El Congreso Iberoamericano de Seguridad pide constante vigilancia y actualizaci¨®n

"Internet es un mundo de absoluta impunidad", denunci¨® el magistrado del Tribunal Supremo, Jos¨¦ Manuel Maza, en el primer Congreso Iberoamericano de Seguridad y Desarrollo de la Sociedad de la Informaci¨®n, celebrado en Madrid. Lo confirmaron algunos de los primeras espadas en el amplio frente de la inseguridad tecnol¨®gica.

La C¨¢tedra Applus+ de la Universidad Polit¨¦cnica de Madrid, la primera en Espa?a sobre seguridad inform¨¢tica, organiz¨® la reuni¨®n, donde destac¨® la intervenci¨®n de Maza quien se maravill¨® de que "con lo f¨¢cil que es defraudar en Internet, el fraude es porcentualmente peque?o".

Maza denunci¨®: "La Justicia tiene graves dificultades para perseguir y castigar los delitos inform¨¢ticos". Sobre todo a la hora de investigarlos e identificar a sus autores: "No entiendo c¨®mo para dormir en un hotel me toman los datos y, para usar un ordenador en un cibercaf¨¦, no hay ning¨²n control".

El juez lo achac¨® a las lagunas legislativas, como que no existe regulaci¨®n para la obtenci¨®n de pruebas, la falta de peritos inform¨¢ticos, los pocos medios de la polic¨ªa y las carencias de formaci¨®n de jueces y fiscales: "No tenemos cursos, s¨®lo algunos aislados, cuando deber¨ªa ser una materia constante".

eDNI para bonob¨²s

Destac¨® tambi¨¦n la ponencia de Carlos Jim¨¦nez, de Secuware, sobre el DNI electr¨®nico, quien lo present¨® como la panacea contra el robo de identidad en la Red y "una gran oportunidad para exportar tecnolog¨ªa espa?ola", pues son pocos los pa¨ªses europeos que lo tienen. Jim¨¦nez propuso usarlo como entrada para grandes eventos, en banca virtual, para rellenar formularios o incluso como bonob¨²s. "Hay 100.000 eDNI en la calle y en 2007 habr¨¢ cuatro millones", vaticin¨®.

Los asistentes criticaron un¨¢nimemente la seguridad de este DNI: su dise?o no es p¨²blico, los algoritmos que usa son viejos y hay poca informaci¨®n. Jim¨¦nez respondi¨®: "Me apuesto 100.000 euros a que nadie rompe el sistema en 16 a?os". Y a?adi¨®: "Es m¨¢s probable que me caiga un meteorito encima a que rompan los algoritmos".

La banca fue otra protagonista. Jos¨¦ Manuel Colodr¨¢s, de ING Direct, advirti¨® de una nueva estafa: "Hay gente que juega en casinos virtuales y despu¨¦s denuncia al banco que alguien ha usado su tarjeta en el casino, para que le devuelvan el dinero". Colodr¨¢s tambi¨¦n denunci¨®: "Nos usan como intermediarios del phishing. Hay clientes que utilizan sus cuentas para mandar dinero fraudulento a pa¨ªses del este. Si les descubrimos, rompemos la relaci¨®n contractual con ellos".

Jes¨²s Cea, de Hispasec, explic¨® que el gran peligro para la banca no es el phishing sino los troyanos: "S¨®lo en octubre detectamos 3.000 contra m¨¢s de 30 entidades espa?olas".

Estos programas infectan el PC al descargar algo de un sitio web o visitarlo, aprovechando un fallo del navegador. Graban las pulsaciones del teclado o im¨¢genes de la pantalla, cuando la v¨ªctima accede al banco. "Antes te llegaban por correo y pod¨ªas filtrarlos, pero ahora te mandan un spam con un enlace al sitio".

Seg¨²n Cea, "las barras anti-phishing no funcionan, los antivirus y suites de seguridad no detectan los troyanos, los teclados virtuales no sirven para nada si tienes uno. Nada est¨¢ a prueba de bombas y s¨®lo es seguro lo nuevo, que pronto caer¨¢".

El experto critic¨® a la banca: "Les diagnosticas el problema y no lo solucionan porque tienen que cambiar cosas y dicen que nadie se ha quejado". Les pidi¨® implicaci¨®n en la lucha contra el phishing, dando listas de enlaces maliciosos, y transparencia sobre los costes del fraude en l¨ªnea. Seg¨²n RSA Security, Espa?a es el segundo pa¨ªs m¨¢s afectado del mundo.

Las empresas tambi¨¦n recibieron mensajes. "El discurso de la seguridad debe ser de negocio, no tecnol¨®gico", seg¨²n Laura Prats, de Applus+. "Los problemas de seguridad no son t¨¦cnicos sino de gesti¨®n", dijo Juan Miguel Velasco, de Telef¨®nica. "La direcci¨®n es la primera responsable de la inseguridad", remat¨® Jeimy Cano, consultor del Banco de la Rep¨²blica de Colombia.

"Hay que aprender a desaprender las pr¨¢cticas de riesgo", dijo Cano y critic¨® que las empresas inviertan en zonas como la red y su per¨ªmetro, con menos vulnerabilidades que los datos y las aplicaciones, en cambio desatendidos. Cano advirti¨® contra herramientas que borran los rastros de los intrusos, como los navegadores que no dejan huella, el cifrado de discos por hardware o la manipulaci¨®n de la memoria del equipo y parafrase¨® al hacker Simple Nomad: "Si sabemos c¨®mo funcionan las herramientas forenses podemos controlar la direcci¨®n de la investigaci¨®n forense".

Nuevos problemas

Gonzalo ?lvarez Mara?¨®n, del CSIC, explic¨® que la Web 2.0 "acarrea los problemas de antes, m¨¢s otros", como el cross-site-scripting, al que son vulnerables el 80% de sitios: "Permite modificar el contenido y robar las credenciales de un usuario, sus cookies o lo que escribe en formularios".

Mara?¨®n avis¨® contra los gusanos que entran en el PC cuando se visita un web 2.0 infectada: "Son los m¨¢s r¨¢pidos y limpios de la historia. En 20 horas, uno en Myspace infect¨® a m¨¢s de un mill¨®n de usuarios". El investigador destac¨® su dif¨ªcil detecci¨®n y recomend¨®: "No clicar en enlaces sospechosos".

Fernando Bahamonde, de ISSA, aport¨® el punto de alta seguridad: el espionaje de las radiaciones electromagn¨¦ticas de los equipos: "Con un equipo comprado en eBay capturamos el tr¨¢nsito de datos de una oficina a 200 metros. Los profesionales lo hacen a dos kil¨®metros".

Tambi¨¦n explic¨® que en Internet hay planos gratuitos de microondas modificados y rifles direccionales de pulsos electromagn¨¦ticos, que pueden comprarse ya montados por 1.500 euros, cuya potencia "freir¨ªa el Centro de Proceso de Datos de una compa?¨ªa". Otra realidad son las bombas electromagn¨¦ticas que "cuestan 400 euros y destruyen los equipos en 1,5 kil¨®metros".

Chema Alonso, experto en seguridad de Windows, cerr¨® la reuni¨®n con un asalto a bases de datos SQL en producci¨®n y consigui¨®, en segundos, nombres y datos de sus usuarios. Alonso concluy¨®: "Muchos ataques no podr¨ªan hacerse si hubiesen aplicado la Ley de Protecci¨®n de Datos".