Hacks 2018

Como cada año nuevo, el episodio de enero lo dedicamos a algunas noticias de hacks, leaks y problemas de ciberseguridad de distinto tipo que han tenido lugar durante el año previo. No están todas las noticias del año, sólo algunas de las que hemos considerado más representativas. Al fin y al cabo, se trata de hablar sobre seguridad de la información y ciberseguridad.




Hacks 2018



Este episodio número 32 viene presentado por Chema Hoyos (@Chema_Hoyos), del podcast EnSerie. Se trata de un programa en el que se analizan las novedades seriéfilas de las plataformas de streaming más populares. Anímate y deja que Chema, Pedro, Federico, entre otros seriéfilos, te cuenten qué hay de nuevo.




Hacks 2018



Meltdown y Spectre



Las vulnerabilidades de los procesadores modernos




Incibe-Cert – Meltdown y Spectre: Las vulnerabilidades de los procesadores modernos.
Episodio sobre Melddown y Spectre en Bitácora de Ciberseguridad.




Datos de Fedex filtrados



Datos de clientes de Bongo International LLC, adquirida por FedEx en 2014, alojados en Amazon S3 quedan al descubierto años después.




https://kromtech.com/blog/security-center/fedex-customer-records-exposed




Filtrada la base de datos del DNI de la India



Incluye datos de identificación, biométricos, bancarios… El gobierno lo niega pero las pruebas son evidentes.




https://www.zdnet.com/article/another-data-leak-hits-india-aadhaar-biometric-database/




Antivirus falsos para Android



Una investigación de ESET y una ampliación llevada a cabo por Lukas Stefanko muestran decenas de supuestos antivirus que, por lo general, son fraudes.




https://twitter.com/LukasStefanko/status/1067828960623558656
https://www.welivesecurity.com/2018/04/05/google-play-ad-slingers/




Contraseñas de usuarios en el log de Twitter



Un fallo de diseño de Twitter habría dejado expuestas las contraseñas de sus usuarios en texto plano en archivos de registro.




https://blog.twitter.com/official/en_us/topics/company/2018/keeping-your-account-secure.html




Datos de clientes de T-Mobile



Un bug en los sistemas del operador telefónico T-Mobile permite que cualquiera pudiese ver los datos de sus clientes




https://www.zdnet.com/article/tmobile-bug-let-anyone-see-any-customers-account-details/




Bases de datos de Firebase mal configuradas



Miles de aplicaciones tanto de Android como de iOS han filtrado datos de usuarios al usar con una configuración in incorrecta las bases de datos Firebase de Google, que es extremadamente popular como backend de programadores para Android.




https://www.bleepingcomputer.com/news/security/thousands-of-apps-leak-sensitive-data-via-misconfigured-firebase-backends/




Polar muestra bases militares secretas



Filtrado de localizaciones de bases militares debido a la publicación de localizaciones de usuarios de la pulsera de fitness de la empresa Polar:




https://www.theverge.com/2018/7/8/17546224/polar-flow-smart-fitness-company-privacy-tracking-security
https://www.zdnet.com/article/fitness-app-polar-exposed-locations-of-spies-and-military-personnel/




TSMC atacada por ransomware



Un ransomware cierra varias fábricas de TSMC, uno de los fabricantes de iPhone, al integrar en sus sistemas un equipo infectado. La infección pudo extenderse a miles de equipos causando una parada de emergencia en las factorías de la compañía.




https://www.incibe-cert.es/alerta-temprana/bitacora-ciberseguridad/virus-cierra-varias-fabricas-tsmc-uno-los-fabricantes-iphone




Robados datos de 380.000 clientes de British Airways



Un grupo cibercriminal modifica una librería de javascript de la web de reservas de la aerolínea y captura los datos de pago y personales de los clientes




https://www.incibe-cert.es/alerta-temprana/bitacora-ciberseguridad/robados-datos-380000-clientes-british-airways




Se adelanta el cierre de Google+ por otro fallo



Google+ anuncia su cierre e informa de la exposición de 500.000 cuentas de usuarios.




https://www.incibe-cert.es/alerta-temprana/bitacora-ciberseguridad/google-anuncia-su-cierre-e-informa-exposicion-500000-cuentas




Filtración de clientes de la cadena hotelera Marriot



Posiblemente se trate de un ciberataque APT desarrollado por un actor con propósitos de inteligencia militar. Los datos no se han filtrado públicamente en la dark web, lo que favorece la hipótesis anterior.




https://www.nytimes.com/2018/11/30/business/marriott-data-breach.html




1ª Sanción basada en el RGPD



Una noticia que conocemos gracias a Javier Pérez, en el grupo de Telegram de Securizando: primera sanción fundamentada en el reglamento general de protección de datos.




https://www.infosecurity-magazine.com/news/german-regulator-fines-firm-for/




Amazon envía 1.700 grabaciones de audio de un cliente de Amazon Echo a otro cliente



Tal y como suena. Un cliente recibe grabaciones de Echo aunque no es usuario del servicio y la compañía le ignora hasta que una revista investiga las grabaciones e identifica al propietario de las mismas.




https://unaaldia.hispasec.com/2018/12/amazon-envia-por-error-1-700-grabaciones-de-alexa-de-otro-cliente.html




WordPress infectados atacando otros WordPress



Un fallo de seguridad de XML-RPC de WordPress permitía la propagación de un ataque de forma automatizada de una instancia a otra del CMS.




https://www.elladodelmal.com/2018/12/battle-royale-wordpress-infectados.html




Routers Livebox Orange filtran credenciales de acceso a la red WiFi



Los datos se encuentran disponibles en archivos accesibles por HTTP desde la interfaz WAN.




https://www.adslzone.net/2018/12/24/routers-livebox-vulnerabilidad-wifi/
https://www.incibe-cert.es/alerta-temprana/avisos-seguridad/fuga-credenciales-wi-fi-routers-livebox-orange




Las 100 peores contraseñas del año



Como es costumbre, cada año se publican las peores contraseñas. Bien es cierto que se trata de las contraseñas más frecuentemente filtradas. Por algo será.




https://www.teamsid.com/100-worst-passwords/




El consejo del día



En Information is beautiful podemos encontrar un gráfico de los leaks más famosos considerando distintos factores como relevancia mediática y cantidad de datos filtrados. Se puede filtrar por periodo, sector, etcétera. Un recurso muy interesante para darnos cuenta de que no existe la seguridad 100%. El diagrama sólo muestra filtraciones que tengan más de 30.000 datos. imaginemos cuántas más hay. El título es: World’s Biggest Data Breaches & Hacks, o lo que es lo mismo, Las mayores brechas de datos y hacks del mundo.








La entrada «Hacks 2018» se publicó originalmente en AVpodcast.