FUNDAMENTOS DE LA SEGURIDAD

INFORMTICA
Trabajo Colaborativo II
A. Nomesque, B. Gonzlez, W. Escobar y H. Estepa.
Universidad Nacional Abierta y A Distancia ''UNAD''
Duitama, Colombia

Resumen En este documento se describen algunos ataques que

se hayan dado en los ltimos meses, tanto a nivel mundial como a
nivel nacional y que en cualquier momento puedan ser realizados
a cualquier empresa, tambin se describen varias estrategias que
puedan ser usadas dentro del contexto de la Ingeniera Social y se
explican de forma que puedan prevenir los ataques y amenazas
para que no se lleven a cabo en su organizacin o empresa; por
ltimo se describe como se podra desarrollar un ataque a un
sistema informtico de la empresa seleccionada y cmo debera
protegerse la organizacin contra este ataque, justificando los
posibles ataques que se puedan presentar, los beneficios que
pueden recibir al implementar este proyecto de seguridad
informtica.
Palabras clave Ataque, Amenaza, Ingeniera Social,
Seguridad Informtica, Sistema Informtico, Vulnerabilidad.

Abstract In this document some attacks are described that they

have been given in the last months, as much to world level as to
national level and that in any moment they can be carried out to
any company, several strategies are also described that they can
be used inside the context of the Social Engineering and they are
explained so that they can prevent the attacks and threats so that
they are not carried out in their organization or company; lastly it
is described like you could develop an attack to a computer
system of the selected company and how the organization should
be protected against this attack, justifying the possible attacks
that they can be presented, the benefits that you/they can receive
when implementing this project of computer security.

Keywords Attack, Threat, Engineering Social, Computer

Security, Computer System, Vulnerability.

distribuidos y el uso de redes y herramientas de comunicacin

para transportar datos entre un usuario de una terminal y entre
una o dos computadoras. Existen varios tipos de seguridad,
una de ella es la seguridad fsica, que se utiliza para proteger el
sistema informtico utilizando barreras fsicas o mecanismos
de control. Uno de los imperantes problemas para lograr la
seguridad en la informtica son:
La no instalacin de programas antivirus, la falta de puesta al
da de sus definiciones, ni efectuar el control sobre la totalidad
de los archivos, abrir adjuntos de correo no solicitados, sin
verificar la fuente ni haber confirmado su contenido antes ya
sea juego, salvapantallas u otros de fuentes no confiables,
tambin en este artculo se analizaran con detalle las amenazas
potenciales y las diferentes medidas que se deben tomar contra
ellas [5].
II. OBJETIVOS
Objetivo General:
Dar a conocer los ataques que afectaran a cualquier empresa o
microempresa que actualmente se estn realizando con el fin
de obtener informacin y robar directamente a los clientes.
Objetivos especficos:
Describir la afectacin de los virus a nivel mundial
Dar a conocer los nuevos mtodos implementados para
infiltrarse y extraccin de la informacin
Mostrar cuales con las posibles formas que un hacker
implementa la ingeniera social.

I. INTRODUCCIN
La seguridad informtica se puede definir como un
conjunto de procedimientos, dispositivos y herramientas
encargadas de asegurar la integridad, disponibilidad y
privacidad de la informacin en un sistema informtico e
intentar reducir las amenazas que pueden afectar al mismo.
Con este documento pretendemos enfatizar en el cuidado y
seguridad de la informacin fundamentales en las ltimas
dcadas con el manejo de la informacin en aumento, se hizo
evidente la necesidad de herramientas automatizadas para la
proteccin de archivos y otros tipos de informacin almacena
da en el equipo de cmputo, la introduccin de sistemas

III. DESARROLLO DE LA ACTIVIDAD

A. Describir cuatro ataques que se hayan dado en los ltimos
meses, tanto a nivel mundial como a nivel nacional y que en
cualquier momento puedan ser perpetrados a una empresa
como las que ustedes laboran.
1. Hackeo a emails en Espaa (18 de mayo de 2015):
En Espaa hubo un ataque a los emails, accesaron a 15625
cuentas de correo de PNV (Partido Nacional Vasco), hace
muchos aos no haban entrado a atacar el sistema informtico

de este partido poltico, solo en una ocasin las cuentas de

PNV fueron hackeadas y aparecieron en una web de Europa.
El hackeo que se realiz dirigiendo mensajes de protesta y
amenaza por la gestin policial (desalojo de la concentracin
de Vitoria) que estaban protegiendo a unos condenados por
audiencia Nacional, al parecer este ataque lo realizaron un
grupo llamado La Nueve, este grupo posiblemente debe estar
accediendo a las bases de datos desde tiempo atrs (2 aos),
ellos amenazan en publicar esta base de datos. El grupo de
Hackers llamado La Nueve ha venido realizando ataques desde
el ao 2011 a diferentes organizaciones como el robo de
documentos de identificacin Fiscal de policas andaluces,
tambin hackeo de pginas web de grupos inmobiliarios, el
grupo de Sistemas del PNV esta alerta en aumentar la
seguridad informtica de sus equipos, su configuracin, WAF,
IPS, IDS etc.
Nosotros estamos expuestos en nuestra organizacin a
cualquier tipo de ataque de este aspecto, es por ellos que se
debe instaurar un control de mejora en la seguridad
informtica, al igual que capacitar
al personal de la
organizacin que va desde la Gerencia General y Ejecutiva
hasta el ltimo empleado o contratista que est relacionado
con la organizacin obviamente enfocndose por los de
Tecnologa y Sistemas; en relacin con los sistemas
informticos, se considera fundamental convertir a las
personas parte del problema en parte de la solucin de la
seguridad informtica y de esta manera lograr minimizar los
riesgos por errores, negligencia o desconocimiento.
2. Hackearon la empresa Gemalto Productor mundial de
tarjetas SIM (23 de febrero de 2015):
Este ataque fie realizado por agencias de Estados Unidos NSA
y la agencia GCHQ Britnica, Gemalto produce cerca de 2.000
millones de tarjetas sim al ao y suministra gran cantidad de
operadoras de comunicaciones. Aun no entienden la forma en
que sucedi este ataque, segn su vicepresidente, est en
proceso la implementacin de un sistema de tal manera que no
se vuelva a presentar, pues esto pone en riesgo el nombre de
esta empresa en especial el servicio de operadores de
comunicaciones. Este ataque se llev acabo a las claves de
cifrado para espiar tanto actividades de voz como de datos, en
este caso no tuvo importancia el usar contraseas seguras ya
que la tarjeta SIM es un acceso a todas las llamadas y
comunicaciones.
3. Apple Sufre ataque contra las computadoras Mac (20 de
febrero ):
Este ataque afecto varias computadoras de los trabajadores de
la compaa sin llegar a accesar a los datos de los usuarios,
este ataque fue dirigido a las redes de la compaa, afectaron
un grupo de las computadoras, parece ser que estos hackers
fueron los mismos que atacaron en das pasados la red social
Facebook, este ataque se llev a cabo al ser visitado el sitio
iPhoneDevSDK para desarrolladores an existe la amenaza en
el sitio. El software malicioso sacaba provecho a su
vulnerabilidad java para ubicarse en los sistemas. Apple
inmediatamente lanz una actualizacin para java de tal forma
que corrigiera esta vulnerabilidad.

En este momento hasta el presidente Obama de los estados

Unidos est implementando medidas de seguridad ante este
tipo de ataques.
4. Hackean un Portal de citas para adultos Adult friend finder
(22 de mayo de 2015).
Se ha descubierto una hoja de Excel con los datos de las
personas que visitan o hacan uso de este portal all contenan
datos como correos electrnicos, telfonos, direcciones, fechas
de nacimiento, orientacin sexual etc. Fue realizado por el
hacker de Nick ROR quien amenaza en publicarla, est
compuesta por los datos de 4 millones de usuarios. Adult
friend finder pblico un comunicado donde expresa su
compromiso para proteger la informacin de sus usuarios ya
tienen en proceso una investigacin junto con las autoridades.
5. Ojo con este virus que 'secuestra' sus archivos y pide
rescate.
Segn ESET, firma de seguridad informacin, se han
detectado numerosos reportes de afectados en Latinoamrica
por un cdigo malicioso que afecta los archivos de las vctimas
encriptndolos y pidiendo un rescate en bitcoins (moneda
electrnica) a sus vctimas si quieren recuperar la informacin.
El virus es denominado CTB-Locker, un ransomware (nombre
que reciben los programas que restringe el acceso a archivos
del sistema y exigen un 'rescate' para restaurarlo) que se
propaga a travs de un falso correo electrnico que dice
contener un fax enviado al usuario como un adjunto, pero que
en realidad resulta ser un troyano, que disfraza su apariencia y
otorga, sin que usted lo sepa, acceso a terceros a su sistema.
Los usuarios que ejecuten esta amenaza vern cifrados todos
sus archivos. El malware descarga un ransomware llamado
Win32/FileCoder.DA y exige desembolsar una cantidad en
bitcoins para recuperar su informacin. Una vez que el
malware termina de cifrar la informacin del usuario,
despliega en la pantalla un cartel de alerta y cambia el fondo
del escritorio con un mensaje.
Segn los sistemas de Alerta Temprana de ESET, Colombia es
el sexto pas ms ms afectado en la regin.
6. Seguridad: qu tan cerca estamos de un ciberataque
masivo?
El reciente ataque a la cuenta de Twitter de la agencia de
noticias AP dej en claro algo: la desinformacin ocasiona
graves daos reales en mercados burstiles y Gobiernos de
todo el mundo. As lo alertan varios expertos, segn recoge el
sitio de noticias Mashable.com, quienes adems comentaron
sobre el grave efecto en las cifras econmicas que ocasionaron
hackers que cambiaron las cifras de desempleo en Estados
Unidos, en otro ataque que claramente buscaba desestabilizar
y afectar al mundo real. Uno de estos expertos, Paul
Rosenzweig, citado en el reporte de Mashable.com, ex agente
de seguridad de las fronteras de EE. UU., quien seala varios
escenarios en donde se estaran concentrando los prximos
ataques de delincuentes informticos, con el objetivo de
ocasionar efectos reales entre Gobiernos y al interior de
empresas. El primero de ellos es el de la desinformacin
proveniente de fuentes reales. Al violentar perfiles de redes
sociales o sitios web de informacin estatal, por ejemplo, los

delincuentes pueden emitir informacin errnea sobre estado

de la economa; decisiones fronterizas, ataques militares
ficticios, etc., que generaran reacciones blicas, cadas de
bolsas de valores, entre otros efectos. Lo complejo de esto,
dice el experto, es que se tardaran das en comprobar que la
informacin es falsa o manipulada por hackers. Tambin,
advierte el experto, los delincuentes estaran tras el acceso a
sistemas de control industrial, aquellos que manejan
infraestructuras fsicas como refineras, acueductos, redes
elctricas, etc. Incluso se supo que hackers chinos habran
violentado el sistema bancario mundial, conocido como 'Swift',
desde donde podran modificar datos financieros, cambiarios,
etc., que ocasionaran una gran catstrofe en el orden mundial
econmico.
Finalmente, se advierte que el sistema mundial de navegacin
satelital, el cual surte de datos no slo a todos los sistemas
GPS del mundo, sino a empresas de transporte naval, terrestre
y areo, podra caer fcilmente en manos de delincuentes
informticos, quienes estaran en capacidad de disminuir la
certeza del transporte civil y militar en el mundo entero.
7. As pera 'Heartbleed', el mayor fallo de seguridad en
Internet.
Investigadores de Google y de la empresa de seguridad
Codenomicon detectaron un fallo que, segn expertos, es el
ms grave que se ha presentado en los ltimos aos en el
OpenSSL, un protocolo gratuito utilizado para navegar de
forma segura por la web, el cual restringe el acceso de terceros
a los datos personales de otros usuarios, como sus correos
electrnicos, contraseas, entre otros. Se trata, ni ms ni
menos, de una de las bibliotecas de criptologa ms utilizadas
en Internet. HeartBleed (Corazn Sangrante) es un bug
capaz de capturar y desencriptar desde los nombres de usuario
hasta las contraseas, entre otra informacin sensible
contenida en la memoria de los servidores. Entre los afectados,
indic la compaa de servicios de Internet Netcraft, se
encuentran sitios como Dropbox, Twitter, Tumblr,
DuckDuckGo y Github. Los proveedores de hosting de
Amazon y Heroku tambin fueron vulnerados.
El fallo, que segn los investigadores ha estado en
funcionamiento durante dos aos, permite a los hackers
traspasar la encriptacin y lograr que el servidor entregue 64
kilobytes de informacin cada vez. Eso no parece mucho, pero
basta para revelar contraseas, credenciales bancarias y
certificados. Como si fuera poco, es un proceso repetible, por
lo que la fuga de informacin puede seguir ocurriendo durante
largo tiempo. Algunas versiones de OpenSSL son vulnerables
a este fallo de seguridad, por lo que existe la posibilidad que
sean propensas a recibir un ataque remoto. Esto significa que
un delincuente puede atacar un servidor que est utilizando un
servicio vulnerable y, de forma remota, le pide una cantidad de
informacin especfica almacenada en su memoria, haciendo
efectivo el robo, asegur a EL TIEMPO Joaqun Rodrguez,
vocero para Latinoamrica de la firma de seguridad
informtica ESET.
Si bien no hay forma de saber cuntos y cules usuarios fueron
afectados, los administradores de sitios web que usan
versiones vulnerables de OpenSSL pueden determinar si

recibieron un ataque al revisar los logs de sus servidores.

Segn Netcraft, unos 500 mil sitios web se han visto afectados
por Heartbleed, lo que representa un 17,5 por ciento del total
de sitios que utilizan OpenSSL.
Cmo enfrentarlo?
El 7 de abril de 2014 se public la versin de OpenSSL 101g,
la ms actualizada hasta el momento, la cual corrige este fallo
de seguridad. Se puede descargar desde la pgina oficial de
OpenSSL aqu. Si quiere saber si la versin OpenSSL que
utiliza una pgina en lnea especfica es vulnerable frente a
esta amenaza, puede realizarle un Heartbleed test en esta
direccin: www.filippo.io/Heartbleed/
8. Servidores de Wordpress bajo ataque masivo en Internet.
Empresas de seguridad han alertado de un 'ataque de fuerza
bruta' contra la plataforma de blogs Wordpress, el cual viene
ocurriendo desde la semana pasada, y del que an no se tiene
control ni solucin a la vista. El ataque, segn han observado
empresas como BitDefender entre otras, se enfoca en cuentas
de blogs hechas con Wordpress que usan nombres de usuario
dbiles como 'Admin'. En este tipo de cuentas, el cdigo
malicioso ejecuta ms de 2.000 millones de opciones distintas
de contrasea hasta que logra violar el perfil.
Segn reporta el sitio web The Next Web ya ha hay alrededor
de 100.000 servidores de Wordpress infectados. El objetivo de
los delincuentes sera el de cautivar una red de direcciones IP
infectadas (una 'botnet' o red de equipos 'zombie' controlados
de manera remota y oculta para el usuario), con la que
iniciaran ataques a otros sitios de Internet. La gente de
Wordpress alert al respecto y recomend activar la
autenticacin doble en las cuentas de los blogs y optar por
contraseas ms fuertes.
9. Blackshades.
No es un programa ilegal, se puede comprar
En 40 Dlares y se utiliza por los delincuentes para espiar
computa dlares ajenos, desde acceso remoto. Su nombre
tcnico es RAT -Remote Access Tool-. Una persona lo puede
instalar en el computador de su oficina y tener acceso a este
desde su casa ya sea para espionaje o secuestro del
computador, facilitando as el robo de contraseas y hasta
tomar control de la webcam y los micrfonos del computador.
10. Regin.
Es un caballo de Troya, del tipo "backdoor" (puerta falsa), que
permite vigilar los objetivos que se quieran. Los pases
infectados son: Rusia, Arabia Saudita, Mxico, Irlanda, India,
Afganistn, Irn, Blgica, Austria y Pakistn. Su complejidad
radica en que su concepcin debi durar varios aos, y que
exigi una inversin financiera importante. Una nueva versin
reapareci en 2013. Los finalmente afectados con este ataque
son los clientes de las organizaciones, organizaciones
gubernamentales e institutos de investigacin.
11. Ciberdelincuentes.
Los investigadores del Centro Ciberntico Policial de
Colombia
revelaron las funciones que cumplan los

delincuentes, los cuales enviaban mensajes a diferentes correos

electrnicos con un vnculo que conduca a un programa espa.
Quienes abrieran este correo inmediatamente infectaba el
computador con dicho programa permitiendo as que le
copiaran archivos personales, cuentas bancarias y las claves
para acceder a ellas, informacin que llegaba a estos
delincuentes a travs de una base de datos.
Otra de las formas que estos delincuentes actuaban, era si una
compaa que se dedicaba a pagar aportes los contactaba, esta
organizacin criminal se ofreca a hacerlo por la mitad del
dinero que se necesitaba. Los afectados de esta estrategia
seran cerca de 15 mil usuarios de 11 entidades bancarias de la
Costa Atlntica, Cali, Bogot y Bucaramanga.
12. Hackers.
Estudios realizados en Estados Unidos dan como resultado que
los ataques cibernticos realizados por hackers contra
organizaciones y personas utilizando internet estn creciendo.
Es importante que las organizaciones estn preparadas en caso
que les roben informacin confidencial de sus bases de datos,
dejando de lado la idea de que esto a m no me va pasar. Es
importante tener planes de redundancia, implementar polticas
de seguridad fuertes, con peridicas auditoras de
cumplimiento, para que en caso de ataques puedan seguir
funcionando para evitar as mayores perjuicios a la
organizacin y a sus clientes. No se puede dudar que el
terrorismo del futuro va a ser con ataques cibernticos.
13. CTB-Locker: 23 de enero de 2015.
En el Laboratorio de soluciones de ESET Latinoamrica
detecto
la
propagacin
de
CTB-Locker,
como
Win32/FileCoder.DA, este virus es de tipo ransomware este
restringe el acceso a archivos del sistema cifrndolos y luego
exigiendo un 'rescate en bitcoins ' para restaurarlo su
propagacin se debe a falsos correos electrnicos con
contenido adjunto (dice tener un fax), su contenido es un
troyano, que oculta su apariencia y permite el acceso a
terceros a su sistema. Cuando el virus se ejecuta y termina de
cifrar la informacin de la vctima, despliega en la un mensaje
de alerta, adems, cambia el fondo del escritorio con un
mensaje similar a la imagen:

14. PoSeidon: Mar 23, 2015.

Fue descubierto un nuevo troyano que ataca a terminales PoS.
Este virus hace un barrido a la memoria operativa del

dispositivo en busca de informacin de pagos almacenada de

forma abierta.
Este nuevo programa fue denominado PoSeidon, por el
equipo de seguridad CISCO (los investigadores de soluciones
o CSS). Este nuevo troyano busca escanear la memoria RAM
de las terminales PoS. El sistema PoS procesa la transaccin
de los consumidores cuando se hace una compra en una tienda
al implementar la tarjeta de crdito o dbito, este sistema lee la
cinta magntica de las tarjetas y por un tiempo esta
informacin se almacena en la RAM. Su modo de operacin
consiste que cada mquina infectada implementa la tcnica de
raspado de memoria (scrape memory), para la informacin de
las tarjetas de crdito y luego enva la informacin a un
servidor (exfiltracion ) TDL (top-level domain) el cual es un
traductor de direcciones IP por DNS oficiales de internet, este
servidor lanza y se inicia un cargador binario donde su
primera tarea es prevenir que la mquina de destino tenga un
reinicio de sistema , el loader o cargador se ejecuta y se pone
en contacto con el servidor de comando y control, y un
recuperador el cual toma la URL que contiene otro binario
para descargar y ejecutar. Este nuevo binario es un findstr el
cual instala el keylogger, el cual escanea la memoria del
dispositivo PoS para extraer los numero de tarjetas y los
nmeros tecleados y enviados al servidor (exfiltracion).

15. Dyre / Dyreza: 16 Jun. 2014 - 30 Mar. 2015.

Ataque principalmente para los sistemas bancarios, estos son
los llamados troyanos que al pasar el tiempo han sido un modo
muy fcil para realizar estafas en diferentes bancos como Bank
of Amrica, Natwest, Citibank, RBS y Ulsterbank. Este ataque
sucede cuando la vctima abre un archivo en formato
comprimido (Zip) que se encuentre en spam, este instala de
una vez el malware el cual puede tener control de mando con
el servidor por completo, del cual ayuda a romper la
proteccin SSL. Investigadores de Dinamarca dieron con que
un par de servidores C2 los cuales se descubri que tenan
dinero de mulas sea ilegal en cuentas bancarias de letonia.
El objetivo principal de este ataque es que al tener acceso a
credenciales, contraseas y dems controles de seguridad
bancaria, este malware tendr va libre para realizar el robo de
dinero a usuarios de banca en lnea.

Cuando los usuarios realizan el inicio de sesin en entidades

bancarias, el malware instalado intercepta directamente esta
informacin y la enva a los atacantes, sin percatarse en ningn
momento el usuario de que ha sido vulnerado; ya que mediante
el juego de manos en donde encriptan todo el usuario no se da
cuenta de que est siendo vctima y en el sitio web aparece a
simple vista que se est trabajando bajo una plataforma segura
como HTTPS cuando en realidad esta es direccionada a la
pgina de los atacantes.
Con respecto a este malware las versiones anteriores utilizaban
URLs codificadas en donde se poda tener el control de
servidor por completo, pero las ltimas versiones demuestran
que emplean un Algoritmo de generacin de Dominio o DGA
lo cual hace que calcula el nombre del dominio de aspecto
aleatorio para un momento dado sobre las variables a vulnerar.
Los atacantes dan esta aplicacin al malware para que tengan
la capacidad de calcular en donde los servidores tendrn
movimiento y en qu momento puede ser el exacto para ser
atacado. Esta capa externa del malware est basada creando
bibliotecas de clase de Microsoft en donde la creacin de
interfaces graficas del usuario, lo que tiene ventaja de que
puede ser escondido en cualquier carpeta. Este malware tiene
la capacidad de ser compatible con Google Chrome, Mozilla
Firefox e Internet Explorer.

contiene el malware en .pdf esto como estrategia para que el

usuario no percate que est siendo atacado.

B. Describa al menos 10 estrategias que puedan ser usadas

dentro del contexto de la Ingeniera Social y que ustedes
puedan explicar y propender porque no se lleven a cabo en su
organizacin o empresa.
La Ingeniera Social es el acto de manipular a una persona a
travs de tcnicas psicolgicas y habilidades sociales para
cumplir metas especficas. stas contemplan entre otras cosas:
la obtencin de informacin, el acceso a un sistema o la
ejecucin de una actividad ms elaborada (como el robo de un
activo), pudiendo ser o no del inters de la persona objetivo.
La Ingeniera Social se sustenta en un sencillo principio: el
usuario es el eslabn ms dbil. Dado que no hay un solo
sistema en el mundo que no dependa de un ser humano, la
Ingeniera Social es una vulnerabilidad universal e
independiente de la plataforma tecnolgica.
Formas de ataque
Las formas de ataque son muy variadas y dependen de la
imaginacin del atacante y sus intereses. En general, los
ataques de Ingeniera Social actan en dos niveles: el fsico y
el psicosocial. El primero describe los recursos y medios a
travs de los cuales se llevar a cabo el ataque, y el segundo es
el mtodo con el que se engaar a la vctima.

16. Los pollos hermanos: 14 May. 2015.

Virus inspirado en la serie de televisin Breaking Bad que
afecto principalmente el pas de Australia, en donde el virus
ataca usando la metodologa ransomware, que en espaol
quiere decir secuestra; este se implementa en los archivos que
impiden ser desbloqueados si no se cancela cierta suma de
dinero.
El
software
malicioso
es
llamado
Trojan.Cryptolocker.S. Este virus acta por medio de
mensajes donde se le indica que los archivos de su PC han sido
encriptados y para poder desbloquearlos deben cancelar una
suma de 450 dlares australianos y si se resan a cancelar este
monto se duplicara hasta por millones.
Por ahora este virus solamente ha afectado al pas de Australia,
nicamente a los usuarios de Windows, donde el virus es
compartido dentro de un archivo comprimido en Zip que

Las formas usadas a nivel fsico son:

1. Ataque por telfono.
Es la forma ms persistente de Ingeniera Social. En sta el
perpetrador realiza una llamada telefnica a la vctima
hacindose pasar por alguien ms, como un tcnico de soporte
o un empleado de la misma organizacin. Es un modo muy
efectivo, pues las expresiones del rostro no son reveladas y lo
nico que se requiere es un telfono. Para repeler los ataques
telefnicos abstngase de dar sobre todo contraseas,
informacin suya o de sus familiares, no crea en promociones
ni rifas ganadas en las que No ha participado, no entregue
nmeros de cuenta, toda esa informacin ya la debe tener la
empresa o compaa a la que se encuentra afiliado.

2. Ataque va Internet.
Desde que Internet se volvi uno de los medios de
comunicacin ms importantes, la variedad de ataques en red
se incrementaron tanto como la gran cantidad de servicios que
existen en l. Los ataques ms comunes son va correo
electrnico (obteniendo informacin a travs de un phishing o
infectando el equipo de la vctima con malware), web
(haciendo llenar a la persona objetivo un formulario falso) o
inclusive conversando con personas especficas en salas de
chat, servicios de mensajera o foros. Siempre tenga presente
que no se puede ganar nada en lo que no ha participado, la
curiosidad es un punto de distraccin para instalarle software
peligroso, no llene formularios, ni enve informacin a travs
de encuestas, siempre utilice https:, escriba las direcciones, no
haga click en propaganda o links de dudosa procedencia,
mantenga actualizado su antivirus y firewall.
Dumpster Diving o Trashing (zambullida en la basura).
Consiste en buscar informacin relevante en la basura, como:
agendas telefnicas, organigramas, agendas de trabajo,
unidades de almacenamiento (CDs, USBs, etc.), entre
muchas otras cosas. Para esta amenaza encripte su informacin
elimine lo que realmente no necesita y mantenga actualizado
su antivirus, utilice contraseas seguras.
Ataque va SMS. Ataque que aprovecha las aplicaciones de
los celulares. El intruso enva un mensaje SMS a la vctima
hacindola creer que el mensaje es parte de una promocin o
un servicio, luego, si la persona lo responde puede revelar
informacin personal, ser vctima de robo o dar pie a una
estafa ms elaborada. Recuerde que no hay nada regalado ni
concursos en los que no ha participado, evite devolver
llamadas a nmeros desconocidos, ni suscribirse a
promociones por SMS, no enviar ningn tipo de informacin,
ni hacer recargas de celular ni pagar para obsequios o premios
increbles.
3. Ataque va correo postal.
Uno de los ataques en el que la vctima se siente ms segura,
principalmente por la fiabilidad del correo postal. El
perpetrador enva correo falso a la vctima, tomando como
patrn alguna suscripcin de una revista, cupones de
descuento, etc. Una vez que disea la propuesta para hacerla
atractiva, se enva a la vctima, quien si todo sale bien,
responder al apartado postal del atacante con todos sus datos.
Este ataque a pesar de ser poco utilizada hoy en da puede
suceder, ya que no utilizamos ninguna proteccin.
4. Ataque cara a cara.
El mtodo ms eficiente, pero a la vez el ms difcil de
realizar. El perpetrador requiere tener una gran habilidad
social y extensos conocimientos para poder manejar
adecuadamente cualquier situacin que se le presente. Las
personas ms susceptibles suelen ser las ms inocentes, por
lo que no es un gran reto para el atacante cumplir su objetivo
si elige bien a su vctima. Evite pedir ayuda en los bancos o
cajeros automticos, no d ningn tipo de informacin
personal a desconocidos, acuda a la polica.

Por otro lado, existen entornos psicolgicos y sociales que

pueden influir en que un ataque de ingeniera social sea
exitoso. Algunos de ellos, son:
5. Exploit de familiaridad.
Tctica en que el atacante aprovecha la confianza que la gente
tiene en sus amigos y familiares, hacindose pasar por
cualquiera de ellos. Un ejemplo claro de esto ocurre cuando un
conocido llega a una fiesta con uno de sus amigos. En una
situacin normal nadie dudara de que ese individuo pudiera
no ser de confianza. Pero de verdad es de fiar alguien a quien
jams hemos tratado?
6. Crear una situacin hostil. El ser humano siempre procura
alejarse de aquellos que parecen estar locos o enojados, o en
todo caso, salir de su camino lo antes posible. Crear una
situacin hostil justo antes de un punto de control en el que
hay vigilantes, provoca el suficiente estrs para no revisar al
intruso o responder sus preguntas.
7. Conseguir empleo en el mismo lugar. Cuando la
recompensa lo amerita, estar cerca de la vctima puede ser una
buena estrategia para obtener toda la informacin necesaria.
Muchas pequeas y medianas empresas no realizan una
revisin meticulosa de los antecedentes de un nuevo
solicitante, por lo que obtener un empleo donde la vctima
labora puede resultar fcil.
8. Leer el lenguaje corporal.
Un ingeniero social experimentado puede hacer uso y
responder al lenguaje corporal. El lenguaje corporal puede
generar, con pequeos, detalles una mejor conexin con la otra
persona. Respirar al mismo tiempo, corresponder sonrisas, ser
amigable, son algunas de las acciones ms efectivas. Si la
vctima parece nerviosa, es bueno reconfortarla. Si est
reconfortada, al ataque!
9. Explotar la sexualidad.
Tcnica casi infalible. Las mujeres que juegan con los deseos
sexuales de los hombres, poseen una gran capacidad de
manipulacin, ya que el hombre baja sus defensas y su
percepcin. Probablemente suene asombroso, pero es
aprovechar la biologa a favor.
La mejor manera de enfrentar el problema, es concientizar a
las personas al respecto. Educarles sobre seguridad y fomentar
la adopcin de medidas preventivas. Otros mecanismos
sugeridos son:
- Nunca divulgar informacin sensible con desconocidos o en
lugares pblicos (como redes sociales, anuncios, pginas web,
etc.).
- Si se sospecha que alguien intenta realizar un engao, hay
que exigir se identifique y tratar de revertir la situacin
intentando obtener la mayor cantidad de informacin del
sospechoso.
- Implementar un conjunto de polticas de seguridad en la
organizacin que minimice las acciones de riesgo.
- Efectuar controles de seguridad fsica para reducir el peligro
inherente a las personas.

- Realizar rutinariamente auditoras y pentest usando

Ingeniera Social para detectar huecos de seguridad de esta
naturaleza.
- Llevar a cabo programas de concientizacin sobre la
seguridad de la informacin.
- Educar a las personas, en concreto a las personas que
trabajan cerca de las terminales, desde los operarios, hasta
personal de limpieza.
- Analizar con antivirus todos los correos que reciban
- No informar telefnicamente de las caractersticas tcnicas
de la red, ni nombre de personal a cargo, etc.
- Control de acceso fsico al sitio donde se encuentra los
ordenadores.
Esta forma de ataque es una de las ms comunes que se
presentan, ocurre cuando se aprovechan de los funcionarios a
travs de algn tipo de engao, utilizan varias tcnicas como
es rastrear la informacin, exploracin y enumeracin, de esta
forma obtienen informacin valiosa para el atacante como son
nmeros de documentos, nombres de usuarios, claves,
contraseas, etc. De esta forma pueden acceder a informacin
con fines delictivos. Estos tipos de ataques se pueden generar a
travs de correos electrnicos con los cuales solicitan
informacin como claves de acceso, la persona que enva este
correo falsifican su posicin de funcionario (como auditor, o
tcnico en mantenimiento del rea, etc.), de tal forma que
pueden engaar fcilmente su objetivo.

13. Tailgating o Piggybacking.

Consiste en ingresar a reas no permitidas a travs del
acompaamiento a las personas que si tienen el permiso de
acceso, asumiendo ser parte del grupo, o anteriormente
hacindose amigo de esta persona y ganndose la confianza,
para poder entrar all con el inclusive hacindose pasar por un
escolta.
Estas polticas de la organizacin son para cumplirlas el rea
restringida es solo para personal autorizado, debe cumplirse
independiente con quien este la persona autorizada.
14. Ataque con carnada.
Consiste en hacer uso de alguna estrategia como dejar algo
olvidado o algn objeto valioso en la oficina, o en algn sitio
de inters para el atacante de tal forma que al ingresar pueda
cometer la violacin a o robo de la informacin., nunca se
debe confiar y dejar accesar a personal por estos motivos si es
as realizar el acompaamiento respectivo.
15. Virus, gusanos o troyanos.
Consiste en accesar a los equipos dejando Virus, gusanos o
troyanos lo realizan adjuntando este a algn otro programa, de
tal forma que los virus pueden propagarse o replicarse.
Tambin como es el caso del troyano que aparenta ser algo
diferentes siendo un software de ataque.
Se debe implementar unas buenas herramientas de antivirus
antispam, firewalls e IPS.

10. Personificacin.
El individuo o atacante personifica a un empleado de la
compaa argumentando que ha extraviado la clave de acceso
y con acciones de angustia y desespero llama a Soporte tcnico
para su colaboracin, expone que puede hasta perder su puesto
de trabajo por dicha informacin, el funcionario de soporte
con el sentido de colaboracin procede a resetear la clave y
facilitarle el acceso a la red.
Estos aspectos los debe tener claro el funcionario de soporte,
nunca es conveniente dar acceso a la red a ningn empleado.

16 Ataque a travs de mensajes de texto SMS.

se deben hacer caso omiso a mensajes donde indiquen que
Usted ha sido el ganador de un concurso o ha ganado viajes,
dinero o artculos, ya que esta forma es muy usada para
engaar a los usuarios y pueden caer en un robo, si por algn
motivo cree ser ganador de determinado concurso verifique
personalmente con anterioridad al proporcionar informacin.
Nunca entregue informacin importante por este medio como
nmeros de tarjetas de crdito, identificacin, ni claves.

11. Dumpster diving.

Este es uno de los ataques ms funcionales para la ingeniera
social, el funcionario o jefe de la organizacin bota a la basura
los papeles corporativos, ah es cuando el atacante est
espiando y toma estos papeles de la basura que contienen
informacin como nombre, documentos de identidad, correos,
etc., y de esta forma puede realizar el ataque.
Nunca de debe dejar papelera importante en la basura, se debe
implementar una mquina de destruccin de la papelera. O si
es necesaria llevarla a la casa y all eliminarla.

17. Phishing.
Consiste en generar rplicas de pginas web, se produce
cuando un atacante genera o crea otro sitio web similar al que
visita la vctima, y atreves de esta ubica enlaces donde la
victima entra creyendo que est haciendo uso de su pgina
original, aqu el atacante se aprovecha de las vulnerabilidades
del navegador, acostumbran tambin utilizar un nombre de
dominio similar al de la pgina que estn replicando.
Se debe tener acceso a sitios de confianza y preferiblemente
tenerlas en favoritos del sistema.

12. Imposicin de autoridad.

En este caso el atacante figura con imposicin de autoridad de
forma intimidante, y a veces con urgencia de solicitud de la
informacin, puede suplantar a entidades oficiales, o privadas
que tengan alto grado de control y manejos legales frente a la
organizacin, haciendo que el funcionario entregue dicha
informacin bajo la intimidacin del atacante. Nunca entregue
informacin sin verificar con anterioridad si el personal que la
solicita si pertenece a esa entidad. Lleva consigo
documentacin que lo identifique.

18. Mails falsos.

Consiste en hacer el uso de mails que la vctima puede abrir
por inters o confiabilidad, el atacante puede falsificar el
correo o tambin puede enviar informacin o noticia de alto
inters para la vctima. Nunca acceda a emails desconocidos,
preferiblemente abrir los que sean de su entera confianza.
19. Ataque a travs de telfono.
Consiste en que el atacante a travs de una llamada telefnica
puede suplantar a otra persona ya sea un funcionario del rea

tcnica o jefe de la organizacin, valindose de este perfil

falso obtiene la informacin de inters para el atacante.
Nunca entregue informacin a travs de este medio. Y menos
contraseas, si por algn motivo es necesaria verifique que el
nmero de donde le estn llamando corresponda a la persona y
que usted debe conocer de lo contrario no suministre
informacin. En caso de un ataque de ingeniera Social se
deben tener en cuenta algunos Mecanismos para evitar este
tipo de ataque; Se debe tener en la empresa una poltica de
seguridad clara, con una adecuada capacitacin al personal de
la organizacin en todos los aspectos preventivos antes
mencionados, del buen uso de las contraseas, tener
conocimiento de los virus actuales y que permanentemente
estn saliendo en la red, conocimiento en tipos y formas de
perpetrar un ataque a travs de los medios electrnicos,
capacitacin al personal de sistemas de seguridad informtica,
implementar herramientas de antivirus antispam,, firewalls e
IPS.
20. Elistas.net.
Sistema de recuperacin de contrasea enviado al correo con
el cual se registr la cuenta, o sea ser enviado al propietario
de misma, cuando ya no se cuenta habilitado el correo con el
cual fue registrada la cuenta este perder el acceso a la misma.
21. Lycos Mail.
Esto ocurre cuando el usuario puede recuperar su cuenta con
un correo alternativo contestando a la pregunta secreta.
22. Telepolis.com.
Utiliza la pregunta que el usuario selecciono al registrarse,
obligndolo a cambiar la contrasea si se acierta la respuesta
23. El Email.
A travs de l y por medio de mensajes llegan los virus. La
informacin a obtener a travs de mail es sobre las empresas,
datos de la organizacin, proyectos, informacin sobre las
personas y tcnica. Para llevar a cabo esto hay que tener
informacin previa.
24. Chats.
Son los lugares donde ms se puede obtener informacin, pues
la conversacin es annima lo cual ayuda al acercamiento y a
tener una intimidad. El sistema ms utilizado es crear una
personalidad del sexo opuesto al de la persona que se pretende
abordar.
25. Tcnicas Pasivas.
Observacin de las acciones de la persona formacin de un
perfil psicolgico a la persona que se va a abordar, conocer sus
conductas informticas obtener datos como fecha de
cumpleaos, nombres de familiares etc.
26. Tcnicas no presenciales.
Por medio de cartas, correo y telfono intentando conseguir
informacin til ya que las personas confan en entregar sus
datos luego de ver en un texto bien redactado, con logos,
membrete, firma, sello.

27. Tcnicas presenciales no agresivas.

Usan el seguimiento de una persona, vigilan su vivienda,
acceso a agendas, buscan informacin en boletas, recibos,
extractos, etc.
28. Tcnicas agresivas.
Suplantacin de identidad hacindose pasar por personal del
servicio tcnico, personal de seguridad, agentes de soporte etc.
29. La ingeniera social se puede aplicar a los usuarios as.
Phishing (Robo de Informacin)
Llamadas a los usuarios para obtener informacin
Engaos de falsificacin sobre servicios
Registro de actividades para falsificar usuarios
Anlisis de gestos y actitudes de los usuarios
Distribucin y ejecucin de malware
C. Describa como se podra desarrollar un ataque a un
sistema informtico de la empresa seleccionada y cmo
debera protegerse la organizacin contra este ataque.
Un ataque Hombre en el medio.
Requiere que el atacante tenga acceso a los paquetes que
atraviesan la red, se interponga en una "conversacin" y acte
como intermediario entre el emisor y el receptor de los
paquetes. Un ejemplo podra ser algn usuario malicioso que
hubiera realizado un ataque de DHCP starvation y configure a
los hosts de la red indicando su propia direccin IP como
puerta de enlace. Con cada host que tome esta configuracin,
el atacante recibir todos los paquetes destinados a otras redes,
el atacante podr reenviarlo posteriormente modificando la
informacin que contiene o simplemente obteniendo la
informacin de los datos que enva. Con estos ataques, se
puede robar informacin, robar una sesin para obtener acceso
a recursos, realizar un anlisis de trfico para obtener
informacin sobre redes y usuarios, denegacin de servicios
(DoS) o corrupcin de los datos transmitidos. Los entornos
que operan sobre redes WLAN facilitan la captura y
redireccin de sesiones ya que una estacin inalmbrica que
transmite no es capaz de detectar la presencia de estaciones
adyacentes con la misma direccin MAC o IP. As, por
ejemplo, una estacin inalmbrica podra suplantar la
identidad del punto de acceso para conseguir las credenciales
vlidas del usuario, para posteriormente hacerse pasar ante el
verdadero AP como un usuario vlido y como un punto de
acceso, ante el usuario final. Para llevar a cabo este ataque es
necesario que el dispositivo atacante cuente con dos interfaces
WLAN:
Con una simular ser un punto de acceso.
Con la otra simular ser un usuario vlido.
El atacante enva una trama de disociacin a la vctima para
que busque un punto de acceso al que conectarse.
Posteriormente hace creer a la vctima que es el punto de
acceso original, pero operando en otro canal, obtiene de la
vctima la informacin necesaria para conectarse a la red y se
conecta al punto de acceso original con la otra tarjeta,
hacindose pasar por un usuario vlido.

Para evitar los ataques de Hombre en el medio resulta

fundamental poder asegurar que los extremos de una
comunicacin son de quien dice ser. Esto se puede lograr
utilizando autenticacin mediante una entidad certificante.
Al momento de acceder a un servidor HTTPS, antes del envo
de cualquier dato, se realiza una negociacin, en la cual se
define que la conexin ir encriptada, esto quiere decir que,
aunque el atacante pueda ver lo que t ests enviando, no
podr saber de qu se trata su contenido. Por eso, la principal
recomendacin para evitar este tipo de ataques es que siempre
te asegures de que, para conexiones que manejan informacin
sensible (tu correo electrnico, transacciones bancarias,
Twitter, Facebook, redes sociales en general, etc.) en la barra
de
direccin
de
tu
navegador
aparezca
https://www.servidor.com y/o un candado.
- Nunca deje que su dispositivo, se conecte automticamente a
un router WiFi abierta.
- Utilice un servicio de VPN (Red Privada Virtual) para crear
un tnel seguro a un servidor conocido. Si el punto de acceso
Wi-Fi pblicos no acepta una conexin VPN, debe tomarlo
como una advertencia de seguridad. Servicios VPN se discuten
a continuacin en ms detalle.
- Si usted no tiene una cuenta de VPN, slo debe conectarse a
servidores Web que ofrecen una conexin HTTPS. Aunque no
es tan seguro como VPN, es mejor que no tener seguridad.
- El protocolo https utiliza un certificado como parte del
proceso de autenticacin. Para interceptar el trfico, la MITM
necesario para proporcionarle un certificado falso. Tienes que
confiar en este certificado falso del ataque para proceder. En
lugar de confiar en ningn certificado inmediatamente, aunque
sea temporalmente, tome el tiempo para ver el certificado.
- Su dispositivo puede conocer las autoridades certificadoras
de confianza, por lo que no aceptan un certificado de una
autoridad de certificacin desconocida.
- No acepte un certificado auto-firmado. Si hay alguna duda,
no acepte el certificado.
- Pruebe con otra conexin WiFi. Es mejor usar una con seal
dbil de lo que ha sido vctima de un ataque MITM.
- En caso de duda, hacer una conexin 3G / LTE a su
compaa de telfono celular. Puede ser ms lenta, pero es ms
seguro.
- Si usted tiene un nico dispositivo WiFi que es necesario
utilizar, convertir el telfono en un hotspot Wi-Fi. Debe
proteger con contrasea de acceso para evitar que otros lo usen
para acceder a Internet.

los numerosos y constantes ataques de virus y violaciones de

seguridad informtica que sufren dichas empresas.
Los usuarios siempre deben enfocar parte de su atencin en
el grado de vulnerabilidad y en las herramientas de seguridad
con las que cuentan para hacerle frente a posibles ataques
informticos y luego no se pueda traducir en prdidas
cuantiosas de dinero o su equivalente en informacin.
La idea de una red inmune a las amenazas y con un alto
control de accesos a los usuarios definitivamente no es un lujo.
La seguridad de la informacin no slo debe entenderse
como un conjunto de elementos tcnicos y fsicos, sino como
un proceso cultural de personas y organizaciones. Si el usuario
es el eslabn ms dbil, deben existir controles que ayuden a
disminuir el riesgo que ste pueda representar.
Maneje los emails de desconocidos con un alto grado
escepticismo y no haga clicks en los enlaces para accesar sitios
seguros mejor escriba usted mismo la direccin en la barra de
navegacin del navegador.
Las diferentes amenazas aplicadas a organizaciones tienen
gran. Cada da se contabilizan prdidas millonarias en las
organizaciones debido a los numerosos y constantes ataques de
virus y violaciones de seguridad informtica que sufren dichas
empresas.
Las Organizaciones siempre deben enfocar parte de su
atencin en el grado de vulnerabilidad y en las herramientas de
seguridad con las que cuentan para hacerle frente a posibles
ataques informticos y luego no se pueda traducir en prdidas
cuantiosas de dinero o su equivalente en informacin.
La seguridad informtica se ha vuelto cada da ms
compleja para las organizaciones, en el trabajo presentado se
ha visto el riesgo que corren los usuarios tanto externos como
internos relacionados con las amenazas a la seguridad.
Para evitar un ataque de Ingeniera Social se debe contar
con una amplia capacitacin al personal de la organizacin en
todos los aspectos preventivos antes mencionados, del buen
uso de las contraseas, tener conocimiento de los virus
actuales y que permanentemente estn saliendo en la red,
conocimiento en tipos y formas de perpetrar un ataque a travs
de los medios electrnicos, capacitacin al personal de
sistemas de seguridad informtica, implementar herramientas
de antivirus antispam,, firewalls e IPS.
Hemos visto que los hackers son personas inescrupulosas que
buscan informacin confidencial solo para robar, estafar o
sobornar con el fin de obtener beneficios econmicos.

IV. CONCLUSIONES

Cada virus mostrado y detectado, cumple funciones de tal

manera que pretenden no dejar huella y solo buscan
desaparecer despus de haber cumplido con su cometido.

La seguridad informtica se ha vuelto cada da ms

compleja para las organizaciones, en el trabajo presentado se
ha visto el riesgo que corren los usuarios tanto externos como
internos relacionados con las amenazas a la seguridad.
Estas amenazas tienen un importante impacto no solo en
empresas, sino en los usuarios de todo el mundo. Cada da se
contabilizan prdidas millonarias en las organizaciones debi a

Aqu nos damos cuenta que la seguridad informtica es vital

para cualquier tipo de ente empresarial, esto ayuda a
obstaculizar a los delincuentes impidindoles un ingreso
directo a la fuente de los datos, pero no todo es perfecto y
siempre quedan brechas aunque por muy mnimas que sean,
estas pueden ser implementadas como vulnerabilidades y
aprovechadas para robar.

Este trabajo nos brinda las herramientas necesarias y

fundamentales para conocer los mtodos bsicos
implementados por los delincuentes para hallar las
vulnerabilidades de cada ordenador y las posibles protecciones
para brindar mejor seguridad a nuestra informacin.

SQL Injection
Este es un ataque que permite realizar consultas a bases de
datos, esto se logra a un incorrecto filtrado de la informacin
que pasa por variables y campos que implementa un sito web.
Sql injection se usa por lo general para extraer credenciales y
realizar accesos ilegtimos, cuando se detecta un fallo o una
vulnerabilidad este le va a permitir ejecutar comandos en el
servidor, con esto el delincuente podr subir, leer o alterar
informacin de la base de datos.
Esta vulnerabilidad opera de acuerdo a las formas de enviar
datos al servidor web, entre estos tenemos dos mtodos GET
Y POST, el primero incluye la informacin en al URL y esta
es visible, el mtodo post la informacin es enviada de forma
transparente al usuario y este mtodo es el ms implementado
cuando se realizan los login de las pginas web.

El primer paso es en la terminal que se abre al dar sqlmap

implementamos el comando sqlmap -u [url] dbs este nos
consigue el nombre de la base o bases de datos, como
podemos apreciar en el ejemplo:
sqlmap -u http://www.bible-history.com/subcat.php?id=22 - dbs
Este comando que nos arroj las bases de datos que maneja la
pgina web, aqu nos damos cuenta que se manejan 5
databases

Para realizar el ataque SQL Injection, es necesario contar con

software que facilite la implementacin, entre este tenemos
SQLmap: este es el mas famoso y fue desarrollado
por python
Havij: Desarrollada por la empresa ITSecTeam.
SqlNinja: Desarrollada en Perl
O tambin se puede utilizar sistemas operativos especializados
que contienen esas herramientas esenciales y listos para usarse
como
Samuri wtf Linux
Kali Linux versin avanzada de back track
Para este ejemplo implementamos los comandos necesarios
para hallar vulnerabilidad en la pgina web http://www.biblehistory.com implementando con Kali Linux.

El segundo paso ya viendo el nombre de la base de datos es

sqlmap -u [url] -D [nombre_dbs] tables este comando nos
permite ver en una lista las tablas que tiene la base de datos.
sqlmap -u http://www.bible-history.com/subcat.php?id=22 D
keywords - -tables
Nos muestra que esta base de datos tiene 3 tablas

Asi como en la siguiente imagen entramos a aplicaciones, Kali

Linux, Top 10 Security Tools, sqlmap.

Como todos sabemos en sql hay un orden para implementar

este comando se debe tener, el nombre de la base de datos, el
nombre de la tabla y por ende este comando permite ver las
columnas y con ello nos permite ver el nmero de campos que
tiene la base de datos sqlmap -u [url] -D [nombre_dbs] -T
[nombre_tablar] - -columns

Por ende el ejemplo anterior nos dimos cuenta de que tan fcil
es aplicar el ataque SQL Injention.
(Max, youtube-SQL Injection +SQLMap + Deface + Kali Linux 2013 / 2014
, 2013)

Prevenir ataques SQL Injection:

sqlmap -u http://www.bible-history.com/subcat.php?id=22 D
keywords -T admin --columns
El cual nos muestra el contenido de la tabla admin, donde
tmenos los campos que esta tiene

Para prevenir este tipo de ataque se recomienda FILTRAR los

caracteres que puedan poner en peligro nuestra aplicacin
como: apostrofe ( comilla simple) por comillas dobles (), (\ /
) estos caracteres y muchos ms pueden ser pasados por
web, lo cual traer inconvenientes en su buen funcionamiento,
adems de que hay que realizar este procedimiento tanto en el
lado del servidor como en el del cliente.
Otro caso muy importante a tener en cuenta es el manejo de
los permisos de usuarios para manipular la informacin de la
base de datos y la buena implementacin de las sentencias
SQL que den seguridad en cada ejecucin entre los valores
permitidos y por ultimo utilizar el mtodo de procedimientos
almacenados que son un conjunto de sentencias SQL y de
control de flujos, las cuales simplifican la ejecucin de tareas
repetitivas, dan velocidad a cada consulta, brindan flexibilidad
ante errores y los dan a conocer y ayudan a dar seguridad.

V. AGRADECIMIENTOS
Este comando extrae el contenido de cada campo de la tabla
seleccionada sqlmap -u [url] -D [nombre_dbs] -T
[nombre_tablar] - -dump
sqlmap -u http://www.bible-history.com/subcat.php?id=22 D
keywords -T admin --dump

Agradezco al ingeniero: Ing. John Quintero, Director de curso

de fundamentos de la seguridad informtica en la
especializacin en seguridad informtica de la universidad
nacional Abierta y A Distancia UNAD, por ser gua y apoyo
en esta materia de la seguridad informtica.

Encontramos los datos necesarios para ingresar como un login

administrador.

VI. REFERENCIAS
[1]

Gonzlez Yina, Castao Wilson. (2012) Fundamentos de seguridad

informtica. Material didctico Universidad Nacional Abierta y a
Distancia UNAD.

[2]

Contenido Didctico: Curso Introduccin a la Seguridad Informtica en

AVA. UNAD 2014.

[3]

E. Mifsud, MONOGRFICO: Introduccin a la seguridad informtica

[Online].
Marzo,
2012.
Disponible
en:
http://recursostic.educacion.es/observatorio/web/en/software/softwaregeneral/1040-introduccion-a-la-seguridad-informatica?showall=1

[4]

Ochoa Ovalles, S. y Cervantes Snchez, O.: Seguridad informtica

[Online], en Contribuciones a las Ciencias Sociales, Julio 2012.
Disponible en: http://www.eumed.net/rev/cccss/21/oocs.html

[21] Un grupo de atribuye haber hackeado los emails del PNV Diario de El
Pas,
Espaa,
[Online].
Disponible
en:
http://ccaa.elpais.com/ccaa/2015/05/18/paisvasco/1431966257_037574.
html
[22] http://www.ieco.clarin.com/economia/empleados-ponen-pruebaseguridad-informatica_0_1220278303.html
[23] Ataques informticos Debilidades de seguridad comnmente explotadas
[Online].
Disponible
en:
https://www.evilfingers.com/publications/white_AR/01_Ataques_infor
maticos.pdf

[5]

Seguridad
Informtica.
Disponible
http://www.eumed.net/rev/cccss/21/oocs.html.

[6]

Los Peores ataques informticos de la historia. Disponible en:

http://www.taringa.net/posts/noticias/16350202/Los-Peores-ataquesinformaticos-de-la-historia.html

[24] Ataques
informticos
[Online].
Disponible
en:
http://datateca.unad.edu.co/contenidos/233005/contenido%20en%20lin
ea%20PELSI_I_2013/leccin_15_ataques_informticos.html

[7]

Los virus informticos ms famosos de la historia. Disponible en:

http://www.informatica-hoy.com.ar/historia-de-la-computadora/Losvirus-informaticos-mas-famosos-de-la-historia.php

[25] CVE Identifier "CVE-2015-3456" Citado en numerosos avisos de

seguridad y los medios de comunicacin Noticias Referencias sobre la
vulnerabilidad
VENENO
[Online].
Disponible
en:
https://cve.mitre.org/news/index.html

[8]

As fueron los mayores ataques informticos de la historia. Disponible

en: http://es.gizmodo.com/los-10-mayores-ataques-informaticos-de-lahistoria-1580249145

[9]

en:

[20] Polticas
de
seguridad
informtica.
Disponible
en:
http://es.slideshare.net/bellaroagui/politicas-deseguridad-13610538

Ataques informticos a travs del tiempo! Disponible en:

http://www.timetoast.com/timelines/ataques-informaticos-a-travez-deltiempo

[10] Grandes robos informticos de la historia. Disponible

http://www.eldiario.es/turing/Grandes-robos-informaticoshistoria_0_132986921.html

en:

[11] 5 motivos por los que las trampas de la ingeniera social funcionan.
Disponible en: http://www.trendmicro.es/media/br/5-reasons-whysocial-engineering-tricks-work-es.pdf
[12] Conozca de qu se trata la 'ingeniera social' y tome precauciones.
Disponible en: http://beta.semana.com/tecnologia/tips/articulo/conozcaque-trata-ingenieria-social-tome-precauciones/373280-3
[13] Ingeniera
social.
Disponible
http://hackstory.net/Ingenier%C3%ADa_social

en:

[14] Ingeniera Social: Corrompiendo la mente humana. Disponible en:

http://revista.seguridad.unam.mx/numero-10/ingenier%C3%AD-socialcorrompiendo-la-mente-humana
[15] Programa Avanzado De Estudio: Seguridad En Sistemas De
Informacin
Versin
Junio
2010.
Disponible
en:
http://es.slideshare.net/nyzapersa/curso-seguridad-en-sistemas-deinformacion
[16] Evitar el hombre en los ataques media. Disponible en: http://www.allthings-android.com/es/content/evitar-el-hombre-los-ataques-media
[17] Como protegernos del ataque del hombre en el medio o intermediario.
Disponible
en:
https://seguinfo.wordpress.com/2009/02/27/comoprotegernos-del-ataque-del-hombre-en-el-medio-o-intermediario/
[18] Gonzlez Yina, Castao Wilson. (2012) Fundamentos de seguridad
informtica. Material didctico Universidad Nacional Abierta y a
Distancia UNAD.
[19] Contenido Didctico: Curso Introduccin a la Seguridad Informtica en
AVA. UNAD 2014.

[26] Ataques
de
ingeniera
social.
Disponible
en
http://es.slideshare.net/kastudi/ataques-de-ingeniera-social-28142272
[27] Noticias Informticas, Crticas e importantes. Disponible en
http://noticias.seguridadpc.net/
[28] Qu es Blackshades, la amenaza ciberntica que persigue el FBI
Disponible en: http://www.eltiempo.com/tecnosfera/novedadestecnologia/fbi-lidera-la-captura-de-red-de-un-centenar-decibercriminales/14009563
[29] Un programa permiti a gobiernos espiar en internet desde 2008
denuncia Symantec Disponible en:
http://www.eluniversal.com.co/mundo/un-programa-permitio-gobiernosespiar-en-internet-desde-2008-denuncia-symantec-177728
[30] En la costa Caribe fueron capturados 12 'ciberdelincuentes' Disponible
en: http://www.eluniversal.com.co/sucesos/en-la-costa-caribe-fueroncapturados-12-ciberdelincuentes-162646
[31] Hack Story Disponible en:
http://hackstory.net/Ingenier%C3%ADa_social
[32] Ingeniera social: corrompiendo la mente humana Disponible en:
file:///C:/Users/USER/Downloads/Revista%20.Seguridad%20%20Ingenier%C3%ADa%20Social%20Corrompiendo%20la%20mente%20humana%20-%202013-0212.pdf
[33] Redaccin Tecnosfera | 2:58 p.m. | 23 de enero de 2015. Disponible en:
http://www.eltiempo.com/tecnosfera/novedades-tecnologia/tengacuidado-con-virus-que-secuestra-sus-archivos-y-pide-rescate-enbitcoins/15139497
[34] Redaccin ELTIEMPO
6 de mayo de 2013. Disponible en:
http://www.eltiempo.com/archivo/documento/CMS-12781058
[35]

REDACCIN TECNOLOGA 9 de abril de 2014.

Disponible en: http://www.eltiempo.com/archivo/documento/CMS13807857

[36]

REDACCIN TECNOLOGA 15 de abril de 2013.

Disponible en: http://www.eltiempo.com/archivo/documento/CMS12742682

[37] INGENIERIA SOCIAL. Recuperado el 02 de 06 de 2015, de

http://es.slideshare.net/luiscastellanos/ingeniera-social-en-el-sigloxxi?related=1
[38] SEGURIDAD DE LA INFORMACION EN COLOMBIA. 14 de 07 de
Disponible
en:
http://seguridadinformacioncolombia.blogspot.com/2010/07/ingenieriasocial-como-evitarla.html
[39] KASPERSKY. 23 de Abril de 2015
Disponible
http://www.viruslist.com/sp/analysis?pubid=207271284

en:

[40] NEW MALWARE PROGRAM POSEIDON TARGETS POINT-OFSALE SYSTEMS. 23 de abril

de Disponible en:
http://www.pcworld.com/article/2900552/new-malware-programposeidon-targets-pointofsale-systems.html
[41] THREAD POST. 16 de junio de 2014 Disponible en:
https://threatpost.com/dyreza-banker-trojan-seen-bypassing-ssl/106671
[42] INGENIERIA SOCIAL. 26 de enero de
http://es.slideshare.net/marlogame/ingenieria-social16193341?related=4

Disponible

en

[43] INFOBAE.
22
de enero de 2015
Disponible en
http://www.infobae.com/2015/01/22/1622470-amenaza-informaticaque-pide-rescate-archivos-se-extiende-america-latina
[44] SQL INJECTION +SQLMAP + DEFACE + KALI LINUX 2013 / 2014
. 12 de agosto de 2013Recuperado el 02 de 06 de 2015, de
https://www.youtube.com/watch?v=xpNy4jTgdLE&feature=youtu.be
[45] SENSORSTECHFORUM.COM. 12 de mayo de 2015 Disponible en:
http://sensorstechforum.com/es/remove-los-pollos-hermanos-cryptovirus/
[46] PCRISK.
31
de
octubre
de
2014
Disponible
en:
http://www.pcrisk.com/internet-threat-news/9023-news-archive-october2014
[47] ANTIFRAUDE. 06 de enero de 2015 Disponible en:
http://www.antifraude.org/2015/01/wifiphisher-ataques-de-ingenieriasocial-sobre-wi-fi/
[48] INGENIERA SOCIAL: 04 de mayo
de 2011 Disponible en
http://revista.seguridad.unam.mx/numero-10/ingenier%C3%AD-socialcorrompiendo-la-mente-humana
[49] TECHGEEZE.
5
de
mayo
de
2015
Disponible
http://www.techgeeze.com/2015/05/5-ways-small-businesses-canbenefit-from-a-point-of-sale-system.html

en

VII. BIOGRAFA
Body Gonzlez naci en Colombia LbanoTolima, el 16 de diciembre de 1980. Se gradu de la
Universidad Nacional Abierta y A Distancia UNAD
como ingeniero de sistemas.
Su experiencia laboral, Coordinador Local en el
programa Redvolucin con el MINTIC. Sus campos
de inters de especializacin Procesos de aprendizaje
en ambientes virtuales, auditora informtica y
seguridad informtica.
Ana Delcy Nomesque Patio, naci en Paipa
(Boyac), el 1de Julio de 1986, Graduada en la
Universidad Nacional Abierta y a Distancia (UNAD)
en ingeniera de Sistemas en el ao 2011, trabaja con
la Universidad de La Sabana en el Programa
Computadores Para Educar desde el ao 2012,
actualmente se especializa en la UNAD En
Seguridad Informtica.

Wilson Escobar Lemus, naci en Sogamoso,

Boyac 23 de Mayo de 1972. Egresado de la UPTC
Universidad Pedaggica y tecnolgica de Colombia
con el ttulo de Licenciado en Educacin Industrial,
Luego Obtuvo el ttulo de Ingeniero de Sistemas.
Estudia la Especializacin en Seguridad Informtica
con la expectativa de adquirir nuevos conocimientos.

Holman Estepa naci en Colombia Duitama

Boyac, el 1 de diciembre de 1987. Se gradu como
Ingeniero de sistemas de la universidad nacional
abierta y a distancia UNAD. Es tecnlogo en anlisis
y desarrollo de sistemas de informacin del SENA en
el ao 2010. Actualmente realiza sus estudios de
especializacin en seguridad informtica en la
Universidad Nacional Abierta y a Distancia
UNAD.