EL CAPTCHA YA NO ES SUFICIENTE PARA BLOQUEAR SPAMBOTS

Este algoritmo ha sido probado en decenas de sitios web

Expertos en seguridad informática desarrollaron un algoritmo de aprendizaje automático capaz de superar los controles CAPTCHA basados en texto de una forma muy fácil y con mayor precisión que cualquier método desarrollado anteriormente, informan especialistas en ciberseguridad del Instituto Internacional de Seguridad Cibernética.

Este nuevo algoritmo, desarrollado por un equipo de especialistas de Reino Unido y China, se basa en la implementación de una Red Antagónica Generativa (GAN), una clase especial de algoritmos de inteligencia artificial útiles en escenarios donde el algoritmo no tiene acceso a grandes cantidades de datos para el aprendizaje.

Acorde a expertos en ciberseguridad, un algoritmo de aprendizaje automático por clasificación usualmente requiere millones de puntos de datos para entrenar antes de poder realizar una tarea con el grado de precisión requerido.

En contraste, un algoritmo GAN cuenta con la ventaja de poder trabajar con una cantidad mucho menor de datos para comenzar el aprendizaje gracias a que una GAN usa un complemento “generativo” para producir datos similares. Los puntos de datos generados son posteriormente alimentados a un algoritmo “solucionador” que intenta adivinar la salida.

Los expertos que desarrollaron este algoritmo aplicaron el mismo concepto para romper el CAPTCHA de texto, que sólo habían sido probados con algoritmos de aprendizaje automático que requerían grandes cantidades de puntos de datos iniciales.

Los investigadores mencionaron que, en un ambiente real, un atacante no sería capaz de generar millones de CAPTCHA en tiempo real sin ser detectado o expulsado del sitio web. Por lo tanto, para la investigación se utilizaron solamente 500 CAPTCHA de texto presentes en 32 de los 50 sitios más visitados, según Alexa de Amazon.

La lista de datos para entrenar al algoritmo incluye CAPTCHA de texto de sitios como Wikipedia, Microsoft, eBay y Google.

Después de recopilar y entrenar al “solucionador” hasta generar 200 mil CAPTCHA “artificiales”, los expertos en ciberseguridad probaron sus algoritmos contra múltiples sistemas CAPTCHA de texto usados en la red, sobre los que también se habían probado otros algoritmos anteriormente.

Los investigadores afirman que su método consiguió resolver CAPTCHA de texto con un margen de precisión del 100% al ser probado en sitios como Megaupload, Blizzard o Authorize.NET. Los expertos agregaron que el método también demostró ser altamente preciso en sitios como Amazon, PayPal, Yahoo o Slashdot.

Además de mejorar la precisión, los investigadores reportan que el componente solucionador del algoritmo GAN que desarrollaron también es más eficiente y barato que cualquier otro método para superar el CAPTCHA. “El algoritmo puede resolver un CAPTCHA en 0.05 segundos utilizando una PC de escritorio”, afirman los investigadores.Esto podría resultar benéfico para algunos hackers, ya que no necesitarían comprar servicios de computación en la nube para romper el CAPTCHA de un sitio web en tiempo real. Una vez que un atacante entrene un algoritmo CAPTCHA de texto, puede ejecutarlo en una PC o servidor web normal, y lanzar ataques DDoS coordinados o mensajes de spam a múltiples sitios web.

Read More

CÓMO BORRAR SUS DATOS PERSONALES DE INTERNET PARA RECUPERAR SU PRIVACIDAD

Mucha de nuestra información personal podría permanecer en línea para siempre

Limitar la exposición de sus datos personales puede ser una tarea muy sencilla o demasiado compleja dependiendo de cada persona. Además, acorde a expertos en ciberseguridad del Instituto Internacional de Seguridad Cibernética, las personas no pueden evitar por completo que alguna plataforma digital recopile su información, por lo que recuperar completamente la privacidad del usuario es una tarea cercana a lo imposible.

¿Cómo puedo controlar la exposición de mi información?

·         Internet Archive

¿Alguna vez ha escuchado hablar de Internet Archive? Se trata de una biblioteca digital sin fines comerciales establecida en California que proporciona acceso libre a una inmensa colección de material digitalizado como sitios web, aplicaciones, videos, imágenes en movimiento y millones de libros de dominio público.

Acorde a expertos en ciberseguridad, este sitio resguarda copias de todos los sitios web públicos con el propósito de preservar un registro de nuestra historia en la era digital. Aunque inicialmente fue desarrollado para académicos, Internet Archive continuó creciendo hasta llegar a contener alrededor de 25 petabytes de datos en total.

Toda la información personal que haya estado públicamente disponible se encuentra en Internet Archive, incluso la información de sitios web y servicios que actualmente se encuentren cerrados. Esto significa que toda la información que ha compartido públicamente puede encontrarse ahí. Puede usar la opción de búsqueda avanzada de Internet Archive, y también puede ponerse en contacto con los encargados del sitio a través de info@archive.org para solicitar la eliminación de su información.

·         Have I Been Pwned?

Este es un proyecto iniciado por el experto en ciberseguridad Troy Hunt. Este sitio permite a los usuarios en línea verificar si sus datos personales han sido comprometidos por una violación de datos. Los usuarios tienen la opción de buscar su propia información escribiendo sus nombres de usuario o direcciones de correo electrónico, además se pueden usar las funciones automatizadas del sitio. Have I Been Pwnedtambién le permite crear una cuenta para recibir notificaciones en caso de ciberataques contra cuenta de email.

Si su privacidad en línea es un tema serio para usted, Have I Been Pwned es definitivamente la opción ideal para revisar si su cuenta en alguna plataforma en línea ha sido atacada.

Además de apoyarse de herramientas como Have I Bee Pwned? e Internet Archive, los usuarios deben realizar algunas acciones para mitigar los riesgos para su información y privacidad. Encargarse de sus redes sociales es un buen comienzo. Nuestras cuentas de redes sociales contienen una gran cantidad de información personal que cualquier usuario malicioso podría aprovechar para múltiples fraudes.

La peor parte es que eliminar un perfil de redes sociales es más difícil de lo que parece, además el proceso varía según la plataforma en cuestión. Puede ser recomendable realizar una copia de seguridad de esta información antes de borrarla. Expertos en ciberseguridad recomiendan:

·         Hacer una copia de seguridad de sus datos según el servicio

·         Lea los Términos de Servicio para saber cómo se maneja y elimina la información; tenga en cuenta que algunas plataformas podrían retener cierta información debido a requisitos legales

·         Controle sus cuentas eliminadas para asegurarse de que toda la información sea borrada permanentemente

·         Borre las cuentas de correo electrónico que ha utilizado para registrarse en las plataformas que desee eliminar

Después de eliminar sus cuentas, podría verificar si sus datos aún aparecen a través de un motor de búsqueda. De ser así, puede usar la función “Eliminar contenido obsoleto” de Google, también puede usar una herramienta de Bing llamada “Eliminación de contenidos”.

Para concluir, expertos en ciberseguridad también recomiendan el uso de VPN como una medida más para evitar la sobreexposición de nuestra información personal en Internet.

Read More

SE FILTRAN COPIAS DE KINGDOM HEARTS 3 EN E.U. Y AMÉRICA LATINA

A falta de algunas semanas para su lanzamiento oficial, los desarrolladores del videojuego revelaron que un incidente de seguridad derivó en el robo de algunas copias sin terminar

Especialistas en ciberseguridad del Instituto Internacional de Seguridad Cibernética reportan que algunas copias de Kingdom Hearts 3 para Xbox One fueron robadas, además, algunas imágenes y videos se filtraron a través de algunas redes sociales. Al parecer, un individuo no identificado consiguió acceso a algunas copias sin terminar del juego, aunque aún se desconoce la forma en la que esta persona habría conseguido el acceso. Posteriormente el individuo compartió algunas imágenes del juego para demostrar que, efectivamente, tenía el material en su poder, buscando así a algún posible comprador.

Tetsuya Nomura, director del videojuego, afirmó a través de su cuenta de Twitter: “Estamos al tanto de que algunas copias sin terminar del juego han estado circulando, aún cuando falta alrededor de un mes para su lanzamiento oficial”. Nomura asegura que los desarrolladores ya saben cómo sucedió el incidente, aunque no reveló más detalles por el momento.

El equipo de ciberseguridad a cargo de Kingdom Hearts 3 también recomienda a los usuarios no compartir o ver el material filtrado, aunque aclaran que los elementos fundamentales de la historia del videojuego no estaban incluidos en las copias filtradas.

El individuo encargado de la filtración había publicado el material a la venta en Marketplace de Facebook, aunque los encardados de ciberseguridad de la red social eliminaron la publicación algunas horas después, aunque ésta se mantuvo en línea el tiempo suficiente para que muchos fanáticos y creadores de contenido en YouTube difundieran la noticia de la filtración.

Este incidente no ha afectado los planes para el lanzamiento oficial de Kingdom Hearts 3, programado para el 29 de enero de 2019 en plataformas como PlayStation 4 y Xbox One.

La filtración de este videojuego llega unas semanas después de conocerse la el robo de una copia de Smash Bros. Ultimate en México, lo que permitió que algunos hackers accedieran al juego de forma anticipada.

Read More

CIBERATAQUE EN TWITTER PODRÍA HABER SIDO PATROCINADO POR UN GOBIERNO

La red social menciona que ha recolectado evidencias que sugieren que un gobierno podría estar detrás de este ataque

Especialistas en ciberseguridad del Instituto Internacional de Seguridad Cibernética informan que, después de investigar una vulnerabilidad presente en sus formularios de soporte, la red social Twitter encontró evidencia de que las fallas podrían haber sido explotadas para acceder y extraer información personal de los usuarios de la plataforma.

El formulario de soporte comprometido era utilizado por los usuarios de Twitter para establecer contacto con personal técnico de la empresa y resolver algunos problemas con sus cuentas.

Este error de la API del formulario de soporte, descubierto en noviembre pasado, expuso pocos detalles de los usuarios, como el código de marcación telefónica de sus países, además de información adicional, como antecedentes de bloqueo de cuenta, reportan expertos en ciberseguridad.

Twitter no ha aportado mayores detalles sobre el incidente hasta ahora, también se desconoce el número aproximado de usuarios afectados, aunque la compañía ha mencionado que existe la posibilidad de que este ataque esté relacionado con grupos de hackers patrocinados por algún gobierno.

“Durante nuestra investigación descubrimos actividad inusual relacionada con la API del formulario de asistencia a los usuarios. En específico, observamos una gran cantidad de consultas originadas en direcciones IP individuales ubicadas en países como China y Arabia Saudita”, se menciona en el comunicado publicado por Twitter en referencia al incidente.

“Aunque no contamos con evidencia suficiente en este momento, creemos que es posible que alguna de estas direcciones IP esté vinculada con las actividades de hackers patrocinados por gobiernos”, concluye el comunicado.

El equipo de ciberseguridad de Twitter ha asegurado a los usuarios que sus números de teléfono, nombres o algún otro dato personal se ha visto comprometido durante este incidente de seguridad. La compañía afirma que el problema fue resuelto en un solo día, agregando que no es necesario que los usuarios realicen alguna acción adicional para abordar el error.

Cuando la compañía se dio cuenta del incidente, comenzó a investigar sus orígenes y antecedentes para “brindar la mayor cantidad de información posible”, además de mantener informadas a las autoridades. Asimismo, la red social se encuentra en proceso de notificar a los usuarios potencialmente afectados.

Al igual que otras plataformas de redes sociales, este año Twitter también ha sufrido varios incidentes de seguridad. En mayo pasado, por ejemplo, la red social sugirió a sus 330 millones de usuarios cambiar sus contraseñas luego de que un error de software expusiera las contraseñas de los usuarios, almacenadas en un archivo de texto simple.

Además, en septiembre pasado, una falla en la función “Actividad de la cuenta de Twitter” expuso algunos de los mensajes directos (DM) de sus usuarios y tweets protegidos a desarrolladores de aplicaciones de terceros no autorizados.

Read More

USAN MEMES EN TWITTER PARA ENVIAR COMANDOS A SERVIDOR DE HACKERS

Un equipo de investigadores ha descubierto una nueva forma para ocultar software malicioso

Los investigadores de una firma de ciberseguridad reportan el descubrimiento de una nueva muestra de malware capaz de recuperar los comandos de memes publicados en una cuenta de Twitter controlada por un actor malicioso. Gracias a este procedimiento, los atacantes dificultan la detección del tráfico asociado con el malware, haciendo que este sea detectado como tráfico legítimo de Twitter, mencionan expertos del Instituto Internacional de Seguridad Cibernética.

La idea de explotar servicios web legítimos para controlar malware no es algo reciente, en oportunidades pasadas algunos hackers han controlado códigos maliciosos a través de plataformas como Gmail, Dropbox, PasteBin, e incluso Twitter.

Sin embargo, en esta ocasión es un poco diferente. El malware descubierto por los expertos en ciberseguridad usa la esteganografía (técnica para ocultar contenido dentro de una imagen gráfica digital de manera que sea invisible para un observador) para ocultar los comandos incrustados en una imagen (en este caso un meme) publicada en Twitter.

“Este troyano, identificado como TROJAN.MSIL.BERBOMTHUM.AA, muestra un comportamiento interesante debido a que los comandos del malware son recibidos vía el tráfico legítimo de Twitter, usa un meme de apariencia inofensiva y no puede ser eliminado a menos que la cuenta donde se publicó sea eliminada de la plataforma”, menciona el informe de los especialistas en ciberseguridad.

El equipo de comunicación de Twitter informó que cerró la cuenta maliciosa el pasado 13 de diciembre.

Los atacantes escondieron un comando /print en los memes, que les permitió tomar capturas de pantalla de la máquina comprometida, además de enviarlas a un servidor de comando y control, cuya dirección se obtuvo a través de una URL codificada en PasteBin.

Además, el malware BERBOMTHUM revisa la cuenta de Twitter utilizada por los atacantes, descarga y analiza los archivos de memes y extrae el comando que incluyen. La cuenta de Twitter utilizada por atacantes se creó en 2017 y contenía solamente dos memes, que fueron publicados el 25 y 26 de octubre pasados. Estas imágenes se usaron para enviar el comando /print al malware BERBOMTHUM.

Los comandos utilizados por los atacantes y sus funciones son:

·         /print – Realiza capturas de pantalla

·         /procesos – Recupera la lista de procesos en ejecución

·         /clip – Captura el contenido del portapapeles

·         /username – Recupera el nombre de usuario de las máquinas infectadas

·         /docs – Recupera nombres de archivos de una ruta predefinida

Según los expertos en ciberseguridad, este software malicioso se encuentra en una etapa temprana de desarrollo, por lo que no se descartan más incidentes similares en el futuro.

Read More

CAPTCHA IS NOT ENOUGH TO STOP SPAMBOTS

This algorithm has been tested on dozens of websites

Information security experts developed a machine learning algorithm able to break text-based CAPTCHA controls in a very easy and more accurate way than any previously developed method, as reported by specialists in cybersecurity from the International Institute of Cyber Security.

This new algorithm, developed by a team of specialists from the UK and China, is based on the implementation of a Generative Antagonistic Network (GAN), a special class of artificial intelligence algorithms useful in scenarios where the algorithm does not have access to large amounts of data for learning.

According to experts in cybersecurity, a classification machine learning algorithm usually requires millions of data points to train before it can perform a task with the required accuracy degree.

On the other hand, a GAN algorithm has the advantage of being able to work with a much smaller amount of data to start learning thanks to a GAN using a “generative” complement to produce similar data. The generated data points are then fed to a “solver” algorithm that tries to guess the output.

The experts who developed this algorithm applied the same concept to break the CAPTCHA text, which had only been tested with machine learning algorithms that required large amounts of initial data points.

The researchers mentioned that, in a real environment, an attacker would not be able to generate millions of CAPTCHA in real time without being detected or banned from the website. Therefore, for the investigation only 500 text based CAPTCHA present in 32 of the 50 most visited sites according to Amazon’s Alexa were used.

The data list to train the algorithm includes text CAPTCHA from sites like Wikipedia, Microsoft, EBay and Google.

After compiling and training the “solver” to generate 200k “artificial” CAPTCHA, cybersecurity experts tested their algorithms against multiple text CAPTCHA systems used in the network, which had previously also tested other algorithms.

Researchers say that their method managed to solve text CAPTCHA with 100% accuracy when tested in sites such as Megaupload, Blizzard or Authorize.NET. Experts added that the method also proved to be highly accurate in sites like Amazon, PayPal, Yahoo or Slashdot.

In addition to improving accuracy, researchers report that the GAN algorithm’s solver component they developed is also more efficient and inexpensive than any other method to overcome the CAPTCHA. “The algorithm can solve a CAPTCHA in 0.05 seconds using a desktop PC,” researchers say.

Read More

DELETE YOUR PERSONAL INFORMATION FROM THE INTERNET AND RECOVER YOUR PRIVACY

A lot of our personal information could be stored online forever

Limiting the exposure of your personal data can be a very simple or too complex task depending on each person. In addition, according to cybersecurity experts from the International Institute of Cyber Security, people cannot completely prevent a digital platform from collecting their information, so completely recovering the user’s privacy is a task close to the impossible.

How can we control the exposure of our information?

•        Internet Archive

Have you ever heard of Internet Archive? It is a non-commercial digital library established in California that provides free access to a vast collection of digitized material such as websites, applications, videos, moving images and millions of public domain books.

According to experts in cybersecurity, this site protects copies of all public websites for the purpose of preserving a record of our history in the digital age. Although initially developed for academics, Internet Archive continued to grow to contain about 25 petabytes of data in total.

All personal information that has been publicly available is found on the Internet Archive, including information on websites and services currently closed. This means that all the information you have shared publicly can be found there. You can use the Internet Archive advanced search option, and you can also contact the site managers through info@archive.org to request the deletion of your information.

•        Have I Been Pwned?

This is a project initiated by the cybersecurity expert Troy Hunt. This site allows online users to verify if their personal data has been compromised by a data breach. Users have the option to find their own information by typing their user names or email addresses, and you can use the automated functions of the site. Have I Been Pwned? also allows you to create an account to receive notifications in case of cyberattacks against your email account.

If your online privacy is a serious topic for you, Have I Been Pwned is definitely the ideal choice to check if your account on any online platform has been attacked.

In addition to supporting tools like Have I Bee Pwned? and Internet Archive, users must perform some actions to mitigate the risks for their information and privacy. To take care of your social media is a good start. Our social network accounts contain a lot of personal information that any malicious user could take advantage of for multiple frauds.

The worst part is that eliminating a social network profile is more difficult than it seems, and the process varies according to the platform in question. It may be advisable to make a backup of this information before deleting it. Cybersecurity experts recommend:

•        Back up your data according to the service

•        Read the terms of service to learn how information is handled and removed; note that some platforms may withhold certain information due to legal requirements

•        Control your deleted accounts to ensure that all information is permanently deleted

•        Delete the email accounts you used to register on the platforms you want to delete

After you delete your accounts, you could check if your data still appears through a search engine. If so, you can use Google’s “Remove obsolete content” feature, you can also use a Bing tool called “Content deletion”.

In conclusion, experts on cybersecurity also recommend the use of VPN as one more measure to avoid overexposure of our personal information on the Internet.

Read More