Hola lectores,
Este post no es para nada técnico, pero quiero compartir con vosotros una serie de sensaciones que yo he llamado
'sensaciones forenses'.
Ayer participe en una mesa organizada por la empresa
Cybex y en la que se generó amplios debates sobre los delitos económicos utilizando las nuevas tecnologías.
Como ponentes nos encontrábamos:
- La Ilma. Carmen Ballester Ricart, Fiscal especial antidroga de la Audiencia Nacional
- El Sr. D. Matías Bevilacqua Trabado, Director Tecnológico de CYBEX
- El· Sr. D. José Manuel Colodrás Lozano, Inspector de la Oficina de Activos del Cuerpo Nacional de Policía
- El Sr. D. Juan Salom Clotet ,Comandante Jefe del Grupo de Delitos Telemáticos de la Guardia Civil
- Yo mismo.
Todos fuimos moderados genialmente por Excmo. Sr. D. José Manuel Maza Martín, Magistrado de la Sala II del Tribunal Supremo.
En la mesa se hablo de las soluciones contra el cibercrimen y todo el esfuerzo que el estado y empresas privadas hacen al respecto, pero en la ronda de preguntas explique un caso que expongo a continuación y que genero mucho debate y alguna que otra controversia entre el publico asistente, en su mayoría despachos de abogados y fuerzas del estado.
EL CASOAnálisis forense a un equipo de una empresa en la que se sospecha que un empleado ha realizado fugas importantes de dinero a cuentas en el extranjero. En el previo análisis se descubre que esta infectado por troyanos (entre ellos el URLZone), en la investigación mas profunda se ven cientos de ficheros con pornografía infantil, de estos ficheros nos comunica la dirección de la empresa que el usuario dice no conocer su existencia. Dice que tiene el típico programa P2P, pero que desconoce que se hubiera bajado algún archivo de estas características. Empieza a llorar, te dice que tiene dos hijos pequeños y que el no consentiría estos casos bajo ningún pretexto. Lógicamente tenemos que tramitar una denuncia.
De este caso se ve claramente la poca rigidez en políticas de acceso de esta empresa al permitir la ejecución de programas en un principio de uso dudable, también el poco control de la empresa sobre lo que debe y no debe de hacer los empleados.
Por otro lado la 'honorabilidad' del empleado queda en duda dado que podría darse el caso de que el propio troyano utilizara el equipo infectado para el envío de pornografía infantil y que el usuario no hubiera tenido nada que ver. Todo esto generó gran discusión entre los asistentes.
Por experiencia quise dar una serie de sensaciones que profesionalmente me vienen acompañando en los trabajos que desempeño sobre análisis forense informático
No se si estaréis de acuerdo, pero así me recorren estas sensaciones
12 SENSACIONES FORENSES1. Sensación: Algunos usuarios (y lo digo desde el respeto y la experiencia de haberlo visto) son potencialmente peligrosos. No atienden a ninguna norma, disponiendo de malos hábitos de navegación y accediendo a descargas de películas y mp3 desde sitios ya de por si peligrosos, más cuando tienen el sistema operativo pirata o sin actualizar. Algunos tienen crakeado el antivirus. Sin comentarios.
2. Sensación: Los antivirus no valen para casi nada, solo para lo conocido, siendo mucho más lo que 'no se detecta'. Existen troyanos con un detalle de programación exquisito, indetectable y capaz de mutar tantas veces como sospeche de que ha sido detectado. Simplemente magnifico
3. Sensación: La época del Hacker ha pasado, cada vez son los menos que a través de exploits consiguen acceder a un equipo y seamos sinceros en esto Microsoft se ha puesto las pilas, es más fácil destripar de serie un sitio con PHP que desarrollado en .NET
4. Sensación: Es la hora de las mafias organizadas. Consiguen mas dinero y no hay muertes por el medio. Estos son los que desarrollan esos curiosos troyanos-roba-dineros. Tienen equipos de desarrollo y les motiva el dinero ¿que raro, verdad?
5. Sensación: Los equipos de respuesta ante incidentes solo valen para detectar a muleros, en el caso de detectar por ejemplo un phising, te las ves y te las deseas para cerrar el sitio. Si tienes que analizar un troyano se puede ir el caso a meses. Es como decir que pillamos al drogadicto pero no al que distribuye la droga.
6. Sensación: En España hemos creado un sistema de impunidad para el malo. Si denuncias y el caso viene por ejemplo de Rumania, las fuerzas del estado español se tienen que comunicar con sus colegas de Rumania con lo que se demora ampliamente las diligencias. Por su puesto el dinero ha desaparecido. Las fuerzas de seguridad están sobrepasadas
7. Sensación: Nuestras fuerzas de seguridad son verdaderamente especializadas en comparación con otros países, pero nuestras leyes no están acorde a las nuevas formas de cometer delincuencia utilizando las nuevas tecnológicas. El legislador debe de estar a la altura y modificar las leyes en esta materia
8. Sensación: No se denuncia o no se toma en serio todo lo que ocurre en cuanto a la seguridad informática. No se llega a denunciar, bien por imagen institucional, por miedo o por lo que sea, pero según la memoria 2009 de la Fiscalía General de Estado los delitos que utilizan las nuevas tecnologías han crecido, duplicado o cuadruplicado en diferentes comunidades autónomas, respecto al año 2008.
9. Sensación: Falta formación a la magistratura, fiscalía y abogacía, aunque poco a poco se están especializando (muy poco a poco...)
10. Sensación: Hay empresas que piensan que están bien por que se han auditado los servidores, las redes y aplicaciones. Craso error. El peligro comienza el día después de la auditoría, bien por relajación o bien por no realizarla continuamente.
11. Sensación: Hay empresas que 'están al día' y 'actualizadas'. Craso error, ¿como actualizas una aplicación web, que te ha creado un tercero?
12. Sensación: Todavía en las empresas se piensa que la seguridad es un gasto, no es productiva ni la ven como herramienta de venta. Señores(as), la seguridad es calidad, las auditorías, los preventivos forenses ahorran mucho dinero a la empresa. ¿Cuanto vale descubrir que has evitado una exposición de datos a raíz de una auditoría en un ataque de SQL inyection en tu base de datos?.¿cuanto valdría una multa de la AGPD? Como dice el anuncio, para todo lo demás Mastercard.
En fin se me ocurren algunas más...pero esto lo dejo a vuestra experiencia, yo por mi parte creo que deje algo pensativa a mi audiencia.
Hola lectores,
llevando a cabo análisis de auditoría y antifraude.
