Ranking Internacional de Privacidad 2007

Aunque este tipo de estudios hay que mirarlos con cierto escepticismo, sí que es cierto que pueden ser tomados como referencia aproximada para el particular tratado. Queremos notificar que recientemente ha sido publicado por Privacy International el Ranking Internacional de Privacidad 2007.

Al igual que en su edición anterior se valora el estado de supervisión y vigilancia de los ciudadanos por país en base a una concreta metodología, a unos determinados criterios y conforme a un concreto sistema de graduación.

Es de destacar que en este estudio no se valora en exclusiva la regulación e implantación de la protección de datos de carácter personal, sino también la situación en relación al secreto de las comunicaciones (interceptación de comunicaciones y retención de datos de tráfico y localización). Es preciso asimismo mencionar que en el Common Law el derecho a la privacidad engloba todos los derechos fundamentales que nuestra Consitución nos reconoce en su artículo 18, si bien han quedado fuera del estudio los derechos a la intimidad personal y familiar y a la inviolabilidad del domicilio (apartados 1 y 2).

Al igual que el grueso de los Estados Miembros de la Unión Europea, España no sale muy bien situada aunque es valorada mejor que el peor parado, Reino Unido, y los algo peor parados como Francia, Dinamarca, Bulgaria y Letonia. España queda colocada al nivel de países no europeos como Australia, Nueva Zelanda, Brasil y Japón.

Reseñable es la valoración de Grecia como país más avanzado del mundo en la protección del derecho a la privacidad y la buena aunque aún mejorable situación en Portugal, Alemania, Bélgica, Austria, Luxemburgo, Rumanía, Hungría y Estonia, así como de países no miembros de la Unión Europea como Argentinca, Canadá e Islandia.

El liderazgo en la injerencia en el derecho a la privacidad es compartido por Rusia, China y Malasia, países seguidos muy de cerca por Singapur, Taiwan, Tailandia y Estados Unidos.

En el caso particular de España han tenido especial incidencia en la valoración de la protección del derecho a la privacidad cuestiones tales como los casos sonados de interceptación ilegal de las comunicaciones (por ejemplo, las realizadas por el CNI que parece incluyeron incluso al Rey), la falta de debate para la introducción del DNI electrónico, la adopción de la LEY 25/2007, de 18 de octubre, de conservación de datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones, que entró en vigor recientemente como ya anunciamos aquí, entre cuyo articulado destaca Privacy International la desaparición del anonimato en la telefonía móvil.

El año que viene veremos cómo ha evolucionado todo esto, pero apuesto a que la gama de verdes seguirá sin destacar mayoritariamente.

ACTUALIZACIÓN: Por cierto que sorprende que Alemania esté en un mejor nivel que España y no algo peor considerado teniendo en cuenta lo dispuesto en su ya vigente norma de transposición de la Directiva de Retención de Datos de Tráfico. Por ejemplo porque esta norma prohíbe los servicios de anonimización de la navegación por Internet, como nuestro compañero Clemens ya nos contó anteriormente, a lo que habría que sumar noticias como ésta. Revisando y comparando los aspectos clave considerados en los casos de España y Alemania, y por mucho que la legislación alemana en protección de datos personales sea considerada por Privacy International como una de las más estrictas del mundo, creo que es mejor mirar este informe con cierto recelo como ya adelantaba al inicio de este post .

Álvaro Del Hoyo
Departamento de Consultoría

Estadísticas de PE packers

La imagen que aparece es una estadística de la utilización de packers en los últimos 5000 binarios PE ejecutados por nuestro servicio de análisis automático de código malicioso. La utilización de packers es bastante común en el código malicioso, principalmente con dos objetivos: intentar pasar desapercibidos, y ofuscar su contenido, dificultando el análisis del analista.

Como se aprecia en la imagen, el packer más utilizado es UPX, de libre distribución, y aunque existen multitud de variantes modificadas de UPX, el más usado es el UPX normal. ¿Qué razón puede tener esta elección, puesto que existen multitud de packers tanto libres o comerciales?

Creemos que no es por que sea libre/gratuito, puesto que es posible bajarse de las redes P2P fácilmente un packer comercial (aunque muchas veces son a su vez malware), sino para intentar pasar desapercibidos, puesto que si se usa un packer menos utilizado, es muy fácil para los antivirus, antimalware o similares detectar un binario con ese packer extraño.

De todas maneras, es una suposición, así que cualquier otra idea que tengáis, no dudéis en comentarla. 

490 casos de fraude on line en el primer semestre de 2007

Los servicios antifraude de S21sec detectaron 490 nuevos casos de actividades calificadas de fraude on line a entidades financieras españolas en el primer semestre de 2007. Como podéis observar en el informe que realizamos de fraude de 2006 esto representa casi la misma cantidad de casos detectados en el mismo período del año anterior (489). Los sitios de alojamiento de estos casos y los troyanos fueron cerrados o desactivados en una media de 2.56 días, cifra muy por debajo de los datos proporcionados por el Antiphishing Working Group, que sitúan la media de cierre global en 4,8 días. De estos 490 casos, el 80% se abría por primera vez (casos base) mientras que el 20% corresponde a la reaperturas o reactivaciones de algunos casos anteriores.

Del total de los casos detectados y solucionados, el 86% correspondía a casos de phishing, mientras que los casos a través de troyanos representan el 14%. El phishing continúa constituyendo la principal preocupación, en tanto que los casos a través de troyanos siguen creciendo progresivamente. El año pasado los troyanos representaron el 15% del total de casos detectados.

Podéis ver más datos estadísticas sobre los casos de fraude en el primer semestre en la noticia que hemos publicado recientemente.

Cada vez es más evidente que los troyanos han ganado en complejidad y que cada vez utilizan técnicas más sofisticadas para lograr el robo efectivo de información crítica. Recientemente, se ha detectado un nuevo uso de la información recogida destinada al control de dominios de Internet. Mediante esta nueva práctica, pueden llegar a transferir el dominio de una empresa a otra o redirigir el tráfico de correo a otro servidor, afectando directamente a su imagen, credibilidad y privacidad. Otro dato relevante es la detección de un aumento en el número de ataques a las empresas de hosting con el objetivo de comprometer todos los portales web alojados en la misma máquina.

En este escenario, ha proliferado además la utilización de kits de exploits, como los conocidos WebAttacker, MPack o IcePack muy accesibles y de bajo coste. Estas aplicaciones, que se comercializan como software profesional por el precio de 700 dólares, permiten infectar ordenadores valiéndose de diversas vulnerabilidades y han incidido directamente en la diversificación de ataques.

Con estas herramientas y otras que permiten la creación de troyanos automáticamente, la multiplicación del cibercrimen ha llegado a un nivel de profesionalización muy significativo. Ante esta situación, las organizaciones y usuarios no deberían alarmarse, sino trabajar para aumentar las medidas de prevención e impulsar la adopción de prácticas seguras.