consejos
Si tenemos en cuenta la destreza de los hackers maliciosos y la gran cantidad de servicios y plataformas online que usan los usuarios, es normal que cada vez haya más robos de información almacenada en servidores corporativos.
Si todavía no habéis recibido una carta notificando una violación de datos, no os sorprendáis cuando llegue a vuestro buzón. Un día de estos, abriréis la bandeja de entrada o entraréis en alguna de vuestras websites favoritas, y os dará la bienvenida con un mensaje avisando que alguien ha entrado en el servidor y se ha fugado con los datos almacenados.
Éste es el precio que debemos pagar por operar y trabajar a través de la esfera online. Las notificaciones informan al usuario si un hacker ha comprometido y robado información de una base de datos perteneciente a un proveedor de servicios digitales. Estos avisos suelen informar sobre el tipo de datos robados, los cuales incluyen nombres, fechas de nacimiento, contraseñas cifradas, correos electrónicos, números de teléfono y un sinfín de datos personales. En los casos más graves, los hackers entran en los servidores corporativos y se adueñan de datos sobre bienes, números de la seguridad social, informes médicos, secretos de estado, datos de pago y cualquier información confidencial que encuentren. Algunas compañías ofrecen servicios gratuitos de monitorización en el caso de una violación de datos financieros o un robo de identidad. Casi todas las entidades intentan restar importancia al incidente, enfatizando, irónicamente, lo importante que es la seguridad y los datos de los clientes para la compañía.
La primera reacción ante estas notificaciones es leer dicho aviso y analizar los posibles efectos del ataque. Si se ha puesto en peligro información confidencial como datos de pago o números de seguridad social, entonces será necesario contratar algún tipo de servicio de monitorización. Normalmente, en este caso, la entidad ofrece un año de monitorización del crédito gratis. Además, el usuario debe vigilar en detalle los cargos en su cuenta bancaria. Son realmente extrañas las brechas que ponen en peligro los datos financieros y aún menos habituales aquéllas que comprometen información financiera cifrada. Si nuestra entidad guarda los datos de pago en texto plano, lo mejor es cambiar de entidad porque es un signo claro de que dicha compañía no se preocupa, en absolutos, por sus clientes.
La violación de información financiera es un gran problema para los usuarios. Las empresas y gobiernos temen la pérdida de secretos de estado o correos electrónicos embarazosos. Pero, en este post, nos vamos a centrar en los consumidores. No obstante, nuestros colegas del blog Threatpost han escrito un artículo excelente sobre el caso anterior (inglés).
La mayoría de notificaciones avisan a los usuarios de que sus contraseñas hash han sido comprometidas. En realidad, apenas existen violaciones de contraseñas en texto plano. Los responsables del ataque tienen una copia exacta de las contraseñas. Si la notificación dice que las contraseñas estaban hasheadas, esto significa que los atacantes tienen la versión cifrada de tu clave. Si las contraseñas estaban guardadas en texto plano, entonces se deberá cambiar el código inmediatamente. Por supuesto, una vez más, el usuario debería pensar si le compensa seguir en una entidad que almacena las claves de sus clientes de este modo y no le importa la seguridad informática. Si las contraseñas estaban hasheadas, entonces se deberá actualizar todos los códigos cuanto antes, pero es bastante difícil, sino imposible, que el hacker pueda descifrarla.
Lamentablemente, suceden más violaciones de datos de lo que pensamos y, por este motivo, necesitamos cambiar nuestras contraseñas cada dos meses. Cuanto más tiempo usemos una clave, más peligroso será, especialmente si usamos el mismo código para diferentes cuentas.
Además, no existe reparación alguna ante una violación de datos. Una vez se ha robado la información, ésta ya se ha escapado de nuestras manos para siempre. En mucha ocasiones, se utilizan los datos robados como cebos para posteriores ataques de phishing. Los ingenieros sociales usan los nombres, correos electrónicos o fechas de nacimiento para sus campañas de phishing o spear-phishing.
Algunos proveedores de servicios online están incluyendo nuevas medidas de seguridad, como el sistema de doble verificación o HTTPS. Los usuarios debemos estar atentos y buscar dichos sistemas en aquellas plataformas que almacenan información confidencial nuestra. Por último, debemos prestar atención a las grandes compañías, navegadores web o sistemas operativos como Google, Microsoft, Apple o Adobe, quienes lanzan actualizaciones o parches de seguridad para sus programas.
Consejos