Google cree tener la extensión definitiva contra el phishing en sus propios servicios

El phishing es un delito tan antiguo como efectivo: un 45% de las veces consigue que los usuarios desvelen su contraseña. También es imparable: el 2% de los mensajes que se envían a cuentas de Gmail son phishing. Son datos que cita la propia Google aprovechando que han desarrollado una pequeña herramienta de código abierto para luchar contra el phishing.

Se llama Password Alert (o «Alerta de protección de contraseña») y es una extensión gratuita para Chrome. Eso sí, sólo nos alertará de sitios que imiten a la página de acceso de Google o Google Apps for Work; es decir, los que quieren obtener nuestra contraseña de Gmail.

> Cómo funciona

Una vez instalado, Password Alert nos pedirá nuestra contraseña de acceso a Google, que almacenará codificada. Después se quedará en segundo plano, sin añadir ningún icono a la interfaz de Chrome. Si nos topamos con una página que nos intenta robar la contraseña de Gmail o Google Apps, entonces nos lanzará una advertencia como la que se ve en la captura.

Cuando crea que hayamos caído en un caso de phishing, Password Alert nos indicará que existe ese riesgo y nos pedirá que actualicemos nuestra clave, con un enlace a la página de restablecer la contraseña. Al mismo tiempo, nos animará a usar diferentes contraseñas para los distintos sitios, entre otras «buenas prácticas» de seguridad.

Y poco más. Password Alert es una herramienta sencilla, pero efectiva contra los que quieren apoderarse de nuestra clave de Google o Google Apps (siempre que usemos Chrome). En cualquier caso, siempre es recomendable activar la verificación en dos pasos en aquellos servicios que lo soporten, para que no sea demasiado tarde si nuestra contraseña ha caído en manos de cualquiera.

Fuente | Genbeta

Descarga | Chrome Web Store

Las estafas por correo electrónico, más eficaces de lo que te puedes imaginar

Según un estudio publicado recientemente por Google, los correos de phising, esos en los que nos llegan todo tipo ofertas y promociones de marcas de primer nivel o de nuestros propios bancos, son bastante más eficaces de pensamos la mayoría de nosotros.

De hecho, según el estudio el 45% de los correos acaba cumpliendo su función, y consiguen que los internautas entren en los enlaces que les proporcionan. Pero la cosa no acaba ahí, porque un 14% de estos inocentes incluso acaba rellenando los formularios a los que les llevan los enlaces, enviando a las empresas detrás de las estafas datos personales, nombres de usuario y contraseñas.

En total, Google ha calculado que un 3% de las personas que reciben correos trampa acaban siendo finalmente estafadas, un porcentaje nada desdeñable si tenemos en cuenta la cantidad de mails de phising que se mandan cada día. Además los estafadores se mueven rápido, tanto que en el estudio se calcula que en el 20% de las ocasiones sólo tardan 30 minutos en acceder a nuestras cuentas una vez hemos les hemos proporcionado los datos que nos piden.

Estos delincuentes se pasan de media 20 minutos dentro de nuestras cuentas. Durante ese tiempo no sólo nos roban lo que pueden, sino que también buscan datos para acceder a otras cuentas como las bancarias, las de nuestros correos electrónicos o las de unas redes sociales que les ayudarán a estafar más fácilmente a nuestros contactos. Después de todo, es más fácil que la gente entre a un enlace sospechoso si se lo manda alguien de quien se fían.

Google concluye su informe advirtiéndonos de que los estafadores se adaptan rápidamente a cada nueva medida de seguridad implantada en la red, por lo que es recomendable estar siempre atentos y no confiar en ningún correo en el que se nos pidan datos personales, nombres de usuario o cualquier tipo de contraseña de acceso.

También se recomienda añadir siempre un número de teléfono o una segunda dirección mail a nuestras cuentas bancarias para poder recuperarlas en caso de que nos las roben. Además, Google tampoco se olvida de hacer hincapié en la importancia de los cada vez más extendidos sistemas de verificación en dos pasos.

Fuente | Genbeta

¿Hay una base técnica para la «rajada» de Snowden sobre Google, Facebook y Dropbox?

Hace unos días, Edward Snowden salió de nuevo en público desaconsejando servicios como Dropbox, Google o Facebook si te preocupa tu privacidad. A estas alturas ya todos conocemos el escándalo de la NSA y cómo los tentáculos de la agencia estadounidense llegan a cualquier sitio.

Pero, ¿cuál es la base técnica para esas afirmaciones? ¿Cómo podemos saber si nuestros datos son privados o no, o si alguien más aparte de nosotros puede leerlos? Vamos a tratar de dar respuesta a esas preguntas.

La teoría en este sentido es fácil: si tú no estás cifrando y protegiendo tus datos, entonces alguien más podría leerlos. Si Dropbox no te pide una clave para descifrar tus archivos, entonces es posible que puedan husmearlos. Si puedes enviar un mensaje a través de Gmail sin poner una contraseña de cifrado, entonces alguien más podría leer ese mensaje (y no sólo el destinatario).

Tus datos no son 100%* privados si no tienes tú exclusivamente la clave de cifrado de los mismos

(*) la privacidad dependerá siempre de múltiples factores, es imposible asegurar la seguridad al 100%

Alguno pensará que sí tenemos la clave: al final todas nuestras cuentas tienen una contraseña, ¿no? En realidad, muy pocas veces se usa nuestra contraseña para cifrar los datos. Sólo hay que hacer la prueba: ¿te deja el servicio en cuestión recuperar tu cuenta si has olvidado tu contraseña? Si la respuesta es sí, entonces tus datos no están cifrados con ella. Si lo estuviesen, entonces no podrías recuperar nada (ningún algoritmo de cifrado tiene una opción «He olvidado la clave»).

Por poner un ejemplo de este último caso: mirad las páginas de «Recuperación de cuenta» de Lastpass o Spideroak: hay alguna posibilidad de recuperar tu cuenta si tienes clientes todavía conectados, pero en general, si no hay contraseña, no hay datos.

> Y aparte de la clave, ¿cómo de seguros están nuestros datos?

Este apartado es el que menos dudas nos debería generar. En general, todos los datos que enviamos están cifrados desde nuestro ordenador hasta los servidores de destino. Normalmente la tecnología es HTTPS o TLS si no son páginas web. Cuando navegamos por Facebook, por ejemplo, nadie puede puede ver lo que envías porque la conexión es segura, igual que no podrían ver los archivos que subes a Dropbox, ya que usan conexiones cifradas.

Una vez que tus datos llegan a sus servidores, podemos considerar que están bastante seguros. Cada empresa implementa medidas de seguridad para evitar intrusiones en sus servidores, aparte de cualquier cifrado adicional que pueda haber. Además, tanto Google como Dropbox cifran las conexiones entre sus servidores cuando necesitan mover datos de un sitio a otro. Facebook también lo hace, pero no con todas las conexiones.

> En la práctica: que no cunda la paranoia

Está muy bien que todos nos sepamos la teoría y podamos distinguir cuándo estamos depositando nuestra confianza en un algoritmo criptográfico fiable y cuándo en una empresa que dice proteger nuestros datos. Ahora bien, tampoco debemos ponernos en un estado de paranoia 100% y empezar a buscar alternativas y cifrar nuestros datos por todas partes. Os planteo varias reflexiones:

Primera cuestión

¿De quién quieres proteger tus datos? Si es de los crackers – uno se resiste a hacerle caso a la RAE con este nombre -, tranquilo, estás a salvo. Dropbox, Google, Facebook, Microsoft y similares usan tecnología segura para transmitir tus datos. Y no porque lo diga yo: si no lo hicieran, con la cantidad de gente que hay tratando de buscarles las cosquillas ya nos habríamos enterado.

Segunda cuestión

¿Estás seguro de que los servicios que usas son el eslabón más débil de la cadena? No sirve de nada usar un servicio como SpiderOak si luego tus archivos están guardados en un portátil sin contraseña. Es un ejemplo extremo, pero sirve para ilustrar la idea.

Tercera cuestión

¿Dónde ponemos el límite de la confianza? ¿No nos fiamos de grandes empresas pero creemos que una más desconocida sí va hacer lo que promete? O mejor aún: ¿no nos fiamos de ninguna empresa pero pensamos que nosotros haremos un mejor trabajo manteniendo nuestra propia nube con soluciones como OwnCloud? No quiero arrojar dudas sobre nada, pero desde luego no deberíamos dejarnos llevar por la histeria de X es inseguro sin darle vueltas a las alternativas.

Cuarta cuestión

¿Qué datos estamos compartiendo? Muchas veces no nos importa compartir ciertos datos a cambio de recibir el servicio, y eso no tiene por qué ser necesariamente malo. Por ejemplo, Facebook sabe que vivo en Madrid y que me gustan las matemáticas. ¿Y? El problema no es tanto compartir los datos sino no ser consciente de ello.

Por último, cuando hablamos de nuestra privacidad solemos criticar el poder de ciertos gobiernos para ver nuestros datos sin autorización. En ese caso, la solución no es que nosotros tengamos que cambiar nuestros hábitos, la solución es que los gobiernos estén más controlados. Tener derecho a la privacidad no significa que tengamos que protegernos de ciertas agencias (ni de nadie) para mantenerla.

Fuente | Genbeta