utilización de identidades robadas o falseadas en la obtención de productos crediticios o de financiación.

Dentro de los distintos elementos que constituyen este proyecto, el Centro de Observación del Delito Económico (CODE) se responsabilizará de aunar y coordinar los esfuerzos de las distintas entidades adheridas al Servicio y actuar como portavoz de éstas en los casos de actuaciones conjuntas.

Figuran también entre las funciones del CODE, la generación de inteligencia sobre fraude, el análisis de los datos generados por el propio SEPFRA y el desarrollo de contactos y acuerdos con cuerpos policiales e instituciones públicas y privadas involucradas en la lucha contra el fraude.

Antes de su incorporación a este proyecto, José Antonio Lozano era Teniente de la Guardia Civil, y, desde 1996, dirigía una Sección de Investigación del Grupo de Delitos Telemáticos de la Unidad Central Operativa de Policía Judicial, por lo que cuenta con una amplia experiencia en investigación de todo tipo de fraudes, robos de identidad y estafas, tanto a nivel nacional como internacional.

Principales amenazas online de 2008 según CA


Usuarios de juegos online, redes sociales y las elecciones presidenciales de Estados Unidos, objetivo de las amenazas de Internet; las botnets cambian de táctica y el código malicioso se hace más inteligente

Comunicado de Prensa de CA 

Barcelona, 16 de enero de 2008.- El último informe de seguridad en Internet publicado por CA advierte que los usuarios de juegos online y de redes sociales y los eventos como las elecciones presidenciales de Estados Unidos o los Juegos Olímpicos de Pekín están entre los principales objetivos potenciales de los ataques online en 2008. El estudio, que se basa en los datos recogidos por el grupo de investigadores internacionales del CA Global Security Advisor, presenta las predicciones de seguridad en Internet para 2008 y las tendencias observadas en 2007.

“Los ciberdelincuentes van allá donde hay oportunidades y aprovechan todas y cada una de las vulnerabilidades,” dice Brian Grayek, vicepresidente de gestión de productos de la unidad de negocio de seguridad en Internet de CA. “Aunque la protección de seguridad está mejorando en la detección de código malicioso, los ladrones online son más sigilosos en la forma en que atacan nuestros ordenadores.”

Las predicciones de CA acerca de la seguridad online para 2008 son:

1.  Las botnets dominarán en 2008: el número de ordenadores infectados por botnets aumentará enormemente en 2008. En un esfuerzo por ser más difíciles de detectar, los individuos que controlan las botnets están cambiando su táctica y descentralizando vía arquitecturas peer to peer. Cada vez más están utilizando mensajería instantánea como su principal vehículo de distribución de botnets.  

2.  Código malicioso más inteligente: hay nuevos modelos de sofisticación en el código malicioso (malware), que apuntará a ordenadores virtualizados y cada vez más utilizará técnicas de ofuscación para ocultarse a la vista, incluyendo esteganografía y encriptaciones, que ayudarán a los delincuentes a encubrir sus actividades.

3.  Los usuarios de juegos online están en la línea de fuego: ya eran un objetivo codiciado y robar las credenciales de su cuenta continuará siendo uno de los principales objetivos de los delincuentes online. Los usuarios de juegos online suelen estar más preocupados por optimizar sus ordenadores para obtener un mayor rendimiento que por una buena seguridad. En 2008, los activos virtuales equivaldrán al dinero del mundo real para los delincuentes de Internet.  

4.  Las redes sociales están en el punto de mira: los sitios web de redes sociales cada vez son más populares, y como resultado de ello, más vulnerables. El gran número de víctimas potenciales y su relativamente poca preocupación por la seguridad informática hace que estos sitios web sean una oportunidad de ganancias para los ladrones cibernéticos. 

5.  Oportunidades en fechas clave: las elecciones presidenciales de Estados Unidos y los Juegos Olímpicos 2008 de Pekín ofrecen oportunidades para ataques destructivos y corrupción o robo de información. 

6.   Los sitios y servicios de web 2.0 serán blanco de ataques dirigidos: aunque es relativamente sencillo implementar servicios de web 2.0, puede ser todo un reto configurarlos para que sean completamente seguros. Por lo tanto, muchos sitios de Internet que utilicen estos servicios son blancos fáciles con pocas indicaciones externas que hagan sospechar que la seguridad del sitio se ha visto comprometida.

7.  Windows Vista corre peligro: a medida que las empresas y particulares compren nuevos ordenadores, la cuota de mercado de Vista crecerá. Aunque está diseñado como el sistema operativo más seguro de Microsoft, en 2007 se publicaron 20 vulnerabilidades, según el National Institute of Standards and Technology. Cuanta más gente utilice este sistema operativo, más atacantes apuntarán a él. 

8.  Los dispositivos móviles aún serán seguros: los dispositivos móviles aún están a salvo a pesar de los rumores sobre código malicioso móvil. Los smartphones y otros dispositivos móviles del estilo no significarán una verdadera oportunidad para los delincuentes en 2008. Las pruebas hechas con código malicioso para los dispositivos móviles aún no se han traducido en ataques importantes. La única vulnerabilidad importante publicada en 2007 fue la del iPhone de Apple.

“El rastro digital que se recopila y almacena cada vez que utilizamos Internet es increíblemente valioso para los profesionales de marketing, pero también para los delincuentes online,” continua  Grayek. “Hemos visto como el código malicioso ha evolucionado para convertirse en un verdadero negocio del fraude. Sorprendentemente, ahora está operando con prácticas de negocio similares a las organizaciones legítimas de software. Nuestra actitud respecto a la protección de nuestra privacidad en Internet y las acciones que tomemos, sea en el trabajo o en casa, pueden cambiar significativamente la seguridad en Internet.”

Los investigadores de CA constataron las siguientes tendencias en 2007:

  • De enero a octubre de 2007 el volumen de código malicioso (malware) se multiplicó por 16.
  • Por primera vez, el software espía sobrepasó a los troyanos como forma predominante de código malicioso prevaleciente. En 2007, el 56 por ciento del total de código malicioso detectado era software espía; el 32 por ciento, troyanos; 9 por ciento, gusanos, y 2 por ciento, virus.
  • Los tipos de software espía más comunes fueron publicidad no deseada, troyanos y programas de descarga maliciosos (downloaders). 
  • Los gusanos de redes simples o dispositivos  extraíbles fueron los más extendidos este año. Algunos gusanos inutilizan los ordenadores cuando finalizan su actividad. Otros dejan una carga de código malicioso adicional o abren los ordenadores comprometidos para que un atacante malicioso tome control de la máquina.
  • El software de seguridad no autorizado o falso ha sido un problema continuo, lo que indica que aumenta la marea de aplicaciones engañosas que conducen a error. El software de seguridad falso supuso un 6 por ciento del total del volumen de software espía en 2007. Normalmente se distribuye a través de anuncios online que ofrecen software antiespía gratuito.
  • Los métodos de ataque convergen y las amenazas combinadas con múltiples componentes se convirtieron en la norma.
  • Más del 90 por ciento del correo electrónico fue no solicitado y más del 80 por ciento contenía enlaces a sitios maliciosos o a código malicioso (malware).
  • La calidad del correo no deseado ha mejorado y ya no se emplean trucos con fallos de escritura. También suele ir cargado de ficheros adjuntos, imágenes, PDFs, documentos, hojas de cálculo o vídeos que tienen código malicioso o enlaces a sitios maliciosos.
  • El código malicioso es un tema internacional. Gran parte de la actividad delictiva se origina en la Europa del Este y en Asia y su objetivo son las naciones con las mayores poblaciones de usuarios de Internet. Cerca del 40 por ciento del correo no deseado va dirigido a Estados Unidos. Alemania, Australia, España, Francia y Reino Unido también aparecen entre los objetivos más comunes, mientras que en Latinoamérica, Corea del Sur y China, el código malicioso es un problema emergente.

El objetivo del informe CA 2008 Internet Security Outlook es informar a empresas y particulares de las amenazas de Internet más nuevas y peligrosas, y de las tendencias que se prevén, además de ofrecer consejo práctico para la protección.  El análisis realizado se basa en la información sobre los incidentes recogidos por el equipo de investigadores del CA Global Security Advisor, enviados por los clientes de CA desde enero a octubre de 2007. Para obtener el informe de seguridad completo de CA 2008 Internet Security Outlook, visite www.ca.com/securityadvisor.

El equipo de CA Global Security Advisor,  formado por expertos en seguridad, investigadores y personal de soporte especializado que trabajan en diversos países, lleva más de 16 años ofreciendo consejos sobre seguridad. CA Security Advisor está disponible en http://www.ca.com/securityadvisor y ofrece gratuitamente alertas de seguridad, RSS feeds, exploraciones de PC y un blog de seguridad que actualizan regularmente los investigadores de CA. El equipo de investigación también ayuda a mantener actualizados toda la gama de productos de gestión de amenazas de CA, tanto para usuarios particulares, como pymes y grandes empresas.