Facebook y la (in)seguridad: Un resumen (I)

Facebook ha llegado a los 600 millones de usuarios y sin duda, se ha convertido en un punto de referencia en Internet. En los últimos meses, además, la seguridad en Facebook ha dado demasiados dolores de cabeza a la compañía que, muy tímidamente y a pequeños pasos, intenta mejorar la protección del portal.

El problema de Facebook ha sido, históricamente, la privacidad. Un punto de encuentro tan popular donde 600 millones de personas introducen tantos datos y fotografías requiere que sus usuarios confíen en el portal al máximo y además de unos mecanismos y una infraestructura adecuados que garantice su intimidad. Y Facebook está proporcionando esta seguridad... poco a poco. Como es habitual, han aprendido a base de ensayo y error, y cada error ha sido un pequeño golpe a su imagen. Aunque sí es cierto que no ha sido el centro de enormes escándalos y que goza de una salud envidiable, sí que se ha visto obligada a ponerse manos a la obra para mejorar la seguridad global de portal. El 26 de enero anunciaban mejoras en este aspecto, curiosamente, tras sufrir una serie de problemas y ataques. Repasemos algunos hitos interesantes.

El 26 de enero Alex Rice, responsable de seguridad de Facebook anunciaba dos mejoras importantes con respecto a la seguridad.

* La primera es el uso de conexión segura (SSL) no solo a la hora de introducir la clave, sino durante toda la sesión. Esto es una medida que llega muy tarde, y en respuesta directa a herramientas como Firesheep. Se trata de un plugin para Firefox aparecido en octubre de 2010 que aúna varias herramientas de forma muy cómoda. Pone la tarjeta de red del sistema en modo promiscuo (a "escuchar" todo el tráfico de red local no segmentada) y extrae automáticamente los datos que le interesan (la cookie de sesión) de ciertas páginas no protegidas (entre ellas Facebook) y permite que un usuario suplante la identidad de otros que naveguen en la misma red local. Esto ya se puede hacer con un sniffer, un proxy local, envenenamiento ARP, etc... pero Firesheep demostró lo fácil que puede resultar para cualquiera robar la sesión a través de un solo click. La solución es también sencilla: cifrar toda la información. Facebook ha reaccionado permitiendo que toda la sesión se base en SSL, pero de forma opcional, lo que todavía deja en manos del usuario la decisión de que su sesión permanezca protegida o no. Es una medida necesaria pero insuficiente.

Además existe Borogove, otro programa que facilita con mecanismos similares la obtención de conversaciones de chat dentro de Facebook. Aunque se supone que debería estar protegido por el cifrado, el sistema de chateo no funciona correctamente bajo el cifrado.

* Autenticación Social. Esto, en resumen, es eliminar el tradicional CAPTCHA y utilizar el reconocimiento de caras de amigos para demostrar que eres un ser humano. Troyanos como koobface han demostrado que los CAPTCHA no son infalibles. Recordemos que el troyano Koobface, "secuestraba" el sistema y pedía a la víctima la resolución de varios CAPTCHA de Gmail. Así conseguía crear cuentas fantasma automáticamente para poder difundirse mejor, entre otros objetivos. Usaba a sus víctimas como esclavos o "CAPTCHA brokers".

Estas dos nuevas medidas se añaden a un continuo esfuerzo en Facebook por demostrar que están comprometidos con la seguridad y la privacidad de los datos. Ya anunciaron mejoras en marzo de 2008 (introdujo la categoría "amigos de amigos"), en diciembre de 2009 (facilitó los controles para proteger la seguridad de las cuentas), etc...

Fuente HISPASEC.com

Facebook ahora permite conexiones seguras SIEMPRE

Hasta hace unas semanas Facebook solo cifraba nuestra información cuando ingresábamos en su sistema, dejando a merced de cualquiera con un sniffer o un navegador web, toda nuestra información (incluyendo chats, secciones, etc..); Facebook se dio cuenta del problema y empezó a cambiar esto permitiendo el uso de httpS siempre y no solo en el login, la noticia empezó a rodar por la web incluso en sitios relacionados con la seguridad en español, sin que esta solución estuviera todavía implementada en nuestro idioma (todos con el mismo pantallazo).

Facebook ahora permite conexiones seguras SIEMPRE

En la comunidad ya habíamos escrito artículos sobre como forzar las conexiones seguras en las redes sociales y hasta hace poco eran la única alternativa que teníamos los hispanohablantes para asegurar nuestra conexión segura en las redes sociales (aunque otros dijeran lo contrario).

Después de mucha espera, por fin Facebook ha decidido implementar esta funcionalidad también en los perfiles de cuentas en español, pero no viene activada por defecto, es por eso que les dejo el siguiente proceso para que asegures las conexiones a tu cuenta de Facebook en todo momento.
Como activar conexiones SSL en Facebook siempre?

* Ingresa con tu cuenta en Facebook
* Click en la esquina superior derecha Cuenta/Configuración de la cuenta.

SSLenFB Facebook ahora permite conexiones seguras SIEMPRE

* Dentro de la configuración de la cuenta buscamos Seguridad en la cuenta, y activamos la casilla Navegación segura (https)

SSLenFB1 Facebook ahora permite conexiones seguras SIEMPRE

* Le das al botón Guardar, y listo.

Con estos simples pasos podrás proteger tu cuenta y evitar que un usuario mal intencionado se haga con tus credenciales o espíe tu comportamiento dentro de Facebook.

Fuente: www.dragonjar.org

La Agencia de Protección de Datos investiga si Facebook ha vulnerado la ley

Una denuncia periodística del diario estadounidense The Wall Street Journal relativa a Facebook provocó el pasado día 18 la reacción inmediata en España de la Asociación de Consumidores y Usuarios en Acción-Facua, que se dirigió a la Agencia de Protección de Datos para que investigue si usuarios españoles han podido verse afectados por la trasmisión de datos de usuarios a terceros mediante distintos juegos y aplicaciones ofrecidos por la red social.

Hoy, la agencia ha anunciado la apertura de una investigación para determinar si Facebook ha vulnerado la legislación española de protección de datos y que remitirá un requerimiento a la red social solicitando información.

The Wall Street Journal denunció que varias aplicaciones de terceros en la red social han transmitido a empresas ajenas a la red datos sobre la identidad de los miembros de la citada red social.

Según el diario, los programadores de tales aplicaciones han comunicado a empresas de publicidad y de análisis datos como el nombre de los amigos de miembros de la red, incluso en el caso de que aquéllos habían especificado en la configuración de su perfil que se trataba de información privada.

La propia compañía había reconocido recientemente la difusión por problemas técnicos de datos como el identificador del usuario, y un identificador utilizado en los interfaces de programación de aplicaciones.

Seis de las aplicaciones implicadas son de la empresa Zynga: FarmVille, (con 59,4 millones de usuarios a nivel mundial), Texas HoldEm (36,3), FrontierVille (30,6), Café World (21,9), Mafia Wars (21,9) y Treasure Isle (15,3). El resto son Phrases (43,4 millones), Causes (26,7), Quiz Planet (16,5), e IHeart (14,0).

La filtración de datos privados debe tener duras consecuencias para las firmas que hayan incurrido en ella y los gobiernos de todos los países donde opera Facebook deben adoptar medidas para proteger los derechos de los usuarios, advierte Facua.

Fuente elpais.com

Facebook pide disculpas por su peor caída en cuatro años

Muchos usuarios de Facebook no pudieron acceder al sitio de networking social durante una hora y media el jueves. Se trata de la pero caída del servicio en cuatro años, según ha reconocido la propia empresa en una entrada de blog.

El motivo del fallo del servicio ha sido un cambio realizado por Facebook en uno de sus sistemas que tuvo como consecuencia la presentación ante los usuarios de un mensaje de error DNS y la imposibilidad para muchos de acceder a la red social.

Para resolverlo, la compañía tuvo que interrumpir todo el tráfico en el cluster de base de datos afectado, ha explicado Robert Johnson, director de ingeniería de software de Facebook. “Una vez las bases de datos se recuperaron y la causa raíz fue resuelta, fuimos poco a poco dejando entrar a la gente al sitio”.

En cualquier caso, el problema no ha sido resuelto por completo. Johnson ha informado de que Facebook tuvo que desactivar el sistema automatizado para hacer que la red volviera a funcionar adecuadamente, pero se trata de un sistema que desempeña un papel esencial en la protección del website. Actualmente la compañía investiga nuevas formas de solucionar la situación.

“Pedimos disculpas por la interrupción del servicio y queremos que los usuarios sepan que nos tomamos el rendimiento y la fiabilidad de Facebook con toda seriedad”, ha subrayado Johnson.

fuente: csospain.es

Facebook nuevamente fuera de servicio

La red social 'Facebook' ha dejado de estar operativa. En la tarde de este jueves los miles de usuarios que han tratado de conectarse sólo han podido dar con el siguiente mensaje: Service Unavailable - DNS failure.

Hacia las once de la noche (23 GTM / hora Peninsular), el servicio se ha restablecido.Un proveedor de red parece ser el origen del problema que afectó al acceso a las cuentas de Facebook, según confirmó la red social.

El sitio de monitoreo de actividad downrightnow.com, que lleva los reportes de personas que no pueden acceder a sitios en la web, confirmó los primeros problemas a las 15 horas.

"Hemos solucionado el problema con un tercer proveedor de red y todo aquel que se haya visto afectado debería ser capaz de acceder a Facebook con normalidad", ha explicado la compañía.
Este mismo miércoles ocurrió algo similar en Latinoamérica. Así, se trata del segundo fallo consecutivo del servicio en apenas 24 horas.

La falta de servicio en Facebook pudo comprobarse el miércoles en Argentina, Chile, Colombia, Venezuela y Bolivia. Por más que los usuarios intentaron acceder a Facebook, este no se abría.

Fuente: telecinco.es

Roban la identidad del jefe de la Interpol en Facebook

Puede ser una de las personas más poderosas de la policía a nivel mundial, pero, en Facebook, el jefe de la Interpol, Ronald K. Noble, es tan vulnerable como cualquier otro al robo de identidades.

La semana pasada, durante la inauguración de la conferencia Interpol Information Security Conference en Hong Kong, Noble dijo los ciberdelincuentes habían creado dos cuentas suplantando su identidad en Facebook este verano, en el transcurso de la operación policial Operation Infra-Red. Según Noble, el fraude no ha sido descubierto hasta hace poco por el equipo Security Incident Response Team de la Interpol.

“Uno de los suplantadores estaba utilizando el perfil para conseguir información sobre fugitivos durante nuestra reciente Operation Infra-Red”, explicó el jefe de la Interpol. Esta operación tuvo lugar entre mayo y julio, fue de alcance mundial, aunque estuvo liderada por la Interpol. Su propósito era localizar una serie de fugitivos acusados de asesinato, pedofilia, fraude, corrupción, tráfico de drogas y blanqueo de dinero. Finalmente, fueron arrestadas 130 personas gracias a esta iniciativa de cooperación de la policía a nivel mundial.

Comentando el incidente de usurpación de su identidad, Noble subrayó que “el cibercrimen está emergiendo como una amenaza muy concreta”. Es más, considerando el anonimato del ciberespacio, según Noble, “puede ser de hecho una de las amenazas criminales más poderosas a que nos hayamos enfrentado nunca”.

www.csospain.es

Detenida una banda que buscaba en Facebook información para sus robos

Si usted está en Facebook, tenga cuidado con las actualizaciones de estado. En Estados Unidos tres personas han sido detenidas por robar en casas en las que los dueños habían publicado en su página de Facebook que no iban a estar en sus hogares.
Las compañías de seguridad ya lo han advertido en numerosas ocasiones. Si usted está en Facebook, tenga cuidado con lo que publica en su muro si no quiere ser víctima de un robo.

Y es que los delincuentes utilizan cada vez con más asiduidad las redes sociales para conocer los hábitos de los usuarios. Así, la policía de Nashua, New Hampshire (Estados Unidos) ha detenido a tres personas sospechosas de haber robado en varias casas, cuyos dueños habían escrito en Facebook que estarían fuera a una hora concreta o durante el fin de semana.

Según recoge Europa Press, los tres detenidos son sospechosos de haber robado en al menos 18 de los 50 hogares que sufrieron robos durante el mes de agosto en la localidad. El valor de los bienes robados oscila entre 78.000 y 156.000 dólares.

Según palabras del jefe del departamento de la Policía de Nashua, Ron Dickerson, “es necesario tener cuidado con lo que se publica en las redes sociales. Sabemos, a ciencia cierta, que algunos ladrones emplean estos sitios para determinar su próximo objetivo".

Fuente Partnerzone.com

Como se roban las cuentas de Facebook y como protegerse

"Te envié un video en el que estás vos". La frase, amistosa e inocente, puede ser una sentencia a corto plazo. Detrás de estas invitaciones -"Mirá este video impactante!" es otra de las más comunes- se esconden personas, grupos o verdaderas organizaciones criminales que operan en Facebook, a nivel mundial, tras el rastro de información personal, claves y contraseñas.

Con sólo hacer un clic en el enlace, comienza el derrotero. Una vez que los cibercriminales atrajeron la atención del incauto, necesitan su nombre de usuario y contraseña para iniciar la siguiente fase del ataque. Entonces se lo envía a una página de inicio que parece exactamente igual a la de Facebook, pero en realidad es una copia alojada en otra dirección web. Es lo que Marcelo Pizani, Gerente de Producto de la empresa de seguridad informática Panda Security, denomina en la jerga informática "el gancho".

Una vez que el usuario suministró sus datos de ingreso, la aplicación maliciosa le requiere pleno acceso a su información personal y derechos para publicar a través de su perfil, lo que le asegura difundir el ataque entre todos los contactos del usuario.

Como toda estafa, el engaño se basa en la confianza: al tratarse de una red de amigos, familiares y conocidos, la tasa de efectividad de la maniobra se dispara. "En otros fraudes suele ser de un 3 o 4%, en este llega al 10%", revela Pizani. En el mundo Facebook, ese porcentaje puede significar cientos de infectados en cuestión de minutos.

Los ataques así se diseminan con velocidad pero por fortuna suelen tener corta vida, porque alguna de las víctimas sospecha, intenta verificar la autenticidad del link y cuando descubre la trampa alerta al resto de la cadena. En las últimas semanas se vivió el auge de los videos sobre "la tragedia de los mineros chilenos". Antes fue el furor de los anzuelos con "Michael Jackson". "Los temas de actualidad tienen gran aceptación", explica el especialista.

Una clave para tener en cuenta es mirar el dominio de la presunta página de entrada a Facebook, y chequear si la URL es la auténtica o falsa. En caso de duda, nunca reescribir la contraseña y volver a ingresar desde el sitio confiable.


En manos de los delincuentes
Los planes de los hackers son variados, pero los más peligrosos no admiten límites. "Hay muchos que cuando te sacan la cuenta pueden infectar a toda la red. Logran el acceso a diversas aplicaciones y descargan virus 'troyanos' que quedan residentes en el sistema. El 'troyano' permanece oculto y cuando el usuario descubre el ataque, que modifica su contraseña de Facebook y vuelve a tener control, puede sin saberlo entregar la información. Un 'troyano', por ejemplo, puede registrar todo lo que se pulsa en el teclado y acceder a la contraseña del homebanking", sintetiza Pizani.

Si la contraseña de Facebook es la misma que la utilizada para un webmail, cuentas de bancos y demás, la vulnerabilidad es absoluta. Las dos recomendaciones más básicas, repetidas pero en muchos casos olvidadas: "No repetir las contraseñas y que contengan, sí o sí, una combinación de letras y números".

Un riesgo adicional es que la aplicación queda asociada al perfil, a la cuenta, entonces si uno se conecta desde la computadora del trabajo, y después ingresa a Facebook en su casa, también se descarga en esa máquina.

¿Qué hacer si el perfil de Facebook ha sido hackeado?
Paso 1: Lo primero de todo, eliminar los permisos a la aplicación maliciosa. Es un proceso sencillo: desde "Cuenta > Configuración de las aplicaciones" en la esquina superior derecha del perfil de Facebook. Esto garantizará que la aplicación no siga teniendo acceso al perfil una vez cambiada la contraseña.

Paso 2: Cambiar el usuario y la contraseña de acceso a la red social, yendo a "Cuenta > y Configuración de la Cuenta" en el menú de la esquina superior derecha del perfil de Facebook.

El paso siguiente es enviar mensajes a todos los contactos, incluso reforzar el alerta a través de e-mails. El "Muro" de Facebook también es una excelente vía de información.

Hay que cuidarse las espaldas. El definitiva el problema no es de Facebook. "No tiene responsabilidad. Obviamente el hecho de que el sitio tenga mensajería instantánea va a permitir que te manden un mensaje malicioso, pero ¿qué debería hacer el sitio, restringirla? Es una red social con muchas aplicaciones, ese tipo de medidas le quitaría la funcionalidad. Lo que puede hacer es mejorar en la concientización, recomendar, advertir", concluye Pizani.

El problema es serio. Nuestro país es tercero en cantidad de este tipo de ataques en la región, detrás de Brasil y México. Aunque parezca insólito, todo empieza con la invitación a salir de un chico o una chica, un trabajo atractivo para desarrollar desde el hogar o el último método para hacerse millonario. Puede estar orquestado desde Rusia, Nigeria, o una remota ciudad asiática, porque se programa desde cualquier sitio y en el idioma que domina la futura víctima. El resto es esperar: Facebook tiene más de 500 millones de usuarios.

Fuente Segu-Info.com.ar

Facebook soluciona una vulnerabilidad que permitía postear sin autorización

Facebook ha asegurado que la vulnerabilidad permitía que con sólo pinchar en el enlace a una aplicación que estuviera aprovechándose de la misma se podía producir la publicación de comentarios sin que el usuario pudiera hacer nada por evitarlo. Parece que la aplicación, que se descubrió el lunes, estaba siendo enviada a los usuarios para que realizaran una encuesta online.

Desde Facebook reconocían que a principios de esta semana que habían descubierto un fallo que permitía que una aplicación superara sus protecciones CSRF (cross-site request forgery) a través de una complicada serie de pasos, y aseguraban que lo solucionaron horas después de descubrirlo.

Por lo tanto, durante un corto periodo de tiempo varias aplicaciones que violaron sus políticas de seguridad fueron capaces de escribir contenido en los perfiles de los usuarios si éstos pinchaban en el enlace a la aplicación.

Esta vulnerabilidad se ha descubierto sólo unos días después de que Facebook solucionara un fallo similar en su proceso de subida de fotografías a la red social y que permitía a los hackers colocar fotografías en los perfiles de los usuarios que no se había aprobado.

Fuente itespresso.es

Opción en Facebook para saber si nuestra cuenta fue violada

Mientras está comenzando a tomar más fuerza la noticia de la construcción de una red social de código abierto que estaría lista para este mes u octubre y que sería un importante rival para Facebook, la creación de Mark Zuckerberg continúa presentando novedades para que los usuarios se sientan más seguros al navegar por su cuenta.

Esta nueva opción está relacionada con los problemas de seguridad en los que se vieron involucrados muchos de los usuarios de Facebook, y a través de lo cual se replantearon el tema de la privacidad. Se trata de una iniciativa que permitirá, a través de una modificación en la configuración, saber a los internautas si su cuenta en la red social ha sido violada e iniciada la sesión mediante otro equipo que no sea el suyo.

Esta opción se activa a través de “cuenta” y “configuración de cuenta”. Allí aparece una opción bajo el nombre “seguridad de la cuenta” en donde simplemente hay que clickear en la opción “activar”, luego de responder la pregunta de seguridad que se utiliza para identificar al usuario, y listo.

Con estas acciones el usuario hará que la cuenta guarde aquellos equipos en los que se inicia la sesión y le envía una notificación a través de un correo electrónico cuando se ingresa a su cuenta a través de otro equipo. Esto permitirá que el usuario advierta que alguien está ingresando desde otro equipo (salvo que sea él quien esté ingresando por otro equipo obviamente) y que, en caso de recibir esta advertencia, pueda cambiar inmediatamente la contraseña e incluso contactarse con el personal de Facebook para informar de esta intrusión.

Nueva estafa en Facebook: Detectives Informaticos Falsos

Han reportado un caso en donde se puede ver la nueva metodología de promoción que están utilizando los delincuentes de las investigaciones informáticas.

En este caso se trata de publicidad que aparece en facebook y que promociona el servicio de investigación y recuperación de contraseñas.

Si un usuario se interesa por este servicio, al hacer clic ingresará al sitio del delincuente que para más información está alojado en un servidor gratuito: http://[ELIMINADO].weebly.com/contacto-on-line.html y ante quien ha hemos realizado la denuncia para que se proceda a su baja.

Los delincuentes siempre encuentran nuevas maneras de promocionar sus servicios y por supuesto las redes sociales en este momento son el medio adecuado para hacerlo.

Leer más: Noticias de Seguridad Informática - Segu-Info.com.ar

Facebook explica cómo escapar de Places

Facebook no está dispuesta a que las ya habituales quejas por falta de privacidad echen por tierra todo el trabajo que la red social ha puesto en su nuevo servicio Places. Para ello, ha publicado un vídeo en el que explica cómo hacer para desactivar la herramienta.

La queja que ha provocado esta respuesta ha sido la de la Unión Americana por las Libertades Civiles (ALCU), que ha dicho que “Facebook pone muy fácil decir “sí” a que tus amigos te etiqueten“, pero que para desactivar la herramienta tan solo se le da al usuario una “opción de ‘no ahora’”.

Además, “si utilizas Places”, no te dan esa opción, “tan solo te dicen que tus amigos pueden etiquetarte, y tienes que descubrir por ti solo que puedes cambiar esta configuración rebuscando entre tus controles de privacidad“.

Con su vídeo, Facebook muestra paso a paso cómo “rebuscar” entre los controles de privacidad para desactivar esa acción. Tan solo falta ver cómo se toman esta acción los detractores de la compañía, si dejan de atacar a Places o lo ven tan solo como una forma de desviar la atención.

Fuente ITespresso.es

Alerta: Facebook expone datos de todos los usuarios, aunque su perfil sea privado

Un bug permite acceder a nombre completo y fotografía de perfil con solo introducir la dirección de correo del propietario.javascript:void(0)


Facebook vuelve a enfrentarse a un agujero de seguridad que sin duda provocará un nuevo aluvión de críticas a la red social: un fallo en el sistema de login permite, con tan solo introducir una dirección de correo, averiguar la identidad del propietario (si es usuario de Facebook) y ver su foto de perfil.

Lo que promete traer más críticas a Facebook es que la red proporciona esta información también acerca de usuarios que han cerrado su cuenta al máximo, evitando incluso aparecer en buscadores. Además, según alertó Atul Agarwal de Secfence Technologies, recolectar esta información de forma masiva es “muy sencillo”, utilizando simplemente “un puñado de proxies”.

La fuga de datos podría ser utilizada por scammers, phishers o cualquiera que quiera saber quién está detrás de una dirección de correo aparentemente anónima; ya que el acceso a esa información está al alcance de cualquiera, tan solo introduciendo la dirección de correo y una contraseña aleatoria.

Este pequeño problema, que posiblemente exista solo porque nadie se había fijado en él, ni dentro ni fuera de Facebook, podría traerle más dolores de cabeza a Zuckerberg, muy criticado por no cuidar como debería los datos de los usuarios. Ahora que ha salido a la luz, es muy probable que no tarde en ser corregido.

fuente: itespresso.es