Está usted visitando una publicación en la hemeroteca de CSIRT-CV.
Para acceder al portal y contenido actual, visite https://www.csirtcv.gva.es

04/10/2013

Boletín 21/09/2013 - 04/10/2013

Hoy viernes hemos amanecido con la noticia de que se han comprometido servidores de la compañía Adobe de los cuales se ha conseguido robar desde datos de usuarios (presupuestamente incluidos también datos de tarjetas de crédito, aunque cifrados), hasta el propio código fuente de algunas aplicaciones. Desde Adobe se ha instado a los usuarios a cambiar sus credenciales de acceso, además de abrir una investigación para aclarar los detalles de la intrusión. Así pues, Adobe se une a la ya larga lista de grandes empresas que han sufrido intrusiones relevantes.

Por desgracia este tipo de intrusiones cada vez nos sorprenden menos, especialmente tras leer estudios como el realizado por EnableSecurity en el que se aseguraba que el 73% de los sitios web que utilizan WordPress son vulnerables. Es cierto que el estudio se hizo solo un día después de liberarse la última versión de WordPress por lo que el nivel de actualización era extremadamente bajo, pero nos plantea cómo de peligrosas pueden ser las vulnerabilidades recién descubiertas y lo crítico que resulta estar actualizado. 

No obstante, por muy catastrofista que pueda parecer el estado de Internet, está claro que cada vez se tiene más conciencia sobre la importancia de proteger las infraestructuras TI. Buena prueba de ello es el hecho de que la Audiencia Nacional haya solicitado a Inteco que notifique a más de 1500 empresas españolas de que sus equipos están comprometidos. Esta noticia, sumada a la de que el Mando Conjunto de Ciberdefensa de las Fuerzas Armadas ha adquirido capacidad operativa, demuestra que andamos en la buena dirección. 

Otro motivo de optimismo ha sido la reciente publicación de las nuevas versiones de 2013 de las normas ISO 27001 e ISO 27002, las cuales han sido actualizadas tras 8 años de andadura y que han sufrido una profunda remodelación. Destaca principalmente su reestructuración que facilitará la integración con otros sistemas de gestión, la flexibilidad introducida respecto al proceso de análisis de riesgos y mejora continua, y la adecuación de los controles de seguridad a las amenazas y estructuras organizacionales actuales.

En lo referente a las últimas amenazas de seguridad que afectan al gran público, esta quincena destaca una campaña de phishing contra la agencia tributaria, una falsa aplicación que simula ser Adobe Flash 12 en Google Play, y un malware que se propaga por Whatsapp simulando ser un servicio de buzón de voz. Recordamos que ante este tipo de amenazas la mejor protección es el sentido común, y sobre todo navegar con calma prestando atención a cualquier acción que se salga de lo corriente como pueden ser actualizaciones, nuevos servicios, y en general cualquier acción que conlleve instalar software o hacer movimientos económicos. 

Cabe mencionar también las apariciones en prensa de dos de las compañías técnológicas más potentes del momento que durante esta quincena han copado la atención de los medios: mientras Google actualizaba su software Google Hangouts haciendo que los mensajes privados se enviaran a contactos equivocados, la seguridad biométrica del nuevo iPhone 5s, basada en huella dactilar, conseguía ser esquivada.  

Cerramos esta sección del boletín invitando a todos los lectores a descargar la nueva guía de gestores de contraseñas, en la que explicamos cómo gestionar adecuadamente nuestras claves proporcionando herramientas que de forma sencilla nos ayudarán a utilizar contraseñas robustas sin tener que recordarlas, a la vez que nos facilitan su uso en internet.

Actualizaciones de programas:

El día 18 de septiembre Apple publicó su sistema operativo iOS 7, para el cual se descubrieron dos vulnerabilidades de salto de restricciones, las cuales ya han sido solventadas en la actualización a la versión 7.0.2. Se recomienda a todos los usuarios actualizar sus dispositivos. 

Google tambien ha publicado otra actualización relevante: la versión 30 de su navegador Chrome donde se solventan múltiples vulnerabilidades, y a la cual recomendamos actualizar. 

Por último, para el entorno empresarial cabe destacar la actualización publicada por Cisco para las líneas Prime Data Center Network Manager y Central for HCS Assurance, las cuales resultan especialmente críticas debido a la existencia de exploits.

CSIRT-CV