Aún eliminadas, aplicaciones en Facebook acceden a datos de usuarios

Distintas aplicaciones en Facebook monitorean y registran la actividad de los internautas aún cuando éstos las eliminan de su perfil.

De acuerdo con las políticas de uso de datos de Facebook, las aplicaciones pueden continuar registrando la actividad de los usuarios tras su eliminación.

"Siempre puedes eliminar aplicaciones que hayas instalado si usas la opción de configuración de las aplicaciones. Pero recuerda que es posible que las aplicaciones puedan seguir accediendo a tu información cuando las utilicen los usuarios con los que compartes", explica la red social.

Facebook asegura que la única opción para evitar que la información del internauta continúe siendo registrada por las aplicaciones es a través del contacto con los responsables de la aplicación.

"Si has eliminado una aplicación y deseas que borre la información que ya has compartido con ellos, deberás ponerte en contacto con la aplicación y pedirles que la eliminen. Visita la página de la aplicación de Facebook o su propio sitio web para obtener más información sobre la aplicación", detalla.

Cada que un usuario comienza a utilizar una aplicación la red social permite que el servicio tenga acceso al Identificador de Usuario, que contiene el nombre, correo electrónico, fecha de nacimiento, sexo, actualizaciones de estado, fotografías y comentarios publicados.

Sin embargo y pese a las recomendaciones hechas por Facebook, existen aplicaciones que burlan los controles de seguridad de la red social y una vez activadas es imposible que dejen de monitorear la actividad de los usuarios.

Como ejemplo se encuentran las aplicaciones para descubrir la supuesta profesión del usuario en su vida pasada o su nivel de rendimiento con respecto al uso de Facebook, que no permiten que el usuario se ponga en contacto con los desarrolladores para solicitar la eliminación de sus datos.

Los sitios a los que supuestamente se puede dirigir el internauta no existen o únicamente redireccionan al usuario a Facebook.

Expertos en seguridad recomiendan a los usuarios tener precaución antes de activar una aplicación, además de investigar qué empresa está detrás del desarrollo.

Fuente: bSecure

Evita que te rastreen en las redes sociales con estas herramientas

Facebook, Twitter o Google tienen la mayoría de tus datos y hábitos de navegación. También existen cientos de empresas de cobro por publicidad que serían beneficiadas haciendo seguimiento de lo que consumes y compartes en la red.

¿Cómo evitarlo y asegurar tu privacidad?
Puedes bloquear el acceso a tu contenido con estas aplicaciones:

1. Do Not Track Plus: La herramienta permite bloquear Facebook y otros anunciantes en la red. Asimismo, te informa sobre los espacios que quieren obtener tus datos. Después de instalarlo bloqueará las redes. La extensión está en la página principal, disponible para Chrome.
2. Disconnect: Es otra buena opción para bloquear redes de forma específica. El sitio principal tiene extensiones para detener el seguimiento en la web de Facebook, Twitter y Google. Se incluye la app Collusion —para Chrome, Safari y Mozilla—, que genera mapas con los sitios que intentan obtener información de tus movimientos en la red.
3. Ghostery: Es una herramienta con más opciones. Aparece en la barra de navegación y muestra cuántas empresas se han bloqueado cuando estás visitando una página web. Ghostery da a conocer más sobre las empresas. Además, identifica el tipo de datos que recogen.

Fuente: Clases de periodismo

Striptease digital y datos personales

El nacimiento de las redes sociales ha generado un cambio sustancial 
en el mundo de las comunicaciones y de las relaciones humanas.
 Nada será igual. La web 2.0 es cuna de una revolución 
sociológica, de la cual no hay regreso.

Las redes sociales sostienen un verdadero exhibicionismo virtual a nivel mundial. Todo vale en el universo digital.

Las redes sociales sostienen un verdadero exhibicionismo virtual a nivel mundialMas de 950 millones de usuarios de Facebook y otros tantos de Twitter exponen su intimidad a diario, con efecto compulsivo, mediante la divulgación y posteo de cualquier tipo de dato personal que va desde un pensamiento u opinión hasta una foto familiar, pasando por el fragmento de una canción hasta un video erótico.

Los contenidos que navegan en el gran océano digital es ilimitado: no hay servidor que aguante. Por ello, el "cloud computing" se puso de moda para alojar "en la nube" tamaña cantidad de información digital, abaratar costos de alojamiento y acelerar los mecanismos de intercambio de información.

En muchos casos, este fenómeno de exposición de datos personales es consecuencia del desconocimiento, la imprudencia o el descuido: se utiliza la red social sin la mínima valoración de que se está facilitando al operador de la red uno de los bienes que más cotizan en la actualidad: los datos personales.

En muchos casos, este fenómeno de exposición de datos personales es consecuencia del desconocimiento, la imprudencia o el descuidoEn otros casos, la entrega de información personal es precedida de la conformidad del usuario que ha sido informado y aceptado libremente las reglas de juego mediante la adhesión a las condiciones de uso y privacidad impuestas por la red social.

Tomando como ejemplo a Facebook, entre esta red social y el usuario se celebra un contrato de adhesión mediante "un click" que formaliza el navegante. Al clickear, el usuario acepta, generalmente sin leer, un universo de declaraciones perfiladas por distinguidos colegas. Como contrato de adhesión ha sido redactado unilateralmente y no da lugar a negociar los términos de inclusión. Si no se está de acuerdo, se está fuera de la plataforma social. Junto con el "clickeo" el usuario cede a Facebook el derecho de uso sobre cualquier contenido de propiedad intelectual (información, opiniones, imágenes, etcétera) con carácter permanente, salvo algunas excepciones que consagran las condiciones de adhesión que, definitivamente, nadie lee.

El fenómeno de exhibición se complementa con el voyeurismo digital, la otra cara de la moneda, esto es, la acción de aquellos usuarios que sobrevuelan perfiles ajenos para "observar" qué están haciendo sus amigos, dónde se encuentran, qué almorzaron al mediodía o si fueron al supermercado, entre otras cosas.

Quienes administran los datos personales que felizmente les entregamos pueden conocer nuestras preferencias, orientar nuestro consumo, manipular nuestros instintos, conocer nuestra ubicación física y controlar la información porque poseen la mercancía y los mecanismos para procesarla.

Ambos fenómenos permiten sostener que el concepto tradicional de intimidad cambió y que una delgada línea divisoria separa lo público de lo privado.

Ello no conlleva ningún juicio de valor en particular sino una realidad que, como tal, impacta en el universo jurídico y, en particular, en la protección de la información personal que regula la ley 25.326 de protección de datos personales.

El fenómeno de exhibición se complementa con el voyeurismo digital, la otra cara de la moneda, esto es, la acción de aquellos usuarios que sobrevuelan perfiles ajenosLos efectos de las circunstancias expuestas en el ámbito judicial son variados: formales solicitudes de retiro de contenidos on line, revocación del consentimiento informado, demandas de daños contra buscadores y redes sociales por contenidos publicados por terceros, demandas colectivas o "de clase" contra redes sociales por actuar como vehículos de perfiles discriminatorios o violentos, etcétera. Hay para todos los gustos y exceden el marco de esta columna.

Pero algunos casos puntuales pueden comprometer los intereses patrimoniales del lector. En efecto, es habitual publicar (postear) información o datos personales de otras personas sin su consentimiento como una foto de la escuela de nuestros hijos y sus amigos, un video de la fiesta de cumpleaños de un compañero de la oficina, un trabajo de investigación del equipo de la facultad, entre otros ejemplos.

Estos casos, que comienzan a proliferar en Tribunales, dan lugar a demandas de daños y perjuicios sustentadas en la falta de conformidad para la utilización de datos personales, en el atropello a derechos personalísimos como la imagen, el honor y la intimidad, en el plagio o la infracción a derechos de autor (copyright) o en manifestaciones injuriantes.

En conclusión, la realidad está demostrando que el striptease de datos personales no sólo puede poner en peligro nuestra seguridad personal y familiar sino también nuestro patrimonio cuando se afectan derechos de terceros, lo que requiere de prudencia al momento de publicar datos personales que comprometen a terceros. Ello bajo la premisa americana que aconseja pensar antes de postear (stop, think and connect).

Fuente: La Nación

FALSO WHATSAPP ENGAÑA A USUARIOS DE FACEBOOK

Hay aplicaciones que, por méritos propios o por los servicios que proporcionan, se han convertido en indispensables para los usuarios. Es el caso de WhatsApp en dispositivos móviles o la red social Facebook. Pero, ¿qué pasaría si uniésemos estas dos aplicaciones? Seguramente muchos usuarios pensarían que es una buena idea hablar con varios contactos uniendo el sistema de mensajería que incorpora Facebook y el de WhatsApp.

Sabiendo que hay interés en una aplicación similar y al igual que sucediera con casos anteriores similares (como el botón “No me gusta”), los ciberdelincuentes llevan días promocionando una serie de aplicaciones falsas para Facebook que se hacen pasar por el conocido sistema de mensajería gratuita usado de forma masiva en dispositivos móviles.

Si buscamos aplicaciones con el nombre de WhatsApp en Facebook encontramos bastantes referencias, algunas de ellas con varios miles de usuarios que ya usan esa falsa aplicación. Un usuario desprevenido que realmente creyese que se ha lanzado una versión de WhatsApp para Facebook seguramente no se tomará la molestia de repasar los permisos que solicitan este tipo de aplicaciones.

Si decidimos permitir esta aplicación, esta tendrá acceso a información personal; además, empezará a importunarnos con molestas preguntas y encuestas que deberemos rellenar supuestamente para empezar a  utilizar la aplicación. Este tipo de encuestas pueden ser de todo tipo, y si decidimos seguir adelante, contestaremos a una cantidad importante de preguntas (que proporcionan información muy interesante para algunas empresas de marketing online) para, al final, no poder utilizar WhatsApp en nuestro Facebook porque esta aplicación no existe.

En algunos casos hemos descubierto incluso la necesidad de aceptar la solicitud de ingresar en una aplicación que se define como “la red social romántica” para poder usar la falsa aplicación de WhatsApp, lo que demuestra que algunos ya están sacando provecho promocionando sus propias aplicaciones gracias al descuido de algunos usuarios.

Trampas de este tipo en Facebook suceden bastante a menudo y debemos ir con cuidado para no picar en ellas. En las redes sociales se nos hace especialmente difícil discernir entre qué puede ser realidad y qué es falso, debido a que la mayoría de estas falsas aplicaciones o enlaces vienen de contactos que, supuestamente, son de confianza. Es este grado de confianza el que juega a favor de los ciberdelincuentes, por lo que hemos de revisar siempre dos veces como mínimo,  no vayamos a caer víctimas de un engaño.

Josep Albors

@JosepAlbors

Fuente: Eset

Google Docs permite almacenar y distribuir malware. Los delicuentes lo aprovechan

Hace algunos meses pudimos comprobar en una investigación que llevamos a cabo en Segu-Info como Google Docs, Google Drive, así como también Skydrive de Microsoft, y otros servicios de almacenamiento en la nube, permiten almacenar archivos de malware. Y como era posible distribuir exitosamente los vínculos a esos archivos, sin obstáculos.

Decidimos no darlo a conocer en tanto no vimos que esto había sido aún explotado y no parecía muy fácil engañar al destinatario.

Bien, menos de tres meses después de esa investigación, recibimos por una denuncia el primer ejemplar de este tipo de abuso. Se trata de un correo que recibimos en denuncias.


Una captura del correo:

El correo engañoso (un malspam, spam con malware) es tradicional, un falso mensaje que invita a ver el enlacede un pedido inexistente el cual tiene un vínculo a un sitio de buena reputación: Google.com
Con esto los delincuentes consiguen: a) evitar sistemas de filtrado de correo por reputación de los enlaces y b) engañar al usuario mismo.

El enlace es: https://docs.google.com/uc?id=[ELIMINADO] y provoca la descarga de un archivo de nombre Inclusao-Serasa04.com el cual es detectado solo por 10/41 antivirus según el reporte de VirusTotal.

Hasta el momento podemos decir que este archivo es un malware bancario.

Recomendación

Como se ve en este nuevo caso de malspam, es muy importante estar alerta al contexto y recordar no seguir enlaces no solicitados, aún cuando sean de sitios confiables. Hasta Google.com (Docs) está siendo abusado por los delincuentes.

Conclusiones:

En nuestra opinión, los sistemas de almacenamiento en la nube no deberían permitir este tipo de abuso.
Si el correo de Google, Gmail, no permite adjuntar archivos de programas, ejecutables, "por razones de seguridad": 

¿porqué permite Google Docs almacenar y así facilitar la distribución y descarga sin advertencias ni precauciones, de archivos de programa?

Actualización: Se ha informado a Google de lo que entendemos es una falla de diseño.

Raúl de la Redacción de Segu-Info

Phishing: "Alerta Advertencia! Espacio de almacenamiento del buzon ..."

Nos alertan mediante denuncias sobre correos que esá llegando a destinatarios de bancos, y organismos públicos en Argentina, que alegando un alerta de falta de espacio en el buzón de correo, lleva al robo de usuario y contraseña.
El mensaje dice lo siguiente:

Date: Tue, 28 Aug 2012 21:42:59 -0300
From: Administrador del sistema <stella[ELIMINADO]@pjn.gov.ar>
Subject: Alerta Advertencia! Espacio de almacenamiento del buzon ha superado Servicio de TI.

Se ha superado el límite de almacenamiento de 23.432 en su conjunto por su
buzón de correo WEB ITSERVICE / Administrador, y usted va a tener problemas en
el envío de y recibir mails hasta que vuelva a validar. Hay que actualizar
haciendo clic en el link de abajo y llene la información para validar  
su cuenta.

Por favor siga el siguiente enlace o copiar y pegar a su navegador  
para validar
su buzón.

http://tvin.me/corr[ELIMINADO]r  <-- link a sitio FALSO

Advertencia!
Si no lo hace, dará lugar a un acceso limitado a su buzón de correo.
falta de actualización de su cuenta dentro de los tres días de esta
actualización notificación, su cuenta será cerrada permanentemente.

Atentamente,
Servicio de TI
Administrador del sistema
************************************************** **********
Éste es un mensaje de Administración de Servicios de TI. es
no spam. De vez en cuando, de Servicios le enviará tal
mensajes con el fin de comunicar información importante sobre su suscripción.
************************************************** **********
----------------------------------------------------------------
This message was sent using IMP, the Internet Messaging Program.

Los correos electrónicos y sus adjuntos son analizados por equipamiento especial para evitar el ingreso de posibles virus a la red del Poder Judicial de la Nación. Esta revisión será efectuada con periodicidad para mejorar el servicio y detectar la propagación de software malicioso. El análisis NO EFECTUA investigación de contenidos. Gracias por su comprensión. Dirección de Seguridad Informática.

Recomendamos: Si Ud. recibio este mensaje e ingreso sus datos en la página referenciada en el correo, cambie URGENTE su contraseña pues está en manos ajenas.

Actualización 18hs: hemos procedido a comunicarnos con todos los afectados para avisarles que cambien la contraseña de inmediato. En horas publicaremos los detalles y las empresas afectadas.

Actualización 22hs: en base a los datos de los encabezados del correo que recibimos en la denuncia, podemos comprobar que el correo fue enviado desde un equipo del Poder Judicial de la Nación (pjn.gov.ar) a través de uno de los servidores de correo permitidos según el registro SPF para ese dominio.

El enlace del correo, un URL acortado con un servicio registrado hace apenas 2 meses, carga un formulario http://sun[ELIMINADO].com/forms/use/rdf/form1.html alojado en un dominio registrado hace 3 meses y corresponde a un sitio con sólo una página web sencilla.

Ese formulario es el que se presenta al usuario engañado que quiere liberar su correo del "problema" presentado en el falso correo:

Al ingresar sus datos el usuario, además de no solucionar nada (es un engaño), quedan a disposición del delincuente en el mismo sitio los usuarios y contraseñas de correo, como se puede ver aquí:

Actualización 23:40hs:  Según podemos comprobar, usuarios engañados siguen regalando ingresando sus datos de dirección e-mail usuario y contraseña.

Como se puede ver de los últimos cuatro usuarios que ingresaron sus datos, uno sabe que es un engaño.

La lista de entidades afectadas es la siguiente, en donde destaca la gran cantidad de dominios .ORG.AR, EDU.AR y GOB.AR: 

apoc.org.ar	campus.unam.edu.ar	coevical-net.com.ar
conae.gov.ar	consejo.org.ar	coop-her.com
correo.inta.gov.ar	cpafc.org.ar	dna.gov.ar
ed.gba.gov.ar	fce.uncu.edu.ar	fce.unl.edu.ar
fhuc.edu.ar	flacso.org	hsbc.com.ar
htc.gba.gov.ar	iib.unsam.edu.ar	inadi.gov.ar
isparm.edu.ar	macn.gov.ar	mdp.edu.ar
mendoza.edu.ar	ms.gba.gov.ar	nodosud.com.ar
osseg.org.ar	prevind.com.ar	rec.unvm.edu.ar
rectorado.utn.edu.ar	rosario.gov.ar	sanjuan.gov.ar
santafe.edu.ar	senasa.gov.ar	sistemas.frc.utn.edu.ar
supara.org.ar	suteba.org.ar	telpin.com.ar
tucuman.gov.ar	unl.edu.ar	unsam.edu.ar
villamaria.gob.ar

Raúl y Cristian de la Redacción de Segu-Info

Correo Falso

CORREO FALSO: Video de captura de Julian Assange

Hemos recibido en nuestro laboratorio un correo electrónico en el cual se alega la existencia de un supuesto video donde la policía de Gran Bretaña ingresa a la embajada de Ecuador con la finalidad de capturar a Julian Assange.

El correo contiene un enlace hacia el supuesto video pero, en realidad, se inicia la descarga de un archivo ejecutable que es detectado por ESET NOD32 Antivirus como: Dorkbot.

Pudimos comprobar que 

este código malicioso, el cual corresponde a una botnet con fuerte presencia en Latinoamérica, descarga un archivo con un listado de URLs correspondientes a importantes bancos de Ecuador, Colombia y Chile.

El objetivo principal es redireccionar a la víctima hacia varios sitios de phishing para poder robar sus datos bancarios.

Para más información: http://eset.la/PZWfY5