06/07/06 12:20:42
LAS MEMORIAS USB INTRODUCEN NUEVOS RIESGOS DE SEGURIDAD PARA LAS EMPRESAS
Mercè Molist
Está demostrado que los dispositivos portátiles de
almacenamiento de datos, como los CDs o las memorias USB, pueden servir
para el robo de información por parte de empleados desleales.
Menos conocida es su utilidad para introducir programas maliciosos en
los ordenadores de una empresa. Con un sencillo experimento, una
consultora norteamericana consiguió que diversos trabajadores
enchufasen en sus equipos una memoria USB que activó un
peligroso espía.
Se había hecho pruebas parecidas con CDs: se regalan a
directivos y, cuando éstos los introducen en sus ordenadores,
instalan un código malicioso que roba información
sensible. Pero no todos caían en la trampa. Las memorias USB
tienen un atractivo añadido: además de los documentos que
puedan contener, que provocan la curiosidad de la víctima, son
objetos más codiciados porque se pueden reutilizar.
Así lo entendió la empresa Secure Network Technologies, a
la hora de diseñar una auditoría de seguridad para una
entidad financiera norteamericana: diseminaron 20 memorias USB por las
instalaciones, como el aparcamiento o la zona de fumadores. Cada
memoria contenía un programa troyano, escondido dentro de una
imagen, que se autoinstalaba en el ordenador, robaba las
contraseñas y la información personal del empleado, como
los sitios a los que se había conectado, y enviaba los datos a
los expertos en seguridad.
El éxito fue rotundo: 15 memorias USB acabaron conectadas a los
ordenadores de la empresa. Steve Stasiukonis, vicepresidente de la
consultora, explica: "Observábamos a los empleados por el
sistema de videovigilancia y era realmente divertido ver sus reacciones
cuando encontraban la memoria USB y cómo la conectaban a sus
ordenadores nada más volver a sus mesas. Los datos que
recolectamos nos ayudaron a entrar en otros sistemas de la
compañía".
Stasiukonis, un experto en el arte de engañar a la gente para
asaltar sus ordenadores, asegura: "En todas las auditorías de
ingeniería social que hemos realizado en los últimos
años, siempre hemos corrido el riesgo de ser atrapados,
detenidos por la policía o no conseguir nada de valor. El
método USB ha sido francamente el más fácil". Un
estudio de la consultora Yankee Group lo confirma: el año
pasado, un 37% de empresas norteamericanas sufrieron robos de
información mediante memorias USB.
Este nuevo problema de seguridad se enmarca en un cambio de
comportamiento de la criminalidad informática. En los
últimos años, se realizaban ataques indiscriminados,
mediante envíos masivos de correo electrónico con virus,
que afectaban por igual a compañías y particulares. Esta
tendencia empezó a cambiar en 2005, cuando bajaron los virus a
gran escala y crecieron los ataques dirigidos a empresas concretas,
como reseña el "2005 Global Business Security Index Report" de
IBM.
Social Engineering, the USB Way
http://www.darkreading.com/document.asp?doc_id=95556&WT.svl=column1_1
USB drives pose insider threat
http://www.securityfocus.com/news/11397/1
IBM 2005 Global Business Security Index Report
http://www-03.ibm.com/press/us/en/pressrelease/19141.wss
Copyright 2006 Mercè Molist.
Verbatim copying, translation and distribution of this entire article
is permitted in any digital medium, provided this notice is preserved.
<<