Ciberpiratas. Objetivo: el móvil
No era nada personal. Pero cuando la veÃan aparecer armada de su móvil se echaban a temblar. Se habÃa convertido por obra de un virus informático en una apestada tecnológica cuyo teléfono, en cuanto entraba en contacto con otros por medio de "bluetooth" (tecnologÃa que permite la interconexión inalámbrica a no más de 10 metros) les enviaba el mensaje "Ale le envÃa XZT..." que a quien descargaba el archivo adjunto le provocaba en su terminal una serie de fallos en cadena. "¿Y cómo se curó de esa contaminación ?", pregunto a Alejandra Pérez. "De ninguna manera, porque en realidad a mà no me afectaba ya que yo sólo era portadora del virus sin que llegara a sufrir sus efectos. Luego, al poco tiempo, me lo robaron".
Virginia Ruano- ABC Y es que como apunta MartÃn Carvallo de la empresa de seguridad tecnológica Sophos, a la cabeza del sector en Europa,"el principal riesgo que corre hoy el usuario de la telefonÃa móvil es que pierda el aparato o que se lo quiten con todos los datos que contiene, ya que el riesgo real que constituyen los códigos maliciosos es aún muy escaso".
Más móviles que personas, o lo que es lo mismo, 42.889.000 terminales de telefonÃa móvil en España —en el 84% de los hogares supera al teléfono fijo en un punto y hay 1,6 millones de viviendas en donde sólo es posible hallar terminales móviles, según el estudio oficial Gaptel— es un campo suficientemente abonado para que los corsarios de la red se preparen para librar en él nuevas batallas. Ataques que además se refinarán en la misma medida en que se perfeccione el teléfono inteligente —el que lo puede hacer casi todo— y su uso se extienda.
Por ahora, los asaltos a teléfonos móviles no han pasado de ser, según los especialistas, "pruebas de concepto". En 2005, según el informe anual de seguridad de Sophos, el número de amenazas que se cernÃa sobre los usuarios del ciberespacio habÃa aumentado un 48 por ciento, pero una encuesta entre empresas revelaba que para un 70 por ciento de ellas las organizaciones antivirus habÃan exagerado los peligros de las infecciones para móviles. "Aunque se ha producido un incremento en el número de virus para los terminales de telefonÃa móvil, su cantidad sigue siendo insignificante comparada con el número de virus para windows. Los creadores de estos gérmenes informáticos están más interesados en robar dinero a través de internet —subraya el documento de Sophos— que en anecdóticos ataques a teléfonos móviles". No en vano, y según el último estudio de Financial Insights —de noviembre de 2005— instituciones financieras de todo el mundo perdieron en 2004 por ataques de pesca de información o "fishing" más de 400 millones de euros.
Asimismo, datos proporcionados por 3.000 especialistas en seguridad de todo el mundo a IBM para su Global Business Security Index apuntan que los códigos maliciosos que afectan a los teléfonos móviles, PDA y otros dispositivos inalámbricos aumentó significativamente el año pasado "aunque aún no se han materializado en ataques masivos". Es una cuestión de tiempo, y entrenamiento de la pericia, como añade VÃctor Domingo, presidente de la Asociación de Internautas (AI).
El aspecto del virus
Precisamente fue la Comisión de Seguridad de AI la que detectó en los últimos dÃas del pasado mes de agosto un ataque a clientes de Movistar, Vodafone y ONO por parte de un gusano —programa informático que se autoduplica y autopropaga— que se enviaba a correos y SMS simulando ser un "Listado Impagados Clientes 2006" —según el asunto del mensaje— con fichero adjunto "Clientes-2006.zip". Lo primero que hacÃa el gusano era cambiar la contraseña del usuario, luego intentaba cerrar los procesos de un listado de antivirus conocidos asà como mandar un mensaje con nombres aleatorios de otro listado animando a descargar un "antivirus exclusivo" y autoenviarse automáticamente. "Lo despanzurramos", dice Domingo.
El mismo final que le esperó esos mismos dÃas al "Eliles.A", detectado por el laboratorio de amenazas informáticas de Panda Software (Panda Labs), que llegaba a los móviles a través de mensajes de correo electrónico con el asunto "Curriculum Vitae para posible vacante" y un cuerpo de texto del tipo "Adjunto Curriculum Vitae por estar interesado en algún puesto vacante en su empresa, me encantarÃa que lo tuviera en cuenta, ya que estoy buscando trabajo por esa zona. Sin más, reciba un cordial saludo". Un archivo que se adjuntaba con los nombres de ChiLiTa, animaciencoa o ceutideportes contenÃa el gusano que de abrirse se copiaba en el ordenador con el nombre de "Vitae.vbe" enviándose a todas las direcciones de correo que encontraba a su paso y desactivando programas antivirus. El SMS incluÃa un link que descargaba en el móvil un archivo malicioso de nombre "Antivirus.sis" —qué ironÃa— y que amenazaba a todos los móviles con el sistema operativo Symbian.
"Este tipo de ataques combinados pueden constituir una importante amenaza y convertirse en una nueva e importante forma de fraude "online". La tendencia —añade el presidente de AI— es que esto va a ir a más porque el uso de los móviles es masivo y mucho más importante que internet, y porque gran parte de los usuarios no tiene ni idea de lo que tiene entre manos y no sabe ir más allá de hacer y recibir llamadas. Por eso los cibercacos van a hacer lo imposible para tratar de sacar lo que puedan de ahÃ: en un primer escalón, para hacer llamadas y enviar mensajes de forma gratuita, y, en un segundo peldaño, para tratar de conseguir nuestras claves y con ellas el acceso a todo, ya que la tendencia es aunar en el terminal móvil las funciones de un teléfono y las de un ordenador. Sin duda, el móvil con más prestaciones será el móvil más expuesto. De igual manera, se incrementa el riesgo si se es un analfabeto digital. Esta combinación va a ser muy bien utilizada por los cibercriminales, que cada vez están más organizados. No se trata de asustar a nadie ni de dar una visión apocalÃptica, sino de que la gente esté informada porque aunque parezca mentira en cada ataque de "fishing" —correo basura para pescar la información del incauto—, con el que se lanzan entre 5 y 10 millones de correos, pican al menos diez, que proporciona a los criminales, asÃ, sin despeinarse, entre 60.000 y 90.000 euros. En mes y medio hemos detectado 204 ataques". Durante 2005 más de 700.000 españoles denunciaron haber sido vÃctimas de un fraude, estafa o asalto a través de internet.
El riesgo de los incrédulos
Y no sólo lo que nos pueden hacer a nosotros sino que también lo que nosotros somos capaces de hacer: un empleado del Observatorio de la Seguridad de la Información, dependiente del Instituto Nacional de TeconologÃas de la Comunicación (Inteco), relató cómo desde su posición de comensal en una terraza de verano logró sin muchas filigranas, y armado de su terminal móvil, entrar en el ordenador del restaurante "y en ese momento, y como si fuera un camarero más, podrÃa haber ordenado el asado de cien chuletas, por ejemplo, con el roto que semejante broma hubiera ocasionado. Cuando se lo comenté al encargado, incrédulo dijo que era la primera vez que alguien le advertÃa de algo asà y no le dio más importancia. Una anécdota para aplicarse el cuento".
Por eso, expertos de Telefónica Móviles España explicaron a D7 "que la seguridad no depende sólo del móvil. En el caso del virus Caribe, por poner un ejemplo, aparecÃa hasta tres veces un mensaje que el usuario debÃa aceptar, antes de instalar una aplicación de una "fuente desconocida". El inconveniente que encontramos es que el éxito de cualquier solución depende, en gran medida, de dos agentes externos al operador: de una parte los fabricantes de dispositivos, que es importante que ahora se comprometan a implementar el entorno de seguridad de los móviles y no se quede en un estándar sobre papel; y de otra, los usuarios, que son quienes en último caso tienen la potestad de aceptar la instalación y ejecución de aplicaciones y que es importante que se conciencien de que sólo deben descargar "software" de fuentes seguras. En la protección y seguridad del tráfico de información en el móvil hay tres tareas básicas: controlar la seguridad en los terminales, controlar la red y diseñar e implementar polÃticas de seguridad que establezcan protocolos de actuación en la organización".
Sin pérdida de tiempo, el Instituto Nacional de TecnologÃas de la Comunicación, que dirige Enrique MartÃnez, y para evitar la imprevisión que llevó al mundo entero a sucumbir ante los abordajes de los ciberpiratas a sus ordenadores, prepara una defensa en condiciones reuniendo a fabricantes y operadores. Su objetivo: liderar las acciones de seguridad de información en plataformas móviles. Porque, como explica MartÃnez "con la unificación de utilidades, en el terminal móvil, que van más allá de las que puede ofrecer un ordenador, y que incluyen desde la conexión de la alarma de nuestras casas hasta datos confidenciales de nuestras empresas, un ataque a estas redes puede tener una repercusión de terribles proporciones".
Un plato suculento
Un informe del Inteco, que posiblemente verá la luz la semana que viene y que adelanta D7, advierte de la seriedad de la amenaza de los mercenarios de la red: "Con la llegada de los móviles de tercera generación, las causas por las que no han proliferado antes los ataques han cambiado radicalmente. Hoy existen cada vez más terminales con el mismo sistema operativo por lo cual a los "hackers" ya les resulta rentable desarrollar un virus puesto que el campo de terminales afectados será mucho mayor; además, con la aparición de tecnologÃa 3G y los contratos de tarifas planas por parte de las operadoras, los usuarios tenemos mucha más conciencia y medios para conectarnos a internet desde el dispositivo móvil y por lo tanto estamos mucho más expuestos a infectarnos; y el crecimiento de la capacidad de almacenamiento de datos en los dispositivos móviles, la sincronización de datos con el PC de nuestras oficinas o nuestras casas, la integración del correo electrónico y el desarrollo de aplicaciones empresariales y personales que nos permitan guardar datos y realizar operaciones que normalmente harÃamos con un PC resulta muy interesantes a los "hackers". Por todo ello, las medidas de seguridad deben de ser iguales o mayores que en los ordenadores, si tenemos en cuenta que a todo ello se suma el hecho de que un móvil, además de objetivo para los cibercacos, puede ser sustraÃdo o perderse".
MartÃnez ha explicado a D7 que el Inteco ofrece gratuitamente a los usuarios, y a través de su Centro de Alerta Temprana Antivirus (www.alerta-antivirus.es), un servicio que permite obtener información detallada y actualizada asà como las herramientas más perfeccionadas para contrarrestar la ofensiva. La alarma ya está activada. Pero no se preocupe, advierten desde Infogroup (soluciones tecnológicas), la circunstancia de que los corsarios de la red le tengan en su punto de mira con el propósito de desplumarlo "no es nada personal. Es, simplemente, un asunto de negocio". De sucio y redondo negocio contra el que ya conviene ir pertrechándose.
Más móviles que personas, o lo que es lo mismo, 42.889.000 terminales de telefonÃa móvil en España —en el 84% de los hogares supera al teléfono fijo en un punto y hay 1,6 millones de viviendas en donde sólo es posible hallar terminales móviles, según el estudio oficial Gaptel— es un campo suficientemente abonado para que los corsarios de la red se preparen para librar en él nuevas batallas. Ataques que además se refinarán en la misma medida en que se perfeccione el teléfono inteligente —el que lo puede hacer casi todo— y su uso se extienda.
Por ahora, los asaltos a teléfonos móviles no han pasado de ser, según los especialistas, "pruebas de concepto". En 2005, según el informe anual de seguridad de Sophos, el número de amenazas que se cernÃa sobre los usuarios del ciberespacio habÃa aumentado un 48 por ciento, pero una encuesta entre empresas revelaba que para un 70 por ciento de ellas las organizaciones antivirus habÃan exagerado los peligros de las infecciones para móviles. "Aunque se ha producido un incremento en el número de virus para los terminales de telefonÃa móvil, su cantidad sigue siendo insignificante comparada con el número de virus para windows. Los creadores de estos gérmenes informáticos están más interesados en robar dinero a través de internet —subraya el documento de Sophos— que en anecdóticos ataques a teléfonos móviles". No en vano, y según el último estudio de Financial Insights —de noviembre de 2005— instituciones financieras de todo el mundo perdieron en 2004 por ataques de pesca de información o "fishing" más de 400 millones de euros.
Asimismo, datos proporcionados por 3.000 especialistas en seguridad de todo el mundo a IBM para su Global Business Security Index apuntan que los códigos maliciosos que afectan a los teléfonos móviles, PDA y otros dispositivos inalámbricos aumentó significativamente el año pasado "aunque aún no se han materializado en ataques masivos". Es una cuestión de tiempo, y entrenamiento de la pericia, como añade VÃctor Domingo, presidente de la Asociación de Internautas (AI).
El aspecto del virus
Precisamente fue la Comisión de Seguridad de AI la que detectó en los últimos dÃas del pasado mes de agosto un ataque a clientes de Movistar, Vodafone y ONO por parte de un gusano —programa informático que se autoduplica y autopropaga— que se enviaba a correos y SMS simulando ser un "Listado Impagados Clientes 2006" —según el asunto del mensaje— con fichero adjunto "Clientes-2006.zip". Lo primero que hacÃa el gusano era cambiar la contraseña del usuario, luego intentaba cerrar los procesos de un listado de antivirus conocidos asà como mandar un mensaje con nombres aleatorios de otro listado animando a descargar un "antivirus exclusivo" y autoenviarse automáticamente. "Lo despanzurramos", dice Domingo.
El mismo final que le esperó esos mismos dÃas al "Eliles.A", detectado por el laboratorio de amenazas informáticas de Panda Software (Panda Labs), que llegaba a los móviles a través de mensajes de correo electrónico con el asunto "Curriculum Vitae para posible vacante" y un cuerpo de texto del tipo "Adjunto Curriculum Vitae por estar interesado en algún puesto vacante en su empresa, me encantarÃa que lo tuviera en cuenta, ya que estoy buscando trabajo por esa zona. Sin más, reciba un cordial saludo". Un archivo que se adjuntaba con los nombres de ChiLiTa, animaciencoa o ceutideportes contenÃa el gusano que de abrirse se copiaba en el ordenador con el nombre de "Vitae.vbe" enviándose a todas las direcciones de correo que encontraba a su paso y desactivando programas antivirus. El SMS incluÃa un link que descargaba en el móvil un archivo malicioso de nombre "Antivirus.sis" —qué ironÃa— y que amenazaba a todos los móviles con el sistema operativo Symbian.
"Este tipo de ataques combinados pueden constituir una importante amenaza y convertirse en una nueva e importante forma de fraude "online". La tendencia —añade el presidente de AI— es que esto va a ir a más porque el uso de los móviles es masivo y mucho más importante que internet, y porque gran parte de los usuarios no tiene ni idea de lo que tiene entre manos y no sabe ir más allá de hacer y recibir llamadas. Por eso los cibercacos van a hacer lo imposible para tratar de sacar lo que puedan de ahÃ: en un primer escalón, para hacer llamadas y enviar mensajes de forma gratuita, y, en un segundo peldaño, para tratar de conseguir nuestras claves y con ellas el acceso a todo, ya que la tendencia es aunar en el terminal móvil las funciones de un teléfono y las de un ordenador. Sin duda, el móvil con más prestaciones será el móvil más expuesto. De igual manera, se incrementa el riesgo si se es un analfabeto digital. Esta combinación va a ser muy bien utilizada por los cibercriminales, que cada vez están más organizados. No se trata de asustar a nadie ni de dar una visión apocalÃptica, sino de que la gente esté informada porque aunque parezca mentira en cada ataque de "fishing" —correo basura para pescar la información del incauto—, con el que se lanzan entre 5 y 10 millones de correos, pican al menos diez, que proporciona a los criminales, asÃ, sin despeinarse, entre 60.000 y 90.000 euros. En mes y medio hemos detectado 204 ataques". Durante 2005 más de 700.000 españoles denunciaron haber sido vÃctimas de un fraude, estafa o asalto a través de internet.
El riesgo de los incrédulos
Y no sólo lo que nos pueden hacer a nosotros sino que también lo que nosotros somos capaces de hacer: un empleado del Observatorio de la Seguridad de la Información, dependiente del Instituto Nacional de TeconologÃas de la Comunicación (Inteco), relató cómo desde su posición de comensal en una terraza de verano logró sin muchas filigranas, y armado de su terminal móvil, entrar en el ordenador del restaurante "y en ese momento, y como si fuera un camarero más, podrÃa haber ordenado el asado de cien chuletas, por ejemplo, con el roto que semejante broma hubiera ocasionado. Cuando se lo comenté al encargado, incrédulo dijo que era la primera vez que alguien le advertÃa de algo asà y no le dio más importancia. Una anécdota para aplicarse el cuento".
Por eso, expertos de Telefónica Móviles España explicaron a D7 "que la seguridad no depende sólo del móvil. En el caso del virus Caribe, por poner un ejemplo, aparecÃa hasta tres veces un mensaje que el usuario debÃa aceptar, antes de instalar una aplicación de una "fuente desconocida". El inconveniente que encontramos es que el éxito de cualquier solución depende, en gran medida, de dos agentes externos al operador: de una parte los fabricantes de dispositivos, que es importante que ahora se comprometan a implementar el entorno de seguridad de los móviles y no se quede en un estándar sobre papel; y de otra, los usuarios, que son quienes en último caso tienen la potestad de aceptar la instalación y ejecución de aplicaciones y que es importante que se conciencien de que sólo deben descargar "software" de fuentes seguras. En la protección y seguridad del tráfico de información en el móvil hay tres tareas básicas: controlar la seguridad en los terminales, controlar la red y diseñar e implementar polÃticas de seguridad que establezcan protocolos de actuación en la organización".
Sin pérdida de tiempo, el Instituto Nacional de TecnologÃas de la Comunicación, que dirige Enrique MartÃnez, y para evitar la imprevisión que llevó al mundo entero a sucumbir ante los abordajes de los ciberpiratas a sus ordenadores, prepara una defensa en condiciones reuniendo a fabricantes y operadores. Su objetivo: liderar las acciones de seguridad de información en plataformas móviles. Porque, como explica MartÃnez "con la unificación de utilidades, en el terminal móvil, que van más allá de las que puede ofrecer un ordenador, y que incluyen desde la conexión de la alarma de nuestras casas hasta datos confidenciales de nuestras empresas, un ataque a estas redes puede tener una repercusión de terribles proporciones".
Un plato suculento
Un informe del Inteco, que posiblemente verá la luz la semana que viene y que adelanta D7, advierte de la seriedad de la amenaza de los mercenarios de la red: "Con la llegada de los móviles de tercera generación, las causas por las que no han proliferado antes los ataques han cambiado radicalmente. Hoy existen cada vez más terminales con el mismo sistema operativo por lo cual a los "hackers" ya les resulta rentable desarrollar un virus puesto que el campo de terminales afectados será mucho mayor; además, con la aparición de tecnologÃa 3G y los contratos de tarifas planas por parte de las operadoras, los usuarios tenemos mucha más conciencia y medios para conectarnos a internet desde el dispositivo móvil y por lo tanto estamos mucho más expuestos a infectarnos; y el crecimiento de la capacidad de almacenamiento de datos en los dispositivos móviles, la sincronización de datos con el PC de nuestras oficinas o nuestras casas, la integración del correo electrónico y el desarrollo de aplicaciones empresariales y personales que nos permitan guardar datos y realizar operaciones que normalmente harÃamos con un PC resulta muy interesantes a los "hackers". Por todo ello, las medidas de seguridad deben de ser iguales o mayores que en los ordenadores, si tenemos en cuenta que a todo ello se suma el hecho de que un móvil, además de objetivo para los cibercacos, puede ser sustraÃdo o perderse".
MartÃnez ha explicado a D7 que el Inteco ofrece gratuitamente a los usuarios, y a través de su Centro de Alerta Temprana Antivirus (www.alerta-antivirus.es), un servicio que permite obtener información detallada y actualizada asà como las herramientas más perfeccionadas para contrarrestar la ofensiva. La alarma ya está activada. Pero no se preocupe, advierten desde Infogroup (soluciones tecnológicas), la circunstancia de que los corsarios de la red le tengan en su punto de mira con el propósito de desplumarlo "no es nada personal. Es, simplemente, un asunto de negocio". De sucio y redondo negocio contra el que ya conviene ir pertrechándose.