Robos y Fraudes Robos y Fraudes informáticosinformáticos

Córdova Rubina, Sonia MatildeCórdova Rubina, Sonia Matilde

Piminchumo Huari, Raúl AlbertoPiminchumo Huari, Raúl Alberto

Quilca Vilcapoma, Jose GustavoQuilca Vilcapoma, Jose Gustavo

Vilchez Fuentes Rivera, Jennifer Vilchez Fuentes Rivera, Jennifer LissetLisset

Grupo Grupo N°16N°16

2007902220079022

2007709320077093

2007222920072229

2007900820079008

Fraudes y robos Fraudes y robos informáticosinformáticos

““Piratas informáticos robaron información Piratas informáticos robaron información confidencial de los ordenadores de Obama confidencial de los ordenadores de Obama y McCainy McCain””

““La Casa Blanca, asaltada por La Casa Blanca, asaltada por 'piratas' informáticos chinos”'piratas' informáticos chinos”

““Aumentan las pérdidas de datos Aumentan las pérdidas de datos confidencialesconfidenciales””

““Troyano 'indetectable' roba Troyano 'indetectable' roba 500,000 cuentas bancarias virtual500,000 cuentas bancarias virtual””

DefinicionesDefiniciones

DefinicionesDefiniciones

VíctimasVíctimas

Empresas y clientesEmpresas y clientes

El único sistema que está seguro es el El único sistema que está seguro es el que se encuentra debidamente que se encuentra debidamente apagado y dentro de una caja ignifuga apagado y dentro de una caja ignifuga (Gene Spafford)

¿Cuánto pagaría la competencia por ¿Cuánto pagaría la competencia por su información confidencial?su información confidencial?

Clasificación de atacantesClasificación de atacantes

Personal internoPersonal interno

Ex-empleadosEx-empleados

TimadoresTimadores

VándalosVándalos

MercenariosMercenarios

CuriososCuriosos

Según el tipo de persona:Según el tipo de persona:

Clasificación de atacantesClasificación de atacantes

HackerHacker

CrackerCracker

Crasher Crasher

PheackerPheacker

PhishersPhishers

SniffersSniffers

Etc….Etc….

Según el tipo de ataque:Según el tipo de ataque:

Clasificación de atacantesClasificación de atacantes

Según el objetivo del ataque:Según el objetivo del ataque:

DineroDinero

Información confidencialInformación confidencial

Beneficios personalesBeneficios personales

DañoDaño

AccidenteAccidente

Según el objetivo del ataque:Según el objetivo del ataque:

Tipos de ataques más Tipos de ataques más comunescomunes

Errores de conexiónErrores de conexión

AtaquesAtaquesorganizativosorganizativos

Datos restringidos

Infracciones Infracciones accidentalesaccidentales

de la seguridadde la seguridad

AtaquesAtaquesautomatizadosautomatizados

HackersHackers

Virus, Virus, caballos de caballos de

Troya Troya y gusanosy gusanos

Denegación Denegación de de

servicio servicio (DoS)(DoS)

DoSDoS

Software utilizado por Software utilizado por atacantesatacantes

Software malintencionado o “malware” (malicious software): término para designar un programa informático que provoca de forma intencionada una acción dañina para el sistema y/o usuario.

Software malintencionado o “malware” (malicious software): término para designar un programa informático que provoca de forma intencionada una acción dañina para el sistema y/o usuario.

definición clásica Virus Gusanos Troyanos Bombas lógicas

definición clásica Virus Gusanos Troyanos Bombas lógicas

ampliación Spyware Backdoors Keyloggers Dialers RootKits Exploits …

ampliación Spyware Backdoors Keyloggers Dialers RootKits Exploits …

evoluciónevolución

Tipos de malwareTipos de malware

Software utilizado por Software utilizado por atacantesatacantes

Spyware: recolecta y envía información privada sin el consentimiento y/o conocimiento del usuario.Spyware: recolecta y envía información privada sin el consentimiento y/o conocimiento del usuario.

Dialer: realiza una llamada a través de módem o RDSI para conectar a Internet utilizando números de tarificación adicional sin conocimiento del usuario

Dialer: realiza una llamada a través de módem o RDSI para conectar a Internet utilizando números de tarificación adicional sin conocimiento del usuario

Keylogger: captura las teclas pulsadas por el usuario, permitiendo obtener datos sensibles como contraseñas..Keylogger: captura las teclas pulsadas por el usuario, permitiendo obtener datos sensibles como contraseñas..

Adware: muestra anuncios o abre páginas webs no solicitadas.Adware: muestra anuncios o abre páginas webs no solicitadas.

Exploit, Scanners, Rootkits, etc…Exploit, Scanners, Rootkits, etc…

Backdoor: o puerta trasera, permite acceso y control remoto del sistema sin una autentificación legítima.Backdoor: o puerta trasera, permite acceso y control remoto del sistema sin una autentificación legítima.

Sniffing: la habilidad de un agresor de escuchar a escondidas las comunicaciones entre los hosts de la redSniffing: la habilidad de un agresor de escuchar a escondidas las comunicaciones entre los hosts de la red

Spam, Redirectors, Trashing, Spoofing, etc… Spam, Redirectors, Trashing, Spoofing, etc…

Pharming: método utilizado para enviar a la victima a una página web que no es la original solicitada.Pharming: método utilizado para enviar a la victima a una página web que no es la original solicitada.

Técnicas utilizadas por Técnicas utilizadas por atacantesatacantes

Ingeniería Social: El arte o ciencia de hacer que la gente haga lo que queremosIngeniería Social: El arte o ciencia de hacer que la gente haga lo que queremos

Phishing: tipo de engaño diseñado con la finalidad de robar la identidad al usuario, generalmente se utiliza el correo electrónicoPhishing: tipo de engaño diseñado con la finalidad de robar la identidad al usuario, generalmente se utiliza el correo electrónico

Skimming: Robo de la información que contiene una tarjera de créditoSkimming: Robo de la información que contiene una tarjera de crédito

Ingeniería SocialIngeniería Social

El arte o ciencia de hacer que la gente haga El arte o ciencia de hacer que la gente haga lo que queremos (GENERAR CONFIANZA)lo que queremos (GENERAR CONFIANZA)

Es la forma de fraude informático más altoEs la forma de fraude informático más alto

El deseo natural del hombre de ayudarEl deseo natural del hombre de ayudarlo hace vulnerablelo hace vulnerable

Nunca pude pensar en una buena contraseña. ¿Qué utiliza usted?

Ah, también ejecuto una red. ¿Cómo configura sus firewalls?

PhishingPhishing

Envío de mensajes electrónicos que Envío de mensajes electrónicos que fingen ser notificaciones oficiales con fingen ser notificaciones oficiales con el fin de obtener información personal el fin de obtener información personal de los usuarios para hacerse pasar de los usuarios para hacerse pasar por ellos en diversas operaciones ‘on por ellos en diversas operaciones ‘on line’line’

Nueva modalidad: Phishing por teléfono o SMSNueva modalidad: Phishing por teléfono o SMS

Phisher se prepara para atacarPhisher se prepara para atacar

¿Cómo funciona el ¿Cómo funciona el Phishing?Phishing?

Phisher envía mail fraudulento a victimasPhisher envía mail fraudulento a victimas

Víctima sigue indicaciones de phisherVíctima sigue indicaciones de phisher

Víctima compromete información confidencialVíctima compromete información confidencial

Información confidencial es enviada al PhisherInformación confidencial es enviada al Phisher

Phisher utiliza la información para suplantar a víctima

Phisher utiliza la información para suplantar a víctima

DemoDemo

Impacto de ataques Impacto de ataques informáticosinformáticos

Pérdida de ingresos

Pérdida de ingresos

Reputación dañada

Reputación dañada

Pérdida de datos o riesgo de los

mismos

Pérdida de datos o riesgo de los

mismos

Daño a la confianza de los

inversionistas

Daño a la confianza de los

inversionistas

Consecuencias legales

Consecuencias legales

Interrupción de los procesos

empresariales

Interrupción de los procesos

empresariales

Daño a la confianza de los

clientes

Daño a la confianza de los

clientes

Impacto de ataques Impacto de ataques informáticosinformáticos

CSI 2007 Computer Crime and Security SurveyCSI 2007 Computer Crime and Security Survey

Fuente: Computer Security Institute

Total perdido aproximadamente el 2007:$ 66,930,950De 194 incidentes registrados

Total perdido aproximadamente el 2007:$ 66,930,950De 194 incidentes registrados

Fraude financiero: $ 21,124,750Fraude financiero: $ 21,124,750

Técnicas para evitar Técnicas para evitar ataquesataques

El modelo de defensaEl modelo de defensa

Políticas, procedimientos y concienciaPolíticas, procedimientos y conciencia

Seguridad físicaSeguridad física

Fortalecer el sistema operativo, autenticación

Oficina principal, oficina sucursal, socio de negocios. Firewall

Protecciones, seguros, dispositivos de seguimiento

Marketing, Ventas, Finanzas, encriptar datos de red

Seguridad de programas y servicios

Encriptación

Documentos de seguridad, educación del usuario

Perímetro

Red interna

Host

Aplicación

Datos

Aumentar la detección de riesgo de un agresor Reduce la posibilidad de éxito de un agresor

Políticas, procedimientos y concienciaPolíticas, procedimientos y conciencia

Educar / Formar al usuarioEducar / Formar al usuario

Seguridad físicaSeguridad física

Todos los activos dentro de la infraestructura de informática de una empresa deben estar

seguros físicamente

Todos los activos dentro de la infraestructura de informática de una empresa deben estar

seguros físicamente

Instalar código maliciosoInstalar código malicioso Daño al hardwareDaño al hardware

Ver, cambiar, copiar o eliminar archivosVer, cambiar, copiar o eliminar archivos

Agregar o quitar hardwareAgregar o quitar hardware

Empresas dedicadas a Empresas dedicadas a seguridadseguridad

Empresas en el Empresas en el mundo dedicadas a mundo dedicadas a la Seguridad la Seguridad informáticainformática

Empresas en el PerúEmpresas en el PerúEmpresa Fundada en Empresa Fundada en 2004, dedicada a 2004, dedicada a proveer de soluciones TI proveer de soluciones TI y a la consultaría en y a la consultaría en seguridad de seguridad de información; ofrece el información; ofrece el servicio (en este rubro) servicio (en este rubro) de: de:

AuditoriaAuditoria

DiseñoDiseño

ImplantaciónImplantación

ReforzamientoReforzamiento

Empresas en el PerúEmpresas en el Perú

• Reconocida con el l premio Reconocida con el l premio “Empresa Peruana del “Empresa Peruana del año” 2007año” 2007

• Distribuidora de fabricantes de Distribuidora de fabricantes de lideres de tecnología en seguridad lideres de tecnología en seguridad informáticainformática

• Empresa proveedora de soluciones y Empresa proveedora de soluciones y servicios de seguridad informática, servicios de seguridad informática, fundada en 2002fundada en 2002

InstitucionesInstitucionesCComputer omputer EEmergency mergency RResponse esponse TTeam eam (CERT) (CERT)

o denominados también o denominados también

CComputer omputer SSecurity ecurity IIncident ncident RResponse esponse TTeam eam (CSIRT)(CSIRT)

Grupos y organizaciones dedicados Grupos y organizaciones dedicados a:a:

• Estudio de problemas de Estudio de problemas de seguridad informáticaseguridad informática

• Difundir informaciónDifundir información• Dar alertas de seguridadDar alertas de seguridad• Revisar y responder a un reporte Revisar y responder a un reporte

de incidente de seguridadde incidente de seguridad

InstitucionesInstituciones

Creado en 1990 Creado en 1990 para compartir para compartir información y información y optimizar los optimizar los objetivos de los objetivos de los diferente CERTs diferente CERTs

Instituciones en el PerúInstituciones en el Perú

• Telmex - Noviembre Telmex - Noviembre 20012001

• Telefónica - Noviembre Telefónica - Noviembre 20052005

• Universidad Nacional de Universidad Nacional de Ingeniería - Noviembre Ingeniería - Noviembre 20062006

CSIRT en el CSIRT en el PerúPerú

Instituciones en el PerúInstituciones en el Perú

PNP: PNP: División de Investigación de División de Investigación de Delitos de Alta Tecnología Delitos de Alta Tecnología

Creada en el año 2005 con la misión de Creada en el año 2005 con la misión de investigar , denunciar y combatir: investigar , denunciar y combatir:

• Delitos Contra el Delitos Contra el PatrimonioPatrimonio

• Delitos InformáticosDelitos Informáticos• Delito contra la libertad Delito contra la libertad

– Ofensa al pudor – Ofensa al pudor publico publico

Preguntas y respuestasPreguntas y respuestas