Category Archive CiberEstafas

PorjLeonett

De cantinero a millonario: Gracias a fallas en cajeros

Champaña, avión privado, yates: Dan Saunders vivió por varios meses como rico luego de descubrir una vulnerabilidad en el sistema de cajeros automáticos del Banco Nacional de Australia.

SIDNEY, 4 de noviembre.- Un cantinero en Australia experimentó lo que es vivir como millonario gracias a una falla en el sistema de cajeros automáticos de su banco.

Dan Saunders se dio una vida de ricos por cuatro meses y medio a partir de febrero de 2011, gastando en prostitutas de lujo, aviones privados, restaurantes exclusivos y en casinos.

El joven de 29 años descubrió una falla en el Banco Nacional de Australia (NAB) que le permitió tener acceso a dinero cuando quiso y en la cantidad que quiso, reveló la prensa australiana.

Con la tarjeta de NAB, podía hacer lo que quisiera hacer, ir a donde quisiera, hacer lo que quisiera mientras trajera mi tarjeta en mi cartera. Me sentía como rey”, declaró Saunders a Current Affairs. “Me sentía como estrella de rock, quizá me miraba gordo como un Kanye West blanco, pero te sentías como si fueras Kanye West”.

En una entrevista exclusiva con Current Affairs, el hombre dio a conocer como todo pasó de una noche de tragos con los amigos hasta una vida de lujos, con dinero que no era el suyo.

current3

Saunders se había mudado a Wangaratta en Victoria cuando una noche de febrero de 2011 decidió ir al cajero para sacar dinero para la parranda.

El hombre se dio cuenta que solo tenía 3 dólares en su cuenta por lo que transfirió 200 dólares australianos desde su tarjeta de crédito.

La pantalla mostró que la transacción se había cancelado, pero en realidad el dinero si se había pasado a su cuenta bancaria.

Con sus 200 dólares en la cartera, el joven regresó con sus amigos para seguir la fiesta.

Esa misma noche, el cantinero que ganaba 700 dólares a la semana en el pequeño pueblo de 17 mil habitantes, decidió ver si el truco funcionaba nuevamente.

Cuando intentó ver el saldo de su cuenta, el sistema le indicó que no estaba disponible, así que transfirió nuevamente 200 dólares desde su tarjeta de crédito. Cuando vio que funcionó, hizo una transferencia por un total de 2 mil dólares, el límite de su tarjeta.

current4

Debido a que los cajeros automáticos se desconectaban durante cierto tiempo del día, la gente podía transferir dinero pero no obtener un saldo de sus cuentas, así que el dinero era retirado pero no era registrado en el sistema, ni cargado a la tarjeta de crédito.

Siguiendo la misma mecánica, el hombre ya había transferido 20 mil dólares a su cuenta bancaria un par de semanas después.

Cuando el hombre comenzó a apostar dentro del pub donde trabajaba, a los dueños se les hizo raro que lo hiciera en cantidades grandes y pronto comenzó a apostar en sólo una noche más de lo que el negocio podría hacer en tres semanas. Las sospechas sobre posible dinero sucio llevaron a su despido.

Además, cuando su novia se enteró de que estaba gastando mucho dinero, ella decidió terminar la relación por mensaje de texto, afirma el joven.

REGRESO A MELBOURNE
Despedido y sin novia, decidió seguir con su vida, por lo que regresó a Melbourne donde obtuvo “asesoría” de amigos.
current2

Saunders siguió con las transferencias de dinero hasta que su vida cambió de un cantinero a un millonario.

Entonces se inventó identidades con las personas que conocía. A unos les dijo que era un jugador de póker, a otros que era un cirujano o un banquero.

Para mayo de ese año, Saunders ya se había hecho dueño de 1.6 millones de dólares australianos a través de las transferencias de cajeros.

current5

CARGO DE CONCIENCIA
Sin embargo el hombre comenzó a sentir culpa por tomar dinero que no era el suyo y decidió someterse a terapia con un psicólogo.

En junio de ese año finalmente decidió terminar con su modus operandi y llamó al banco. Para entonces el banco ya había comenzado una investigación, por lo que le dijeron que no hablarían con él.

El banco informó en un comunicado que cuando se dio cuenta de la vulnerabilidad, “parchó” el sistema y cerró las cuentas de Saunders.

Tres años después, Saunders descubrió que el banco no había presentado cargos en su contra.
No fue hasta la semana pasada, un día después de la entrevista con Current Affairs, cuando finalmente la policía emitió una orden de arresto. El hombre a la fecha sigue prófugo.

De ser enjuiciado y encontrado culpable, el hombre podría enfrentar una pena de 10 años de prisión.

Fuente: Hackerss.com

PorjLeonett

Cómo detectar fraudes en las redes sociales profesionales

Opinión: ¿Quién querría engañarle en las redes sociales profesionales?

Diario TI 17/06/15 13:15:05

LinkedIn, con 364 millones de usuarios activos en todo el mundo, se ha convertido en uno de los servicios de redes sociales profesionales más populares a día de hoy. Viadeo, un servicio similar, también está registrando un constante aumento de su base de usuarios, que ya ronda los 65 millones. Con tanta gente publicando sus perfiles profesionales online, es natural que los atacantes tomen nota y hagan algo con esos datos. En las manos equivocadas, ese tipo de información puede ponerle a usted o a su empresa en riesgo.

A continuación, Trend Micro ofrece una serie de consejos para detectar si alguien está tratando de engañarle para que divulgue información confidencial de la empresa.

¿Quién querría engañarle en las redes sociales profesionales?

1. Los atacantes / creadores de APT. Estos agentes buscan obtener cualquier tipo de información que puedan utilizar para infiltrarse en la red de la empresa. Utilizarán técnicas de ingeniería social para tratar de llamar la atención para que acepte sus invitaciones. Es probable que también envíen mensajes de correo electrónico con archivos adjuntos o enlaces maliciosos, que terminarán infectando tu equipo con malware. Una vez instalado, el malware, que sirve de puerta trasera, otorgará estos atacantes el acceso a tu sistema y a la red de corporativa. A partir de ahí, pueden hacer casi cualquier cosa: desde robar secretos de la compañía hasta manipular la infraestructura, etc.

2. Competencia. Utilizando identidades y empresas falsas, estas personas solicitan amistad en las redes sociales para estar en contacto, siendo muy amables y ganándose la confianza poco a poco. Una vez que lo han logrado, abusarán de esa confianza. Le pedirán que revele la información que necesitan o hacer el trabajo por ellos cuando comparta demasiados datos sobre su trabajo o sus empleados. Los competidores pueden utilizar esta información para obtener ventajas y ponerse por delante de su compañía.

3. Cazatalentos y empresas de selección de personal. Estas personas querrán recopilar tantos contactos como sea posible. Lo hacen para crear bases de datos completas acerca de su empresa, sus empleados y de los proyectos específicos en los que están trabajando. Utilizan estas bases de datos para reunir talento y encontrar a los candidatos adecuados para contratar o hacer contraofertas a la competencia.

Aunque sus motivaciones son diferentes, el objetivo final es siempre el mismo: conectar para recoger. Generalmente, estas personas comienzan con el envío de una invitación. Fingen ser compañeros de trabajo, clientes o un jefe. Si aceptas, serán capaces de ver tu perfil y tener acceso a tus contactos. Quieren añadirte o unirse a los grupos privados a los que perteneces para así poder conocer lo más posible tu compañía.

Nuestro propio ejemplo: el caso de Trend Micro Francia

Como proveedor de seguridad de TI, Trend Micro es a menudo blanco de atacantes y cazatalentos en las redes sociales.

Recientemente, la compañía ha identificado una oleada de invitaciones de Viadeo que llegan a Trend Micro Francia y que involucran un perfil de esta red social que está dirigido a varios empleados. La persona detrás del perfil fingía ser un director de TI de 18 años de Trend Micro Australia. El perfil de esta persona estaba bastante vacío y contenía sólo 4 contactos.

El perfil decía que esta persona estudió en “havard, new yord”, una errata obvia para “Harvard, New York”. Esto fue suficiente para levantar sospechas, y una comprobación rápida en el directorio de empresa confirmó que no había ningún empleado con el nombre que aparecía en este misterioso perfil. Se hizo otra comprobación para asegurar que la persona no era un ex-empleado; tampoco estaba.

Este ha sido un intento claro de recopilar contactos e información de Trend Micro.

Como respuesta inmediata, se lanzó una alama internamente para informar de este perfil a todos los empleados y evitar cualquier problema.

¿Qué convierte en sospechoso un perfil en una red social?

– ¿El perfil contiene toda la información? Las redes sociales profesionales se utilizan para hacer contactos y mejorar la visibilidad ante posibles empresas de contratación y head hunters. ¿Quién registraría una cuenta en este tipo de redes sólo para poner su nombre y el de la empresa, pero sin dar más detalles sobre sus actividades pasadas o actuales?

– ¿El perfil contiene errores tipográficos y faltas de ortografía? Un perfil en páginas como LinkedIn o Viadeo es casi similar a un currículum vitae. Tiene que contener buena información acerca de la persona y también debe estar bien escrito, es decir, sin faltas de ortografía u otro tipo de erros gramáticos. Un perfil lleno de errores no es atractivo para ningún potencial empleador.

– ¿El perfil tiene muy pocos contactos? En general, los estafadores crean estas cuentas temporales para dirigirse a las entidades o individuos objetivo; no necesitan añadir demasiados contactos. No obstante, y dado que hay personas reales con muy pocos contactos, este indicador en particular debe ser considerado solamente como algo orientativo y después de detectar otros signos o actividades sospechosas.

– ¿El perfil muestra inconsistencias en la trayectoria profesional de la persona? Si bien es probable que un empleado puede hacer grandes cambios en su perfil, un perfil que cambia constantemente y lo hace de forma drástica, y en un lapso corto de tiempo, es más probable que se utilice como un señuelo. Cuando el estafador quiere apuntar a un tipo de empresa o sector, sólo añade un nuevo trabajo que podría ser relevante para alcanzar sus objetivos. Así que durante unos meses puede ser director de recursos humanos, después un experto en marketing, acto seguido un ingeniero de software, etc.

– ¿El perfil contiene actividad sospechosa? Algunas redes sociales profesionales permiten ver todo el historial de las acciones que hace el propietario del perfil. Si de repente un nuevo perfil aparece y añade a personas sin relación que proceden de diferentes mercados verticales, o se une a una gran cantidad de grupos que parecen completamente ajenos entre sí, podría ser un ejemplo de actividad sospechosa.

¿Qué debe hacerse cuando se ven estos signos?

– Leer los perfiles con cuidado y tratar de buscar anomalías y señales de alarma como las mencionadas anteriormente.

–  Cruzar la información para verificarla. Si la persona dice ser de la misma empresa, eche un vistazo y compruebe el directorio de la empresa, y no dude en verificarlo con Recursos Humanos.

– Preguntar a la persona. Una vez verificada la identidad de la persona, llámele o envíele un correo electrónico para ver si, de hecho, envió la invitación. No hay nada de malo en preguntar. Incluso podría salvarle por si alguien copia el perfil de un compañero o usurpa su cuenta real. Si el perfil es de otra compañía, trate de llegar a alguien que trabaje allí y que pueda hacer estas comprobaciones.

– Evite descargar o hacer clic en archivos o enlaces sospechosos.

Si después de esto, no está seguro de si aceptar una invitación, es mejor que no lo haga. En realidad no es un gran problema. Más vale prevenir que curar.

Por Cedric Pernet, Trend Micro Threat Researcher

Fuente: Diario TI

PorjLeonett

¿Es el voto online un riesgo de seguridad?

El mundo entero está en Internet, y ahora también lo está la política. Pero mientras elvoto online o voto electrónico se convierte cada vez más en una realidad, debemos preguntarnos si realmente estamos preparados para políticos fraudulentos y hambrientos de poder, o atacantes en busca de fama.

La votación ha sido históricamente manual; elegir una boleta o candidato, ingresar la elección en un sobre sellado y esperar a que los voluntarios realicen el conteo manual para conocer los resultados.

Por supuesto, esto no significa que los resultados no puedan ser forzados, sin querer o intencionalmente. Ha habido algunos ejemplos notorios de juego sucio –Slobodan Milošević fue acusado de fraude electoral en 1996 y en el 2000 en Yugoslavia– mientras que también pueden ocurrir errores, como se ha visto en las elecciones presidenciales de Estados Unidos del año 2000, cuando una falla en las boletas del estado de Florida llevó a los votantes a elegir al candidato equivocado.

En 2006, el Ministro del Interior Holandés le quitó la licencia al fabricante SDU NV, luego de que la agencia de inteligencia encontrara que era posible escuchar las votacionesde más de 1000 equipos destinados a las votaciones.

De hecho, los criminales han tenido más de una oportunidad para explotar el tan revisado método del papel, ya que de la misma forma que se puede insertar un código malicioso en el software de los equipos que se utilizan para votar, también se puedemanipular el hardware para ajustar los totales a favor de quien el atacante quiera, y hasta abusar de los permisos administrativos en las máquinas de los oficiales de votación para que se pueda votar varias veces por usuario.

Puertas abiertas al ataque

Estos riesgos se intensifican cuando los sistemas de votación están online. Brasil, Bélgica y Estonia son solo unos pocos ejemplos de países que han incorporado el voto electrónico, y si bien han visto los beneficios en cuanto a la rapidez, accesibilidad y legibilidad (ya no se ven cruces o tildes difíciles de interpretar) se trata de sistemas discutiblemente más propensos a ser atacados.

Por ejemplo, los datos que se envían a través de Internet en cualquiera de estas máquinas podrían ser interceptados por un ataque Man-In-The-Middle en el navegadorque se use, mientras que los atacantes también podrían infectar a los usuarios enviándoles falsos correos de confirmación de registro. Además, podrían realizar ataques de fuerza bruta para obtener las contraseñas, al tiempo que los “hacktivistas” podrían realizar un ataque DDoS para colapsar al servidor con tráfico web y dejar offlineal servicio.

Estos no son rumores, y ha habido casos recientes; el sistema iVote usado en el estado australiano de Nueva Gales del Sur el mes pasado fue hallado vulnerable a varias fallas, incluyendo a FREAK Attack.

En tanto, en Virginia (Estados Unidos), las máquinas para votar con pantalla táctil AVS WinVote también se hallaron vulnerables y habían estado usando contraseñas débilescomo “abcde” y “admin” entre 2002 y 2014 –lo cual hacía relativamente fácil para los atacantes crear y ejecutar código malicioso.

“El punto es que si ninguna elección en Virginia fue comprometida (y no tenemos forma de saber si pasó) es porque nadie con las mínimas habilidades trató de hacerlo”, escribió Jeremy Epstein de la organización sin fines de lucro SRI International. Epstein trabajó en la comisión legislativa estatal de Virginia investigando las máquinas de voto en 2008, y desde entonces ha estado tratando de decertificarlas.

¿Tienen futuro las apps móviles?

La proliferación de aplicaciones móviles podría ser aprovechada en un futuro, aunque hay una moraleja en esto también. Este año, un programa de talentos sueco afirmó que su app para que los espectadores voten por su participante favorito fue atacada por cibercriminales, y se perdieron votos.

La aplicación para smartphones del programa “Melodifestivalen” le permitía a los espectadores elegir su artista favorito durante la presentación de los participantes. Cada usuario podía usar este sistema para hacer hasta cinco votos por cada canción, pero desaparecieron de los conteos durante una de las presentaciones. Se cree que el servicio fue blanco de un ataque DDoS.

“Estamos investigando el ataque. Los servidores están configurados para soportar una carga muy pesada, pero esto fue anormal y extremo”, dijo Christel Tholse Willers, Event Manager, en ese entonces.

Esto no significa que todo está perdido cuando pensamos en voto electrónico, especialmente si consideramos que investigadores de la Universidad de Birmingham demostraron recientemente una nueva forma de hacer votos online que podría permitir un sufragio seguro aún cuando la máquina estuviera infectada con un virus.

Lo único que debemos considerar, como de costumbre, es que con nuevas oportunidades y avances tecnológicos, aparecen nuevos riesgos que hay que saber afrontar.

Autor Karl Thomas, ESET

Fuente> welivesecurity.com/la-es/

PorjLeonett

Insólito: por un engaño virtual, una ciudad entera se movilizó por una chica que no existe

Los vecinos de Colón no salen de su asombro. Ni de su bronca. Durante una semana, toda la ciudad entrerriana estuvo en vilo por Sofía Velzi, una joven de 18 años que “desapareció” cuando viajaba de Jujuy a Colón para ver a su novio, el bombero Luciano Benítez. Es que, para sorpresa de todos, la chica a la que buscaban nunca existió.

El más angustiado fue el propio Luciano, que se presentó en la Policía y denunció la desaparición de la chica. De “su” Sofi, que llevaba un año diciéndole por celular y por chat que lo amaba, que era huérfana y tenía leucemia, que vivía en Jujuy en la casa de una tía. Nunca habían podido verse. Ni siquiera cuando él fue a Jujuy a buscarla.

Ahora, contó Benítez, la joven la había dicho que iba a viajar a encontrarse con él. Pero que al llegar a Paraná, lo llamó y le dijo que se quedado sin dinero. Entonces, Luciano le compró un pasaje para retirar en ventanilla. Y ella subió al micro y se acomodó en el asiento 9. Pero se descompuso, tuvo vómitos y los choferes le pidieron que se baje en Villa Elisa para ir al Hospital. Cosa que hizo, y su madrina la fue a buscar desde Colón. Y nadie supo nada más de ella.

Hasta allí, la historia que Luciano conoce y que Sofía –o quien se hacía llamar Sofía–, le iba contando por teléfono. Porque según las investigaciones de la Policía local y la fiscalía, Sofía Velzi no existe. Las que sí existen son otras dos chicas, que habrían inventado un perfil en Facebook a nombre de “Sofía Velzi”, se habrían hecho pasar por ella durante un año noviando con Luciano y decidieron terminar la historia con la gran puesta en escena de la desaparición.

“El jueves se había comunicado con mi hijo una tal Yésica –una conocida de Luciano, también de Colón– para decirle que ‘Sofía’ estaba viniendo de Jujuy.  Pero resulta que cuando él fue a esperarla, no llegó”, contó a la radio Oíd Mortales, el padre de Luciano, Ramón Benítez. El hombre se levanta todos los días a las 4.30 para ir a trabajar y solía escuchar a su hijo hablando a esa hora por teléfono con su amada.

Fue la misma Yésica la que le contó la historia de la descompostura, los vómitos y la internación. En simultáneo, “Sofía” le enviaba un mensaje a Luciano para avisar que tenía poca batería en el celular.

Luego Yésica volvió a entrar en escena: “Vino a nuestra casa, urgente, desesperada, diciendo que Sofía se perdió, que ella la había visto, que salió corriendo, llorando y ahí perdió comunicación”.

Entonces, empezó la búsqueda. El novio y su familia movilizaron a amigos, vecinos, policías; crearon una página en Facebook para difundir fotos y citar a la gente para hacer rastrillajes. Fue cuando, vía Internet, se comunicó con ellos una segunda chica, una tal Marisa López, diciendo que venía en el asiento 10 del colectivo al lado de “Sofía” y que era testigo de la descompostura.

Los Benítez son chaqueños; llegaron a Colón hace 20 años. “Pedimos por favor que la gente ingrese y comparta”, decía entonces Ramón; “no bajaremos los brazos hasta encontrarla”. Ahora, llora con mezcla de bronca y tristeza. “Nos engañaron”, dice. La Policía de Colón en coordinación con la Fiscalía llamó a los Benítez para explicarles. Les dijo que no habían hallado a nadie que conociera a Sofía, quien supuestamente vivió en Colón hasta los 17; tampoco hallaron pistas sobre su madre y su madrina, que en Jujuy nadie supo darles señas de la supuesta tía, que nadie retiró en la ventanilla de la terminal de Paraná el pasaje que le compró Luciano; que no hay registros en el Hospital San Roque se que una joven haya sido internada tres horas con descomposturas y vómitos.

También les dijeron que las llamadas de “Sofi” y los mensajes procedían de un solo celular: el de Yésica. Ahora, los investigadores atienden a dos cuestiones antes de cerrar el caso. Una: ¿quién es la verdadera chica de las fotos? Y segundo, ¿cuál es la vía legal para imputar a las autoras del engaño?.

¿Luciano? Sigue yendo al cuartel de Bomberos. Y ya no habla con nadie.

Fuente: Clarín