Los 11 mayores escándalos de seguridad de 2015

Hoy vamos a recordar los 11 fallos de seguridad más destacados de 2015, y a pesar de no haber visto nada con tanta cuerda como el ataque que sufrió Sony Pictures, el año que está a punto de acabar también ha tenido lo suyo, con algunos casos que han dejado totalmente indefensos a los usuarios.

Hacking Team

“El cazador cazado”, se titulaba en todo el mundo ante este escándalo. Hacking Team es una empresa italiana dedicada a suministrar herramientas de intrusión remota, spyware y malware que trabaja preferentemente con gobiernos. Se puede deducir que su actividad era decir a los gobiernos “a cambio de pagarnos podrás espiar a tus ciudadanos”.

500 gigabytes de datos, entre los que había datos internos, correos electrónicos, grabaciones de audio e incluso código fuente, mostraron al mundo la verdadera actividad a la que se dedicaba el Hacking Team, además de destapar diversos problemas de seguridad que permanecían ocultos al público y las empresas afectadas.

Ashley Madison

El sitio web de adúlteros Ashley Madison fue hackeado, filtrando los atacantes los datos pertenecientes a 37 millones de usuarios.

Ashley Madison vendía como una de sus mayores virtudes la confidencialidad a través del borrado de datos a cambio de un pago, una confidencialidad que parece no era tal. Entre los datos filtrados había tanto personales como financieros. Lo peor de todo es que muchas personas quedaron en evidencia después de la filtración, y ante la presión, ha habido incluso casos de suicidio.

Los atacantes querían demostrar que el sitio web era una estafa, algo que aparentemente probaron, pero quizá podrían haber sido un poco más comedidos y dejar en evidencia solo a empresa y no a los usuarios, porque el daño provocado ha sido tremendo.

Superfish

Superfish es un polémico adware que hacía un ataque man-in-the-middle para enviar publicidad. Esto quiere decir que con este software se derivaba el tráfico entre usuario y servidor, habiendo alguna persona o software informático que interceptaba y veía la transferencia de datos. Esto abría la puerta a ataques, ya que el interceptor puede modificar el tráfico datos.

Todo esto se hacía sin que el usuario supiese nada, y ante el escándalo Lenovo se vio forzada a tener que eliminarlo de sus computadoras.

Sin embargo la compañía china no está sola, ya que Dell también tiene su propio “caso Superfish” con eDellRoot.

Ante la aparición de más casos, Microsoft ha decidido tomar medidas, unas medidas que resultarán insuficientes para muchos que seguirán instalando un Windows limpio en su ordenador para no tener que lidiar con este tipo de software.

Lenovo Service Engine

Los problemas como Superfish se pueden eliminar formateando el disco duro e instalando un sistema limpio, sin embargo casos como el de Lenovo Service Engine son bastante más complicados de subsanar para un usuario común.

Lenovo Service Engine se encargaba de reinstalar el software de la compañía desde la BIOS, solo necesitando tener acceso a Internet. Esto hacía que diese igual si el Windows era el de fábrica o bien era otro limpio instalado por el usuario, el software de Lenovo reaparecía por mucho que el usuario no lo quisiese.

Este caso abrió las puertas (de cara a lo que sabe el público, no en que fuese el primero de estas características) hacia otros tipos de espionaje y al uso de la BIOS del ordenador como fuente de malware. Ante esta situación solo cabe “flashear” la BIOS para eliminar los componentes maliciosos o indeseados, o usar un sistema operativo incompatible que haga de «muro de ladrillo» ante el software que instala Lenovo Service Engine, aunque esto no impide que la BIOS pueda realizar funciones de spyware.

En resumidas cuentas, con la BIOS como fuente de los problemas de seguridad el usuario se queda sin mucho margen para defenderse.

Vulnerabilidades en el firmware de los ordenadores Mac

2015 no ha sido el mejor año de Apple en el tema del malware, de hecho en el presente año ha aparecido cinco veces más malware que en los cuatro anteriores juntos, y hay algunos que pronostican que 2016 será aún peor.

Lo más peligroso no son los casos de escalada de privilegios, los cuales se pueden subsanar con relativa facilidad en la mayoría de los casos, sino los problemas de seguridad que afectan al firmware EFI.

Además de un caso que afectaba a equipos antiguos, nos hemos encontrado con Thunderstrike 2, una “secuela” de Thunderstrike todavía más peligroso que el original, ya que podía infectar un Mac no solo a través del puerto Thunderbolt, sino que solo necesitaba un sitio web malicioso para colarse en la placa base. Otra “mejora” importante que fue añadida fue la capacidad de auto-reproducirse a través de periféricos USB y Thunderbolt.

Y al igual que en el caso de Lenovo Service Engine, formatear el disco duro no sirve de nada, y en caso de estar el malware programado para hacerlo, puede afectar a OS X, Windows y Linux por igual.

Ghost Push

Malware y Android son dos palabras que para muchos están estrechamente relacionadas, y con malwares como Ghost Push ese pensamiento no es ni mucho menos descabellado.

Este malware, que se propagaba a través del uso del SDK comerciales o publicidad en los navegadores, habilitaba la cuenta de root e instalaba aplicaciones inútiles sin consentimiento del usuario, que luego resultaban difíciles de eliminar.

Se estimó que afectó a 600.000 usuarios de Android al día, aunque por suerte se publicó la lista de aplicaciones maliciosas relacionadas con él.

LastPass

Que un gestor de contraseñas quede comprometido es algo bastante grave, y eso fue lo que le ocurrió a LastPass a mediados de este año.

Si tu contraseña de LastPass fue establecida antes de descubrirse este fallo de seguridad, es mejor que la cambies cuanto antes.

Por suerte parece que no hubo grandes daños, pero nunca viene mal tomar precauciones.

Juniper

Otro de los escándalos de seguridad importantes de este año fueron las puertas traseras halladas en la red Juniper, que permitían descifrar conexiones VPN o iniciar sesión como administrador en ScreenOS, dando la posibilidad de tomar el control total sobre un dispositivo con ese sistema.

Recientemente se ha conocido que la NSA conocía estas vulnerabilidades, sin embargo decidió quedárselas para ella misma con el fin de “proteger a algún ciudadano descuidado”, no advirtiendo a la compañía sobre estos problemas.

Gemalto

Que el mayor productor mundial de tarjetas SIM del mundo fuese hackeado es sin duda uno de los grandes casos que se han visto en este 2015.

La NSA y GCHQ hackearon Gemalto, lo que les permitió tener acceso al tráfico de voz y datos de los dispositivos móviles en todo el planeta. Lo peor de todo es que esta violación de la privacidad fue descubierta en el año 2000, por lo que la NSA y GCHQ han tenido 15 años para poder espiar todo el tráfico en las redes de telefonía móvil a nivel mundial.

La política de Gemalto también quedó en evidencia, debido a que la compañía vendía sus productos como seguros para la privacidad del usuario.

T-Mobile

Los datos de 15 millones de clientes de T-Mobile fueron robados a través de Experian, una agencia de historiales de tarjetas de crédito utilizada por la operadora de red móvil con el fin de conocer la situación crediticia de sus clientes.

Experian denunció los hechos nada más darse cuenta y decidió compensar a los clientes cuanto antes. Sin embargo nada de esto evitó el robo de los datos de los clientes que solicitaron a T-Mobile una verificación de crédito entre 2013 y 2015.

VTech

VTech fue víctima de otro robo de datos, y lo peor aquí es que hay niños de por medio.

5 millones de personas fueron afectadas, entre los cuales hay 200.000 niños. Se sustrajeron nombres, direcciones de email, direcciones postales, contraseñas, géneros y fechas de cumpleaños de los padres, además de fotografías de niños.

VTech se vio forzada a cerrar el servicio Learning Lodge y una docena de sitios web hasta conseguir corregir el problema, pero el daño ya está hecho y habrá que ver si la compañía de juguetes electrónicos de Hong Kong consigue recuperarse a nivel comercial de todo esto.