Uber Eats y mensajes SMS de aviso - ¡Peligro!

Si tienes la aplicación de Uber Eats o Uber, y ultimamente estás recibiendo avisos como este: 
"Tu código UBER: XXXX. Envía STOP a +1 520-445-3750 para eliminar la suscripción". 

El asunto es que alguien está entrando en la web o aplicación de uber con tu usuario y contraseña, pero como Uber sufrío un ataque por parte de crackers que robaron millones de datos, ha implementado un sistema de verificación, y si no introduces el código que te mandan, no pueden terminar de acceder. Hasta aquí estás a salvo, no podrán pedir comida por ti ni viajar gratis a tu costa.

Antecedentes: en 2016 sufrieron un ataque cibernético en Uber, del que no avisaron y por el que les cayó una pequeña multa de 148 Millones de libras. 
Además se han producido otros ataques en otros servicios. Los podemos comprobar en https://haveibeenpwned.com/ donde al meter tu correo electrónico podrás descubrir si tu correo se ha visto comprometido y la combinación de usuario + contraseña que usabas en ese servicio comprometido (Adobe, Linkedin, Joomla, etc) está pululando por la red en ficheros junto a millones de contraseñas más. 

Cómo actúan los crackers o aspirantes a crackers: lo que hacen muchos incipientes iniciados en entrar en sistemas de otros es usar herramientas de penetración, junto con ficheros de usuarios y sus contraseñas. Se trata de probar a entrar en otros servicios. Como la mayoría usamos una misma contraseña o variaciones de la misma en muchos otros servicios, el programa intenta entrar en una web o aplicación con la combinación de usuario + contraseña ya revelada en el crackeo de Adobe, por ejemplo. Y así con miles de combinaciones que saca del fichero, uno tras otro. 

Solución: cambiar la contraseña de todos los servicios en los que usas esa combinación de tu correo y la contraseña más habitual que tienes. Es una lata tener que hacerlo, pero debes ir a cada servicio, entrar, y cambiar la contraseña por otra nueva, más potente. 

De esta manera dejaran de llegarte SMS de Uber con el código de entrada, porque en lugar de entrar suplantándote y que la verificación en 2 pasos haga su trabajo, ya no podrán entrar. 

Imagina lo que pasa en otros servicios en los que no haya esta medida de verificación adicional. ¿Y si entran en tu correo, o en tu red social, o en tu nube? 

Dedícale unos minutos a verificar tus contraseñas, y cámbialas si detectas que das positivo en el test de HaveIbeenpwned (¿me han jorobado?

Feliz cambio de contraseñas. 

Internet gratis - Anuncios informática con reclamo de 30 euros

Hola

Llevo un tiempo viendo varios anuncios de servicios informáticos por el barrio en los que además se indica: "Internet gratis" - "único pago de 30 euros".

Por supuesto me picó la curiosidad, sobre cómo podría ser...¿quizás un router tipo FON, o algún dispositivo especial.

Buscando en google no encontraba la solución, pero en algunos anuncios en portales, si ofrecían más detalles. Mencionaban Linux, Wifi, formación, y llegué a la siguiente conclusión:

¿Qué ofrecen?

• Un DVD o CD con una distribución de Linux que se llama Beini. La puedes descargar de beini.es
• Una formación sobre cómo utilizar las herramientas de seguridad que lleva Beini, y que son Inflator, Feeding bottle, Minidwepgtk... por esto último es por lo que cobran 30 euros.
• Con esa enseñanza, y si tú te atreves, puedes conseguir la contraseña de una wifi ajena y navegar gratis.

¿Para qué sirve si no tienes ADSL o internet en casa?

En este caso, te puede servir para buscar redes wifi cercanas, que sean susceptibles de ser atacadas y tras conseguir su clave wifi, poder usarlas. 

OJO, estas acciones son ilegales, además de por supuesto inmorales. Es decir, que si mediante estas herramientas consigues acceder a la red wifi y usar el internet de un vecino, estás realizando un acto que es denunciable, y si te pillan te enfrentas a problemas legales. 

¿Para qué sirve si tienes una ADSL o una red wifi en casa?

Si ya tienes tu ADSL en casa, estas herramientas, además de enseñarte cosas nuevas, te servirán para auditar la seguridad de tu Wifi, y poner medidas que eviten que te puedan robar tu Wifi y usar tu conexión de internet sin tu permiso. 

Tipos de seguridad de redes Wifi

Las más conocidas son Wep, WPA y WPA2. El orden es por su robustez, de menor a mayor. Hoy en día, cualquier router Wifi que te vendan o regalen los operadores de internet llevará una red cifrada con WPA2. 

Hace muchos años, los routers se entregaban sin clave de wifi activada, o con una contraseña de wifi de tipo WEP y 8 caracteres. Si tienes un router de estos antiguos que no te han cambiado desde hace años, o no te has cambiado de operador, presta atención, porque es probable que tu red wifi sea poco segura. 

Con los programas de Beini, el ataque a una clave tipo Wep se realiza con éxito en apenas 30 a 60 minutos. 

Si la clave de tu wifi es de tipo WPA o WPA 2, la cosa se complica mucho, y los ataques tienen mucho menos éxito. Eso no quiere decir que debas dejar de seguir leyendo. Te recomiendo que le eches un vistazo al resto y veas cómo puedes aumentar tu seguridad. 

¿Cómo funciona un ataque WEP?

Con un portátil que tenga cargado Beini desde un CD o un pendrive, se activa el programa "Minidwepgtk". La facilidad del programa es que con una interfaz muy simple, nos guía por los pasos a dar, mientras que antes, todos esos pasos había que hacerlos mediante comandos de un terminal. 

Lo primero es poner la tarjeta de red wifi en modo monitor, para que sea buena escaneando redes y mandando o capturando información. A continuación muestra el nombre de las redes que hay al alcance. Se elige una que tenga seguridad tipo Wep, y el programa elige los modos de ataque, lanza peticiones de conexión a la misma, y genera tráfico de datos, capturando todos esos paquetes de datos en un fichero temporal. 

Cuando tiene suficientes, aplica un algoritmo al archivo de datos capturados, y te devuelve la contraseña de la red, para que puedas conectarte gratis. 

Si es tu caso, por favor, modifica la configuración de tu router para que utilice una clave WPA2, y además si deseas más seguridad, aplica una lista blanca de filtrado por MAC. La mac es la dirección única que identifica a un dispositivo de red. Todas las tarjetas de wifi, de red de cable, bluetooth, tienen un identificador unico o dirección MAC, que tiene un formato de AA:BB:CC:DD:EE. Desde tu tarjeta de red, la tarjeta de wifi, la tarjeta de bluetooth, tu smartphone, y esa la que identifica al aparato que se conecta. 

Crear una lista blanca es decirle al router que sólo deje conectar a tu internet a los aparatos que tú hayas dado de alta previamente. 

Ejemplo de pantalla de Beini con un ataque exitoso....

La imagen está sacada de la web http://www.comfortsurf.com/FAQ.aspx?faq_id=17, donde tienen un interesante tutorial con las imágenes explicadas paso a paso, con numeración, y capturas de pantalla. Eso sí, en inglés. 

¿Cómo funciona un ataque a claves WPA o WPA 2?

Para un ataque WPA se necesita:

• un portátil
• la distribución Beini
• descargar un diccionario con millones de claves
• tiempo
• suerte

Como la seguridad de WPA y WPA2 es mucho mayor, existe una primera opción, que es sacar partido de un fallo detectado en la función WPS. La función permite, mediante un botón en el router, que un dispositivo y el router se pongan de acuerdo, sin tener que apuntar toda la contraseña en un post-it. Se da al botón del router que pone WPS, y en un plazo menor a un minuto, se intenta conectar con el móvil o el portátil, y usando la opción WPS en el dispositivo, te pedirá una clave PIN de pocos dígitos. Si es correcta, el router le entrega la contraseña larga al nuevo equipo. 

Esa comodidad está muy bien, pero descubrieron un fallo, que permite un ataque al número PIN (mucho más corto y por tanto con menos intentos necesarios para probar todas las opciones posibles). 

También es cierto que la mayoría de fabricantes o compañías de telefonía han actualizado los firmwares de sus routers para que ya no sean susceptibles a este fallo. Para intentarlo se usa Inflator. 

Si Inflator no logra descifrar wifis con el fallo de seguridad en su WPS, te queda la opción del diccionario. 

DICCIONARIO de claves

Implica usar un enorme diccionario con millones de contraseñas posibles, y que además un cliente esté conectado al router y navegando (el usuario legítimo). Si estas dos premisas se cumplen, puedes intentarlo. Pero el % de resultados de contraseña es bajo.

¿Alguno ha contratado o llamado a estos anuncios?

Espero vuestros comentarios.

Saludos

ACTUALIZACIÓN (octubre 2016)
aunque en su momento no encontré información sobre este tema y me aventuré con mi hipótesis, el otro día encontré esto: 
http://www.elmundo.es/madrid/2015/09/02/55e74ed2e2704ec1268b458d.html
http://www.adslzone.net/2015/08/31/internet-gratis-por-30-euros-la-estafa-de-las-wifi-abiertas-sin-proteger/
Así que algún periodista se ha percatado del tema y han investigado. 

Control del acceso a tu Gmail

Hola, mundo

Mientras revisaba unos documentos en Google drive, encontré en "Crear" un botón en el que no había reparado....

 

Se pueden conectar otras aplicaciones para que las usemos desde Google Drive.....tiene buena pinta....

Aparecen una serie de aplicaciones (también disponibles en el market de apps del navegador de la casa, el Google Chrome), y puedes buscar por secciones, por nombre, o todo.

Yo he añadido Pixlr, un editor de fotos e imágenes, y una aplicación para hacer gráficos a partir de datos. Cuando logre dominarla, crearé otra entrada. ;-)

Después descubrí floorplanner, un programa en la nube para hacer planos de casas o habitaciones. Al activarlo, te pide que le des permisos, y así lo hice. 

Al revisar cómo funciona (porque además de lo que voy a contar, encima no me dejaba entrar en la aplicación), vi que en la mitad de la tabla de comentarios de los usuarios, alguien empezaba con WARNING. 

Al leer el comentario, advierte que la aplicación solicita permiso para acceder a tu cuenta de google por completo, y que si queréis usarla, utilicéis una cuenta secundaria, y no la principal. 

Busqué la ruta que indica para acceder a las preferencias de seguridad, y tras ir a Gmail, botón de la rueda dentada (opciones), Cuentas e importación -> Otra configuración -> Área de seguridad, pinchamos en el enlace de "Obtener más información ...", y por último abajo del todo, buscamos "Aplicaciones y sitios conectados" y le damos al botón -> Administrar acceso.

Lo que veremos es algo como lo de arriba. Yo acabo de darle en ese momento a revocar el acceso a la aplicación, que tenía concedido acceso a mi cuenta y correo. La mayoría de aplicaciones tienen acceso a información normal, como tu sexo [poco, mucho, o como un casado;-)], tu país, tu zona horaria, cosas sin importancia. 

En este ejemplo tengo a la aplicación gamagio.com, que es un portal de juegos para teléfonos, y desconozco para qué quieren iniciar sesión con mi cuenta.....así que también les revoco el permiso......jeje. 

Espero que os sirva para vigilar a quien le tenéis concedido permisos en vuestras cuentas. Por favor, si véis cosas raras en vuestros casos, os surgen preguntas o tenéis casos curiosos, me encantaría recibir vuestros comentarios. 

Saludos