Boletín de septiembre 2024

En el boletín del mes de septiembre, os mantenemos informados sobre las últimas vulnerabilidades, consejos y mejores prácticas en materia de ciberseguridad. Este mes, nos centramos en ayudaros a retomar y reforzar las medidas de seguridad tras el verano, asegurando que vuestros sistemas, datos y equipos estén protegidos frente a las amenazas cibernéticas.

Impulso de la ciberseguridad en la Comunitat Valenciana

La Consellera de Hacienda, Económica y Administración Pública, Ruth Merino, visitó las nuevas instalaciones de CSIRT-CV para conocer de primera mano el trabajo del centro de ciberseguridad y el funcionamiento del laboratorio de Ciberseguridad Industrial junto a la secretaria autonómica de Administración Pública, Emilia Selva, el director general de Tecnologías de la Información y las Comunicaciones, José Manuel García Duarte y la subdirectora de Ciberseguridad, Carmen Serrano.

El laboratorio se creó con fines demostrativos, de formación y de investigación de nuevas vulnerabilidades y se sigue trabajando en esta misma línea. El objetivo de estas investigaciones es poder realizar y probar diferentes actividades relacionadas con la ciberseguridad que ayuden a entender y a proteger mejor los sistemas que los componen, ayudando a mitigar así los ciberataques.

CSIRT-CV ha gestionado con éxito 2.221 ciberincidentes en lo que va de año sobre un total de 40 millones de alertas de ataques registrados por los sistemas de detección, que en su mayoría han sido contenidos por los sistemas automáticos de defensa de la red corporativa. Esta cifra representa un incremento del 24% con respecto al total de incidentes de seguridad que gestionó con éxito CSIRT-CV durante todo 2023, y que fue de 1.788 incidentes.

Igualmente, CSIRT-CV lleva a cabo una amplia labor de formación, concienciación y divulgación.

Puedes encontrar toda la información aquí.

 

Campaña CSIRT-CV

Desde CSIRT-CV hemos lanzado la campaña de concienciación «Más Allá de la Pantalla» con el lema “Haz del móvil tu aliado”, con el objetivo de reflexionar sobre el papel que juegan las pantallas en la vida cotidiana de nuestros menores.

Para ello, desde el 16 de septiembre, y hasta principios de octubre, CSIRT-CV estará publicando diferentes contenidos, que se pueden seguir en nuestros perfiles de X y Facebook, así como el portal de concienciaT para estar al día en las tecnologías al alcance de las generaciones más jóvenes.

Encuentra toda la información relacionada con esta campaña aquí.

 

Patrones adictivos en el tratamiento de datos personales

Un patrón adictivo es una característica, atributo o práctica de diseño que lleva a una persona a utilizar una tecnología o servicio de manera excesiva, lo que genera una sensación de malestar o ansiedad cuando no se puede acceder a él.

El desarrollo de los patrones adictivos comienza con el concepto de tecnología persuasiva, diseñada para cambiar las actitudes y comportamientos de las personas sin recurrir a la coerción ni el engaño. El diseño persuasivo convierte plataformas, aplicaciones y servicios en adictivos.

Si estás interesado en esta temática, puedes encontrar más información en el siguiente informe elaborado por la Agencia Española de Protección de Datos (AEPD).

 

Teletrabajo

El teletrabajo ha revolucionado la forma en que trabajamos, ofreciendo beneficios significativos como una mayor flexibilidad, o el equilibrio entre la vida laboral y personal. Sin embargo, esta modalidad también plantea nuevos desafíos en el ámbito de la ciberseguridad. Trabajar puede implicar el uso de redes y dispositivos sin medidas de protección adecuadas.

CSIRT-CV elabora la siguiente guía como respuesta a los riesgos derivados del teletrabajo.

 

Cómo actualizar los navegadores de tus dispositivos

Los navegadores web son herramientas esenciales para nuestra vida diaria, permitiéndonos acceder a información, realizar transacciones y comunicarnos. Sin embargo, cuando no se mantienen actualizados, pueden convertirse en un importante vector de ciberataques. Las actualizaciones de los navegadores no solo introducen nuevas funcionalidades y mejoras en el rendimiento, sino que también corrigen vulnerabilidades de seguridad. No actualizar los navegadores deja a los usuarios expuestos a amenazas como malware, phishing o exploits.

Puedes encontrar toda la información sobre cómo actualizar tus navegadores aquí.

 

Alertas de seguridad

Por último, en nuestro portal de CSIRT-CV  puedes encontrar las alertas de seguridad que se publican periódicamente y que pueden ayudarte a mantener tus equipos actualizados y protegidos. A continuación, destacamos las alertas de seguridad más relevantes de este mes:

    • Nueva campaña de phishing suplantando a la Agencia Tributaria. Se ha detectado una campaña de correos electrónicos fraudulentos, de tipo phishing, que suplantan la identidad de la Agencia Tributaria con el objetivo de robar información personal. El mensaje utiliza como gancho el envío de una supuesta notificación sobre una reclamación, en la que para obtener más información y dar conformidad, es necesario acceder a un enlace.
    • Boletín de seguridad de Android septiembre 2024. El boletín de Android, relativo a septiembre de 2024, soluciona múltiples vulnerabilidades de severidad crítica y alta que afectan a su sistema operativo, así como múltiples componentes, que podrían provocar una escalada de privilegios, una divulgación de información o una denegación de servicio.

 

Te animamos a compartir este boletín con tus colegas, familiares y amigos para promover entre todos una Cultura de la Ciberseguridad y buenas prácticas en el uso de las nuevas tecnologías.

Si tienes alguna inquietud sobre ciberseguridad o necesidad de formación en este área, visita nuestras webs donde encontrarás consejos, cursos online, informes y mucho más contenido: https://www.csirtcv.gva.es/ y https://concienciat.gva.es/ así como seguir nuestras redes sociales: Facebook (CSIRT-CV) y X (@CSIRTCV).

 

ESET soluciona vulnerabilidades de escalada de privilegios en productos para Windows y macOS

ESET ha corregido múltiples vulnerabilidades de escalada de privilegios en sus productos para sistemas operativos Windows y macOS, según informó el portal Security Week. Estas vulnerabilidades, si se explotaban, podían permitir que un atacante con acceso local elevara sus privilegios en el sistema afectado, otorgándole control total.

Las fallas se relacionaban con la eliminación de archivos detectados como maliciosos, proceso en el cual se originaba una escalada de privilegios, permitiendo que usuarios no autorizados pudieran realizar acciones que normalmente requerirían mayores permisos. La empresa de ciberseguridad lanzó parches para corregir las vulnerabilidades en las versiones más recientes de sus productos de seguridad.

De acuerdo con Security Affairs, las vulnerabilidades fueron reportadas por investigadores de seguridad, quienes alertaron a ESET del riesgo que implicaban estos fallos. Estos problemas afectaban tanto a usuarios de macOS como de Windows, y la empresa ha instado a sus clientes a actualizar a la última versión para protegerse de posibles ataques que exploten dichas vulnerabilidades.

En particular, en su página de soporte oficial, ESET señaló que la vulnerabilidad se encontraba en el proceso de eliminación de archivos detectados como maliciosos y que el fallo ya ha sido corregido en las versiones 16.1.7.0 de los productos para Windows y 7.3.8 de los productos para macOS ESET Support. La empresa no ha reportado que estas vulnerabilidades hayan sido explotadas en ataques conocidos hasta el momento.

La recomendación de los expertos es que todos los usuarios de ESET verifiquen la versión de su software y apliquen las actualizaciones necesarias para evitar quedar expuestos a esta vulnerabilidad que podría comprometer seriamente la seguridad de los dispositivos.

Esta actualización refuerza el compromiso de ESET con la seguridad de sus usuarios y destaca la importancia de mantener los sistemas y productos actualizados para mitigar riesgos en el entorno digital actual.

Referencias:

Convenio Marco sobre Inteligencia Artificial del Consejo de Europa

La primera normativa global sobre IA en el mundo

La Comisión Europea ha publicado una noticia sobre la firma del Convenio Marco del Consejo de Europa sobre Inteligencia Artificial (IA) en nombre de la Unión Europea.

¿En qué consiste el Convenio?

Este Convenio constituye el primer Reglamento sobre IA a escala mundial. Establece una serie de principios y medidas para regular el desarrollo y uso de la IA con un enfoque en su utilización ética y en el respeto de los derechos humanos, la Democracia y el Estado de Derecho, promoviendo la innovación y la confianza.

Además, el Convenio adopta un enfoque diferenciado y basado en el riesgo, aplicando sus principios y obligaciones a las actividades de actores privados y públicos a lo largo del ciclo de vida de la IA. Sin embargo, excluye de su alcance las actividades de sistemas de IA relacionadas con la protección de intereses de seguridad nacional, asuntos de defensa nacional, y actividades de investigación y desarrollo.

La firma de este Convenio será durante el mes de septiembre, permitiendo que cualquier país del mundo se una y se comprometa a cumplir con sus disposiciones.

¿Cuál es la relación entre el Convenio Marco y el Reglamento Europeo de Inteligencia Artificial (RIA)?

En primer lugar, ambas normas tienen como objetivo proporcionar un marco eficaz a nivel internacional para abordar los riesgos que plantea la IA en relación con los derechos humanos, la Democracia y el Estado de Derecho. Sin embargo, mientras que el RIA se aplica exclusivamente a nivel de la Unión Europea, el Convenio Marco tiene una dimensión global y está abierto a la firma de cualquier país del mundo.

El RIA está diseñado para establecer un marco normativo común en los Estados Miembros de la Unión Europea, regulando el desarrollo y uso de la inteligencia artificial dentro del territorio de la UE. Además, establece un marco normativo basado en la clasificación de los sistemas de IA, según su nivel de riesgo para las personas y la sociedad. Este marco regulatorio distingue cuatro categorías:

    • Riesgo inaceptable: Sistemas prohibidos o estrictamente restringidos por contradecir los valores y principios fundamentales de la UE, como la dignidad humana, la Democracia o el Estado de Derecho.
    • Riesgo alto: Sistemas de IA que deben estar sujetos a obligaciones o requisitos estrictos antes de su utilización o comercialización, ya que tienen un impacto significativo en los derechos fundamentales y la seguridad de las personas.
    • Riesgo limitado: Sistemas sujetos a requisitos de transparencia, dado que pueden influir en los derechos o la voluntad de los usuarios, aunque en menor medida que los sistemas de alto riesgo.
    • Riesgo mínimo o nulo: Sistemas de IA que no tienen un impacto directo en los derechos fundamentales o la seguridad de las personas y no están sujetos a ninguna obligación.

El Convenio es coherente con lo estipulado en el RIA e incluye conceptos clave como:

    • Su enfoque basado en el riesgo.
    • Principios clave (transparencia, solidez, seguridad, gobernanza, protección de datos, etc.).
    • Refuerzo de la documentación, la rendición de cuentas y las vías de recurso.
    • Mecanismos de supervisión de las actividades de IA.
    • Apoyo a la innovación segura a través de espacios controlados de pruebas.

El Convenio se aplicará en la UE a través del RIA.

Referencias

Boletín de agosto 2024

Con agosto llegando a su fin y la vuelta a la rutina en marcha, es el momento perfecto para reflexionar sobre cómo proteger nuestra información en nuestros puestos de trabajo. Para ello, os recordamos algunos consejos sobre seguridad que hemos recopilado en nuestro último boletín informativo de ciberseguridad.

Toma nota:

1. Bloquea la sesión. Cuando abandones tu puesto de trabajo recuerda bloquear el equipo. Evitarás que nadie pueda acceder a él durante tu ausencia.

2. Utiliza una Política de Mesas Limpias. Nunca dejes encima de la mesa de trabajo información sensible que pueda ser vista por otras personas.

3. Cifra la información confidencial. Para la información confidencial utiliza una partición o un directorio cifrado que garantice su seguridad y confidencialidad.

4. Gestiona de forma segura las contraseñas. Utiliza contraseñas que contengan minúsculas, mayúsculas, signos de puntuación, símbolos y ocho o más caracteres. Además, cámbialas periódicamente. Para facilitar su gestión, haz uso de gestores de contraseñas.

5. Cifra los mensajes de correo electrónico.Al enviar por correo electrónico información confidencial o especialmente sensible, debes cifrar el mensaje.

Puedes acceder al contenido y descargar la infografía desde el siguiente enlace.

Certificación ISO 27001
CSIRT-CV ha renovado su certificación ISO 27001, un estándar internacional que establece los requisitos para un Sistema de Gestión de Seguridad de la Información (SGSI). Este logro confirma el compromiso de CSIRT-CV con la protección y gestión de la información de manera segura y eficiente, alineándose con las mejores prácticas internacionales.
Para conocer las iniciativas llevadas a cabo en el centro de ciberseguridad para la mejora del servicio, accede al siguiente enlace.

Día del Gamer
Cada 29 de agosto se celebra el Día Internacional del Gamer para reconocer y celebrar la cultura de los videojuegos. Es una oportunidad para destacar la importancia de los videojuegos como forma de entretenimiento, expresión artística y comunidad, pero también para recordar la necesidad de aplicar buenas prácticas para proteger la información personal, prevenir fraudes, garantizar una experiencia de juego segura y proteger las cuentas y la inversión de los jugadores, así como promover una comunidad de juego más saludable y respetuosa sin dar cabida a cuestiones como el ciberacoso y el comportamiento tóxico.

Desde CSIRT-CV, te recordamos en el siguiente enlace 10 consejos de ciberseguridad para disfrutar al máximo de los juegos online.

Lo último sobre el incidente CrowdStrike
Todos recordamos el 19 de julio, día en el que una actualización defectuosa del software Falcon de CrowdStrike dejó sin servicio a millones de ordenadores con sistema operativo Windows. Este incidente afectó gravemente a varios sectores a nivel global, incluyendo aeropuertos, bancos, medios de comunicación, hospitales y operadores de telecomunicaciones. En España, AENA fue la compañía más afectada, aunque también alcanzó a Correos, Iberdrola o Bizum.

Los servicios de Microsoft que resultaron afectados incluyen PowerBI, Fabric, Teams, el centro de administración de Microsoft 365, Purview, Defender, Intune, OneNote, OneDrive, SharePoint Online, Windows 365 y Viva Engage.

CrowdStrike explicó que la causa del incidente fue un defecto en el archivo de Canal 291, utilizado por el sensor Falcon para interpretar la ejecución de “tuberías de nombre”, un mecanismo que permite la comunicación entre sistemas o procesos en Windows. La actualización de la configuración provocó un error lógico que derivó en un fallo del sistema operativo.

Para solucionar el problema, CrowdStrike corrigió el contenido del archivo y proporcionó una solución rápida y detallada para la recuperación. Sin embargo, la recuperación ha sido lenta en muchos casos, lo que ha generado pérdidas estimadas en unos 5.400 millones de dólares para las empresas afectadas.

Para más información, os dejamos enlaces a artículos en ComputerWorld y Elmundo.

Alertas de seguridad
Por último, en nuestro portal de CSIRT-CV puedes encontrar las alertas de seguridad que se publican periódicamente y que pueden ayudarte a mantener tus equipos actualizados y protegidos. A continuación, destacamos las alertas de seguridad más relevantes de este mes: