Carrier IQ: expertos descubren un programa que recopila datos personales del uso de nuestros móviles

Trevor Eckhart, un informático experto en seguridad, ha demostrado que un software llamado Carrier IQ recopila y envía datos personales del uso que le damos a nuestros smartphones a empresas como Verizon, Sprint, Samsung, HTC o Nokia entre otras.

Los responsables de Carrier IQ enviaron un cese y desista a Trevor, para rectificar y pedir disculpas después afirmando que el programa no espía nuestra actividad ni graba lo que escribamos en el teclado. Sin embargo, en los vídeos que se han publicado (Hay uno donde podemos ver cómo un HTC lee y analiza los SMS que reciba antes incluso de mostrarlos en pantalla) se demuestra precisamente lo contrario.

Por el momento Carrier IQ se ha descubierto en las entrañas de Android y de iOS, aunque en el caso de sistema móvil de Apple el programa parece estar activo sólo cuando el iPhone está en modo diagnóstico, algo que por defecto está siempre desactivado; y “sólo” recopila datos de llamadas y localizaciones. En Android, sin embargo, Carrier IQ recopila mucha más información.

Desde luego, todos los medios están reflejando la noticia y las quejas ya han aparecido entre los usuarios de terminales móviles. Lo más nuevo que se ha sabido es que los terminales móviles de Google (El Nexus One, Nexus S o el Galaxy Nexus) no parece que incluyan el programa Carrier IQ. Aún así, personajes como John Gruber en Daring Fireball ya opinan en su blog que esto es un problema tanto de las operadoras como de los fabricantes de los teléfonos móviles usando fuentes “extremadamente fiables”. Google, de hecho, está procurando desmarcarse de toda la polémica.

Lo peor de todo es que el software de Carrier IQ está recopilando datos de sesiones HTTPS aparentemente encriptadas, y desde hace bastante tiempo (en el caso de iOS, Carrier IQ lleva presente desde la versión 3.1 lanzada hace dos años). Datos de millones de sesiones se pueden haber enviado, y en el caso de Android estaríamos hablando de cosas como un historial de nuestras búsquedas.

Hay que tratar esto con mucho cuidado. Todas las empresas están levantando las manos en señal de “no es mi culpa, mira a otros”, pero los responsables pueden ser perfectamente todos ellos. Iremos informando de cómo evoluciona el asunto a medida que se vayan sabiendo más cosas. Y se sabrán, porque muchos expertos están intentando adivinar más datos y sacar más pruebas de Carrier IQ.

Tecnología NFC para móvil ¿Seguridad máxima?

Dentro de poco tiempo podremos pagar con dispositivos móviles, incluso se estudia la posibilidad de integrar el DNI en la tarjeta SIM de los terminales, y aunque se perfila como un nuevo avance que nos hará la vida un poco más cómoda, lo cierto es que las amenazas de virus en nuestros teléfonos móviles también están incrementando de manera exponencial.

Es muy posible que el próximo año veamos un aumento de los dispositivos móviles que integran tecnología NFC (Near Field Communication). Este avance nos permitirá pagar en comercios y servicios públicos con nuestro móvil, sin la necesidad de usar las antiguas tarjetas. Los dispositivos se convertirán por tanto en una forma de pago virtual que simplificará el proceso de compra. Una entidad financiera respaldará la tarjeta de pago que se integrará en la tarjeta SIM del móvil. Las distintas compañías de teléfono proporcionarán la tarjeta añadiendo nuevas medidas de seguridad en ella. Los comercios contarán con terminales preparados para interpretar la señal de los teléfonos y finalmente, para pagar, el usuario sólo deberá acercar su móvil a menos de 20 centímetros del lector de la tienda, de esta forma se generará un intercambio de datos que el usuario tendrá que autorizar introduciendo un código PIN.

Ante esta noticia se abre un debate, mientras que la mayoría de las ciudades y municipios se plantean ya la integración de estos dispositivos en su vida cotidiana (como el caso de Murcia y Madrid, lugares donde ya se está trabajando para establecer esta forma de pago en el medio de transporte urbano), muchos otros se plantean si este avance es seguro. Y es que, aunque la idea de la tecnología NFC se nos vende como la forma más segura de realizar nuestras compras, asegurando que las tarjetas SIM son una fortaleza para nuestros datos personales, nos encontramos con noticias que anuncian que durante este último mes de Febrero, han aumentado de forma más que considerables los ataques por troyanos en los dispositivos móviles.

La idea es buena, nuestros dispositivos cada día están más abiertos al mundo. Lo que antes nos servía simplemente para comunicarnos con otras personas, ahora se transforma en una ventana sin límite de apertura que nos conduce a cualquier parte del mundo. Hemos registrado muchos avances en muy poco tiempo, y lejos de sentirnos abrumados tenemos la necesidad de integrar todas estas nuevas aplicaciones que aseguran hacernos la vida mucho más fácil. Pero ¿Quién nos asegura que toda esa supuesta seguridad no podrá ser sobrevolada por alguien?

La compañía ESET, dedicada a la seguridad frente a las amenazas informáticas, ha realizado una lista con las amenazas más candentes durante estos últimos meses, y encontramos que los ataques a dispositivos móviles se perfilan como favoritos en el mundo de los piratas informáticos. Durante este último mes ha surgido un nuevo troyano que es capaz de controlar el móvil de forma remota generando lo que se llama redes zombies o botnets (en pocas palabras, los móviles ya no los controlamos nosotros). Unido a esto tenemos también la noticia de que Google se ha visto empujado a borrar más de cincuenta aplicaciones que resultaban maliciosas para los dispositivos. Frente a estas noticias sería absurdo pensar que las amenazas de seguridad móvil van a terminar aquí. Es bastante posible que a medida que la tecnología NFC avance, estas nuevas amenazas crezcan también.

Puede ser que el problema sea que nos olvidamos de que ya no estamos utilizando los antiguos móviles que simplemente hacían llamadas. Ahora contamos con pequeños ordenadores portátiles guardados en nuestro bolsillo. Se abre la posibilidad de acción, pero también aumenta la posibilidad de infección. Por este motivo quizá tengamos que ser un poco más precavidos a la hora de descargar aplicaciones de forma compulsiva o utilizar el bluetooth con mayor mesura. Lo que está claro es que las empresas que trabajan con esta nueva tecnología NFC, tendrán que lidiar con el aumento de virus para móviles y el mal uso que muchos de nosotros hacemos de nuestros dispositivos, solo así podrán dar un resultado fiable y seguro para las nuevos avances en este campo.

Fuente

Recomendaciones y buenas prácticas para evitar que te hackeen

Los delincuentes informáticos apuntan a un mercado que va en crecimiento.

El número de usuarios de Internet, en todo el mundo, llegó a fines de enero a los 2.000 millones, según la Unión Internacional de Telecomunicaciones (ITU), la agencia de las Naciones Unidas para los asuntos relativos a la tecnología de la información y la comunicación.

En cambio, a principios de 2000, sólo había 500 millones de usuarios de teléfonos móviles a nivel mundial y 250 millones de internautas.

Se trata de un mercado lleno de oportunidades para los «hackers», porque millones y millones de esos usuarios no practican normas elementales de seguridad informática.

En este contexto, quienes navegan por la web y descargan contenidos de ella, no sólo deben tener en cuenta la importancia de la actualización de sus equipos,  sino que también tienen que ser concientes de que deben hacer un uso responsable y seguro de las nuevas tecnologías.

En esta nota encontrará consejos prácticos para descubrir si su computadora fue “hackeada” o infectada con un virus informático.

> Diccionario de problemas
La seguridad informática tiene su «Talón de Aquiles» en las fallas en el software de las computadoras, que crean deficiencias en el entorno general de la PC o de la red.

Las vulnerabilidades también se pueden crear por configuraciones incorrectas de la máquina o del entorno de seguridad.

En consecuencia, las amenazas podrían traducirse en daños para la computadora o sobre los datos personales que en ella se almacenan.

> ¿Cuáles son estas amenazas?

Según la clasificación del antivirus Norton, son cuatro:

– El spam por e-mail es la versión electrónica de la correspondencia indeseada. Consiste en el envío de mensajes que el usuario no tiene intenciones de recibir. Generalmente, se trata de anuncios no solicitados, dirigidos a un gran número de destinatarios. El spam es un problema serio de seguridad, ya que se usar para transmitir caballos de Troya, virus, gusanos, códigos espías (spywares) y ataques de “phishing” direccionados.

– El spyware se puede obtener por descarga de sitios web, mensajes instantáneos y de e-mail y conexiones directas para el compartimiento de archivos. Además, un usuario puede recibir un spyware, sin saber, al aceptar un contrato de licencia del usuario final de un programa de software.

– El phishing es básicamente un ardid en línea de falsificación, y sus creadores no pasan de falsificadores y ladrones de identidad especializados en tecnología. Ellos usan spams, sitios web maliciosos, mensajes instantáneos y de correo electrónico que procuran que las personas revelen informaciones privadas, como números de cuentas bancarias y de tarjetas de crédito.

– El malware es una categoría de código malicioso que incluye virus, gusanos y troyanos. Los programas de malware destructivos utilizan herramientas de comunicación conocidas para esparcirlas. Por ejemplo, gusanos enviados por e-mail y mensajes instantáneos, caballos de Troya provenientes de sitios web y archivos infectados con virus obtenidos por download de conexiones punto a punto. El malware también intenta explotar las vulnerabilidades existentes en los sistemas, tornando su entrada discreta y fácil.

> Claves para navegar en la web con seguridad
Cuando el usuario tiene una sesión de navegación por el ciberespacio, una de las herramientas más populares de Internet se puede convertir en una víctima del phishing y el spyware, en especial si su máquina no fue actualizada en cuanto al software.

En el caso del phishing, se trata de sitios web fraudulentos, que se usan para robar datos personales. Estos ataques redirigen a las víctimas para un sitio web falso donde el código malicioso se obtiene por descarga y se usa para colectar informaciones privadas.

Por lo tanto, cuando se visita un sitio, hay que digitar la dirección directamente en el navegador, en lugar de seguir un enlace. Además, es recomendable entregar solamente informaciones personales en sitios que tengan «https» en la dirección de la web o un símbolo de candado en la parte inferior del navegador. Tampoco se debe suministrar datos personales a ninguna solicitud no requerida en la web.

Muchos programas “gratuitos” obtenidos por descarga (“download”, en inglés) de la web instalan softwares que controlan su comportamiento y exhiben anuncios indeseados. De esta forma, algunas páginas intentarán instalar spyware cuando usted las vaya visitar.

Para evitar estos problemas, se debe usar un cortafuegos («firewall», en inglés) para bloquear las solicitudes no requeridas de comunicación de salida. Además, no hay que aceptar, ni abrir, cajas de diálogo de error sospechosas en el navegador.

En cuanto a las vulnerabilidades, una falla de este tipo en el mencionado navegador puede crear una deficiencia en la seguridad de la computadora, propiciando una oportunidad para que algunos sitios hagan la descarga de códigos maliciosos.

¿Qué se debe hacer? Instalar actualizaciones de productos y patches de seguridad, mantener el navegador de la web actualizado con los últimos parches, verificar si la computadora está configurada con seguridad y protegerse con un cortafuegos personal.

> Para proteger sus mensajes instantáneos
La mensajería instantánea es una de las herramientas predilectas de los delincuentes informáticos. Por ejemplo, en el caso del malware, se lo puede identificar en anexos de mensajes instantáneos, así como anexos de e-mail, pueden contener virus, caballos de Troya y gusanos destructivos.

Algunos gusanos nuevos usan el software de mensaje instantáneo para enviarlos a todos los miembros de la lista de amigos.

> ¿Qué hacer para proteger las conversaciones de estos códigos? No abrir anexos ni hacer clic en enlaces de la web enviados por desconocidos. No hay que enviar archivos por el programa de mensajes instantáneos. Y si alguien de la lista de amigos manda mensajes, archivos o enlaces de websites extraños, se debe cerrar la sesión de mensaje instantánea.

El spam también llegó a la mensajería instantánea: algunos spams pueden contener lenguaje ofensivo o enlaces para sitios web con contenido inadecuado.

Para no caer en estas trampas, es conveniente rechazar todos los mensajes instantáneos de personas que no estén en la lista de amigos. Y no hacer clic en enlaces en programas de dichos mensajes, salvo que sean esperados y de origen conocido.

Sin embargo, se debe tener en cuenta que la mayoría de ellos aún pasa estas comunicaciones sin criptografía por Internet, exponiendo conversaciones particulares a todos que puedan encontrar una manera de interceptarlas.

Por lo tanto, nunca hay que enviar informaciones personales por medio de estos programas; se debe mantener el software de mensajes instantáneos y el de seguridad actualizados y al sistema operativo.

> Para protegerse cuando comparte archivos
Las redes persona a persona (peer-to-peer) son caminos muy recurrentes que utilizan los delincuentes informáticos, porque pueden acceder fácilmente a las computadoras de los usuarios.

Para ello, emplean diferentes técnicas. Por ejemplo, para diseminarse en forma veloz, colocan malware en directorios compartidos con nombres de archivos atractivos.

Además, algunas amenazas de malware usan redes punto a punto para establecer comunicaciones a partir de un sistema infectado.

Para prevenirse, se debe verificar todos los archivos usando una solución de seguridad en Internet antes de transferirlos al sistema. Y solamente transferir archivos de origen conocido.

Pero algunos programas de publicidad (“adware”) pueden estar integrados a versiones “gratuitas” de programas para compartir archivos.

Por lo tanto, siempre se debe leer con atención el contrato de licencia de usuario final al momento de la instalación, y cancelar si otros “programas” se instalan como parte del software deseado.

Además, hay que proteger datos personales, limitando los ficheros y los archivos que se pueden compartir en la red punto a punto.

– Uso responsable – La empresa de seguridad informática Trend Micro elaboró un listado con las siguientes recomendaciones para evitarse dolores de cabeza con “hackers” y virus.

– No abrir mensajes de e-mail procedentes de remitentes desconocidos – Tras analizar las campañas de spam en 2010, se observó que mientras los spammers permanecían activos, no se registraron cambios en las tácticas que utilizaban. Los “spammers” continuaron persiguiendo activamente sus objetivos y enviando spam con fines diversos.

– Continuar verificando la autenticidad de los mensajes de e-mail – Abrir solamente aquellos correos electrónicos que procedan de remitentes conocidos. De este modo, se puede evitar la ejecución de cargas maliciosas para el robo de información o infecciones de malware. Es conveniente revisar detenidamente cada mensaje de e-mail que llegue al buzón.

– Utilizar herramientas para verificar el correo electrónico – Confiar en el propio criterio no siempre resulta efectivo. La utilización de herramientas para comprobar los mensajes del correo electrónico es una buena apuesta. Utilizar un plug-in del buscador ayuda a determinar la legitimidad de un mensaje y puede mantener a raya a los cibercriminales.

– No hacer clic en links no verificados – La gente es curiosa por naturaleza y este hecho no pasa desapercibido para los ciberdelincuentes. Es posible que el usuario encuentre enlaces que no han sido verificados en el spam o en páginas maliciosas que estén hábilmente redactados para llamar la atención y ganar clic. Esto es particularmente peligroso en los sitios de redes sociales donde es más probable que el usuario baje la guardia.

– Mantener la práctica de volver a la fuente – Acceder directamente a los sitios de confianza y realizar las búsquedas desde ahí. Para comprobar la legitimidad de los resultados de la búsqueda es aconsejable leer de forma general su resumen, con el fin de asegurarse de que proporcionan estas descripciones sensibles.

– Repasar el concepto de ingeniería social – Los temas populares, canales de fácil acceso y los sitios de redes sociales son algunos de los ámbitos en los que la ingeniería social es ampliamente utilizada. Cuanto más se conozca sobre el panorama de las amenazas, más seguro se estará cuando se esté conectado en línea.

– Detener la descarga de archivos procedentes de fuentes poco seguras – Nunca descargar archivos de páginas dudosas.

– Continuar con el hábito de analizar los archivos antes de su descarga – Si no se puede prescindir de la descarga de archivos, es preciso asegurarse de escanearlos previamente. Utilizar un software de seguridad de confianza, para analizar los ficheros antes de su descarga y abrirlos o ejecutarlos, añade una importante capa de protección adicional.

– Comenzar a leer los acuerdos de licencia para el usuario final – Los contratos de licencia son, por lo general, largos y requieren bastante tiempo de lectura, pero son muy útiles a la hora de ayudar al usuario a conocer más a fondo en lo que se está metiendo.

– Detener la navegación móvil insegura – No acceda nunca a webs financieras u otros sitios que requieran información confidencial desde su teléfono inteligente (“smartphone”). Esto facilita el acceso a los cibercriminales para robar no sólo dinero, sino información sobre identificación personal (PII, por sus siglas en inglés).

– Seguir las mejores prácticas de navegación y búsqueda a través del móvil – Los dispositivos móviles hoy cuentan con funciones de seguridad integradas. Es importante aprovecharlas para garantizar la protección online así como también la seguridad de los datos almacenados en el dispositivo. Hay que ser selectivo al descargar e instalar aplicaciones móviles, ya que se están utilizando en algunos ataques. También se debe navegar por sitios o páginas protegidas por protocolos Secure Sockets Layer (SSL) si esa opción está disponible.

– Prestar más atención a los detalles – Dado que los dispositivos móviles varían en tamaño y capacidad, navegar por la web puede, en algunos casos, resultar más complicado que agradable. Tal y como mostró un ataque de prueba de concepto (POC), algunos buscadores móviles pueden ocultar eficazmente las direcciones URL al completo, lo que puede ser utilizado para ataques de phishing.

– No usar software sin licencia – El software pirata puede ser considerado un factor de riesgo debido a la preinstalación de software malicioso que realiza la misma gente que lo vende después a precios enormemente reducidos.

– Realizar descargas de actualizaciones de software de forma regular – Cuando se obtienen las instrucciones para descargar actualizaciones de software es conveniente no ignorarlas. Incluso si es necesario reiniciar el sistema en medio de una importante tarea, algo que puede ser bastante desalentador, continúe y sea disciplinado, puesto que es algo esencial para permanecer protegido.

Fuente