¿Es posible obtener el PIN de tu móvil a través del giroscopio?

El giroscopio es el componente que permite saber en todo momento en qué posición está tu teléfono. Es de lo más útil para -por ejemplo- juegos en los que interviene la realidad aumentada (véase Pokémon GO), pero ahora se ha descubierto que también se trata de una pieza que puede revelar el código de desbloqueo de nuestra pantalla.

Fíjate en la forma en que sujetas el móvil cuando introduces el PIN de desbloqueo: seguro que tú también inclinas ligeramente la pantalla hacia uno u otro lado para llegar hasta cada uno de los números en el teclado. Ese ligero movimiento, prácticamente inapreciable a primera vista, queda registrado en detalle en el teléfono precisamente gracias al giroscopio. Por eso… ¿qué ocurriría si alguien decidiera aprovechar el giroscopio para robar el código de desbloqueo de tu móvil?

Esa es precisamente la pregunta que ha llevado a los expertos en seguridad informática de la Universidad de Newcastle (Reino Unido) a hacer un estudio al respecto. Y las conclusiones han sido demoledoras: un código de desbloqueo de cuatro dígitos se puede averiguar gracias al giroscopio en el 70% de los casos… ¡al primer intento!

LA FORMA EN QUE INTRODUCES TU PIN ES SUFICIENTE PARA AVERIGUAR EL CÓDIGO SECRETO

Tal y como explican los autores de la investigación, un simple código de JavaScript ejecutado en el móvil de la víctima es más que suficiente para poner en marcha el mecanismo que consigue descifrar una contraseña por los gestos que el usuario realiza con el teléfono en la mano. Dicho código se puede introducir a través de, por ejemplo, una página web que ha sido previamente infectada para distribuir esta amenaza.

El estudio se ha llevado a cabo sobre cinco usuarios que tuvieron que introducir 50 contraseñas diferentes en un móvil infectado (un Nexus 5) por el ataque en cuestión; en tan solamente tres intentos, el sistema es capaz de averiguar el código que ha introducido el usuario con una tasa de acierto cercana al 100%.

Por supuesto, el sistema para descifrar un PIN de desbloqueo a través del giroscopio no es infalible. Tal y como se explica en el estudio, para alcanzar una tasa de éxito relativamente razonable primero es necesario que el sistema estudie la forma en que la víctima utiliza su móvil.

El estudio no pretende poner la industria de los móviles patas arriba con este descubrimiento, ya que ningún hacker se va a molestar en realizar un procedimiento tan complejo para robar una simple contraseña de desbloqueo de la pantalla, sino que su intención reside en evidenciar lo poco conscientes que somos de los peligros que pueden llegar a representar los más de 20 sensores diferentes que incorporan nuestros teléfonos.

Pese a que todos sabemos los riesgos de seguridad que entrañan componentes de nuestro teléfono tales como la cámara o el GPS, muchos otros sensores tales como el giroscopio, el acelerómetro o el sensor de proximidad pueden llegar a representar los mismos -o incluso más- peligros para nuestra privacidad.

Fuente | Computerhoy.com

Millones cuentas de iCloud pueden ser eliminadas si Apple no paga el rescate

Un grupo llamado Turkish Crime Family fue responsable de haber robado más de 300 millones de cuentas de iCloud que ahora amenazan con borrar si Apple no paga el rescate por 75.000 dólares o 70.000 euros que solicitan a la compañía de la manzana en criptomonedas (Bitcoin o Ether) o bien 100.000 dólares (92.500 euros) en tarjetas regalo de iTunes

Ese es el rescate que unos ciberdelincuentes demandan a Apple. El grupo, que se hace llamar Turkish Crime Family, asegura haber robado 300 millones de cuentas de iCloud que amenazan con borrar el próximo 7 de abril si la corporación no acepta su chantaje, según indica la firma de seguridad Panda.

Varias capturas de pantalla muestran el intercambio de información entre Apple y los ciberdelincuentes quienes subieron un vídeo a YouTube con la finalidad de enseñar la manera como cometían el delito iniciando sesión en varias de las cuentas referentes a iCloud y accediendo al contenido de los usuarios y borrándolo o controlándolo de manera remota.

Al parecer Apple no está dispuesta a pagarles a los ciberdelincuentes nada por atentar contra la ley. Las contraseñas que consiguieron vulnerar fueron obtenidas mediante un robo a servicios de terceros previamente comprometidos.

Por el momento Apple ha declarado que se encuentran trabajando con las autoridades en la búsqueda de información sobre los implicados en el caso. De cualquier manera la empresa les ha hecho conocer a los usuarios métodos seguros para poder resguardar la seguridad de sus dispositivos Apple tales como evitar compartir sus contraseña en varios sitios de forma simultánea así como activar la verificación de dos pasos.

Fuente | Elgrupoinformatico.com

Un grupo de ‘hackers’ ataca cajeros para que expulsen billetes de forma remota

Los bancos se enfrentan a una nueva amenaza en ciberseguridad que permite a los atacantes extraer grandes cantidades de efectivo de varios cajeros a la vez.

Un grupo de cibercriminales ha atacado los cajeros de más de una docena de países en Europa este año para que expulsen efectivo de forma fraudulenta y remota a través de un ataque informático centralizado, lo que supone un serio quebradero de cabeza para los bancos.

No se realiza ninguna modificación en los cajeros, pero los billetes son expulsados como por arte de magia. Entre los países afectados se encuentran Armenia, Reino Unido, Bulgaria, Polonia, Países bajos, Rusia o España, según el informe de Group IB, una compañía multinacional con sede en Moscú especializada en prevenir e investigar el fraude y crimen en la Red. La compañía no ha hecho públicos los nombres de los bancos afectados.

“Los delincuentes siempre han buscado la manera de aumentar su botín y disminuir los riesgos que conlleva obtenerlo. Por eso han cambiado su modus operandi: del ataque físico al ataque lógico”, dice la firma de seguridad.

El atraco de cajeros es una práctica relativamente común y sencilla de investigar, gracias a que se requiere acceso físico a ellos. Los golpes cometidos recientemente en bancos de Europa y Asia han sido comandados de forma remota y centralizada, afectando a numerosos cajeros a la vez, lo que ha permitido sustraer grandes cantidades de dinero antes de que los bancos puedan actuar.

Los ciberatacantes entran en la red del banco que otorga el control de los cajeros para hacer que dispensen el efectivo. Gracias a dicho control, pueden elegir la hora exacta en la que se expulsan los billetes lo que les permite realizar grandes operaciones organizadas con las que sustraer, en algunos casos, millones de dólares.

Dos fabricantes de cajeros, Diebold Nixdorf y NCR Corp, ya están trabajando en el caso, según sus declaraciones a Reuters.

“Han llevado sus operaciones al siguiente nivel, ahora pueden atacar un gran número de máquinas a la vez”, dice Nicholas Biellett, el director de software y seguridad de cajeros en Diebold Nixdorf. “Saben que se les detectará rápido, así que cogen todo el efectivo que pueden de todos los cajeros posibles antes de que se detengan por actividad inusual”.

Group IB advierte que las herramientas empleadas no requieren una gran inversión ya que sus códigos suelen estar accesibles públicamente en Internet.

> ¿Cómo obtienen el control?

Para acceder a la intranet de los bancos, los cibercriminales envían emails haciéndose pasar por otros grupos bancarios o cajas. En ellos se adjuntan archivos comprometidos o ejecutables que para el receptor parecen documentación.

“Los atacantes tardan entre 10 minutos y una semana en tomar el control total de una intranet y sus cajeros”, dice Group IB en su reporte. Basta una simple llamada desde el servidor remoto para hacer que un cajero emita billetes hasta quedarse vacío. En cuanto termina la operación, los atacantes borran todos los registros para dificultar la investigación de los expertos de seguridad de los cajeros y bancos.

Group IB cree que el software empleado para hacer que los cajeros expulsen dinero bajo demanda es único y solo está siendo empleado por una banda criminal.

El golpe es difícil de investigar, ya que el dinero se recoge en persona. Habitualmente, los fraudes financieros se resuelven siguiendo el dinero que se mueve de una cuenta a otra, algo imposible de hacer con esta novedosa práctica.

“Se espera que este tipo de ataques sean una de las amenazas claves contra los bancos: permiten a los cibercriminales cometer fraudes remotamente desde cualquier punto y atacar la red de cajeros sin ser detectados por el ‘radar’ de los servicios de seguridad”, advierte Dmitry Volkov, jefe del departamento de investigación en Group IB.

Fuente | El País