¿Pueden ser los propios empleados tan peligrosos como los 'hackers'?

[wolfbcn]

El Departamento de Seguridad Nacional estadounidense (DHS) va a lanzar una lista con los 25 errores de programación más importantes que permiten que se lleven a cabo los ataques 'hackers' más comunes y peligrosos.

El objetivo es dar información a las compañías y las organizaciones sobre los canales que utilizan los 'hackers' para conseguir acceso a información confidencial y servidores. Sin embargo, los trabajadores también pueden suponer un problema. Los errores de 'software' que aparecerán en la lista del DHS son muy comunes y pueden dar lugar a los llamados exploits 'zero day' (día cero).

El primer elemento en esta lista es un error de programación que puede hacer que un servidor sea vulnerable a ataques de inyección SQL como los utilizados por organizaciones como LulzSec y Anonymous para acceder a información supuestamente segura.

La lista ha sido creada por el DHS en colaboración con SANS Institute y Mitre y, según informa el New York Times, incluirá información personalizada para diferentes tipos de empresas, como, por ejemplo, las dedicadas a la banca 'online' o al e-commerce. Además, advertirá de cuáles son los errores más comunes en este tipo de negocios.

Sin embargo, en muchas ocasiones la principal amenaza para el Gobierno y las grandes compañías no son estos 'piratas' y sus sofisticados métodos de 'hacking' que se aprovechan de vulnerabilidades, sino los propios trabajadores.

Según un artículo publicado por Bloomberg, con bastante frecuencia son los empleados quienes ponen en peligro información confidencial. Aunque esta acusación puede parecer exagerada, el artículo da algunos ejemplos bastante concluyentes.

Así, por ejemplo, se recuerda que la mayor filtración a WikiLeaks se produjo porque un trabajador descargó la información en un CD o que el reciente caso que afectó a la empresa de seguridad RSA pudo ocurrir porque un empleado abrió un archivo malicioso de un correo marcado como no seguro.

Por si fuera poco, un simple error también podría tener consecuencias negativas. El Departamento de Seguridad Nacional realizó un experimento en el que dejaba CDs y memorias USB en aparcamientos de edificios oficiales para observar si eran recogidos y después utilizados. El DHS descubrió que se accedió a un 60% de los dispositivos que se recogieron. Sin embargo, si tenían un logotipo oficial el porcentaje aumenta hasta el 90%. Es decir, la curiosidad también afecta a trabajadores que, supuestamente, conocen los riesgos de seguridad que conllevan sus acciones.

En este sentido, Bloomberg recuerda que los ataques sociales están creciendo y, además, se vuelven más sofisticados. De hecho, según datos de Symantec, los intentos de 'phising' aumentaron un 6,7% entre junio de 2010 y mayo de este año. Además, los ataques cada vez se dirigen a objetivos más concretos, como ejecutivos, que se creen más protegidos que sus empleados y en cuyos ordenadores hay información más importante.

FUENTE :http://www.elmundo.es/elmundo/2011/06/28/navegante/1309260356.html