Las pruebas de penetración de Android son un aspecto crucial para garantizar la seguridad de las aplicaciones y dispositivos Android. A medida que la popularidad y la adopción de Android continúan creciendo, también lo hacen los riesgos y vulnerabilidades potenciales asociados con la plataforma. Las pruebas de penetración, también conocidas como piratería ética, desempeñan un papel vital a la hora de identificar debilidades de seguridad y ayudar a las organizaciones y desarrolladores a mitigar amenazas potenciales. Este artículo explora los desafíos comunes que enfrentan los profesionales de la seguridad al realizar pruebas de penetración de Android. Al comprender estos desafíos y aprender cómo superarlos, los expertos en seguridad pueden mejorar la postura general de seguridad de las aplicaciones y dispositivos Android. https://www.browserstack.com/guide/android-performance-testingEl pentesting de Android es el proceso de identificación y explotación. Vulnerabilidades de seguridad en aplicaciones de Android. Es una práctica de seguridad crítica para las organizaciones que desarrollan o utilizan aplicaciones de Android, ya que puede ayudar a proteger contra el acceso no autorizado, el robo de datos y otros ataques maliciosos. Desafíos comunes en las pruebas de penetración de Android 1. Complejidad de las aplicaciones móviles Las aplicaciones de Android se están volviendo cada vez más complejas e incorporan diversas funcionalidades y bibliotecas de terceros. Esta complejidad puede generar una superficie de ataque extensa, lo que dificulta la identificación de todas las vulnerabilidades potenciales. Medidas de mitigación: • Implementar estrategias de prueba integrales, incorporando enfoques tanto manuales como automatizados. • Realizar revisiones de código en profundidad para identificar vulnerabilidades potenciales en arquitecturas de aplicaciones complejas .• Utilice herramientas de análisis estático para descubrir vulnerabilidades ocultas de manera efectiva. 2. Variabilidad de la interacción del usuario Las aplicaciones de Android a menudo requieren diferentes tipos de interacciones del usuario, como validación de entradas, autenticación de usuarios e intercambio de datos. Estas interacciones pueden introducir vulnerabilidades si no se implementan correctamente. Medidas de mitigación: • Realizar una evaluación integral de todas las interacciones del usuario dentro de la aplicación. • Simular diversos escenarios de usuario y examinar las condiciones límite para identificar posibles vulnerabilidades relacionadas con la entrada y la interacción del usuario. 3. Seguridad inadecuada ComunicaciónLas aplicaciones de Android a menudo se comunican con servidores externos o API y, si estas comunicaciones no están protegidas adecuadamente, pueden volverse vulnerables a interceptaciones y filtraciones de datos. Medidas de mitigación: • Cifre todas las comunicaciones entre la aplicación y los sistemas externos utilizando protocolos sólidos como SSL/TLS. • Fortalecer la seguridad mediante la fijación de certificados para protegerse contra ataques de intermediarios durante las comunicaciones. 4. Políticas de administración de dispositivos móviles Las organizaciones que permiten a los empleados usar sus propios dispositivos (BYOD – Traiga su propio dispositivo) enfrentan el desafío de hacer cumplir políticas de seguridad consistentes en varios dispositivos.Medidas de mitigación:• Implementar políticas de administración de dispositivos móviles (MDM) para hacer cumplir la configuración de seguridad, el cifrado de datos y la administración de aplicaciones en los dispositivos de los empleados.• Fomentar el uso de redes privadas virtuales (VPN) para mejorar la seguridad de la comunicación de datos.5. Almacenamiento seguro de datos en el dispositivo Las prácticas inadecuadas de almacenamiento de datos pueden dejar información confidencial expuesta en el dispositivo, volviéndolo vulnerable al acceso no autorizado, incluso si la aplicación en sí es segura. Medidas de mitigación: • Cifre los datos confidenciales cuando se almacenen en el dispositivo. • Realice evaluaciones cuidadosas del almacenamiento de datos, lo que garantiza que la información crítica esté adecuadamente protegida. 6. Falta de gestión de sesiones Una gestión de sesiones inadecuada puede provocar vulnerabilidades como el secuestro de sesiones, donde los atacantes obtienen acceso no autorizado a la sesión activa de un usuario. Medidas de mitigación: • Implemente prácticas sólidas de gestión de sesiones en las aplicaciones. • Genere y valide tokens de sesión seguros. • Establezca tiempos de espera de sesión para garantizar que caduquen después de un cierto período de inactividad. • Garantice el manejo seguro de los datos de la sesión para evitar el acceso no autorizado y las violaciones de datos. 7. Abuso de permisos de aplicaciones móviles Las aplicaciones de Android solicitan varios permisos para acceder Los recursos del dispositivo y algunas aplicaciones maliciosas pueden abusar de estos permisos para actividades no autorizadas. Medidas de mitigación: • Educar a los usuarios sobre cómo revisar los permisos de las aplicaciones y otorgar acceso solo cuando sea necesario. • Los desarrolladores de aplicaciones deben seguir el principio de privilegio mínimo y solicitar solo permisos esenciales para la funcionalidad de la aplicación. .• Realice auditorías de seguridad periódicas para identificar y rectificar cualquier uso indebido de permisos en aplicaciones existentes. 8. Falta de protecciones binarias Las aplicaciones de Android, distribuidas como archivos binarios, son susceptibles a ingeniería inversa y manipulación si carecen de protecciones binarias adecuadas. Esto hace que sea esencial que los desarrolladores implementen medidas que protejan contra el acceso no autorizado al código de la aplicación y eviten modificaciones maliciosas, mejorando así la seguridad general de la aplicación. Medidas de mitigación: • Emplear técnicas de protección binaria, incluida la ofuscación de código, para impedir que los atacantes comprendan el código de la aplicación. .• Implementar mecanismos de detección de manipulación para identificar cualquier modificación realizada en la aplicación. 9. Transmisión de datos insegura Al transmitir datos a través de redes, es posible que las aplicaciones de Android no utilicen canales seguros, lo que las hace susceptibles a escuchas e interceptación de datos. Medidas de mitigación: • Utilice protocolos de comunicación seguros como HTTPS en aplicaciones. • Implemente una validación de certificado adecuada para garantizar una comunicación segura. • Mejore la seguridad de los datos evitando canales de comunicación no cifrados y redes Wi-Fi no confiables. 10. Falta de mecanismos de actualización seguros Las aplicaciones de Android que carecen de mecanismos de actualización seguros pueden ser explotadas por atacantes que distribuir actualizaciones maliciosas. Medidas de mitigación: • Implementar mecanismos de actualización seguros para aplicaciones. • Firmar actualizaciones con firmas digitales para garantizar la autenticidad. • Acepte actualizaciones solo de fuentes confiables, evitando descargas de red no seguras. 11. Tokens de autorización y autenticación inseguros El manejo inadecuado de la autenticación y Los tokens de autorización pueden provocar acceso no autorizado y secuestro de sesión. Esto plantea importantes riesgos de seguridad, ya que los atacantes pueden aprovechar estas vulnerabilidades para obtener control no autorizado sobre cuentas de usuario y datos confidenciales. Medidas de mitigación: • Manejar adecuadamente los tokens de autenticación y autorización para evitar el acceso no autorizado y el secuestro de sesiones. • Implementar medidas de seguridad sólidas para protegerse contra los atacantes explotar vulnerabilidades en la administración de tokens. • Garantice la integridad de las sesiones de los usuarios administrando de forma segura los tokens de autenticación. 12. Validación inadecuada de las entradas del usuario Las aplicaciones de Android que no validan adecuadamente las entradas de los usuarios pueden ser vulnerables a varios ataques, incluida la inyección SQL y secuencias de comandos entre sitios (XSS ).Medidas de mitigación:• Implementar validación, desinfección y validación exhaustiva de todas las entradas del usuario para evitar el impacto de datos maliciosos en la funcionalidad y la seguridad de la aplicación.• Realizar revisiones periódicas del código y pruebas de seguridad para identificar y abordar los problemas de validación de entradas de manera efectiva.13. Análisis dinámico El análisis dinámico presenta otro desafío en el pentesting de Android, ya que implica pruebas en tiempo real para identificar vulnerabilidades. Sin embargo, la naturaleza inherentemente dinámica de las aplicaciones de Android hace que el análisis dinámico sea particularmente desafiante. Las interacciones con usuarios, otras aplicaciones y redes crean obstáculos formidables que requieren precisión y exactitud al realizar análisis dinámicos. Medidas de mitigación: • Utilice herramientas y técnicas de desofuscación para revelar el código oculto de la aplicación. • Obtenga una comprensión más clara de la estructura de la aplicación e identifique vulnerabilidades potenciales. con mayor precisión. 14. Análisis estático El análisis estático implica analizar el código de la aplicación sin ejecutarlo. Sin embargo, un desafío en el pentesting de Android es la presencia de técnicas de ofuscación comúnmente utilizadas para ocultar el código de la aplicación, lo que dificulta la realización de evaluaciones de vulnerabilidad precisas. Medidas de mitigación: • Emplear técnicas de análisis dinámico junto con el análisis estático en el pentesting de Android. • Utilizar entornos sandboxing y emulación para ejecutar la aplicación y revelar el código oculto. • Esta combinación permite una evaluación más completa y una identificación precisa de la vulnerabilidad a pesar de las técnicas de ofuscación. 15. Ecosistema Android El ecosistema Android plantea un desafío sustancial debido a su amplia diversidad de dispositivos y sistemas operativos. Cada dispositivo puede tener una versión diferente del sistema operativo, con sus vulnerabilidades únicas. Como resultado, identificar vulnerabilidades en todos los dispositivos se convierte en una tarea inmensamente desafiante y desalentadora. Medidas de mitigación: • Implementar actualizaciones y parches de seguridad periódicos para el diverso ecosistema de Android. • Fomentar la colaboración entre los fabricantes de dispositivos. • Promover una versión estandarizada del sistema operativo para agilizar la identificación de vulnerabilidades. y mejorar la seguridad general en todos los dispositivos. 16. Enlaces profundos Los enlaces profundos, si bien son una característica poderosa en las aplicaciones de Android para una navegación fluida del usuario, también plantean un desafío común en las pruebas de penetración. Estos enlaces permiten el acceso directo a contenido específico dentro de la aplicación, sin pasar por los puntos de entrada estándar de la aplicación. Como resultado, pueden crear posibles vulnerabilidades de seguridad, permitiendo a los atacantes acceder a secciones sensibles de la aplicación sin pasar por los controles de seguridad habituales. Medidas de mitigación: • Implementar mecanismos sólidos de autenticación y autorización para enlaces profundos, validando los derechos de acceso antes de que los usuarios accedan a los enlaces profundos. contenido vinculado.• Realice pruebas de penetración exhaustivas para identificar configuraciones erróneas y falta de medidas de seguridad en la implementación de enlaces profundos.• Valide enlaces profundos y cumpla con prácticas de codificación segura para minimizar los riesgos asociados de manera efectiva.17.Actividad de visualización webActividad de visualización web, que permite mostrar contenido web dentro de una aplicación, puede introducir vulnerabilidades de seguridad si no se implementa correctamente. Los atacantes pueden aprovechar esta característica para ejecutar secuencias de comandos maliciosas, lo que lleva a posibles fugas de datos o acceso no autorizado a los recursos del dispositivo. Medidas de mitigación: • Valide todas las entradas del usuario dentro de la vista web para evitar ataques de inyección de secuencias de comandos. • Considere deshabilitar JavaScript en la vista web para minimizar el riesgo de ataques de ejecución de código. Conclusión Las pruebas de penetración de aplicaciones móviles enfrentan muchos desafíos debido a la naturaleza en constante evolución de la plataforma y su vasto ecosistema. La fragmentación de dispositivos, las técnicas de ofuscación, el comportamiento dinámico de las aplicaciones, la falta de acceso al código fuente, el almacenamiento de datos inseguro y el uso indebido de permisos se suman a las complejidades del pentesting de aplicaciones de Android. Sin embargo, al comprender y abordar estos desafíos comunes de las pruebas de penetración de aplicaciones móviles, las organizaciones y los desarrolladores pueden fortalecer la seguridad de sus aplicaciones de Android. Implementar estrategias de prueba integrales, adoptar prácticas de codificación segura y mantenerse alerta contra amenazas emergentes reforzará la resiliencia de las aplicaciones de Android y mejorará la ciberseguridad general. Recursoshttps://www.geeksforgeeks.org/what-is-android-penetration-testing/https: //www.hackthebox.com/blog/intro-to-mobile-pentestinghttps://aardwolfsecurity.com/mobile-application-penetration-testing/https://www.headspin.io/blog/why-should-you- invest-in-mobile-app-security-testinghttps://blog.softwaroid.com/2020/05/02/android-application-penetration-testing-bug-bounty-checklist/https://www.diva-portal. org/smash/get/diva2:1464444/FULLTEXT01.pdfhttps://www.fullestop.com/blog/what-are-10-common-challenges-most-android-developers-encounterhttps://www.appknox.com/ blog/los-retos-de-la-seguridad-de-aplicaciones-moviles
Categoría: Ciberseguridad Página 1 de 69
La Comisión Federal de Comercio de EE. UU. (FTC) enviará un total de 5,6 millones de dólares en reembolsos a los clientes de Ring, un proveedor de cámaras domésticas, como resultado de un acuerdo con Ring sobre fallas de seguridad y privacidad. Ring, que fue comprada por el gigante tecnológico Amazon en 2018, llegó a un acuerdo con la FTC en 2023 por cargos de que la compañía permitió a empleados y contratistas acceder a videos privados de los consumidores y no implementó protecciones de seguridad, lo que permitió a los piratas informáticos tomar el control de las cuentas de los consumidores. , cámaras y vídeos. Leer más: Nueva demanda apunta a Ring después del secuestro de un timbre inteligente En una denuncia de mayo de 2023, la FTC dijo que la empresa de cámaras domésticas engañó a sus clientes al no restringir el acceso de los empleados y contratistas a los videos de sus clientes, utilizando los videos de sus clientes. entrenar algoritmos sin consentimiento y no implementar salvaguardias de seguridad. Estas prácticas llevaron a “violaciones atroces de la privacidad de los usuarios”, dijo la FTC en una declaración pública. La FTC enviará 117.044 pagos de PayPal a consumidores que tenían ciertos tipos de dispositivos Ring, incluidas cámaras interiores, y cuyas cuentas Ring eran vulnerables a problemas de privacidad y seguridad alegados en la denuncia. El pago será realizado por Rust Consulting, Inc., un administrador de reembolsos. Los consumidores deben recibir su pago de PayPal dentro de los 30 días. Leer más: Ring implementa cifrado de extremo a extremo para reforzar la privacidad
La versatilidad de Python y su corta curva de aprendizaje son sólo dos factores que explican el «dominio» del lenguaje en la ciberseguridad.
Friday Squid Blogging: Buscando el calamar colosal Un crucero está buscando el calamar colosal. Como de costumbre, también puedes usar esta publicación de Squid para hablar sobre las historias de seguridad en las noticias que no he cubierto. Lea las pautas de publicación de mi blog aquí. Etiquetas: calamar Publicado el 26 de abril de 2024 a las 17:07 • 3 comentarios Foto de la barra lateral de Bruce Schneier por Joe MacInnis.
26 de abril de 2024Sala de prensa Ataque a la cadena de suministro/seguridad del software Varias vulnerabilidades de seguridad reveladas en la aplicación de administración de red de área de almacenamiento (SAN) Brocade SANnav podrían explotarse para comprometer dispositivos susceptibles. Las 18 fallas afectan a todas las versiones hasta la 2.3.0 inclusive, según el investigador de seguridad independiente Pierre Barre, quien las descubrió e informó. Los problemas van desde reglas de firewall incorrectas, acceso raíz inseguro y configuraciones erróneas de Docker hasta falta de autenticación y cifrado, lo que permite a un atacante interceptar credenciales, sobrescribir archivos arbitrarios y violar completamente el dispositivo. Algunas de las fallas más graves se enumeran a continuación: CVE-2024-2859 (puntuación CVSS: 8,8): una vulnerabilidad que podría permitir a un atacante remoto no autenticado iniciar sesión en un dispositivo afectado utilizando la cuenta raíz y ejecutar comandos arbitrarios. CVE-2024 -29960 (puntuación CVSS: 7,5): el uso de claves SSH codificadas en la imagen OVA, que un atacante podría aprovechar para descifrar el tráfico SSH al dispositivo SANnav y comprometerlo. CVE-2024-29961 (puntuación CVSS: 8,2): una vulnerabilidad que puede permitir que un atacante remoto no autenticado realice un ataque a la cadena de suministro aprovechando el hecho de que el servicio SANnav envía comandos de ping en segundo plano a intervalos periódicos a los dominios gridgain.[.]com y encender.apache[.]org para buscar actualizaciones CVE-2024-29963 (puntuación CVSS: 8,6): el uso de claves Docker codificadas en SANnav OVA para acceder a registros remotos a través de TLS, lo que permite a un atacante llevar a cabo un adversario en el medio ( AitM) ataque al tráfico CVE-2024-29966 (puntuación CVSS: 7,5): la presencia de credenciales codificadas para usuarios raíz en documentación disponible públicamente que podría permitir a un atacante no autenticado acceso completo al dispositivo Brocade SANnav. Tras la divulgación responsable dos veces en agosto de 2022 y mayo de 2023, las fallas se solucionaron en la versión 2.3.1 de SANnav lanzada en diciembre de 2023. La empresa matriz de Brocade, Broadcom, que también es propietaria de Symantec y VMware, publicó avisos sobre las fallas a principios de este mes. Hewlett Packard Enterprise también envió parches para un subconjunto de estas vulnerabilidades en las versiones 2.3.0a y 2.3.1 del HPE SANnav Management Portal a partir del 18 de abril de 2024. ¿Le pareció interesante este artículo? Síguenos en Twitter y LinkedIn para leer más contenido exclusivo que publicamos.
El compromiso internacional es una parte integral de muchos esfuerzos en curso del NIST, incluida la actualización Journey to the Cybersecurity Framework (CSF 2.0), nuestra actualización de las pautas de identidad digital y el aumento de la conciencia sobre el marco de privacidad del NIST y el trabajo de ciberseguridad de IoT. En la actualización de NIST CSF 2.0, NIST continúa trabajando con la comunidad internacional. En el taller virtual del NIST de febrero de 2023 sobre la actualización CSF 2.0, participantes de los gobiernos italiano y neozelandés y de la industria mexicana hablaron en paneles. Además, se sumaron participantes de varios países. ¡Seguimos aprendiendo y beneficiándonos de casos de uso internacionales y esperamos escuchar aún más en los próximos meses a medida que publiquemos nuestro borrador completo 2.0! También continuamos nuestro compromiso internacional en la Conferencia RSA en abril. El NIST aprovechó la audiencia internacional que asiste al RSAC y se reunió con varios socios internacionales para discutir la actualización del CSF junto con otros recursos de privacidad y ciberseguridad del NIST. El NIST también realizó una presentación en la conferencia que se centró en la actualización CSF 2.0, que incluía información sobre la adopción internacional. Expresamos la importancia y el valor del compromiso internacional durante este proceso de actualización y destacamos cómo los gobiernos y la industria de todo el mundo han participado en la actualización. También mencionamos que el borrador del núcleo de discusión salió de la prensa y estuvo disponible para comentarios públicos durante el RSAC. Un compromiso internacional reciente fue la visita de un equipo de representantes del NIST a Bruselas, Bélgica, en marzo de este año. Como parte de este viaje, los expertos en la materia del NIST presentaron la guía de ciberseguridad de IoT del NIST y la actualización CSF 2.0 en la Conferencia sobre la Ley Cibernética de la Unión Europea (UE). Mientras estuvo en Bruselas, el NIST también participó en una serie de reuniones y mesas redondas para compartir información y fomentar el diálogo y las oportunidades de colaboración sobre recursos clave. El NIST informó a sus colegas interinstitucionales de la Embajada de EE. UU., así como a nuestros colegas de la Unión Europea, sobre nuestros esfuerzos de ciberseguridad y privacidad. Estos esfuerzos fueron facilitados por el Departamento de Estado y la Administración de Comercio Internacional (ITA) dentro del Departamento de Comercio, así como por organizaciones industriales. ¡Les agradecemos toda su ayuda para que el viaje fuera un éxito! Otro aspecto crítico de este viaje fue la participación del NIST en reuniones del Consejo de Comercio y Tecnología (TTC) de la UE y EE. UU. Un gran foco de estas discusiones fue la identidad digital. El NIST ha estado liderando conversaciones y esfuerzos dentro de un subgrupo del Grupo de Trabajo 1 de TTC, el grupo de trabajo centrado en Estándares Tecnológicos. En Bruselas, el NIST presentó el contenido planificado y un resumen de la cuarta revisión de la Publicación Especial (SP) 800-63, Directrices de identidad digital. También recibimos comentarios de la audiencia durante una mesa redonda pública organizada por el Subgrupo de Identidad Digital dirigido por el NIST. Otros temas para las reuniones del TTC y eventos de partes interesadas a lo largo de la semana incluyeron niveles de garantía y estándares internacionales. Paralelamente a estos eventos, el NIST también se reunió con representantes del equipo de identidad digital del Reino Unido para discutir el trabajo respectivo en esta área y las oportunidades de colaboración continua. Este tema seguirá siendo un área de enfoque importante para el NIST y nuestro compromiso internacional en el futuro. El NIST también mantuvo conversaciones con la Comisión Europea sobre varios temas y escuchó a sus socios sobre cuestiones de política dentro de Europa y las lecciones aprendidas de la implementación de la Directiva de Seguridad de la Información de Red (NIS) 2. Estos comentarios serán valiosos a medida que el NIST navegue por la actualización CSF 2.0. La Ley de Resiliencia Cibernética también se planteó en varias reuniones y el NIST compartió información sobre el enfoque adoptado con la Orden Ejecutiva 14028 y la guía de gestión de riesgos de la cadena de suministro de ciberseguridad y ciberseguridad de IoT. El NIST ya ha tenido varias conversaciones de seguimiento con la Comisión Europea sobre la ciberseguridad de la CRA y la IoT y continuará identificando áreas de colaboración como seguimiento de este viaje. De vuelta en casa, el NIST ha seguido dando la bienvenida a visitantes al campus del NIST y al Centro Nacional de Excelencia en Ciberseguridad, incluidos representantes del gobierno y la industria de India, Francia, Noruega, Costa de Marfil y Canadá. El NIST también se reunió con delegaciones patrocinadas por el Programa de Liderazgo de Visitantes Internacionales (IVLP) del Departamento de Estado, incluidos grupos con representantes de Uzbekistán, Vietnam y países de toda Europa. Estas conversaciones siempre brindan una oportunidad única para aprender de nuestros socios internacionales y compartir el trabajo que estamos haciendo con la industria en una variedad de áreas, incluida la ciberseguridad, la seguridad 5G, la criptografía poscuántica, la identidad digital, la inteligencia artificial (IA) y muchas otras. temas. El NIST también ha colaborado con el Departamento de Estado en la participación en varios diálogos internacionales, incluido el Diálogo sobre ciberseguridad entre Estados Unidos y Japón y el Diálogo entre Estados Unidos y Suiza para discutir la actualización del CSF 2.0, la orientación sobre ciberseguridad de IoT y otros recursos. ¡Estén atentos para más actualizaciones sobre participación internacional en las próximas semanas, incluida la participación del NIST en la Semana Cibernética de Israel y otros eventos! Se siguen publicando recursos internacionales adicionales en la página de Recursos internacionales de ciberseguridad y privacidad, incluida la publicación especial (SP) 1271 publicada recientemente, Introducción al marco de ciberseguridad del NIST: una guía de inicio rápido en ucraniano. Si conoce traducciones y recursos adicionales para compartir, ¡comuníquese con nosotros! Si tiene preguntas o analiza oportunidades de participación internacional, comuníquese con nosotros en intl-cyber-privacy [at] nist.gov (intl-ciberprivacidad[at]nist[dot]gobierno).
Los corredores de datos son empresas que recopilan su información de una variedad de fuentes para venderla o licenciarla a otras empresas. Antes de que puedan transmitir sus datos, los corredores los analizan para ubicarlo en perfiles de consumidores específicos. Los perfiles de consumidores ayudan a las empresas a sugerir productos que podrían gustarle y a crear campañas de marketing específicas basadas en sus intereses. Las empresas que compran datos a corredores los utilizan para cosas como marketing o mitigación de riesgos. Por ejemplo, si eres guitarrista, un fabricante de guitarras podría intentar contactarte con un anuncio de sus instrumentos. Si está buscando seguros de automóvil, los proveedores de seguros pueden usar su información personal para realizar una verificación de antecedentes y así poder evaluar el riesgo de que tenga un accidente automovilístico. Si bien las empresas no suelen utilizar su información de forma maliciosa, existen riesgos relacionados con la difusión de sus datos personales en línea. Es posible que haya ciertos detalles que no quieras compartir con el mundo, como antecedentes penales o de salud o problemas financieros. Tener sus datos en línea también puede exponerlos a ciberdelincuentes que podrían usarlos para el robo de identidad. A veces, los piratas informáticos pueden incluso violar la información almacenada en la base de datos de un intermediario de información. Cuando un delincuente tiene sus datos, podría acceder a sus cuentas financieras, utilizar su crédito para obtener un préstamo o incluso utilizar su seguro para recibir atención médica. Este artículo le muestra cómo eliminar su información de los sitios de intermediarios de datos y proteger la privacidad de sus datos en línea. ¿De dónde obtienen su información los corredores de datos? Hay varias formas para que un corredor de datos acceda a su información personal. Algunas de estas fuentes de información están fuera de línea. Por ejemplo, un corredor puede examinar los registros públicos para ver su información de registro de votantes. Otras fuentes de información que utilizan los corredores están en línea. Por ejemplo, un corredor podría rastrear su historial de compras para ver qué productos probablemente le interesen. A continuación se muestran algunas de las principales fuentes de datos que utilizan los corredores para recopilar información del consumidor. Sitios web que visita: normalmente, los sitios web y los motores de búsqueda tienen rastreadores de software que almacenan información sobre lo que usted hace en Internet. Los corredores de datos utilizan herramientas de raspado web para recopilar datos de los sitios web y las páginas de redes sociales a las que accede en línea. Artículos que ha comprado: Los intermediarios de datos están muy interesados en saber qué productos y servicios ha utilizado en el pasado. Pueden realizar un seguimiento de sus hábitos de gasto en línea en sitios minoristas y de comercio electrónico. Los corredores también quieren saber cosas como si ha utilizado cupones o tarjetas de fidelidad para pagar artículos. Formularios de acuerdo en línea: por lo general, deberá aceptar los términos y condiciones cuando se registre para un nuevo servicio o programa en línea. A veces, las empresas añaden exenciones de responsabilidad en la letra pequeña de sus términos que le notifican que su información puede compartirse. Registros públicos: los corredores pueden encontrar información como su fecha de nacimiento, número de Seguro Social (SSN), registro de matrimonio, registro de conducción o registros judiciales simplemente consultando los registros públicos. ¿Cuántas empresas de intermediación de datos hay? La intermediación de datos es una industria mundial que genera alrededor de 200 mil millones de dólares al año. Se estima que existen 4.000 empresas de intermediación de datos. Las mayores empresas de intermediación de datos incluyen organizaciones como Acxiom, Experian y Epsilon. ¿Se puede eliminar información personal de los sitios de intermediarios de datos? La mayoría de los sitios de intermediarios de datos le brindarán la posibilidad de eliminar su información personal de su base de datos, pero no espere que sea fácil. Es posible que deba seguir un proceso de varios pasos para darse de baja de un sitio de corredor. Incluso después de que se elimine su información, es posible que deba repetir el proceso periódicamente. Diferentes regiones tienen diferentes leyes cuando se trata de proteger los datos de los consumidores. La Unión Europea tiene el Reglamento General de Protección de Datos (GDPR), que otorga a los consumidores el derecho de solicitar que una empresa elimine cualquier información personal que hayan almacenado. En Estados Unidos, los estados tienen que crear sus propias leyes para salvaguardar la privacidad del consumidor. Estados como Colorado y California han promulgado leyes que permiten a los consumidores eliminar su información personal de los sitios de intermediarios de datos. Cómo eliminar información personal de los sitios de intermediarios de datos Las siguientes secciones repasan los pasos que puede seguir para eliminar su información de varios sitios de intermediarios de datos. Muchos sitios de corredores le permiten optar por no participar en sus programas de publicidad y recopilación de datos. Optar por no participar puede evitar que los corredores recopilen y compartan su información y ayudarlo a evitar anuncios intrusivos sobre cosas como tarjetas de crédito preaprobadas. Ir al sitio web del corredor de datos Lo primero que tendrás que hacer es visitar el sitio de cada corredor de datos que tenga tu información. Algunos de los sitios de intermediarios de datos más importantes que pueden tener su información incluyen: Acxiom agrega información de millones de consumidores en todo el mundo. Vende información personal como sus creencias religiosas y afiliaciones políticas a empresas de comercio y telemercadeo. Epsilon proporciona datos a una variedad de empresas en todo el mundo. Tiene una gran base de datos que contiene información sobre millones de hogares y empresas. Oracle diseña y fabrica soluciones de redes y bases de datos para empresas, además de ser un gran intermediario de datos. Oracle suele trabajar con intermediarios de datos de terceros. Equifax es una de las tres grandes agencias de informes crediticios de EE. UU. Proporciona información financiera tanto a empresas como a inversores. En 2017, una filtración de datos en Equifax expuso la información personal de casi 150 millones de personas. Experian es otra de las grandes agencias de crédito de EE. UU. Al igual que Equifax, Experian proporciona datos financieros a empresas e inversores. CoreLogic proporciona información a empresas como empresas de bienes raíces y propietarios que intentan hacer cosas como seleccionar solicitantes para propiedades de alquiler. Si bien estos son algunos de los sitios de intermediarios de datos más grandes que existen, esta lista no es exhaustiva. Existe una gran cantidad de sitios para compartir datos. Por ejemplo, los sitios de búsqueda de personas como PeekYou, Spokeo y Whitepages permiten al consumidor promedio buscar en bases de datos de información personal. Crear una cuenta en el sitio del corredor de datos Puede parecer contradictorio registrarse para obtener una cuenta con un corredor cuando lo único que desea es eliminar su información de su sitio, pero la mayoría de los corredores de datos requieren que se registre con ellos para optar por no participar en la recopilación de datos. . Probablemente tendrás que crear una cuenta con cada corredor de datos del que quieras excluirte. Desafortunadamente, esto requerirá que proporciones a los corredores cierta información personal, como tu nombre, dirección de correo electrónico y posiblemente una fotografía de tu licencia de conducir. Tacha tu número de licencia si tienes que enviar una foto de tu DNI. Encuentre su información personal Después de crear una cuenta con un corredor, probablemente tendrá que visitar su portal para averiguar si tiene su información personal en la lista. Verificar lo que cada corredor de datos ha enumerado sobre usted puede ser un proceso que requiere mucho tiempo. Servicios como DeleteMe y Kanary eliminarán su información de los intermediarios de datos. Sin embargo, la mayoría de estos sitios cobran una tarifa y solo eliminan su información de un número selecto de sitios. Por ejemplo, DeleteMe elimina su información de 36 sitios diferentes de intermediarios de datos. También debe tener en cuenta que algunos sitios de intermediarios de datos no permiten que terceros soliciten la eliminación de información en nombre de los consumidores. Realice solicitudes de eliminación para cada instancia de datos. Tendrá que realizar una solicitud de eliminación por separado para cada sitio de intermediario de datos del que desee excluirse. Algunos intermediarios de datos dificultan el proceso más que otros. Recuerde que las empresas de datos siempre recopilan registros, por lo que es posible que deba repetir el proceso de eliminar su información de los sitios de intermediarios de datos anualmente. A continuación se explica cómo excluirse de algunas de las empresas de intermediación de datos más importantes que mencionamos anteriormente: Acxiom: vaya al formulario de exclusión voluntaria de Acxiom o llame a su número de soporte al 877-774-2094. Elija qué tipos de datos no desea que recopile la empresa. Su solicitud puede tardar algunas semanas en procesarse. Epsilon: envíe un correo electrónico a optout@epsilon.com e incluya su nombre y dirección postal. También puede utilizar el formulario de exclusión voluntaria para pedirle a la empresa que no venda su información personal o que elimine sus datos por completo. Si no desea utilizar el correo electrónico, puede llamar al número de teléfono de Epsilon al 866-267-3861. Epsilon hará que un tercero verifique su identidad haciéndole preguntas sobre su información personal. Oracle: vaya a la página de exclusión voluntaria de Oracle. Escriba su información personal y haga clic en enviar. Oracle puede tardar hasta un mes en procesar su solicitud. Equifax: en la página de preselección de exclusión voluntaria de Equifax, haga clic en «Haga clic aquí para participar o no participar» en la parte inferior de la página. Elija la opción «Exclusión electrónica por cinco años». Tendrás que proporcionar algunos datos personales. Haga clic en enviar. Experian: probablemente tendrás que cancelar todos los servicios de Experian individualmente. Los servicios de intercambio de datos de Experian incluyen OmniActivation Strategic Services, correo directo, telemercadeo y correo electrónico. También puede intentar enviar un correo electrónico a unsubscribeall@experian.com o unsubscribe@experian.com. Si envía un correo electrónico, incluya la frase exacta «Cancelar mi suscripción a la base de datos de correo electrónico de Experian» en su mensaje. CoreLogic: envíe un correo electrónico a privacidad@corelogic.com. Su línea de asunto deberá ser «Solicitud de derechos de privacidad de California». Su correo electrónico debe indicar que desea eliminarse de las bases de datos de las empresas y optar por no participar en los programas de marketing. El correo electrónico debe tener su nombre y dirección. Si no recibe una confirmación en aproximadamente una semana, haga un seguimiento y pregunte sobre el estado de su solicitud. También puede intentar completar el formulario de exclusión voluntaria de la empresa y enviarlo por correo a CoreLogic Teletrack Opt-Out Request, PO Box 509124, San Diego, CA, 92150. Asegure su identidad en línea con McAfee Total Protection. La industria de los intermediarios de datos es enorme. Una agencia de datos puede recopilar una gran cantidad de información sobre usted de una gran cantidad de fuentes y proporcionar esa información a empresas que la utilizan para hacer cosas como diseñar campañas de marketing dirigidas a sus consumidores ideales. Los corredores pueden compartir información confidencial que desee mantener privada, como datos médicos. Tener su información personal flotando en Internet facilita que los ciberdelincuentes la utilicen para beneficio personal. Al optar por no participar en programas de intercambio de información, puede proteger su privacidad en línea, reducir la cantidad de anuncios y correos electrónicos intrusivos que recibe y hacer menos probable que los ladrones de identidad se acerquen a usted. Una de las mejores formas de protegerse en línea es utilizar un software de seguridad de calidad. Cuando se registra en McAfee+, obtendrá funciones como software antivirus galardonado, monitoreo de cuentas las 24 horas, los 7 días de la semana, una red privada virtual (VPN) segura y hasta $1 millón en cobertura y restauración de robo de identidad. Cuando se trata de proteger su privacidad en línea, McAfee lo respalda. Presentamos McAfee+ Protección contra robo de identidad y privacidad para su vida digital Descargue McAfee+ ahora \x3Cimg height=»1″ width=»1″ style=»display:none» src=»https://www.facebook.com/tr?id= 766537420057144&ev=PageView&noscript=1″ />\x3C/noscript>’);
Fuente: thehackernews.com – Autor: . El actor de amenazas vinculado a Corea del Norte conocido como Lazarus Group empleó sus señuelos laborales fabricados y probados en el tiempo para entregar un nuevo troyano de acceso remoto llamado Kaolin RAT como parte de ataques dirigidos a individuos específicos en la región de Asia en el verano de 2023. El malware podría, “aparte desde la funcionalidad RAT estándar, cambie la última marca de tiempo de escritura de un archivo seleccionado y cargue cualquier DLL binario recibido desde [command-and-control] servidor”, dijo el investigador de seguridad de Avast, Luigino Camastra, en un informe publicado la semana pasada. El RAT actúa como una vía para entregar el rootkit FudModule, que recientemente se ha observado aprovechando un exploit de administrador a kernel ahora parcheado en el controlador appid.sys (CVE-2024-21338, puntuación CVSS: 7.8) para obtener un kernel. lectura/escritura primitiva y, en última instancia, desactivar los mecanismos de seguridad. El uso por parte del Grupo Lazarus de señuelos de ofertas de trabajo para infiltrarse en objetivos no es nuevo. Apodada Operación Dream Job, la campaña de larga duración tiene un historial de uso de varias redes sociales y plataformas de mensajería instantánea para distribuir malware. Estos vectores de acceso inicial engañan a los objetivos para que inicien un archivo de imagen de disco óptico (ISO) malicioso que contiene tres archivos, uno de los cuales se hace pasar por un cliente Amazon VNC (“AmazonVNC.exe”) que, en realidad, es una versión renombrada de un programa legítimo de Windows. aplicación llamada “choice.exe”. Los otros dos archivos, denominados “version.dll” y “aws.cfg”, actúan como catalizador para iniciar la cadena de infección. Específicamente, el ejecutable «AmazonVNC.exe» se utiliza para cargar «version.dll», que, a su vez, genera un proceso IExpress.exe e inyecta en él una carga útil que reside dentro de «aws.cfg». La carga útil está diseñada para descargar shellcode desde un dominio de comando y control (C2) (“henraux[.]com”), que se sospecha que es un sitio web real pero pirateado que pertenece a una empresa italiana que se especializa en excavar y procesar mármol y granito. Si bien la naturaleza exacta del código shell no está clara, se dice que se utiliza para iniciar RollFling, un cargador basado en DLL que sirve para recuperar y ejecutar el malware de próxima etapa llamado RollSling, que fue revelado por Microsoft el año pasado en relación con un Lazarus. Campaña grupal que explota una falla crítica de JetBrains TeamCity (CVE-2023-42793, puntuación CVSS: 9,8). RollSling, ejecutado directamente en la memoria en un probable intento de evadir la detección por parte del software de seguridad, representa la siguiente fase del procedimiento de infección. Su función principal es activar la ejecución de un tercer cargador denominado RollMid que también se ejecuta en la memoria del sistema. RollMid viene equipado con capacidades para preparar el escenario para el ataque y establecer contacto con un servidor C2, lo que implica un proceso propio de tres pasos de la siguiente manera: comunicarse con el primer servidor C2 para recuperar un archivo HTML que contiene la dirección del segundo. Servidor C2 Comunicarse con el segundo servidor C2 para recuperar una imagen PNG que incorpora un componente malicioso usando una técnica llamada esteganografía Transmitir datos al tercer servidor C2 usando la dirección especificada en los datos ocultos dentro de la imagen Recuperar un blob de datos codificado en Base64 adicional de el tercer servidor C2, que es Kaolin RAT. La sofisticación técnica detrás de la secuencia de múltiples etapas, aunque sin duda compleja e intrincada, roza la exageración, opinó Avast, con Kaolin RAT allanando el camino para la implementación del rootkit FudModule después de la configuración. establecer comunicaciones con el servidor C2 de la RAT. Además de eso, el malware está equipado para enumerar archivos; realizar operaciones de archivos; cargar archivos al servidor C2; alterar la última marca de tiempo modificada de un archivo; enumerar, crear y terminar procesos; ejecutar comandos usando cmd.exe; descargar archivos DLL del servidor C2; y conectarse a un host arbitrario. «El grupo Lazarus se centró en personas a través de ofertas de trabajo inventadas y empleó un conjunto de herramientas sofisticadas para lograr una mayor persistencia sin pasar por los productos de seguridad», dijo Camastra. “Es evidente que invirtieron importantes recursos en el desarrollo de una cadena de ataque tan compleja. Lo que es seguro es que Lazarus tuvo que innovar continuamente y asignar enormes recursos para investigar diversos aspectos de las mitigaciones y productos de seguridad de Windows. Su capacidad para adaptarse y evolucionar plantea un desafío importante para los esfuerzos de ciberseguridad”. ¿Encontró interesante este artículo? Síguenos en Twitter y LinkedIn para leer más contenido exclusivo que publicamos. URL de la publicación original: https://thehackernews.com/2024/04/north-koreas-lazarus-group-deploys-new.html
El gobierno de EE. UU. y las entidades de infraestructura crítica recibieron 1754 notificaciones de vulnerabilidad de ransomware en el marco del programa piloto de advertencia de vulnerabilidad de ransomware (RVWP) en 2023, lo que resultó en la protección o desconexión de 852 dispositivos vulnerables. El mayor número de alertas se envió a instalaciones gubernamentales (641), que abarcan una variedad de organizaciones gubernamentales federales, estatales y locales, incluidas escuelas e instalaciones de educación superior. La atención sanitaria y la salud pública recibieron el segundo mayor número de notificaciones de vulnerabilidad de ransomware, con 440. Le siguieron la energía (173), los servicios financieros (127), el transporte (83) y la fabricación crítica (69). Cerca de la mitad (49%) de todos los dispositivos vulnerables fueron parcheados, implementaron un control de compensación o fueron desconectados después de recibir una notificación RVWP. Cómo protege RVWP contra el ransomware La iniciativa RVWP fue presentada por la Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) en marzo de 2023. Su objetivo es reducir el riesgo de ataques de ransomware en organizaciones gubernamentales y de infraestructura crítica advirtiéndoles de forma proactiva que mitiguen las vulnerabilidades comúnmente asociadas con explotación de ransomware conocida. CISA utiliza servicios, fuentes de datos, tecnologías y autoridades existentes para identificar estas fallas, incluida su herramienta Cyber Hygiene Vulnerability Scanning, que monitorea los dispositivos conectados a Internet en busca de vulnerabilidades conocidas. Luego, los equipos regionales de CISA trabajan en estrecha colaboración con las entidades notificadas para impulsar una mitigación oportuna. El RVWP surge de la Ley de Informe de Incidentes Cibernéticos para Infraestructuras Críticas de 2022 (CIRCIA) y está alineado con el Grupo de Trabajo Conjunto sobre Ransomware (JRTF). CISA describió una variedad de formas en que todas las organizaciones pueden trabajar con el gobierno para abordar los crecientes ataques de ransomware: Inscríbase en el servicio Cyber Hygiene Vulnerability Scanning, en el que las organizaciones participantes generalmente reducen su riesgo y exposición en un 40% dentro de los primeros 12 meses, y ha identificado más Más de 3 millones de vulnerabilidades conocidas para los participantes desde 2022, según CISA. Revise la guía #StopRansomware, que proporciona una lista de verificación sobre cómo responder a un incidente de ransomware y proteger su organización. Informe la actividad de ransomware observada a CISA y a las autoridades federales, incluidos los detalles del compromiso. y tácticas, técnicas y procedimientos (TTP)
Seguridad digital ¿Y es esa realmente la pregunta correcta? Esto es lo que debes considerar cuando se trata de mantener tus cuentas seguras. 03 de abril de 2024 • , 5 min. leer Mucho se ha hablado en los últimos años sobre el creciente potencial de la autenticación sin contraseña y las claves de acceso. Gracias a la casi ubicuidad del reconocimiento facial basado en teléfonos inteligentes, la capacidad de iniciar sesión en sus aplicaciones favoritas u otros servicios mirando su dispositivo (u otro método de autenticación biométrica, para el caso) es ahora una realidad refrescantemente simple y segura para muchos. Pero todavía no es la norma, especialmente en el mundo de las computadoras de escritorio, y muchos de nosotros todavía confiamos en las viejas contraseñas. Aquí es donde radica el desafío, porque las contraseñas siguen siendo un objetivo importante para los estafadores y otros actores de amenazas. Entonces, ¿con qué frecuencia debemos cambiar estas credenciales para mantenerlas seguras? Responder a esta pregunta puede ser más complicado de lo que cree. Por qué los cambios de contraseña pueden no tener sentido Hasta no hace mucho, se recomendaba rotar periódicamente las contraseñas para mitigar el riesgo de robo encubierto o descifrado por parte de los ciberdelincuentes. La sabiduría recibida fue entre 30 y 90 días. Sin embargo, los tiempos están cambiando y las investigaciones sugieren que los cambios frecuentes de contraseña, especialmente en un horario establecido, no necesariamente mejoran la seguridad de la cuenta. En otras palabras, no existe una respuesta única sobre cuándo debe cambiar su(s) contraseña(s). Además, muchos de nosotros tenemos demasiadas cuentas en línea para realizar un seguimiento cómodamente, y mucho menos crear contraseñas (seguras y únicas) para cada una de ellas cada pocos meses. Además, ahora vivimos en un mundo de administradores de contraseñas y autenticación de dos factores (2FA) en casi todas partes. Lo primero significa que es más fácil almacenar y recuperar contraseñas largas, seguras y únicas para cada cuenta. Este último agrega una capa adicional de seguridad bastante fluida al proceso de inicio de sesión con contraseña. Algunos administradores de contraseñas ahora tienen incorporado el monitoreo de la web oscura para señalar automáticamente cuando las credenciales pueden haber sido violadas y circuladas en sitios clandestinos. En cualquier caso, existen algunas razones de peso por las que los expertos en seguridad y las autoridades mundialmente respetadas, como el Instituto Nacional de Estándares y Tecnología (NIST) de EE. UU. y el Centro Nacional de Seguridad Cibernética (NCSC) del Reino Unido, no recomiendan que se obligue a las personas a cambiar. sus contraseñas cada pocos meses a menos que se hayan cumplido ciertos criterios. El razonamiento es bastante simple: según el NIST: «Los usuarios tienden a elegir secretos memorizados más débiles cuando saben que tendrán que cambiarlos en un futuro próximo». «Cuando se producen esos cambios, a menudo seleccionan un secreto que es similar a su antiguo secreto memorizado aplicando un conjunto de transformaciones comunes, como aumentar un número en la contraseña», continúa el NIST. Esta práctica proporciona una falsa sensación de seguridad porque si una contraseña anterior se ha visto comprometida y no la reemplaza por una segura y única, los atacantes pueden fácilmente descifrarla nuevamente. Según el NCSC, también es más probable que las nuevas contraseñas, especialmente si se crean cada pocos meses, se anoten y/o se olviden. “Es uno de esos escenarios de seguridad contrarios a la intuición; cuanto más a menudo los usuarios se vean obligados a cambiar sus contraseñas, mayor será la vulnerabilidad general a los ataques. Lo que parecía ser un consejo perfectamente sensato y de larga data, resulta que no resiste un análisis riguroso de todo el sistema”, argumenta el NCSC. “El NCSC ahora recomienda que las organizaciones no fuercen la caducidad regular de las contraseñas. Creemos que esto reduce las vulnerabilidades asociadas con las contraseñas que caducan periódicamente y, al mismo tiempo, hace poco para aumentar el riesgo de explotación de contraseñas a largo plazo”. Cuándo cambiar su contraseña Sin embargo, existen varios escenarios que requieren un cambio de contraseña, especialmente para sus cuentas más importantes. Estos incluyen: Su contraseña ha quedado atrapada en una violación de datos de terceros. Es probable que el propio proveedor le informe sobre esto, o que se haya registrado para recibir alertas en servicios como Have I Been Pwned, o que su proveedor de administrador de contraseñas le notifique y ejecute comprobaciones automáticas en la web oscura. Su contraseña es débil y fácil de adivinar o descifrar (es decir, puede haber aparecido en una lista de las contraseñas más comunes). Los piratas informáticos pueden utilizar herramientas para probar contraseñas comunes en varias cuentas con la esperanza de que una de ellas funcione, y la mayoría de las veces lo consiguen. Ha estado reutilizando la contraseña en varias cuentas. Si alguna de estas cuentas es vulnerada, los actores de amenazas podrían utilizar software automatizado de «relleno de credenciales» para abrir su cuenta en otros sitios/aplicaciones. Acaba de enterarse, por ejemplo gracias a su nuevo software de seguridad, de que su dispositivo ha sido comprometido por malware. Has compartido tu contraseña con otra persona. Acaba de eliminar personas de una cuenta compartida (por ejemplo, antiguos compañeros de casa). Ha iniciado sesión en una computadora pública (por ejemplo, en una biblioteca) o en el dispositivo/computadora de otra persona. Consejos sobre prácticas recomendadas para contraseñas Considere lo siguiente para minimizar las posibilidades de apropiación de cuentas: Utilice siempre contraseñas seguras, largas y únicas. Guarde lo anterior en un administrador de contraseñas que tendrá una única credencial maestra para acceder y podrá recuperar automáticamente todas sus contraseñas de cualquier sitio o aplicación. Esté atento a las alertas de contraseñas violadas y tome medidas inmediatas después de recibirlas. Active 2FA siempre que esté disponible para proporcionar una capa adicional de seguridad a su cuenta. Considere habilitar claves de acceso cuando se ofrezcan para un acceso seguro y fluido a sus cuentas usando su teléfono. Considere realizar auditorías periódicas de contraseñas: revise las contraseñas de todas sus cuentas y asegúrese de que no estén duplicadas o sean fáciles de adivinar. Cambie los que sean débiles o repetidos, o los que puedan contener información personal como cumpleaños o mascotas familiares. No guardes tus contraseñas en el navegador, aunque parezca una buena idea. Esto se debe a que los navegadores son un objetivo popular para los actores de amenazas, que podrían utilizar malware de robo de información para capturar sus contraseñas. También expondría sus contraseñas guardadas a cualquier otra persona que utilice su dispositivo/computadora. Si no utiliza las contraseñas seguras y aleatorias sugeridas por su administrador de contraseñas (o el generador de contraseñas de ESET), consulte esta lista de consejos de la Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA). Sugiere utilizar la contraseña o frase de contraseña más larga permitida (de 8 a 64 caracteres) siempre que sea posible, e incluir letras mayúsculas y minúsculas, números y caracteres especiales. Con el tiempo, se espera que las claves de acceso (con el apoyo de Google, Apple, Microsoft y otros importantes actores del ecosistema tecnológico) finalmente indiquen el fin de la era de las contraseñas. Pero mientras tanto, asegúrese de que sus cuentas estén lo más seguras posible.