Carrier Level Immutable Protection (CLIP): nuestra tecnología segura y confiable para el empoderamiento de operadores

martes, 26 de marzo de 2019

Tras un año desde la firma de nuestro acuerdo de colaboración con Rivetz, donde sentábamos las bases para la creación de un nuevo modelo descentralizado para mejorar la seguridad y el control de los datos, nos encontramos en posición para hablar de los primeros prototipos de una tecnología concebida para proporcionar seguridad en todos los dispositivos móviles que dispongan de una SIM de Movistar, y para ello hemos utilizado unos componentes hardware ya presentes en miles de millones de dispositivos, los entornos de ejecución confiables (Trusted Execution Environments – TEE).

Alianza ElevenPaths seguridad móvil imagen

Una investigación de ElevenPaths en la Digital Crimes Consortium y DIARIO en la RootedCON

lunes, 25 de marzo de 2019

La Unidad de Delitos Digitales de Microsoft invita a las fuerzas del orden a unirse con expertos y profesionales de la seguridad en el encuentro privado anual "Digital Crimes Consortium". Después de participar en 2015, el área de innovación y laboratorio en colaboración con el área de Threat Intelligence, acude con una investigación a Lisboa del 25 al 27 de marzo.

Microsoft Digital Crimes Unit imagen

En CDO buscamos talento como tú

Desde la Unidad de Chief Data Office de Telefónica, liderada por Chema Alonso, buscamos a gente con talento para que forme parte de un equipo joven, y con ganas de afrontar nuevos retos profesionales, en nuestras oficinas de Madrid. Si te apasiona la tecnología, esta oferta de empleo es para ti #TalentoTelefónica.



#CodeTalks4Devs: iBombShell: pentesting en cualquier lugar por Pablo González Pérez

miércoles, 20 de marzo de 2019

¡Nuevo #CodeTalks4Devs!

Nuestro experto, Pablo González, dirige esta nueva entrega de nuestros webinars gratuitos para desarrolladores. Pablo es un experto reconocido en el sector de la ciberseguridad que, recientemente, ha presentado la versión 0.2b de la herramienta gratuita y open source iBombShell, con interesantes mejoras y nuevas funcionalidades. Esta herramienta se ha desarrollado desde el departamento de Ideas Locas del área de CDO de Telefónica con nuestro laboratorio de Innovación.

El segundo webinar de la temporada trata precisamente sobre la herramienta iBombShell, y de cómo hacer pentesting desde cualquier lugar, simplemente teniendo acceso a un ordenador con un Powershell instalado. Aprende a utilizar la herramienta y a desarrollar todas sus capacidades en este webinar, tú mismo puedes aportar y participar en este proyecto open source. ¡No pierdas detalle!

Disponible a partir de las 15:30h (CET) del 20 de marzo.

 

Primer capítulo de la temporada ya disponible:

» Latch Voice: jugando con los asistentes de voz y Latch por Álvaro Núñez - Romero.

Más información sobre iBombShell:
» Liberamos iBombShell 0.0.1b en el repositorio de Github de ElevenPaths
» Whitepaper de iBombShell

La falacia de la tasa base o por qué los antivirus, filtros antispam y sondas de detección funcionan peor de lo que prometen

martes, 19 de marzo de 2019

Antes de empezar la jornada, mientras saboreas tu café de la mañana, abres tu fuente favorita de información sobre noticias de ciberseguridad. Te llama la atención un anuncio de un vendedor de sistemas de detección de intrusiones:

¡NUESTRO IDS ES CAPAZ DE DETECTAR EL 99% DE LOS ATAQUES!

"Hmmm, no está mal", piensas, mientras das otro sorbo a tu café. Deslizas los ojos por unas cuantas noticias más y te aparece un nuevo anuncio sobre IDSs de otro fabricante:

¡NUESTRO IDS ES CAPAZ DE DETECTAR EL 99,9% DE LOS ATAQUES!

Así, a primera vista, ¿cuál de los dos IDSs es mejor? Parece una perogrullada: obviamente será mejor el que más ataques detecta, o sea, el que detecta el 99,9% de los ataques frente al 99%.

¿O no? Te lo voy a poner aún más fácil. Imagina que encuentras un tercer anuncio:

¡NUESTRO IDS ES CAPAZ DE DETECTAR EL 100% DE LOS ATAQUES!

Ahora sí que sí: ¡este IDS es la bomba! ¡Lo detecta todo!

Un repaso a las mejores técnicas de hacking web que nos dejó el 2018 (II)

lunes, 18 de marzo de 2019

La semana pasada publicamos la primera parte del ranking de mejores técnicas de 2018, y hoy os traemos la segunda. Recordemos, se trata de una clasificación ajena al OWASP Top 10, más enfocada a resaltar aquellas técnicas asociadas a las aplicaciones web que se publicaron a lo largo de 2018. La seguridad web es un campo en continuo movimiento y agitación. Cada día, salen a la luz nuevos fallos en frameworks, bibliotecas o aplicaciones conocidas y muy usadas; si bien muchas de ellas ni tan siquiera llegan al rango de obtención de un CVE, un grupo de ellas tiene el privilegio de descubrir una nueva técnica o mejorar ostensiblemente alguna de las existentes.

¿Cómo hemos vivido la RSA Conference 2019? Haciendo la seguridad más humana

viernes, 15 de marzo de 2019


Con motivo de la RSA Conference 2019, del 4 al 8 de marzo estuvimos participando con nuestro estand, en la XXVIII edición de este gran evento de ciberseguridad que se celebra cada año en San Francisco. Presentamos nuestra propuesta de valor #HumanizingSecurity y mostrando las demos más punteras en las que hemos estado trabajando este año. 

Durante estos días, más de cuarenta compañeros de todo el equipo de seguridad de Telefónica (todos los equipos del área global de ElevenPaths - producto, marketing, alianzas, go to market, go to customer - junto con responsables de operaciones, producto y de los SOCs de varias OBs y seguridad interna) estuvieron en el estand con reuniones y citas con analistas, clientes y  partners.

Un repaso a las mejores técnicas de hacking web que nos dejó el 2018 (I)

martes, 12 de marzo de 2019

Nos encantan las listas, ¿verdad? En seguridad de aplicaciones web tenemos la muy conocida OWASP TOP 10, en la que un grupo de expertos en seguridad web de varias organizaciones colaboradoras discuten y votan cada cierto tiempo los riesgos más importantes que afectan a estas. La última revisión corresponde a la publicada en el año 2017.

Si bien se trata de una lista que refleja muy bien cómo van evolucionando los riesgos en el ámbito web, el rapidísimo ritmo al que evolucionan las tecnologías web hace que “la foto” que nos muestra quede obsoleta en un breve espacio de tiempo. Además, el top de OWASP no se centra en ataques concretos sino en categorías, abstracciones de diversas clases de vulnerabilidades que poseen uno o varios elementos en común.

La lucha de Windows contra la ejecución de código: Éxitos y fracasos (VII): Attack Surface Reduction

lunes, 11 de marzo de 2019

Resulta complicado entender todo el entramado que está montando Microsoft alrededor de Windows 10, con medidas de seguridad cada vez más integradas y complejas. Es muy positivo, sino fuera porque algunas medidas están adquiriendo una complejidad tal que para el usuario medio (poco instruido en seguridad) le resultan poco menos que esotéricas, incompresibles y por tanto, inútiles si no están activadas por defecto (que muchas no lo están). Seguimos hablando en esta entrega del ASR y sus diferentes "recetas".

  • Bloquear la ejecución de scripts potencialmente cifrados
5BEB7EFE-FD9A-4556-801D-275E5FFC04CC

No ofrecen mucha información de cómo detectan que un script se encuentra "cifrado", en realidad quieren decir que se encuentren ofuscados, como bien se desprende de su versión en inglés ("Block execution of potentially obfuscated scripts"). Para sus pruebas en ExploitGuard Demo (herramienta ya retirada de la que hablamos en la entrada anterior), Microsoft usaba esto (aunque parezca raro):
 
ExploitGuard Demo imagen

Celebramos contigo el Día de la Mujer

viernes, 8 de marzo de 2019

Hoy, 8 de marzo, es el Día de la Mujer y queremos celebrarlo con todos vosotros. Desde Telefónica, hemos preparado este vídeo en el que cuatro mujeres, de distinta edad y con diferentes vivencias y entornos laborales, nos cuentan cómo ven el papel de la mujer en la tecnología, qué papel juega la tecnología en sus vidas y quiénes son sus referentes en este ámbito.

Os dejamos el vídeo aquí, ¡no te lo pierdas! #DíadelaMujer #SomosDiversos


Lazarus, levántate y camina…(Parte I)

jueves, 7 de marzo de 2019

Haciendo alusión a la frase celebre que le dice Jesús a Lázaro cuando lo resucita quiero partir este post, pero en este caso el protagonista no es el personaje bíblico, si no un grupo cibercriminal norcoreano, y “levántate y camina” calza perfectamente con el fenómeno que esta ocurriendo en Chile y Latinoamérica, ya que este grupo de ciberdelincuentes se esta alzando y con fuerza, por si no lo sabían, al grupo norcoreano Lazarus, se le adjudican una serie de campañas y ataques desde el 2007.

El ataque más antiguo que se puede atribuir al Grupo Lazarus tuvo lugar en 2007. Este ataque fue denominado "Operación Llama" o "Operation Flame" en ingles y utilizó malware de primera generación contra el gobierno de Corea del Sur. Según algunos investigadores, la actividad presente en este ataque puede vincularse a ataques posteriores como "Operación 1Misión", "Operación Troya" y los ataques DarkSeoul en 2013. 

#CodeTalks4Devs: Latch Voice: jugando con los asistentes de voz y Latch por Álvaro Núñez-Romero

miércoles, 6 de marzo de 2019

¡Vuelven los #CodeTalks4Devs!

La tercera temporada de nuestros famosos webinars ya está aquí. Si eres un habitual de estas charlas no necesitas explicación, pero para todos aquellos que no estéis familiarizados con estos talks, se trata de webinars gratuitos destinados a desarrolladores e interesados en seguridad informática. 

El lado oscuro de la impresión 3D: desafíos, riesgos y usos maliciosos (II)

martes, 5 de marzo de 2019

La tecnología de impresión 3D está revolucionando los procesos de fabricación y sus entusiastas imaginan un futuro donde cada hogar y empresa tenga al menos uno de estos dispositivos, lo que transformaría la forma en que producimos, consumimos y reciclamos los objetos. Ahora bien… ¿Qué riesgos de ciberseguridad son los más probables en este escenario? Espionaje, malware, destrucción, creación de armas… Tras analizar la modificación no autorizada de archivos de impresión y la modificación de software o firmware, veamos el resto.

Exposición a internet o redes inseguras
Al conectar una impresora 3D a Internet, se convierte automáticamente en un dispositivo IoT. Cualquier acceso a la red que posea, ya sea directamente o a través de un middleware, aumenta la superficie de ataque y la expone a nuevas debilidades de seguridad. Como ejemplo de lo anterior podemos mencionar Octoprint, que es un proyecto open source para la administración web remota de impresoras 3D. Este software se conecta a la impresora y permite desde iniciar nuevos trabajos de impresión hasta ver y grabar una impresión actual desde una cámara web. Recientemente se reportó a Octoprint un fallo en su software de administración de impresoras por el cual si Octoprint está expuesto a Internet y no bien configurado, un usuario no autorizado podría obtener acceso de administrador a este software y, en consecuencia, a la impresora 3D. Al margen de los problemas en la industria, imaginemos por si fuera poco que una impresora 3D en el hogar, en manos de atacantes que modifiquen malintencionadamente su configuración, podría sobrecalentarse, fundirse, generar un cortocircuito o quedar fuera de servicio. También podría ser usada para cargar archivos de impresión maliciosos como el mencionado en la vulnerabilidad del Firmware Marlin, que permitieran tomar control de equipo.

Software Octoprint imagen

En busca del phishing perfecto capaz de engañarte incluso a ti

lunes, 4 de marzo de 2019

Lanzas al aire una moneda (sin trucar) seis veces seguidas: ¿cuál de las tres secuencias siguientes crees que es más probable, representando "cara" con un 1 y "cruz" con un 0?

    1. 1 0 1 0 1 0
    2. 1 1 1 1 1 1
    3. 1 0 1 1 0 1

La mayoría de la gente elige la tercera secuencia, 1 0 1 1 0 1, porque parece más aleatoria. Las dos primeras parecen demasiado ordenadas y no coinciden con nuestra idea intuitiva de aleatoriedad. En realidad, las tres secuencias son equiprobables, con una probabilidad de (1/6)6. Pero como estamos más acostumbrados a ver secuencias desordenadas que ordenadas (porque de hecho hay más), de alguna manera la tercera secuencia es la que mejor representa nuestra imagen preconcebida de cómo debe ser la aleatoriedad.

Eventos en los que participamos en el mes de marzo

viernes, 1 de marzo de 2019

Eventos Ciberseguridad marzo imagen

Llega el nuevo mes y con él nuevos eventos. Marzo viene cargado de eventos importantes así que ¡apúntatelos y no te los pierdas, hacker!

Biometría: cómo funciona el reconocimiento facial y qué aplicaciones tiene

jueves, 28 de febrero de 2019

¿Qué es una biometría?
Una biometría es una prueba basada en patrones físicos de las personas, permiten diferenciar unas personas de otras y establecer un perfil: edad, sexo y estado de ánimo.

Para realizar una prueba biométrica necesitamos partir de un modelo entrenado con datos etiquetados. Entrenar un modelo consiste en añadir datos etiquetados con la información que les haga ser valiosos. Por ejemplo, una foto puede tener información de la edad, el género, si estás enfermo/a, localización, etc. Generalmente hacemos muchas fotos que confirman estos datos.

Reconocimiento facial imagen

GSMA IoT Security Champion: Premio a nuestro equipo de Seguridad IoT

miércoles, 27 de febrero de 2019

¡Estamos de enhorabuena! Nuestro equipo de Seguridad IoT, dedicado a ciberseguridad especializada en el cada vez más relevante mundo del Internet of Things, ha recibido un merecido premio por su contribución a la difusión y a la aplicación de las guías de seguridad IoT de la GSMA, entidad que representa los intereses de las operadoras móviles más importantes de todo el mundo y encargada de los eventos Mobile World Congress alrededor del mundo, entre los cuales se encuentra el de Barcelona que se celebra esta semana.

GSMA IoT Security Champion premio imagen

El lado oscuro de la impresión 3D: desafíos, riesgos y usos maliciosos (I)

martes, 26 de febrero de 2019

La tecnología de impresión 3D está revolucionando los procesos de fabricación, sus entusiastas ya  imaginan un futuro donde cada hogar y empresa tenga al menos uno de estos dispositivos, lo que transformaría la forma en que producimos, consumimos y reciclamos los objetos. Ahora bien…¿qué riesgos de ciberseguridad son los más probables en este escenario? Espionaje, malware, destrucción, creación de armas…Vamos a analizarlos.

Tabla impresión 3D imagen
Tabla de impresión 3D

Cómo bloquear la nueva ola del malware Emotet escondida en formato XML (y cómo funciona)

lunes, 25 de febrero de 2019

Está en las noticias: Emotet es la amenaza de moda que se propaga con éxito a través de modelos de finales de los 90 (sí, en 2019). Sí, con macros. Emotet es complejo de explicar, pero iremos por partes. Últimamente ha tomado una decisión inteligente: seguir con las macros pero en un formato de Word relativamente poco conocido (efímero y en desuso) pero al que por supuesto Microsoft sigue dando soporte desde hace tres lustros. Esto le está proporcionando un gran éxito pero (y esto es lo bueno) también un punto débil.

Protected document imagen

SOC de Telefónica: la Unidad de Seguridad Informática que nunca descansa

viernes, 22 de febrero de 2019

¿Conoces el SOC de Telefónica? ¿Sabes qué hacemos desde estos Centros de Operaciones de Seguridad? ¿Cuánta gente trabaja 24x7 todos los días del año? La historia del SOC de Telefónica en España se remonta a hace más de 15 años, cuando la seguridad en el mundo digital era una preocupación de unos pocos excéntricos y de algunas pocas empresas.

Finaliza el proceso de selección ElevenPaths CSE. ¡Gracias a todos!

jueves, 21 de febrero de 2019

En primer lugar nos gustaría agradecer la gran acogida e interés que el programa ElevenPaths CSE ha tenido entre toda la comunidad. Hemos recibido una gran cantidad de consultas y de postulaciones al programa. Muchas consultas incluso se realizaban desde países en los que el programa no estaba disponible, animándonos a abrirlo en sus países de origen, ya que les parecía un proyecto muy interesante y con recorrido.

Desde ElevenPaths queremos dar las gracias a todas las personas que habéis querido participar en este programa de reconocimiento que hemos lanzado tanto en España como en Ecuador. 

Programa ElevenPaths CSE imagen

Si quieres cambiar los hábitos de seguridad de tus empleados no apeles a su voluntad, cambia su entorno

martes, 19 de febrero de 2019

Estás en una cafetería, necesitas conectar tu smartphone a una WiFi, miras tu pantalla y ves estas opciones, supón que conoces o puedes pedir la contraseña en caso de que se te exigiera una. ¿Qué WiFi elegirías?

Listado redes WiFi imagen

Dependiendo de tu nivel de concienciación en seguridad, irías a por la primera: mi38, que parece tener la mejor cobertura, o a por v29o, que no está mal de cobertura, pero es segura y pide contraseña. Imagina que estás en la misma cafetería, pero en la pantalla de tu smartphone aparece esta nueva pantalla de listado de redes WiFi disponibles. ¿Cuál elegirías ahora?


ElevenPaths crea un addon para que Firefox sea compatible con Certificate Transparency (porque Firefox sigue sin hacerlo)

lunes, 18 de febrero de 2019

Certificate Transparency es ya obligatorio en Chrome para los nuevos certificados creados desde finales de 2017. Esto significa que se mostrará una alerta en las páginas protegidas por certificados que no estén presentes en los logs que Chrome comprueba para esa fecha. Ningún otro navegador soporta Certificate Transparency todavía. Firefox lleva años intentándolo, pero no ha podido conseguirlo por problemas de rendimiento que no ha solucionado. Veamos qué hemos hecho y por qué.

Connection not private alert imagen

RSA Conference 2019

miércoles, 13 de febrero de 2019

Todos los años marcamos en nuestro calendario de eventos una fecha muy especial: nuestra participación en la RSA Conference 2019. Desde su primera edición en 1991, el número de visitantes ha crecido sin parar hasta convertirse en uno de los eventos de seguridad de la información más importantes del mundo. Como otros años, la RSA Conference tendrá lugar en el Moscone Center, situado en el corazón de San Francisco, EEUU, desde el próximo 4 al 8 de marzo.

RSA Conference 2019 imagen

Las cualidades de nuestra tecnología SmartPattern en ICISSP 2019

martes, 12 de febrero de 2019

La última investigación en materia de identidad, realizada desde el área de Innovación y Laboratorio de ElevenPaths, junto con la Universidad de Piraeus (Grecia) ha sido aceptada para participar en la 5th International Conference on Information Systems Security and Privacy (ICISSP 2019). La conferencia tendrá lugar a finales de este mes en Praga, donde el equipo presentará los resultados.

ICISSP 2019 imagen

La lucha de Windows contra la ejecución de código: Éxitos y fracasos (VI): Attack Surface Reduction

lunes, 11 de febrero de 2019

Es complicado entender todo el entramado que está montando Microsoft alrededor de Windows 10, con medidas de seguridad cada vez más integradas y complejas. Es muy positivo, si no fuera porque algunas medidas están adquiriendo una complejidad tal, que para el usuario medio (poco instruido en seguridad), le resultan poco menos que esotéricas, incompresibles y por tanto, inútiles si no están activadas por defecto (que muchas no lo están). Hablamos en esta entrega del ASR: Attack Surface Reduction, que comenzó como un sistema de bloqueo de carga de DLLs en EMET, pero que ahora pretende frenar ataques muy concretos de forma muy específica. No dispone de interfaz gráfica, pero es bastante potente.

Como ya examinamos, ASR se incluyó en EMET 5 en 2014, funcionaba sin interfaz gráfica de manera muy arcaica. Luego se mejoró su fórmula y su manejo, como introdujimos en la primera parte de La lucha de Windows contra la ejecución de código: Éxitos y fracasos.

Analizando el impacto de las vulnerabilidades FakesApp y descifrando el tráfico de WhatsApp Web con “Whatsapp Decoder” (Parte 2/2)

jueves, 7 de febrero de 2019

Retomamos el post anterior, en el cual realizamos la introducción a las vulnerabilidades FakesApp publicadas por los investigadores de Check Point y descubrimos el proceso para poder instalar la extensión WhatsApp Decoder y descifrar correctamente el tráfico de WhatsApp. En este punto, si quisiésemos replicar el ataque, el proceso a seguir sería: cambiar la cadena de texto entrante de un mensaje descifrado por la que queremos, modificar varios parámetros, cifrar el mensaje de nuevo, copiarlo a la extensión en base64, decodificarlo y por último, enviarlo.

Veamos el proceso para comprobar qué sucede. El siguiente mensaje pertenece a una conversación que mantenía con mi padre durante el rato que preparaba las capturas para este post:

whatsapp decryption and encryption imagen

No confundas la frecuencia de un incidente con la facilidad con que lo recuerdas

martes, 5 de febrero de 2019

Imagina que ha habido un par de robos con violencia en dos parques de tu ciudad y que durante días están acaparando todos los medios de comunicación. Esta tarde te gustaría salir a correr al parque junto a tu casa por lo que estos incidentes acudirán rápidamente a tu memoria, provocando que pienses en la probabilidad de ser víctima de un robo (o algo peor) en tu parque, tu mente asociará lo siguiente:

¡¡¡Parque = Peligro!!!

Las imágenes que has visto en TV y en Internet harán que sobrestimes la probabilidad de que tú mismo seas la próxima víctima en otro parque cualquiera de otra ciudad. Como consecuencia, podrías evitar correr por el parque junto a tu casa (o cualquier otro parque) hasta que el eco mediático se apague. Sólo cuando dejes de pensar «¡¡¡Parque = Peligro!!», volverás a frecuentar los parques.

Información racional imagev

Se filtra la mayor colección de usuarios y contraseñas... o no (II)

lunes, 4 de febrero de 2019

En el anterior artículo nos enfocamos en analizar desde un punto de vista crítico el contenido de estos archivos, es decir, clarificar que cuando se anuncia un leak masivo de millones de contraseñas no todo es lo que parece. Al fin y al cabo lo que se ha filtrado es la colección de leaks, acumulados con el tiempo por un cierto grupo o individuo.

El leak estudiado posee 640 Gb de contenido. Debemos aclarar que no se trata exclusivamente del leak denominado "Collection #1" o los siguientes en aparecer "Collection #2" y sucesivos (más conocidos mediáticamente). Este tipo de colecciones están presentes en Internet, en distintos foros o colgadas en servidores a los que cualquiera, con un poco de paciencia, puede acceder.

Eventos en los que participamos durante el mes de febrero

viernes, 1 de febrero de 2019

Eventos en los que participamos durante el mes de febrero imagen

Ya estamos en febrero y volvemos a abrir el mes con nuestro post de conferencias y eventos en los que participan nuestros expertos. No te pierdas el listado de este mes que viene cargadito, ¡saca la agenda y que no se te escape ninguno, hacker!

El futuro post-cuántico está a la vuelta de la esquina y aún no estamos preparados

martes, 29 de enero de 2019


Que cada año contemos con ordenadores más potentes con capacidad de cálculo cada vez mayor: ¿es bueno o malo? Piénsalo bien antes de responder. 

Depende, si la seguridad de la información de todo el planeta se basa en la complejidad computacional de ciertas funciones, que los ordenadores se vuelvan cada vez más rápidos será una muy, muy mala noticia.

De hecho, la espada de Damocles se cierne sobre nuestros sistemas de cifrado de clave pública: RSA, DSA, ECDSA. Su seguridad depende de la dificultad de resolver ciertos problemas matemáticos considerados hoy en día intratables, como la factorización de grandes números enteros o el logaritmo discreto. La gran promesa de la computación cuántica es que dichos problemas matemáticos se resolverán con rapidez. ¿Está herida de muerte la criptografía? ¿Hay esperanza para el mundo? ¿Podremos seguir comunicándonos de manera segura tras los primeros ordenadores cuánticos? Vayamos por partes.

Se filtra la mayor colección de usuarios y contraseñas... o no (I)

lunes, 28 de enero de 2019

De vez en cuando, alguien libera, por descuido (o no), una gigantesca colección de archivos de texto con millones de contraseñas en ellos. Un listado casi interminable de cuentas de correo acompañadas de una contraseña o su hash equivalente. Se repiten los titulares en los medios: "Se filtran millones de contraseñas…". Si bien no es un titular falso, algunas veces sí que puede llegar a ser algo engañoso. En concreto hablamos del último “leak” masivo, apodado "Collection #1".

Hemos analizado este último leak gigantesco. Más allá de "Collection #1" que ha trascendido a los medios, nos hemos hecho con un superconjunto con más de 600 gigas de contraseñas. Es tan grande que en nuestros análisis llegamos a contar más de 12.000.000.000 de combinaciones de usuarios y contraseñas en bruto. A priori, un número astronómico pero lo importante aquí es que están "en bruto". ¿Qué queda de interesante tras realizar alguna limpieza? Debemos tener en cuenta que una filtración de una filtración no es una filtración. Si hace meses o años alguien filtró una base de datos de cierto sitio, eso es un leak. Pero si alguien concatena ese archivo con otros y lo publica no es una filtración, simplemente está poniendo a disposición de Internet su colección particular de leaks.

Día Internacional de la Protección de Datos

28 enero día internacional protección de datos imagen
Como viene siendo habitual hoy, 28 de enero, celebramos el Día Internacional de la Protección de Datos. Su celebración está más de actualidad que nunca debido a las numerosas novedades normativas como la recién estrenada en España Ley Orgánica de Protección de Datos y Protección de los Derechos Digitales. 

Dicha ley adapta el derecho español al modelo establecido por el Reglamento General de Protección de Datos (RGPD). Si bien es verdad que no supondrá grandes problemas de adaptación para las empresas, sí que conviene saber que se desarrollan algunos aspectos con más detalle. No es objeto de este post enumerar una lista exhaustiva de los mismos pero sí que queremos destacar algunas de las cuestiones que se especifican en la misma. Entre otros se explica la forma en que debe informarse a los interesados acerca del tratamiento que se realiza de sus datos personales a través de un sistema de capas de informació: la protección de datos de las personas fallecidas, el nuevo régimen sancionador del RGPD, y algunas cuestiones relacionadas con el Delegado de Protección de Datos, como son los supuestos en los que es necesaria su designación por parte de las organizaciones o sus atribuciones. 

Campañas de concienciación para empleados

miércoles, 23 de enero de 2019

Hoy en día está más que aceptado por las empresas que el eslabón más débil en la cadena de la ciberseguridad son los empleados. Son el objetivo de la mayor parte de campañas de ingeniería social, ya sean mediante correos electrónicos que suplantan una web legítima (phishing), mediante llamadas telefónicas suplantando a un técnico de soporte (vishing) o bien mediante ficheros adjuntos llamativos.

Campañas de concienciación as a service imagen

Universidad y empresa: El talento está ahí fuera (I)

martes, 22 de enero de 2019

En ElevenPaths perseguimos el talento. La innovación, en cualquiera de sus formas, se debe nutrir de nuevas ideas, ingenio y originalidad, sin ignorar que todo ese espíritu debe ser enfocado y plasmado en elementos prácticos para el mundo real. No son las grandes ocurrencias las que nos permitirán avanzar en ciberseguridad, sino su ejecución. Por eso es importante participar en programas de formación como Másteres, Cursos de Expertos, Grados y otras iniciativas similares donde el contacto con las ideas y propuestas de los estudiantes aportan un valor diferenciador al sector. ElevenPaths tutoriza y mentoriza muchos de estos proyectos, de forma que los estudiantes realicen desarrollos demandados por el mercado. A su vez, estas actividades son una gran oportunidad para mejorar nuestras capacidades y renovar nuestra visión tecnológica, así como ese espíritu innovador que nos define.

Comenzamos una serie donde destacaremos los proyectos más relevantes sacados de estas colaboraciones con universidades.

Universidad y empresa: El talento está ahí fuera (I) imagen

Comenzamos con dos proyectos tutorizados del Máster en Ciberseguridad por la UCAM (Unversidad Católica San Antonio de Murcia). El primero es una propuesta de Diodo de Datos y el segundo trata sobre la obtención y análisis de IOCs inteligente. Los autores (José Luis Domínguez, y José Luis Sánchez, respectivamente) describen sus proyectos a continuación.

#CyberSecurityPulse, ahora la actualidad técnica se encuentra en nuestro nuevo canal de Telegram

lunes, 21 de enero de 2019

#CyberSecurityPulse imagen

#CyberSecurityPulse nació como una lista de correo de ElevenPaths donde dos veces al mes se repasaba la actualidad de la ciberseguridad. Pero a partir de ahora, se transforma en un canal de Telegram de difusión donde publicaremos una síntesis de las noticias que consideremos más interesantes en el mundo de la ciberseguridad.

Who is Who at ElevenPaths: conoce a Pablo Alarcón

viernes, 18 de enero de 2019

Pablo Alarcón partners imagen

¿Sabías que en ElevenPaths tenemos un equipo de alianzas? Hoy os presentamos a Pablo Alarcón, Global Strategic Alliances Manager de ElevenPaths. En Alianzas se encargan de crear, fortalecer y mantener las relaciones con nuestros principales socios, actividad totalmente necesaria si queremos que la Unidad de Ciberseguridad de Telefónica siga creciendo.

Analizando el impacto de las vulnerabilidades FakesApp y descifrando el tráfico de WhatsApp Web con “Whatsapp Decoder” (Parte 1/2)

jueves, 17 de enero de 2019


Según los investigadores de CheckPoint, las vulnerabilidades descubiertas permitían interceptar y manipular los mensajes que se enviaban, tanto en conversaciones privadas como en grupos. Esto abría la puerta a diferentes tipos de ataques orientados a intentar distribuir fakes news o información falsa utilizando este popular sistema de mensajería. En el post original donde exponían su trabajo, describían tres posibles escenarios de ataque que mostraban cómo combinando las vulnerabilidades descubiertas y la ingeniería social se puede engañar a los usuarios y hacerles llegar contenido falso.

Los mensajes que se podían manipular eran los que se recibían en una sesión WhatsApp Web, al ser transferidos del móvil al navegador. En este momento, el atacante podría interceptar los mensajes que recibía para modificar el contenido enviado por el remitente en su propia sesión de WhatsApp Web. La vulnerabilidad estaba en que, si el atacante respondía al remitente tras haber modificado su mensaje y utilizaba la función de “quote” (la de citar el mensaje en la respuesta), al recibir dicha respuesta el remitente vería en la cita el texto modificado por el atacante, en lugar del que él envió. En esencia, el atacante conseguiría poner palabras en boca del remitente que jamás pronunció. Esto podría generar confusión y algún quebradero de cabeza, aunque el remitente fuera consciente de que él jamás envió el mensaje que aparece como suyo en la cita de la respuesta.

Detectamos una extensión activa desde febrero en Chrome Web Store que roba tarjetas de crédito

martes, 15 de enero de 2019

Hemos detectado una extensión para Google Chrome, aún activa, que roba los datos de los formularios de las páginas que son visitadas por las víctimas. El complemento, que aún se encuentra disponible en el market de extensiones para Chrome, lleva activo desde febrero del año pasado. Está oculto a las búsquedas en la Web Store, y solo puede accederse a través de un enlace que los atacantes están distribuyendo por medio de ataques de inyección de JavaScript en webs que los redirige a él.

Chrome web store Javascript ciberseguridad imagen



#CyberSecurityReport18H2, nuestro nuevo informe periódico sobre ciberseguridad

lunes, 14 de enero de 2019

Es cierto que existen muchos informes sobre tendencias y resúmenes de seguridad, pero en ElevenPaths queremos marcar una diferencia. En el equipo de innovación y laboratorio acabamos de lanzar nuestro propio informe sobre ciberseguridad que sintetiza lo más destacado de la segunda mitad de 2018. Su filosofía es ofrecer una visión global, concreta y útil sobre los datos y hechos más relevantes sobre ciberseguridad. Está pensado para ser consumido tanto por profesionales como aficionados, de una manera sencilla y visualmente atractiva. Explicamos algunos de los datos de esta primera edición, que tendrá continuidad y, sin duda, mejoras futuras.

Aunque actualmente existe una sobreexposición de información sobre ciberseguridad, esto no significa que se entienda, se analice correctamente y por tanto se aproveche esta avalancha de información para mejorar los procesos y ser menos vulnerables. La falta de información es tan perjudicial como su exceso. No solo se debe estar al día e informar, sino que es necesario analizar y saber priorizar, conocer qué es importante y por qué.

Who is Who at ElevenPaths: Marian García

viernes, 11 de enero de 2019

Who is Who at ElevenPaths: Marian García imagen

Después de la vuelta de Navidad, volvemos con nuestra campaña Who is Who para que conozcáis a todas las personas que estamos detrás del gran equipo de ElevenPaths. Hoy presentamos a Marian García, Responsable de Oferta Integrada en Go To Market. ¡Conócela!

GSMA IoT Webinars dedicado a la Seguridad en IoT: “SIM-ply Secure – Leveraging the SIM to Create a Trusted IoT”

jueves, 10 de enero de 2019

Webinar sobre GSMA IoT: SIM-ply Secure - Aprovechando la SIM para crear un IO de confianza imagen

El próximo 23 de enero a las 16:00h, la GSMA presenta este webinar de IoT en inglés dedicado a la Seguridad en IoT: “SIM-ply Secure – Leveraging the SIM to Create a Trusted IoT" , presentado por cuatro profesionales y expertos en seguridad de IoT. Miguel Ángel Recio, IoT Security Product Manager de Telefónica será uno de los expertos que mostrará nuestra línea de trabajo en Telefónica para simplificar a nuestros clientes la administración de credenciales en sus dispositivos IoT. Además de esto, explicaremos cómo podemos proporcionar un servicio basado en nuestros activos de red y en el uso de la SIM como “Root of Trust” seguro para provisionar y almacenar certificados necesarios para interactuar con plataformas IoT en la nube.

No, 2019 no será el año en el que los ordenadores cuánticos acaben con la criptografía que todos usamos

martes, 8 de enero de 2019

ordenadores cuanticos ciberseguridad imagen

¿Qué pasaría si hoy mismo entrara en funcionamiento un ordenador cuántico de varios miles de qubits lógicos y sin errores? Las infraestructuras de clave pública colapsarían. Los secretos del mundo quedarían al descubierto. Reinaría el caos. ¿Cuán lejos o cerca queda ese día? ¿Cómo afectaría a nuestra criptografía? ¿Qué hacer para proteger nuestra información confidencial ante el inminente advenimiento de los ordenadores cuánticos?

IPFS, la nueva web resiliente

viernes, 4 de enero de 2019

IPFS web estructura distribuida imagen

Cuando analizamos detalladamente cómo funciona la entrega de contenido web en la actualidad, nos damos cuenta que las arquitecturas de estos servicios muchas veces son poco eficientes e inseguras. En varios de nuestros talks ya hemos analizado diferentes amenazas y mecanismos de protección pero hoy, queremos hablar de algunos de los problemas y necesidades que nos podemos encontrar al respecto: