A principios de este año, casi caí en un intento de phishing elaborado.
Fue lo suficientemente convincente como para que casi lo hubiera aceptado.
Durante todo un fin de semana sentí vergüenza.
Desafortunadamente, los últimos hallazgos de seguridad de “Black October” sugieren que las cosas van a empeorar.
Antiguas vulnerabilidades de seguridad que antes requerían demasiado tiempo para explotarse ahora pueden ser objetivo de 10 mil agentes que trabajan durante la noche por el costo de una Pumpkin Spice Latte (bueno... o dos).
Algunas cosas que personas mucho más inteligentes que yo han notado durante la última semana:
• Amazon detectó un intento de ataque contra software de sitios web cuatro días antes de que se emitiera la advertencia pública. Las vulnerabilidades podrían permitir a alguien tomar el control sin una contraseña. Las empresas estaban siendo atacadas antes de que supieran que necesitaban una solución.
• PHP, el software detrás de WordPress y muchos otros sitios web, necesitó correcciones de emergencia para dos vulnerabilidades que permitían a los atacantes tomar el control de servidores sin iniciar sesión. Vercel añadió protecciones de firewall antes de la advertencia pública, pero los propietarios de sitios web aún deben actualizar PHP en sí mismo.
• Una de las claves secretas utilizadas para verificar que los sitios web son auténticos era simplemente el número 4. Ocho claves en el proveedor de certificados eMudhra eran fáciles de adivinar. Los navegadores actualizados tienen protecciones, pero el software más antiguo aún podría confiar en los certificados afectados.
• Investigadores de NorForge descubrieron a criminales utilizando agentes de IA contra tiendas en línea y sistemas de pago. Un grupo tenía más de 1.100 proyectos de ataque en sus paneles.
• Quest Diagnostics, una de las mayores empresas médicas de EE.UU., reveló una brecha esta semana y cree que alguien accedió a registros de pacientes. Aún está investigando cuántas personas fueron afectadas.
La IA no causó todos estos fallos. Pero hace que las debilidades existentes sean más baratas de encontrar y explotar.
No para ser pesimista ni alarmista, pero ahora es un buen momento para algunos recordatorios.
- Usa un gestor de contraseñas.
- Activa la autenticación de dos factores.
- Si alguien te pide inesperadamente que envíes dinero o descargues algo, verifica a través de un número o cuenta que ya conozcas.
- Sigue a expertos en seguridad confiables en línea.
Trabajar en tecnología o estar constantemente en línea no te hace inmune.
Sé cuidadoso.