Al menos el 47% de las compañÃas listadas públicamente en el Reino Unido (UK), han arriesgado la seguridad de sus negocios y clientes al insertar en sus equipos una memoria portátil de procedencia incierta.
Por Gonzalo Alvarez (*)
Estos son los resultados de una campaña sobre seguridad en UK. El primer paso fue probar cuan fácil era entrar y robar datos. Tuvo como objetivo principal a los directores financieros de los primeros 500 lugares de la lista.
Estas personas recibieron una invitación anónima a la “Fiesta de su vida”. En vez de usar sobres y papel, fueron memorias portátiles (pendrives). El 53% de ellos lo pensaron dos veces y resistieron la tentación de saber más acerca de tan “exclusiva” fiesta. Algunos eligieron no abrirla o directamente no la recibieron.
Las primeras invitaciones llegaron a las oficinas entre las 8 y las 11:30 de la mañana. Unas 70 personas insertaron las memorias a pesar de que se les mostraba un mensaje de advertencia. Dicho aviso pedÃa confirmación para ejecutar una aplicación almacenada en el dispositivo portátil. Esto demuestra la falta de suspicacia por parte de la gente en esos cargos.
Los resultados obtenidos revelan que hay que continuar mejorando el conocimiento que tienen los empleados y sus jefes, sobre la seguridad en las redes. La campaña fue lanzada para destacar los peligros potenciales que pueden existir al insertarse un pendrive de procedencia dudosa, en cualquier red corporativa.
En las palabras de Paul Vlissidis, encargado de la encuesta llevada a cabo por NCC Group, esto revela la necesidad real de incrementar el conocimiento acerca de las protecciones necesarias en esta materia. Esto es un tema muy serio y que deberÃa estar presente hoy en el pensamiento de los hombres de negocios.
Entre las 500 organizaciones listadas, se encuentran bancos, empresas de servicios públicos, de telecomunicaciones, minoristas y medios de comunicación. Todos ellos tienen a su cargo datos confidenciales, financieros e información importante sobre los clientes que manejan.
Actualmente no hay compañÃas que no manejen información secreta. Esto incluye datos financieros, corporativos, de los empleados o inclusive de sus clientes. Este tipo de técnica puede ser fácilmente adoptada por un delincuente informático, teniendo grandes posibilidades de repetirlo en forma exitosa. No solamente podrÃan obtener información sobre los clientes o empleados, sino también robar las identidades correspondientes. Además cabe la posibilidad de que ganen el control completo sobre las cuentas de correo de la empresa, con lo cual no solo accederÃan a mucha información, sino también afectar cualquier trato corporativo. Las posibilidades son infinitas para alguien con intenciones criminales y poco conocimiento técnico.
Un pirata con mayores conocimientos y utilizando un troyano especifico, puede tomar como blanco las credenciales del usuario y un registrador de las teclas pulsadas (keylogger). De este modo, en forma remota accederÃa legalmente a la base de datos protegida, robar todo lo que quisiera, cambiar datos a gusto, utilizarlos para influenciar un negocio entre organizaciones o vender estos a terceros. Una amenaza más factible es implantar un troyano que permita la entrada a la red, permitiendo un ataque completo contra los sistemas.
Tras esta campaña, se planea educar a las compañÃas sobre estas amenazas y la seguridad de las redes en forma externa e interna. Es de suma importancia hoy en dÃa desarrollar una cultura firme sobre seguridad, que abarque estos temas.
Fuente: http://seguinfo.blogspot.com/2007/02/campaa-de-seguridad-arroja-resultados.html