Vulnerable, el podcast de seguridad digital

¿Y qué pasa después? ¿Cuánto tiempo se espera que los criminales se recuperen?

Desde sus humildes orígenes estafando dinero en Nigeria hasta su opulento lavado de dinero (motivo por el que lo sentenciaron) Julio y Bernardo les cuentan la historia de un estafador con aspiraciones de influencer.

En este video, Julio y Bernardo les contamos cómo una sofisticada estafa de deep fake dejó a una trasnacional en shock al perder un total de $25 millones de dólares. Exploraremos los detalles de cómo los estafadores utilizaron tecnología de inteligencia artificial para crear videos falsos convincentes, y durante una conferencia en tiempo real para que un empleado de la trasnacional enviara grandes sumas de dinero. * The Young Turks, Worker Sends $25 Million To Deepfake CFO In WILD Fraud Case, https://youtu.be/xF0nQKTfBiI?si=tZyIcN5bKURmcyxj * CNN, Finance worker pays out $25 million after video call with deepfake ‘chief financial officer’, https://www.cnn.com/2024/02/04/asia/deepfake-cfo-scam-hong-kong-intl-hnk/index.html

Sumérgete en el último episodio de "Vulnerable", donde desentrañamos la polémica declaración del director general de HP sobre el bloqueo de impresoras mediante actualizaciones. ¿Es realmente una medida para proteger la seguridad de sus usuarios o una estrategia desesperada por impulsar las ventas de la marca?

Uno puede decir una mentira con datos o puede decir disparates con datos aún más chafas. Eso es exactamente lo que encontré e una publicación de LinkedIn que afirmaba... algo. No sé que intentaba señalar, pero el título anunciaba el porcentaje de organizaciones en todo el mundo que corren el riesgo de sufrir un ciberataque material en 2023. Lo que me llevó a preguntarme: "¿Hay alguna organización que NO corra riesgo alguno de sufrir un ciberataque?". Y ¿qué creen? Recordé una organización que definitivamente no está en riesgo alguno. ¿Quieren saber cuál es? Además: Banco de México emite muevas reglas de ciberseguridad. Y el Senado de México anuncia a los nuevos patrocinadores del pacto lanzado hace 10 meses por la ciberseguridad de niñas, niños y adolescentes. https://www.linkedin.com/feed/update/urn:li:activity:7136307631723347968/ https://www.statista.com/statistics/194133/cybercrime-rate-in-selected-countries/ https://www.scmagazine.com/brief/nac-firm-consentry-closes https://www.eleconomista.com.mx/sectorfinanciero/Banxico-emite-nuevas-reglas-de-ciberseguridad-para-SPEI-y-SPID-20231123-0011.html https://comunicacionsocial.senado.gob.mx/informacion/comunicados/7477-firman-en-el-senado-pacto-nacional-por-la-ciberseguridad-de-ninas-ninos-y-adolescentes https://comunicacionsocial.senado.gob.mx/informacion/comunicados/4910-firma-senado-pacto-nacional-por-la-ciberseguridad-de-las-ninas-ninos-y-adolescentes

¡Bienvenidos a Vulnerable, el podcast de seguridad digital! En este nuevo video, abordo una verdad fundamental: en el mundo de la ciberseguridad, detener el 100% de las amenazas es una meta casi imposible. A menudo confiamos en herramientas como antivirus, antispam y filtrado web, sin embargo, ¿qué sucede cuando estas medidas no son suficientes? Utilizando una analogía práctica, comparo la eficacia de estas herramientas con la de una iRobot, la cual limpia eficientemente pero no logra capturar el 100% del polvo o la basura en una casa, dejando áreas que requieren atención humana. Exploraremos la importancia de tener un equipo humano capacitado y alerta, capaz de monitorear y reaccionar ante las amenazas que escapan a los productos de seguridad. ¡Acompáñenme! Aver si logro convencerte que la combinación de tecnología y la intervención humana son claves para mantener una red segura en un mundo digital cada vez más complejo!

Cuidado con los ciber-influencers. En este episodio, desmiento las "alarmantes cifras" que no son más que un análisis muy chafa sobre el costo de las brechas de datos en la última década. Los ciber-influencers deberían de aprender un poquito de inflación antes de hablar de costos 10 años después. Si quieren leer el artículo completo de Security Intelligence: https://securityintelligence.com/articles/cost-of-a-data-breach-10-years-in-review/

En la semana se dio a conocer que la empresa mexicana Grupo Xcaret había sido víctima de un ataque cibernético. Algunos portales incluso reportaron que la empresa había frustrado dicho ataque. Buscando entre la escasa información al respecto como niño de 8 años intentando pulir el frasco de nutella entes de deshacerse de él, pude sacar algunas conclusiones. No creo que lo hayan detenido tan bien.

En el episodio de esta semana, los llevaré a través de los detalles más impactantes del reciente incidente de ciberseguridad en MGM Resorts, la caída del malware Qakbot, y el resurgimiento del spyware Pegasus. Nota completa sobre Qakbot: https://www.bleepingcomputer.com/news/security/how-the-fbi-nuked-qakbot-malware-from-infected-windows-pcs/ Artículo completo sobre Pegasus: https://therecord.media/council-of-europe-report-pegasus-spyware

Una semana más para comentar la noticias de ciberseguridad. En el video de hoy, exploro dos aspectos cruciales del panorama tecnológico actual: el aterrador resurgimiento del ransomware LockBit: https://www.trendmicro.com/vinfo/us/security/news/ransomware-spotlight/ransomware-spotlight-lockbit Y el impacto potencialmente peligroso del sesgo en los algoritmos de inteligencia artificial en la seguridad en la nube. ¿O son puras exageraciones y malos entendidos? https://www.darkreading.com/cloud/is-bias-in-ai-algorithms-a-threat-to-cloud-security Hacking, hacking y más hacking. Seguro eso es una realidad en todo el mundo, todos los días. Pero casi nunca hablamos de esos eventos si los sentimos muy lejanos. Excepto hoy cuando en los ciber titulares de Vulnerable comento sobre los siguientes eventos: 1. En Japón, Toyota de hecho no fue víctima de hacking (aparentemente): https://www.theregister.com/2023/08/30/toyota_japan_production_resumes/ 2. La agencia de ciber seguridad de Japón, SI fue víctima de Hacking: https://www.bitdefender.com/blog/hotforsecurity/japans-cybersecurity-agency-admits-it-was-hacked-for-months/ 3. China y Rusia son exhibidos por Meta por crear y difundir desinformación: https://www.theregister.com/2023/08/30/meta_coordinated_inauthentic_behaviour_report/

Una semana más en la que el Ransomware hace de las suyas llevándose al traste a un proveedor de nube en Dinamarca. Una banda de toyanos bancarios tiene en su mira a usuarios de banca por internet en México. Hay ejecutivos de la industria de la seguridad que no pueden con su estigma: quieren vender con base al miedo. Hubo elecciones presidenciales en Ecuador y la autoridad electoral afirma que también hubo ciberataque. Suscríbete a Vulnerable en Youtube: https://www.youtube.com/@vulnerable-Seguridad-Digital

Hay inteligencias artificiales que pueden clonar la voz de una persona. Y sólo requieren de pocos minutos de grabación para lograr un tono y cadencia prácticamente idéntica al de la voz clonada. ¿Existe algún uso práctico para esta aplicación de la Inteligencia Artificial? Porque los estafadores por supuesto que encontraron una manera de usarla para hacer más eficientes sus extorsiones.

Una semana más llena de noticias sobre ciber seguridad. Aquí algunas de las que puedes escuchar en el más reciente episodio de Vulnerable: Del portal CBS News Zoom's terms of service changes spark worries over AI uses. Here's what to know. Zoom's terms of service changes spark worries over AI uses. Here's what to know, https://www.cbsnews.com/news/zoom-pri... What Cisco Talos knows about the Rhysida ransomware https://blog.talosintelligence.com/rh... Del Blog el Hacker.net: EvilProxy: ataque de phishing que esquiva el 2FA https://blog.elhacker.net/2023/08/evi... Del Blog de Talos Intelligence: Por último: De la investigación anual sobre Filtraciones de datos realizada por Verizon: Los ataques de ingeniería social suelen ser muy efectivos y extremadamente lucrativos para los ciberdelincuentes. Tal vez esta es la razón por la cual los ataques Business Email Compromise (BEC) (que en esencia son ataques de pretexto) casi se han duplicado en todo nuestro conjunto de datos de incidentes, como se puede ver en la Figura 5, y ahora representan más del 50 % de los incidentes dentro del patrón de ingeniería social. https://www.verizon.com/business/reso... En el episodio de los titulares del día de hoy, comento sobre en (nada reciente) episodio de la serie de televisión Scorpion, donde se presenta un intrigante hackeo a un avión comercial. ¿Qué tan plausible es esta trama en la vida real? Scorpion CBS show. Plane hack https://www.pentestpartners.com/secur... También daré un vistazo profundo al artículo de The Register que arroja luz sobre el chuequísimo acuerdo que dio pie a una adquisición en la industria. Tech CEO admits role in tricking Qualcomm into $150M takeover https://www.theregister.com/2023/08/1... Y por último, ni los geólogos están libres de ser víctimas de hackers. Chinese media teases imminent exposé of seismic US spying scheme https://www.theregister.com/2023/08/1... "#tiktok Prohibido para Empleados Públicos de Nueva York" - Forbes México Juntos exploraremos las implicaciones de la prohibición de TikTok para los empleados públicos de Nueva York, y cómo esto influye en la seguridad y la privacidad en el entorno gubernamental. https://www.forbes.com.mx/se-acabo-ti... "Integridad Digital y Claves para la Ciberseguridad Empresarial" - Forbes México Adentrémonos en los conceptos clave de la integridad digital y la ciberseguridad empresarial. Conversaremos sobre la importancia de salvaguardar la información corporativa en un mundo cada vez más digitalizado. https://www.forbes.com.mx/integridad-... "WormGPT: La Herramienta de IA Generativa que los Ciberdelincuentes Utilizan en Ataques de BEC" - SlashNext Reflexionemos juntos sobre el impacto de las tecnologías de inteligencia artificial generativa en la ciberseguridad. Descubramos cómo los ciberdelincuentes están empleando estas herramientas para llevar a cabo sus ataques. https://slashnext.com/blog/wormgpt-th... "Importante Organización de Energía en EE. UU. Víctima de Ataque de Phishing con Código QR" - Bleeping Computer Analizaremos un reciente ataque de phishing con código QR dirigido a una organización de energía en Estados Unidos. Destacaremos la inventiva y sofisticación de las tácticas utilizadas por los atacantes. https://www.bleepingcomputer.com/news... Lee el resumen ejecutivo: https://www.cloudflare.com/press-rele... Descarga el reporte (registro obligatorio): https://www.cloudflare.com/lp/2023-ph...

¡Bienvenidos a un nuevo episodio de 'Vulnerable'! En esta entrega, exploraremos el emocionante mundo de la seguridad digital analizando los principales titulares de la semana. Comenzaremos desvelando la sorprendente historia detrás de las promociones de AMD que se camuflaron como artículos periodísticos legítimos. Descubriremos cómo estas tácticas ingeniosas pueden engañar incluso a los más precavidos y cómo podemos protegernos de tales artimañas en el futuro. ¿Alguna vez te has preguntado cómo es realmente hablar con un CISO (Chief Information Security Officer)? Te presentaremos diferentes enfoques para entablar conversaciones productivas con estos profesionales clave en el mundo de la ciberseguridad. Desde las preguntas esenciales hasta las mejores prácticas de comunicación, te ofreceremos una visión completa para establecer conexiones efectivas con los responsables de la seguridad de la información. No podríamos pasar por alto uno de los temas más persistentes en el mundo digital: el phishing. Profundizaremos en las últimas tendencias y técnicas que los ciberdelincuentes utilizan para engañar a usuarios desprevenidos. Además, te brindaremos consejos prácticos para reconocer y evitar caer en las trampas del phishing, protegiendo así tus datos y cuentas en línea. Y para cerrar este episodio, nos sumergiremos en un ámbito inusual pero preocupante: las amenazas digitales que acechan en eventos deportivos. Desde competiciones importantes hasta eventos locales, los delincuentes también han llevado su juego a lo digital. Analizaremos ejemplos impactantes de ataques y exploraremos cómo los organizadores y los asistentes pueden salvaguardarse contra estas amenazas emergentes. Así que únete a nosotros mientras desentrañamos estos emocionantes temas y te brindamos información clave para mantenerte seguro en el siempre cambiante paisaje de la ciberseguridad. ¡Prepárate para mantenerte informado y protegido en este episodio de 'Ciberseguridad al Día'!

a inteligencia artificial de Microsoft que fue conectada a Twitter y se volvió antisemita y misógina se llamó "Tay". Fue lanzada en marzo de 2016 como un experimento para aprender de las interacciones con los usuarios en línea y mejorar su capacidad de comunicación en lenguaje natural, pero rápidamente comenzó a publicar mensajes ofensivos y controvertidos después de ser influenciada por los usuarios que interactuaban con ella en Twitter. Microsoft retiró a Tay de Twitter en menos de un día después de los mensajes ofensivos.

Platico con mi primo Flash sobre los recientes ataques a creadores de contenido (como él). Los atacantes quieren robar los canales para después usar esa audiencia como potenciales víctimas de sus estafas.

Los expertos en Inteligencia Artificial les gusta vender a la tecnología como una auténtica panacea. Pero, ¿están ellos mismos convencidos de que hoy en día la Inteligencia Artificial puede ofrecer la calidad que un humano? Un experto se desenmascara en un par de tuits que comento en el episodio más reciente de Vulnerable.

La desinformación no hizo falta cuando el Departamento de Energía de Estados Unidos emitió un reporte el 28 de febrero en el que consideran, con confianza baja, que Covid-19 fue creado en un laboratorio. Hey... ¡puede ser! Pero también puede ser que no. Y lo que es un hecho es que no fue creado intencionalmente para aniquilarte a ti ni a mi.

Desde hace una semana se pueden leer en Twitter, comentarios sobre la disponibilidad del recurso 2FA como autenticación en la propia red. Si bien es cierto que usar SMS como segundo factor de autenticación será exclusivo para las cuentas que paguen sus rigurosos $8 USD, esto no es... ¿malo? Suscríbete a Vulnerable en Youtube: https://www.youtube.com/@vulnerableelpodcastdesegur2628

En fechas recientes supimos que el propio Buró de Crédito mexicano reconoció un conjunto de datos perteneciente a una base de datos del 2016 estaba siendo comercializada vía redes sociales. ¿Cómo fue reportada la noticia y más importante, cómo fue comentada por la gente que sabe de protección de datos? En mi opinión, de manera confusa. Y no por error.

Ojo con la desinformación en redes: Etienne Klein cuyo perfil de Twitter lo presenta como “Director de investigación en la Comisión Francesa de Energías Alternativas y Energía Atómica”, productor de “Ciencia en preguntas” y escritor de “El Espíritu del cuerpo” nos regaló un choro épico con su tuit: https://twitter.com/EtienneKlein/status/1553765864553472003 ¿Es una estrela o será un chorizo? Esperen, si es un chorizo. No, no un choro, ni un cuento, ni un invento. Literalmente una rebanada de chorizo sobre un trozo de tela negro. Epílogo de desinformación: Científicos desarrollan inteligencia artificial que intenta diferenciar entre Lobos y Huskies pero sólo logra aprender a identificar cuando una fotografía tiene, o no, nieve de fondo. Cierto: https://resources.unbabel.com/blog/artificial-intelligence-fails Un analista de SOC fue despedido de su empleo después de haber agredido a un desarrollador de software. El desarrollador tenía en beta el software capaz de realizar todas las tareas del analista. Falso como billete de $12.50 Científicos de la Universidad Estatal de Calgary en Canadá demuestran que las personas que escuchan dos o más podcast a la semana tienen más probabilidades de desarrollar calvicie que el promedio de la población debido al uso de audífonos de diadema. Falsa como la carrera en la NFL de Marco Martos El portal de noticias El País afirma que en el Estado Mexicano de Tlaxcala existen 7 atracciones ADEMÁS de su afamada y primera escalera eléctrica, inaugurada en 2017: Cierto: https://verne.elpais.com/verne/2017/04/06/mexico/1491513451_431106.html El encoding de Youtube para los identificadores de videos subidos a su plataforma permitiría a cada ser humano subir un video por minuto durante los siguientes 18,000 años antes de agotar las combinaciones disponibles: Cierto: https://www.youtube.com/watch?v=gocwRvLhDf8 Grupo de cibercriminales pakistanies desarrollan un gusano informático capaz de infectar la computadora y robar los datos biométricos de sus víctimas a través de una vulnerabilidad en el driver de la webcam más utilizada en el mercado. Falso como Gurú de instagram.

Las pocas personas familiares con el nombre Martin Shkreli saben del gris (casi negro) pasado de este ejecutivo que en 2015 decidió subir un 5,455% el precio de una medicina para la que acababa de conseguir la licencia de manufactura exclusiva. Dos años después fue acusado de defraudación y pasó 5 años en la prisión. Hoy busca escudarse en la descentralización y nula regulación de la web3 para lanzar su nueva empresa, Druglike. Druglike busca "democratizar los costos en la investigación de nuevas drogas", pero no es una empresa farmacéutica. Es una Empresa Web3. Que no los engañen las apariencias Enlaces: https://www.newswire.com/news/announcing-druglike-a-web3-drug-discovery-platform-21779057 https://druglike.com/Druglike_Whitepaper.pdf https://en.wikipedia.org/wiki/Martin_Shkreli

Una denuncia en búsqueda de solidaridad es respondida... con lamentables acusaciones hacia la víctima. Eso es twitter y pasa todos los días. Pero cuando la víctima es una persona pública, como la Actriz Verónica Bravo, las reacciones se amplifican. Verónica fue víctima primero de robo de su dispositivo móvil y después de transferencias fraudulentas que extrajeron los fondos de su cuenta bancaria. En Vulnerable siempre le creeré primero a las víctimas y buscaré, en la medida de mis posibilidades, que hayan menos. Por eso cierro el episodio con una serie de consejos GENERALES para mejorar la seguridad de los celulares, en especial si son utilizados para hacer banca por internet.

Ustedes elijan a qué fuente le quieren creer más. Fuentes mencionadas en el audio: Mireya Cortés, Se pronostican ciberataques del grupo norcoreano H0lyGhost contra países de América Latina, Julio 18, 2022, CIO México. https://cio.com.mx/se-pronostican-ciberataques-del-grupo-norcoreano-h0lygh0st-contra-paises-de-america-latina/ Victor Ruiz, Se pronostican ciberataques de H0lygh0st, grupo criminal norcoreano, contra países de América Larina, antes de finalizar 2022, Julio 15, 2022, SILIKN, https://www.silikn.com/2022/07/se-pronostican-ciberataques-de.html Microsoft Threat Intelligence Center (MSTIC), North Korean threat actor targets small midsize businesses with H0lyGh0st ransomware, July 14, 2022, Microsoft Security, https://www.microsoft.com/security/blog/2022/07/14/north-korean-threat-actor-targets-small-and-midsize-businesses-with-h0lygh0st-ransomware/

Una filtración con más de 100,000 documentos, hasta antes del 11 de julio privados, nos revela como Uber logró acomodarse e influir a las esferas más poderosas del mundo al tiempo que usaba a sus conductores como carne de cañón para ganar la guerra de las relaciones públicas. Uber también contaba con un Kill Switch en muchas de sus oficinas locales ¿para qué creen que era? Escuchen el más reciente episodio de Vulnerable para conocer esa y mas anécdotas reveladas al público por los Uber Files

En el episodio de hoy hablamos de la tecnología semi-olvidada que nos permite tener internet como lo conocemos el día de hoy. ¿Por qué son importantes los DNS? En el audio explainer te cuento porque. Regresa Flash como invitado para el retorno de la segunda mitad de la tercera temporada de Vulnerable, el Podcast de Seguridad Digital.

¿Qué tienen en común las ofertas laborales vía SMS con los Falsos Gurús? Que son claros ejemplos de estafas online. Escucha esta plática que tuve a finales de mayo 2022 con el equipo de Finan$apiens en su FB Live.

Te cuento dos razones para abstenerte de esta práctica ampliamente adoptada en la industria de ciberseguridad. Si quieres que el internet continue creciendo tienes que permitir que su motor económico opere. Es la segunda ocasión que subo este episodio. No menciono el software en cuestión porque tengo la sospecha que su nombre causa problemas con sr distribución. (Tal vez tema para un episodio futuro).

El Presidente de Costa Rica afirmó que su país está en Guerra contra Terroristas Cibernéticos después que el Grupo de Ransomware como Servicio paralizara la Secretaría de Hacienda y el Sistema de Aduanas en el país centroamericano. El Ransomware tuvo que ser instalado por alguno de los afiliados de conti, escenario que permitió al mandatario tico acusar a Conti de contar con filibusteros que traicionaron a la Patria. ¿Será?

Recibí un correo electrónico con que cumplía, como libro de texto, la descripción de una estafa del príncipe nigeriano. Sólo que el supuesto dinero que me querían "regalar" no vendría de ningún miembro de la realeza africana, sino de le realeza de Silicon Valley: Supuestamente el mismísimo Mark Zuckerberg se había levantado generoso y había hecho una rifa para regalar un millón y medio de dólares ¡y yo era el ganador! SI COMO NO!! No se pierdan de este episodio, primero en el que reacciono a una estafa de príncipe nigeriano. La lectura del correo estafa corre a cuenta de mi primo Flash ⚡️

La respuesta es mucho más sencilla de lo que piensas. Pero comencemos con las bases: en días pasados se hizo de conocimiento público sobre una función que Apple implementó en los modelos más recientes de iPhone que permitiría a un atacante instalar malware en él y que dicho malware se mantuviera en ejecución incluso si apagas el teléfono. Aunque el poder dañino de un malware así es preocupante no es un ataque que se vaya a usar contra el usuario común y corriente que usa su teléfono para hacer llamadas, mandar whatsapps y leer sus redes sociales. Artículo de referencia: https://www.wired.com/story/iphone-find-my-malware-attack-vulnerability/ Articulo base: https://arxiv.org/pdf/2205.06114.pdf ^Este es el técnico

Desde hace más de una década escuché que el futuro en línea sería sin contraseñas. Incontables startups han intentado, sin rotundo éxito cambiar la manera en que establecemos y comprobamos una identidad al registrarnos y usar un servicio online. ¿Pero habrá alguien lo suficientemente grande y con interés legítimo capaz de acabar con las contraseñas de una vez por todas? Una alianza, FIDO, logró sentar en la misma mesa y hablar con un fin en común a tres gigantes: Microsoft, Google y Apple. Con la esperanza de que algún día, en algún momento antes de nuestro último respiro nuestro teléfono se la pieza clave para identificarnos y deshacernos de una vez por todas de las molestas y vulnerables contraseñas.

Exploramos el triste desenlace para una institución educativa con 157 años de historia, el Colegio Lincoln. La noticia de su cierre permanente terminando el semestre de primavera de 2022 fue presentada en muchos sitios especializados en ciberseguridad como consecuencia de un ataque de ransomware. Pero analizamos los números y por deleznable que sea el ransomware parece ser que hubo un factor de mucho mayor peso en esa decisión. ¿Con quién coinciden?

Perdido entre tantos titulares de ransomware, principalmente el ataque al oleoducto de Colonial que paralizó el suministro de gasolina en la costa Este de los Estados Unidos, estuvo la noticia de una empresa más que fue víctima de esta familia de Ransomware. Sí estoy hablando de una víctima más, ¿qué hizo su caso digno de destacarse? Pues que es una aseguradora. La francesa Axa reportó el 16 de mayo haber sufrido un severo ataque que desestabilizó sus operaciones en Asia. Aún más interesante: Axa era una aseguradora que ofrecía al mercado pólizas de ciber seguros. O dicho de otra forma, Axa ofrecía a los contratantes pagar el rescate de su información en caso de que fueran ellos, no Axa, víctimas de este mismo tipo de ataque. Sin embargo dije “era” porque siete días antes de convertirse en una víctima más, Axa anunció que dejarían de ofrecer estas pólizas. Este par de hechos, separados por 7 días solamente, me llevan a tomar la decisión de volver a publicar el episodio de ciber seguros, que lleva poco menos de 90 días de haberse publicado. Los invito a que mientras escuchen intentes conectar los cabos sueltos. Yo lo hice y la única pregunta que me quedó fue ¿cuánto tiempo llevarían los atacantes dentro de la red de Axa? Que lo disfruten. Gracias a NordVPN por patrocinar este episodio. Los escuchas de Vulnerable obtienen un descuento especial al contratar NordVPN en el siguiente enlace: https://bit.ly/3cOSbtA Sigue a Vulnerable en Twitter: https://twitter.com/PcastVulnerable Suscríbete al canal de Vulnerable en Telegram: https://t.me/vulnerablepdcast Visita el sitio de Vulnerable: https://www.podcastvulnerable.com Enlaces: Hannah Murphy, et. al., Axa’s Asian operations hit by ransomware attack, https://www.ft.com/content/4443da60-6d90-4d27-b300-b0896425f99f Frank Bajak, Insurer Axa halts ransomware crim reimbursement in France, https://apnews.com/article/europe-france-technology-business-caabb132033ef2aaee9f58902f3e8fba Música: The Take Down - DJ Williams Spring In My Step - Silent Partner Crimson Fly - Huma-Huma Jazz In Paris - Media Right Productions

Una mujer fue despedida de su trabajo como conserje escolar en Canadá. ¿La razón por la que fue despedida? Que se rehusó a instalar una aplicación en su teléfono personal. La aplicación Blip, desarrollada por la empresa Británica BrightHR. Su principal función es crear un perímetro virtual alrededor de un centro de trabajo. La aplicación básicamente funciona como una tarjeta checadora, gracias al servicio de localización de cada teléfono con la aplicación Blip instalada el servicio registra la entrada y salida de los empleados. Obviamente también puede registrar si a media jornada laboral el empleado no está dentro de ese perímetro. Gracias a NordVPN por patrocinar este episodio. Los escuchas de Vulnerable obtienen un descuento especial al contratar NordVPN en el siguiente enlace: https://bit.ly/3cOSbtA Enlaces: https://grahamcluley.com/school-janitor-says-she-was-fired-for-not-installing-smartphone-tracking-app/ https://www.cbc.ca/news/gopublic/tattleware-privacy-employment-1.5978337 https://www.workforce.com/news/tattleware https://www.cleanlink.com/news/article/Custodian-Fired-For-Not-Installing-Tracking-App--27020

Moxie Marlinspike creador de la Fundación Signal y del protocolo de encripción Signal se molestó al enterarse una noticia. ¿Cuál noticia? Pues que la empresa - señalada por muchos como de espionaje - Cellebrite acababa de añadir soporte en sus productos para la aplicación de mensajería instantánea Signal. ¿Qué significa este "soporte"? ¿Ya no podemos confiar en Signal como una aplicación que mantenga nuestras conversaciones privadas? No, no, no. No tan rápido. Lo que si puedo asegurarles es que Moxie es de "armas tomar" y se dio a la tarea de hackear el código de Cellebrite y compartir con el mundo sus hallazgos. Gracias a NordVPN por patrocinar este episodio. Los escuchas de Vulnerable obtienen un descuento especial al contratar NordVPN en el siguiente enlace: https://bit.ly/3cOSbtA Sigue a Vulnerable en Twitter: @PcastVulnerable Suscríbete al canal de Vulnerable en Telegram: https://t.me/vulnerablepdcast Visita el sitio de Vulnerable: https://www.podcastvulnerable.com Enlaces: Exploiting vulnerabilities in Cellebrite UFED and Physical Analyzer from an app's perspective - https://signal.org/blog/cellebrite-vulnerabilities/ Moxie Marlinspike - https://en.wikipedia.org/wiki/Moxie_Marlinspike Cellebrite Soluciones de Negocio - https://www.cellebrite.com/es/soluciones-de-negocio/ Cellebrite Customer Stories - https://www.cellebrite.com/en/resources/customer-stories/ Wired - https://www.wired.com/story/signal-cellebrite-hack-app-store-scams-security-news/

A Facebook no le importas. Ni siquiera está dispuesta a simular que está dispuesta a cambiar para mejorar. Después de que permitió que más de 500 millones de registros con información de sus usuario se filtrada, su mejor respuesta LITERALMENTE es "calladitos nos vemos más bonitos". Al menos hasta que las aguas estén más calmadas. No tienen vergüenza. Quienes deberían estar algo avergonzados son los que siguen usando el miedo para hablar sobre seguridad. En pleno 2021 ya deberíamos haber entendido que la seguridad está ámpliamente ligada con el entendimiento y manejo eficaz de los riesgos, no con decirle a la gente que no haga nada "para mantenerse seguro". Gracias a NordVPN por patrocinar este episodio. Los escuchas de Vulnerable obtienen un descuento especial al contratar NordVPN en el siguiente enlace: https://bit.ly/3cOSbtA Sigue a Vulnerable en Twitter: @PcastVulnerable Suscríbete al canal de Vulnerable en Telegram: https://t.me/vulnerablepdcast Visita el sitio de Vulnerable: https://www.podcastvulnerable.com Enlaces: Tara Seals, QR Codes Offer Easy Cyberattack Avenues as Usage Spikes, https://threatpost.com/qr-codes-cyberattack-usage-spikes/165526/ Graham Cluley, Facebook suffers a data breach about how it’s hoping to stop the media talking about its last data breach, https://grahamcluley.com/facebook-suffers-a-data-breach-about-how-its-hoping-to-stop-the-media-talking-about-its-last-data-breach/

El domingo 4 de abril además de con un nuevo horario, en México amanecimos con la noticia de una filtración de datos masiva. Más de 500 millones de registros de Facebook se habían publicado en foros de hackers y más de un reportero había logrado verificar la validez de la información. Inmediatamente la empresa de Mark Zuckerberg mostró humildad y preocupación por los millones de individuos que habían dado su información a Facebook y… por supuesto que estoy bromeando. ¿Cómo respondió Facebook a esta filtración? Escúchenlo en el episodio más reciente de Vulnerable el Podcast de Seguridad Digital. Gracias a NordVPN por patrocinar este episodio. Los escuchas de Vulnerable obtienen un descuento especial al contratar NordVPN en el siguiente enlace: https://bit.ly/3cOSbtA Sigue a Vulnerable en Twitter: https://twitter.com/PcastVulnerable Suscríbete al canal de Vulnerable en Telegram: https://t.me/vulnerablepdcast Visita el sitio de Vulnerable: https://www.podcastvulnerable.com Enlaces: Have I been Pwned? - https://haveibeenpwned.com/ Cuentas en la filtración por país: https://twitter.com/ummlater/status/1378505389348511744?s=20 Música: The Take Down - DJ Williams Spring In My Step - Silent Partner Crimson Fly - Huma-Huma Jazz In Paris - Media Right Productions

Los seguros vieron en la problemática del ransomware una oportunidad más de hacer dinero, lo cual no está mal pero para empezar uno necesita confiar en las aseguradoras. Patrocinador del episodio: NordVPN https://bit.ly/39KDUMO ¿Qué tan eficiente resulta contratar un ciber seguro para estar protegido ante este riesgo? Una entrevista realizada por Recorded Future a un miembro de la banda de ransomware REvil nos puede dar una respuesta. También puedes escuchar este episodio en: https://podcastvulnerable.com/ciber-seguros/ Visita el sitio www.podcastvulnerable.com para más episodios. Enlaces: Graham Cluley, Cyber insurance giant CNA hit by ransomware attack, https://grahamcluley.com/cyber-insurance-giant-cna-hit-by-ransomware-attack/ Naveen Goud, Mondelez files $100m claim from Zurich Insurance for NotPetya Cyber Attack, https://www.cybersecurity-insiders.com/mondelez-files-100m-claim-from-zurich-insurance-for-notpetya-cyber-attack/ Música: The Take Down - DJ Williams Spring In My Step - Silent Partner Crimson Fly - Huma-Huma Jazz In Paris - Media Right Productions

En los últimos años muchos servicios han surgido que ofrecen, entre otras muchas cosas, pruebas anti-phishing. En este episodio platico porque es una buena idea utilizar estos servicios a pesar de que cuentes con varios controles técnicos que estén diseñados para detener o mitigar el riesgo que el phishing representa para tu organización. Lo principal que debes recordar es que el phishing es un problema humano, más que un problema tecnológico. ¿Por qué digo esto? Escucha el episodio completo para enterarte. También puedes escuchar Vulnerable desde su sitio web: https://www.podcastvulnerable.com/pruebas-phishing.html Únete al canal de Vulnerable en Telegram: https://t.me/vulnerablepdcst

Arriesgándome a sonar repetitivo me atreví a llamar al más reciente episodio de Vulnerable "Hablemos de Privacidad". En él, platico con Macario sobre la responsabilidad compartida que existe, entre el titular de los datos y las organizaciones que los reciben para brindar un servicio, de protegerlos y buscar que el uso de los mismos sea adecuado y seguro. Además compartimos cada uno anécdotas de eventos que hemos atestiguado donde esa responsabilidad es ejercida a la ligera. También puedes escuchar Vulnerable desde su sitio web: https://www.podcastvulnerable.com/hablemos-de-privacidad.html Únete al canal de Vulnerable en Telegram: https://t.me/vulnerablepdcst

Si, si, si. ¡Olvidamos hablar de respaldos el episodio previo cuyo tema central fue el Ransomware! ¡Tremendo error! Los "benditos" respaldos deberían ser una práctica central de cualquier persona, ya no digamos organización, para estar mejor preparados ante un ataque de ransomware y para muchos más inconvenientes. ¿Por qué los dejamos fuera? Escuchen el episodio para saber las dos principales razones por las que no mencionamos los respaldos en el episodio previo (aunque, Spoiler: Fue sin querer) y de paso entérense de los futuros episodios de Vulnerable, el podcast de Seguridad Digital.

El ransomware se ha vuelto el tipo de malware más común y más disrruptivo. Platico con Armando Cornejo sobre la historia de este malware, los catalizadores que han hecho del ransomware una herramienta sumamente lucrativa para los cibercriminales y consejos para estar mejor protegidos. Todo esto mientras Armando nos cuenta su anécdota de como Wannacry lo regresó a trabajar un viernes a las 10PM. Conoce más de Wannacry: https://es.wikipedia.org/wiki/WannaCry Cisco [Infografia]: The Ransomware Threat is Real https://www.cisco.com/c/dam/en/us/solutions/collateral/enterprise-networks/ransomware-defense/ransomware-infographic.pdf

Si llevas el tiempo suficiente usando internet seguro has recibido alguna versión de la estafa conocida como "El Príncipe Nigeriano". Recibiste un cordial correo electrónico de un príncipe nigeriano pidiéndote ayuda para sacar de su país la fortuna que heredó de su difunto - y odiado por el actual régimen - padre. Pero, por supuesto que no hay príncipe, ni rey, ni régimen autoritario malo, malo, muy malo, ni mucho menos dinero. Conoce 419 eaters: https://www.419eater.com/ Escucha el audio completo "La estafa a Marcela": https://www.youtube.com/watch?v=At5hSNoDEgk

Policías alrededor del mundo participaron el el operativo LadyBird para tomar control de la red de comando y control de EMOTET. Este malware que llevaba circulando desde el 2014 fue efectivamente deshabilitado con el operativo y dos personas, operadoras de la botnet fueron detenidas en Ucrania. Música: The Take Down - DJ Williams Spring In My Step - Silent Partner Crimson Fly - Huma-Huma Jazz In Paris - Media Right Productions

Resulta que la rutina diaria de Biden comienza con una sesión de ejercicios con una bicicleta estacionaria de la marca Pelotón. Estos dispositivos se pueden conectar a internet y… mi primera reacción fue ¡para qué diablos necesita alguien conectar una bicicleta, estacionaria o no, al internet! En la actualidad existe un considerable número de dispositivos cuyo único propósito de conectarlos a internet es crear una diferenciación (inútil por cierto) con productos competencia. En algún otro momento espero poder comentar en Vulnerable sobre el fiasco de los dildos, pero ese día no es hoy. Regreso a la bicicleta Pelotón. Analizando un poco creo que si un producto que tiene sentido que tenga esta característica es la bicicleta estacionaria sobre todo en medio de una pandemia. La conexión a internet es aprovechada en conjunción con una pantalla, un micrófono y una webcam para que la persona que desea ejercitarse lo haga conectado con otras personas e incluso pueda tomar una clase. Una bicicleta con clases de spinning integradas, vaya. De no existir las bicicletas Pelotón no es difícil imaginar que varios ciclistas montaran una especie de set con una bicicleta estacionaria común más un smartphone o tableta para participar en una clase de spinning vía webex. Así que definitivamente integrarlos todos en un solo dispositivo si es una solución para muchos. Es mucho más facil y práctico todo integrado.

¿Saben cómo sé que la mayoría de la gente sobre reaccionó o de plano, ni entendió, los cambios en los términos de privacidad de Whatsapp? ¡Las descargas de la aplicación Signal sumaron 7 y medio millones la semana pasada, un incremento del 4,200% Bienvenidos a Vulnerable el podcast de seguridad digital. Yo soy Bernardo y en el episodio de hoy platicaré sobre la privacidad en whatsapp.

Los seguidores de Q, los anons, los autoproclamados “patriotas” llevaban años siendo programados mediante campañas de desinformación, para abandonar la lógica y creer ciegamente a sus líderes. Un culto sin lugar a dudas. Un culto que fue creado por años y cuyos líderes siempre tuvieron la maliciosa astucia para lograr ignorar cuando el tiempo probaba sus pronósticos mal, para recalibrar objetivos cuando sufrían una derrota y para cambiar el tema cuando era conveniente. Y tuvieron que hacerlo muchas veces desde la derrota de su ídolo idiota en las elecciones presidenciales. Cada derrota judicial no era desacreditada por la falta de evidencia sino era visto como evidencia misma de la operación del deep state protegiéndose. Y así cada nueva etapa era cacareada en redes sociales y foros como la que indudablemente traería al hombre naranja la victoria que no consiguió. Les voy a compartir tres de las muchas historias que se originaron ese día para que se den cuenta de lo peligrosa que es la desinformación en línea. Elizabeth from Knoxville: Una mujer a la que habían rociado con gas pimienta. Contesta abiertamente a las preguntas de un periodista mientras intenta limpiar sus ojos. Confiesa abiertamente sus intenciones al asaltar el capitolio, porque esto “es una revolución”. Nadie es tan estúpido para confesar una insurrección. Elizabeth estaba programada durante años de exposición a contenidos basura en línea. Estaba programada para creer que su actuar era el correcto y que además sería victorioso. Por que Q les aseguró que la victoria estaba garantizada, porque les dijo que las aparentes derrotas no eran más que evidencia que el presidente que es incapaz de cerrar una sombrilla realmente estaba jugando ajedrez en 5 D contra el Deep State. Richard Barnett ¿Qué características debe tener un hombre que acaba de cometer un delito al ingresar por la fuerza al capitolio y a la oficina de una congresista para posar en una foto sentado justo en la silla de dicha congresista? Debe ser estúpido o debe estar convencido que no sufriría consecuencias por ello. Ese hombre es precisamente Richard Barnett a quien el mundo vio sentado desafiante en la silla de Pelosi, con los pies sobre el escritorio. Pensando que sus acciones serían vistas como una ilustración de la victoria que obtendrían y no como evidencia de sus crímenes. El sujeto todavía tuvo la audacia de confesar haber dejado una nota y de haberse robado correspondencia. Richard Barnet fue detenido dos días después en Arkansas y enfrenta 13 cargos. Su estupidez no es uno de ellos. Vaya triste caso. Ashli Babbitt Por último el caso más lamentable ya que Ashli Babbitt no tenía que morir el 6 de enero en Washington DC. No tenía que morir porque las víctimas de manipulación merecen castigo pero también, eventualmente, merecen ayuda. No merecen la muerte. No que estén libres de castigo si cometen un crimen, pero no el máximo castigo de perder la vida. Ashli fue veterana de la fuerza aérea. Seguidora del culto MAGA por años y aparentemente estaba convencida de que su causa no solo era justa, sino que al haber sido incitada por el hombre naranja sería permitida. No solo ingresó al capitolio por la fuerza sino que intentó ingresar a una de las últimas salas que se mantenía resguardada por personal de seguridad armado del capitolio. Los hombres apuntaban hacia la puerta. Reportes aseguran que gritaron a los manifestantes que retrocedieran, que se abstuvieran. Pero la manipulación pudo más que la razón y Ashli, convencida de que saldría victoriosa de esta tormenta rompió la ventana en la parte superior de la puerta y comenzó a cruzar hacia el otro lado. Solo para ser detenida por una bala y caer al piso del lado donde estaban el resto de los manifestantes. Intentaron ayudarla y ella, todavía consciente les dijo “está bien, está bien”. Ni siquiera la bala la hizo entrar en razón. Ni siquiera el ruido del disparo la desprogramó para afrontar la realidad de que vivía sus últimos respiros. Ashli fue pronunciada muerta en el hospital. Tenía 34 años.

Nuevos reportes incluyen el producto TeamCity desarrollado por la empresa JetBrains como el posible primer paso que utilizó Cozy Bear para comprometer la cadena de suministro del software utilizado por unas 18,000 organizaciones a nivel mundial. Si, Sunburst no se acaba y sigue dando de qué hablar.

Ticketmaster ha tenido que desembolsar más de 100 millones de dólares como consecuencia de un acceso no autorizado a sistemas digitales de uno de sus competidores. Uno de los pagos fue hecho directamente a la víctima - después de que había dejado de operar - el segundo es una multa impuesta por el Departamento de Justicia. Todo por usar una contraseña de la manera menos ética que se pueda pensar. Escuchen todo lo que sucedió en Vulnerable.