A estas alturas ¿quién no ha buscado alguna vez su nombre en Google? Es tan fácil como escribir nuestro nombre en el navegador y darle a buscar y si queremos una búsqueda más precisa, podemos poner nuestro nombre entre comillas dobles. De esta forma podemos ver (casi) todo lo que internet sabe sobre mí, en este caso en Google, pero hay más y lo vamos a ver en este artículo.

Dato de curiosidad: ¿sabías qué, a la acción de buscar nuestro propio nombre en un buscador como Google se conoce como egosurfing?

¿Dónde vivo?

Si alguien quisiera saber dónde vives tiene varias formas de cumplir su objetivo, por ejemplo, infobel.com publica una guía electrónica de sus clientes la cual ha sido indexada por Google y mediante consultas avanzadas en el buscador podemos sacar información de una persona:

Escribe lo siguiente en el buscador:

site:infobel.com «Arroyo» inurl:”people»

Como podemos observar, en cada uno de los resultados aparece el nombre de la persona, su dirección, el identificador, etc.

Otros directorios telefónicos en los que podríamos hacer este tipo de consultas son:

• http://tel.opendi.es
• http://www.abctelefonos.com
• http://plusdireccion.es y muchos otros.

¿Cómo es mi casa?

Una vez que saben dónde vivimos, a la persona en cuestión le podría interesar como es nuestra casa y así saber, por ejemplo, nuestro nivel económico.

En España se podría dirigir a la sede electrónica del catastro y hacer una consulta de los datos catastrales sabiendo nuestra dirección y todo esto sin identificarse.

De esta manera se podría saber los metros cuadrados de la vivienda, si es un piso, vivienda unifamiliar, etc.

Lo que Facebook sabe de ti:

Si accedemos al perfil de una persona en Facebook que no es amiga(o) nuestro solo veremos las fotos e información que esa persona quiere que veamos. Pero poniendo en el navegador la dirección correcta podemos obtener mucha más información.

Para la siguiente prueba de concepto necesitamos saber el identificador de perfil del usuario, para sacarlo haremos lo siguiente:

1. Entramos en el perfil de la persona en cuestión
2. Accedemos al código fuente de la página
3. Buscamos la cadena «fb://»
4. Copiamos la numeración que aparece después de /profile/

Una vez que tenemos el identificador de perfil podemos obtener fácilmente la siguiente información:

• Sus historias publicadas:
  • https://www.facebook.com/search/numero_identificador/stories-by
• Sus fotos publicadas:
  • https://www.facebook.com/search/numero_identificador/photos-of
• Las historias en las que ha sido etiquetada:
  • https://www.facebook.com/search/numero_identificador/stories-tagged
• Las fotos en la que ha sido etiquetada:
  • https://www.facebook.com/search/numero_identificador/photos-tagged
• Los grupos a los que pertenece:
  • https://www.facebook.com/search/numero_identificador/groups/
• Los amigos que tiene:
  • https://www.facebook.com/search/numero_identificador/friends/
• Dónde trabajan sus amigos:
  • https://www.facebook.com/search/numero_identificador/friends/employers/
• Dónde estudiaron sus amigos:
  • https://www.facebook.com/search/numero_identificador/friends/schools-attended/
• Qué sitios han visitado sus amigos:
  • https://www.facebook.com/search/numero_identificador/friends/places-visited/

Por ejemplo, podemos deducir en qué localidad vive una persona si sabemos dónde viven la mayoría de sus amigos.

Buscadores de identidades digitales

Existen buscadores específicos para buscar personas, concretamente su identidad digital. Unas páginas de búsqueda generalizada de trabajadores, o personas de forma individual son:

• http://pipl.com/
• http://www.yasni.co.uk/
• http://knowem.com/

Otra página que nos permite realizar búsquedas personalizadas desde el email y comprobar las apariciones en redes sociales es:

• http://www.spokeo.com/email

Y si lo que necesitamos es comprobar que un email existe y es válido podemos utilizar

• http://centralops.net/co/
  • En su sección de “Email Dossier”

Ahora ya sabes algunas de las técnicas que se suelen utilizar para rastrearnos. Utilízalas para ver la información pública que hay sobre ti y exige el derecho al olvido

En la segunda parte de esta serie de artículos podrás informarte sobre otras técnicas o acciones que permiten descubrir nuestros datos personales públicos en Internet. …No te lo puedes perder 😉

¿Te imaginas que tu cafetera, lavadora y nevera se pusieran de acuerdo para atacarte a la vez? Pues esto es lo que le ha ocurrido a uno de los servicios más importantes de Internet.

El 21 de octubre de este año se produjo lo que podemos considerar como uno de los ataques más grandes de los últimos años. El ataque de tipo DDoS fue dirigido contra DynDNS, uno de los proveedores más importantes de DNS que da servicio a empresas de nombre y prestigio como Twiter, Spotify, PayPal o Reddit.

DNS es el servicio que permite identificar un nombre de dominio o dirección Web con la dirección IP del servidor que lo aloja.

DDoS o Denegación de Servicio Distribuido es un ataque que pretende colapsar un servidor realizando un número muy elevado de peticiones contra este, evitando que pueda responder con normalidad, provocando una sobrecarga en los recursos del sistema o la pérdida de red. Este ataque suele ser habitual llevarlo a cabo a través de una red de bots (botnet).

Una botnet es una red de dispositivos infectados por un malware que pueden ser controlados de forma remota por un atacante, a los dispositivos que componen esta red se les llama equipos zombis.

Lo más interesante de este último ataque es que la botnet estaba formada por dispositivos de internet de las cosas (IoT), los dispositivos IoT es un concepto que se refiere a objetos cotidianos que están conectados a internet, tales como, lavadoras, cafeteras, smartwatches, etc.

No es la primera vez que se usan estos dispositivos en ataques de este tipo, ni será la última.

¿Por qué se utilizar dispositivos IoT para los ataques de tipo DDos?

Podemos destacar 3 razones:

Cada día hay más dispositivos conectados: cada vez hay más tipos de dispositivos que utilizamos en nuestro día a día que están conectados a la red.

Configuración de seguridad descuidada: normalmente se suele dejar la configuración por defecto en los dispositivos, es decir, se quedan protegidos mediante las credenciales de origen que pone el fabricante y que son idénticas en todos los dispositivos del mismo modelo. En general, basta con una simple consulta en Google para obtener la clave por defecto.

Están encendidos durante más tiempo: por ejemplo, un DVRs o una cámara de seguridad IP no se suele apagar, por lo tanto, el tiempo que puede utilizar el atacante un dispositivo es mayor que si utiliza un ordenador personal.

Debido a que cada vez hay más dispositivos conectados y que es más fácil crear redes de bots con estos dispositivos IoT, veremos ataques de este tipo con mayor frecuencia.

Párate a pensar que, si esa lavadora que te avisa al móvil cuando termina o la cafetera que te manda un mensaje cuando se está quedando sin cápsulas, fueran parte de esa botnet…

¿El ataque DDoS que tumbo la red de Estados Unidos es el inicio de algo peor?

Ahora la mayor incógnita es, ¿cuál será el siguiente objetivo?

Se ha informado por parte de la Oficina de Seguridad del Internauta de un caso de Phishing (suplantación de la identidad de una Entidad reconocida, con la finalidad de obtener datos personales o bancarios fraudulentamente) recientemente. Los usuarios afectados han recibido un correo electrónico del ciberdelincuente, que intenta suplantar a la Agencia Tributaria, informando de un reembolso que ha de realizar, y redirige a una web con un formulario supuestamente de la agencia donde solicitan datos personales e información bancaria.

Si nos fijamos en la página a la que nos redirige el ciberdelincuente veremos que no corresponde a la página verdadera de la Agencia Tributaria (http://www.agenciatributaria.es/)

Si no has recibido aún el correo, si te llega bórralo nada más llegar y elimínalo también de tu papelera de reciclaje para que no haya confusión posible.
Si has recibido el correo, has tenido poca precaución y has introducido datos personales y/o bancarios:

• Habla con tu Banco y bloquea las claves de Banca por Internet.
• Bloquea las tarjetas de crédito asociadas al Banco.

Si ya se ha producido alguna operación no autorizada por ti:

• Comunica a tu Banco lo que ha sucedido.
• Denuncia el fraude a la Policía.

Y recuerda nuestras recomendaciones generales en caso de fraude de phising:

1. No abrir correos de desconocidos que soliciten información personal o bancaria.
2. No facilitar información bancaria por internet o teléfono a desconocidos.
3. No utilizar páginas de transacciones bancarias que no tengan certificado, el cual se identifica con un candado junto a la dirección de la página.
4. No seguir enlaces en correos o descargues ficheros adjuntos en correos remitidos incluso por contactos conocidos, salvo que te digan directamente que lo hagas con una finalidad.
5. Utilizar una funcionalidad anti-phising en tu navegador, que detectará cuando el navegador detectará esté intentando acceder a un sitio web falso.
6. Utilizar una utilidad anti-spyware (normalmente tu proveedor de antivirus la incluirá) y mantenerla actualizada.

Esperamos que esta información te haya servido de ayuda. Si necesitas más información sobre otros fraudes phishing puedes consultar en éste enlace sobre seguridad informática.