Category Uncategorized

Dropbox dice que los atacantes accedieron a la información del cliente y de MFA, así como a las claves de API.

El servicio de alojamiento de archivos Dropbox ha confirmado que los atacantes han violado el entorno de producción de Dropbox Sign y han accedido a la información personal y de autenticación de los clientes.

“Desde una perspectiva técnica, la infraestructura de Dropbox Sign está en gran medida separada de otros servicios de Dropbox. Dicho esto, investigamos a fondo este riesgo y creemos que este incidente se aisló en la infraestructura de Dropbox Sign y no afectó a ningún otro producto de Dropbox”, compartió la compañía el miércoles.

¿Cómo se vulneró Dropbox Sign?

Dropbox Sign (anteriormente HelloSign) es una plataforma que permite a los usuarios firmar documentos en línea.

“El 24 de abril, nos dimos cuenta del acceso no autorizado al entorno de producción de Dropbox Sign (anteriormente HelloSign)”, dijo la compañía.

“Según nuestra investigación, un tercero obtuvo acceso a una herramienta de configuración automatizada del sistema de Dropbox Sign. El actor comprometió una cuenta de servicio que formaba parte del back-end de Sign, que es un tipo de cuenta no humana que se utiliza para ejecutar aplicaciones y ejecutar servicios automatizados. Como tal, esta cuenta tenía privilegios para realizar una variedad de acciones dentro del entorno de producción de Sign”.

¿Qué información se ha visto comprometida?

Los atacantes aprovecharon el acceso que obtuvieron al entorno de producción de Dropbox Sign para acceder a la base de datos de clientes. Más concretamente, accedieron a:

• Información del cliente y de la cuenta de Dropbox Sign: direcciones de correo electrónico, nombres de usuario, números de teléfono y contraseñas con hash, y configuración general de la cuenta
• Información de autenticación: claves de API, tokens de OAuth y autenticación multifactor

También se han expuesto las direcciones de correo electrónico y los nombres de los usuarios que han recibido o firmado un documento a través de Dropbox Sign (pero que en realidad no tienen una cuenta). Las contraseñas de los clientes de Dropbox Sign que se registraron a través del inicio de sesión único no han quedado expuestas.

“No hemos encontrado evidencia de acceso no autorizado al contenido de las cuentas de los usuarios (es decir, sus documentos o acuerdos)”, dice Dropbox, aunque la investigación está en curso y eso podría cambiar.

Consejos para los clientes afectados

Dropbox notifica a los clientes afectados y les aconseja que restablezcan sus contraseñas, roten las claves de API, cambien su contraseña en otras cuentas si han reutilizado la misma contraseña que usaron para Dropbox Sign y restablezcan la entrada de la aplicación de autenticación. (“Si usas SMS, no necesitas realizar ninguna acción”).

Dropbox ha caducado las contraseñas expuestas y ha cerrado la sesión de los usuarios de los dispositivos que utilizaban para conectarse a Dropbox Sign, ha restringido ciertas funciones de las claves de API hasta que los clientes las roten y está revisando este incidente “para comprender mejor cómo sucedió esto y protegerse contra este tipo de amenaza en el futuro”.

En la era de la conectividad omnipresente, el Internet de las Cosas (IoT) ha emergido como una tecnología transformadora que promete revolucionar diversos aspectos de nuestras vidas, desde el hogar hasta la industria. Sin embargo, con la proliferación de dispositivos interconectados, surge una preocupación crucial: la ciberseguridad. La seguridad en el IoT es fundamental para garantizar la integridad, confidencialidad y disponibilidad de los datos, así como para proteger los sistemas críticos y prevenir posibles ciberataques.

La Importancia de la Ciberseguridad en el IoT

1. Protección de Datos Sensibles: Los dispositivos IoT recopilan una gran cantidad de datos, algunos de los cuales pueden ser sensibles o privados. La ciberseguridad garantiza que estos datos estén protegidos contra accesos no autorizados y posibles filtraciones.
2. Prevención de Ciberataques: Los dispositivos IoT son susceptibles a diversos tipos de ataques cibernéticos, como el secuestro de dispositivos, el robo de datos y el sabotaje. La implementación de medidas de seguridad adecuadas puede prevenir estos ataques y proteger la integridad de los sistemas.
3. Garantía de Disponibilidad: En entornos críticos como la logística, la disponibilidad de los sistemas es fundamental. La ciberseguridad en el IoT ayuda a garantizar que los dispositivos estén siempre operativos y que las operaciones no se vean interrumpidas por ataques maliciosos.
4. Mantenimiento de la Confianza del Cliente: La confianza del cliente es un activo invaluable para cualquier empresa. La implementación de medidas sólidas de ciberseguridad en los dispositivos IoT ayuda a mantener la confianza del cliente al proteger sus datos y garantizar la seguridad de los productos y servicios.
5. Cumplimiento Normativo: Con la creciente regulación en materia de privacidad y seguridad de datos, es crucial para las organizaciones cumplir con los estándares y normativas establecidos. La ciberseguridad en el IoT asegura el cumplimiento de estas regulaciones y evita posibles sanciones legales.

Checklist de Puntos Importantes en Ciberseguridad para Dispositivos IoT:

1. Autenticación y Autorización Robustas: Implementar mecanismos de autenticación fuertes para garantizar que solo usuarios autorizados puedan acceder a los dispositivos IoT y sus datos.
2. Actualizaciones de Seguridad: Mantener los dispositivos IoT actualizados con los últimos parches de seguridad y firmware para mitigar vulnerabilidades conocidas.
3. Cifrado de Datos: Utilizar cifrado robusto para proteger la confidencialidad de los datos transmitidos entre los dispositivos IoT y los servidores.
4. Monitoreo Continuo: Establecer sistemas de monitoreo continuo para detectar y responder rápidamente a posibles intrusiones o actividades maliciosas.
5. Segmentación de Redes: Segmentar las redes IoT para limitar el alcance de posibles ataques y reducir la superficie de exposición.

Ejemplos en Logística:

1. Gestión de Inventarios: Dispositivos IoT como sensores de RFID pueden utilizarse para monitorear el inventario en tiempo real, optimizando la gestión de la cadena de suministro y mejorando la eficiencia operativa.
2. Seguimiento de Envíos: Los dispositivos IoT integrados en los paquetes o contenedores permiten realizar un seguimiento preciso de los envíos durante todo su recorrido, proporcionando información en tiempo real sobre su ubicación y estado.
3. Mantenimiento Predictivo: Sensores IoT en equipos y vehículos de logística pueden recopilar datos sobre su estado y rendimiento, permitiendo realizar un mantenimiento predictivo y evitar fallas inesperadas que puedan afectar las operaciones

Los siguientes son referencias que proporcionan una base sólida para comprender y abordar los desafíos de ciberseguridad en el Internet de las Cosas, y ofrecen orientación práctica para diseñar, implementar y gestionar dispositivos IoT de manera segura.

1. IoT Security Foundation (IoTSF): La IoTSF es una organización sin fines de lucro que ofrece una variedad de recursos y guías de buenas prácticas en ciberseguridad para dispositivos IoT. Su sitio web contiene una biblioteca de documentos técnicos y orientación sobre temas como la gestión de riesgos, el diseño seguro de dispositivos y la seguridad del ciclo de vida del producto. Sitio web de IoTSF
2. NIST Cybersecurity Framework for IoT: El Instituto Nacional de Estándares y Tecnología (NIST) de EE. UU. ha desarrollado un marco de ciberseguridad ampliamente reconocido que también se aplica al IoT. Este marco proporciona pautas detalladas para identificar, proteger, detectar, responder y recuperarse de amenazas en el entorno de IoT. Sitio web del NIST
3. ENISA IoT Security Guidelines: La Agencia de la Unión Europea para la Ciberseguridad (ENISA) ofrece una serie de pautas y recomendaciones para mejorar la seguridad en el IoT. Estas guías abarcan aspectos como la seguridad en el diseño de productos, la autenticación, el cifrado, la gestión de claves y la privacidad de los datos. Guías de seguridad IoT de ENISA
4. OWASP IoT Top 10: La Open Web Application Security Project (OWASP) proporciona una lista de las diez principales vulnerabilidades de seguridad que afectan a los dispositivos IoT. Este recurso es útil para comprender las amenazas comunes y adoptar medidas preventivas efectivas. Página del proyecto OWASP IoT Top 10
5. GSMA IoT Security Guidelines: La GSMA, una asociación global de operadores móviles, ha desarrollado una serie de pautas de seguridad específicas para el IoT. Estas directrices cubren áreas como la autenticación, la gestión de identidad, la privacidad de los datos y la seguridad de la red. Guías de seguridad IoT de GSMA
6. Grupo Serteck Sector privado, ofrece consultoría personalizada para desarrollo móvil, web, Aplicativos en ámbito empresarial, logístico con IoT y segmentación de ciberseguridad siguiendo e implementando las mejores prácticas. NIST, ENSIA, PCI, ISO. Si requieres asesoría profesional con más de 20 años de experiencia, contáctanos. 5572613340