Categoría: Tendencias Digitales

El relleno de credenciales es un tipo de ataque cibernético que implica "rellenar" credenciales robadas en varios sitios web.

Herramientas como los bots han permitido a los piratas informáticos automatizar el relleno, lo que les permite probar millones de credenciales de inicio de sesión en docenas de sitios en un período corto. Esto es lo que necesita saber sobre este ataque y las formas sencillas en que puede protegerse.

¿Qué es el relleno de credenciales?

El relleno de credenciales implica meter una gran colección de contraseñas y nombres de usuario robados en varios sitios web. Dependen de infracciones de monstruos y filtraciones vendidas en la web oscura para obtener sus datos. El objetivo es utilizar los millones de combinaciones de nombres de usuario y de inicio de sesión de filtraciones anteriores para infiltrarse en otros sitios web.

Dependen de un error humano para que sus ataques tengan éxito: utilizan el mismo nombre de usuario y / o contraseña en varios sitios. Según la investigación, un enorme 85 por ciento de todos los usuarios reciclan sus contraseñas en diferentes cuentas.

Y es este tipo de pensamiento el que permite a los ciberdelincuentes utilizar las credenciales de inicio de sesión de una infracción de un sitio web para acceder a otros servicios.

La tasa de éxito es bastante baja, del 0,1 al 2 por ciento. Esto significa que por cada millón de credenciales de inicio de sesión probadas, solo se pueden usar alrededor de 1000 credenciales para ingresar a otros sitios web. Pero lo que hace que sus esfuerzos valgan la pena es la mina de oro de datos que pueden recopilar de cada cuenta en la que se infiltran.

Digamos que logran piratear alrededor de mil cuentas y estas tienen información bancaria o credenciales de tarjetas de crédito. Pueden desviar fondos o utilizarlos para cometer otras formas de fraude. Otra información de identificación personal (PII), como números de seguro social o información fiscal, se puede utilizar para cometer delitos como el robo de identidad.

Los ciberdelincuentes monetizan todo lo que encuentran en cada cuenta, lo que hace que el ataque valga la pena a pesar de la muy baja tasa de coincidencia de inicio de sesión.

¿Cómo se realiza un ataque de relleno?

Por supuesto, los piratas informáticos no ingresan manualmente las credenciales de inicio de sesión robadas una por una en diferentes sitios web, ya que necesitan millones (o incluso miles de millones) de credenciales de inicio de sesión robadas para que el ataque valga la pena.

En cambio, las credenciales descifradas de las filtraciones de datos se cargan en redes de bots que lanzan intentos de inicio de sesión automatizados. Luego usan más herramientas para evadir la detección.

Relacionado: ¿Qué es una botnet y su computadora es parte de una?

Una sola botnet puede realizar miles de intentos de inicio de sesión por hora. Por ejemplo, un ataque de relleno de credenciales en 2016 utilizó una botnet que envió más de 270.000 solicitudes de inicio de sesión en varios sitios por hora.

¿Cómo pueden los ataques de relleno eludir la detección?

Si bien muchos sitios utilizan medidas de seguridad para detectar varios inicios de sesión no autorizados, los piratas informáticos han encontrado formas de eludir estas medidas.

Una lista de proxy se usa para rebotar solicitudes y enmascarar la fuente o, simplemente, hacer que las solicitudes de inicio de sesión parezcan provenir de diferentes ubicaciones. También utilizan otras herramientas para que parezca que los múltiples intentos de inicio de sesión provienen de diferentes navegadores.

Esto se hace porque varios intentos de inicio de sesión desde un solo tipo de navegador (mil por hora, por ejemplo) parecen sospechosos y tienen una mayor probabilidad de ser marcados como fraudulentos.

Todas estas técnicas imitan la actividad de inicio de sesión legítima de miles de usuarios en diferentes ubicaciones. Esto hace que el vector de ataque sea simple, pero difícil de detectar.

¿Cuál es la diferencia entre el relleno de credenciales y los ataques de fuerza bruta?

Credential Stuffing es un subtipo de ataque de fuerza bruta que es mucho más potente porque está más dirigido.

Un ataque de fuerza bruta implica esencialmente adivinar contraseñas utilizando diferentes combinaciones de caracteres aleatorios. Usan software automatizado para hacer múltiples conjeturas probando varias combinaciones posibles hasta que se descubre la contraseña. Se hace sin contexto.

El relleno de credenciales, por otro lado, usa detalles de inicio de sesión y contraseñas de violaciones de datos anteriores. Usan un par de contraseña y nombre de usuario de una filtración de un sitio web y luego lo prueban en otros servicios.

Si bien el uso de contraseñas seguras puede protegerlo de los ataques de fuerza bruta, esto es inútil si usa la misma contraseña en otros sitios web, cuando se lanza un ataque de relleno.

¿Cuál es la diferencia entre el relleno de credenciales y el dumping de credenciales?

Si bien puede parecer lo mismo, el volcado de credenciales es un tipo diferente de ataque que tiene como objetivo un punto de entrada o máquina para infiltrarse en una red.

Si bien el relleno de credenciales utiliza múltiples credenciales de inicio de sesión de infracciones anteriores para ingresar a otros sitios web, el volcado de credenciales implica ingresar a una máquina y extraer múltiples credenciales de inicio de sesión.

Esto se hace accediendo a las credenciales almacenadas en caché en los muchos registros de la computadora o extrayendo las credenciales de la base de datos del Administrador de cuentas de seguridad (SAM). Este último contiene todas las cuentas creadas con contraseñas guardadas como hashes.

El objetivo del ataque de volcado de credenciales es hacerse un hueco en la red o ingresar a otras computadoras del sistema. Después de extraer las credenciales de inicio de sesión de una máquina, un pirata informático puede volver a ingresar al dispositivo u obtener acceso a toda la red para causar más daño.

A diferencia del relleno, un ataque de volcado de credenciales utiliza un punto de entrada, una máquina con vulnerabilidades sin parche para infiltrarse en una red.

RELACIONADO: ¿Qué es el dumping de credenciales? Protéjase con estos 4 consejos

¿Cómo se protege de un ataque de relleno?

Para la mayoría de los usuarios, la mejor y más sencilla forma de protegerse es utilizar contraseñas únicas para cada sitio web o cuenta. Como mínimo, haga esto para aquellos que tengan su información confidencial, como datos bancarios o de tarjetas de crédito.

Habilitar la autenticación de dos factores (2FA) o la autenticación de múltiples factores (MFA) ayuda a que la toma de control de la cuenta sea más difícil para los piratas informáticos. Estos se basan en un medio secundario de validación, es decir, enviar un código a su número de teléfono y solicitar su nombre de usuario y contraseña.

Si le resulta confuso recordar varias contraseñas y nombres de usuario, puede utilizar un administrador de contraseñas confiable. Si no está seguro de su seguridad, consulte los métodos seguros que utilizan los administradores de contraseñas .

O pruebe con un administrador de contraseñas de código abierto .

Proteja sus contraseñas

Tu contraseña es como la llave de tu casa. Debe ser único, fuerte y, lo que es más importante, debe guardarlo en un lugar seguro en todo momento.

Estos también deben ser memorables y seguros. Puede explorar diferentes herramientas de contraseña que pueden ayudarlo a crear otras únicas pero memorables que sean difíciles de descifrar para los piratas informáticos.

Si eres un gran admirador de los servicios de Microsoft, querrás estar atento a Microsoft Teams en un futuro cercano. La compañía ha confirmado que están trabajando en una forma de implementar Outlook en Teams de manera más sencilla.

Llevando Outlook a Microsoft Teams

La función está un poco alejada todavía, pero ya parece prometedora. En la hoja de ruta de Microsoft 365 , puede encontrar lo siguiente:

Envíe una copia de los mensajes de correo electrónico o las conversaciones, incluidos los archivos adjuntos, a los chats y canales de Teams o inicie un chat de Teams relacionado con un mensaje de correo electrónico específico. Al compartir con Teams desde Outlook en la web, aparecerá una ventana emergente para confirmar con qué canal o persona desea compartir, también puede seleccionar si desea incluir archivos adjuntos o no.

La fecha de lanzamiento de esta función está programada para marzo de 2021 y no hay más información sobre esta función más allá de la anterior.

Sin embargo, por lo que podemos ver, será una gran característica para discutir la correspondencia sin necesidad de copiar y pegar o exportar correos electrónicos de Outlook a Teams.

Un tiempo más fácil con los correos electrónicos

Si siempre comparte información de correos electrónicos en Microsoft Teams, asegúrese de estar atento a esta nueva característica a medida que se desarrolla. No se lanzará hasta marzo de 2021, pero cuando llegue, es de esperar que cambie la forma en que las empresas usan Teams.

Si desea comenzar con Outlook antes de esta actualización, querrá aprender todas las funciones ocultas y los accesos directos del programa. Hay muchos para aprender y todos pueden ayudarlo a trabajar más rápido y mejor.

Haber de imagen: MITstudio / Shutterstock.com

Una próxima actualización de Windows 10 eliminará una de las características que menos gustan y que menos se usan del sistema operativo.

Así es: Shake to Minimize está dejando Windows 10 para siempre.

¿Por qué Microsoft está eliminando "Agitar para minimizar"?

Aunque es una función de Windows 10 infrautilizada, también es una que provocó una considerable ira de los usuarios, generalmente después de activar la función accidentalmente.

Shake to Minimize se introdujo por primera vez con Windows 7. Permite a los usuarios cerrar todas las ventanas en la barra de pantalla una moviendo el mouse hacia adelante y hacia atrás rápidamente.

Microsoft no publicita ampliamente la opción y muchos usuarios solo la descubren cuando todas sus ventanas desaparecen de la pantalla.

La función, también conocida como Aero Shake, es la única opción existente de Windows 10 que permite a un usuario cerrar todas las ventanas excepto la que agita. Como tal, algunos usuarios definitivamente lamentarán la pérdida de la función, especialmente sin un reemplazo.

Shake to Minimize se eliminará en Windows 10 build 21277, que se envió a los usuarios de Windows 10 Insider Preview en Dev Channel en diciembre de 2020.

Dado el cronograma normal de las características de Windows 10 que pasan del canal de desarrollo a una versión adecuada, puede esperar ver la eliminación de Shake to Minimize en la actualización de Windows 10 21H1, que se espera para la primera mitad de 2021.

Relacionado: Las cosas más importantes que debe hacer después de instalar Windows

¿Se puede activar el batido para minimizarlo?

Fiel a su estilo, los usuarios dedicados de Microsoft ya han encontrado un método para activar Shake to Minimize nuevamente. La solución implica la creación de una nueva clave de registro, pero no es un proceso difícil.

Para activar Shake to Minimize en Windows 10:

1. Escriba registro en la barra de búsqueda del menú Inicio y seleccione la mejor coincidencia.
2. Busque la siguiente clave de registro: HKEY_CURRENT_USER Software Microsoft Windows CurrentVersion Explorer Advanced
3. En el panel derecho, haga clic con el botón derecho y seleccione Nuevo> Valor Dword (32 bits) .
4. Nombre el nuevo valor DisallowShaking y establezca el valor en 0 .
5. Cierre el Editor del registro y reinicie su sistema.

Tenga en cuenta que esta corrección solo tendrá efecto en sistemas en los que se haya desactivado Agitar para minimizar. Si está utilizando Windows 10 en la rama de versión estándar, como hacen la mayoría de los usuarios, Shake to Minimize todavía está activo en su máquina.

Relacionado Cómo limpiar su computadora sin reinstalar Windows

La pérdida de Aero Shake deja a los usuarios de Windows 10 con dos accesos directos alternativos para minimizar el escritorio. Puede usar la tecla de Windows + D para mostrar u ocultar todo el escritorio, o la tecla de Windows + M para minimizar todas las ventanas abiertas. Además, puede restaurar todas sus ventanas abiertas usando la tecla de Windows + Shift + M atajo.

En los 80, el pixel art no era solo una forma de arte digital. Fue fundamental. El hardware de baja potencia solo podía manejar tantos colores y píxeles, por lo que los artistas de activos tenían que ser creativos para transmitir adecuadamente sus conceptos en el juego.

Pero los tiempos han cambiado desde entonces. Cada vez más artistas se lanzan al mundo del pixel art, y usted también puede hacerlo, incluso si no está sentado frente a su computadora. Las siguientes aplicaciones le permiten crear pixel art sin importar dónde se encuentre.

1. Pixilart

Galería de imágenes (3 imágenes)

Expandir

Expandir

Expandir

Cerca

Imagen 1 de 3

Imagen 2 de 3

Imagen 3 de 3

Pixilart es la aplicación que trajo lo que posiblemente sea el mejor enfoque para crear pixel art en dispositivos móviles. Antes de Pixilart, las aplicaciones creadas específicamente para crear pixel art dibujaban píxeles en el lienzo tan pronto como tu dedo tocaba la pantalla. Esto puede ser difícil de controlar a menos que se acerque mucho.

Sin embargo, tocar y arrastrar en Pixilart solo moverá el cursor. No es hasta que presiona el botón Dibujar que se coloca un píxel en la ubicación del cursor en la pantalla (por lo que es probable que tenga que usar ambas manos a la vez).

Este giro en la función de dibujo básica atrajo rápidamente a los usuarios, construyendo lentamente lo que ahora es una de las comunidades en línea más grandes de la actualidad, específicamente para artistas de píxeles.

Deberá crear una cuenta para compartir su obra de arte con otros usuarios en la plataforma. Pixilart es una comunidad para todas las edades, por lo que no puede cargar contenido para adultos. Todos los mensajes son públicos y los filtros para malas palabras y spam están habilitados de forma predeterminada.

También hay un editor en el navegador para aquellos que quieran usar Pixilart en una computadora o computadora portátil.

Descargar: Pixilart para iOS | Android (gratis)

2. Pixel Studio

Galería de imágenes (3 imágenes)

Expandir

Expandir

Expandir

Cerca

Imagen 1 de 3

Imagen 2 de 3

Imagen 3 de 3

Crear pixel art en dispositivos móviles y tabletas fue un sueño que se hizo realidad hace solo unos años. Pixel Studio fue una de las primeras aplicaciones que hizo realidad ese sueño.

Este editor de pixel art de Hippo Games tiene más de dos millones de descargas en todo el mundo y ha sido traducido a 23 idiomas.

Ser una de las aplicaciones más antiguas del mercado tiene sus ventajas, por ejemplo, tener suficiente tiempo para agregar aún más funciones. Además de todas las herramientas típicas, Pixel Studio admite capas, así como varios tipos de imágenes y archivos editables. También es compatible con el Samsung S-Pen y el Apple Pencil.

Relacionado: Funciones esenciales del S Pen para propietarios de Galaxy Note

Si es un gran fanático de la aplicación móvil, le complacerá saber que también está disponible para descargar como aplicación de escritorio. Su obra de arte se puede sincronizar en diferentes plataformas con Google Drive.

Descargar: Pixel Studio para Android | iOS | Windows | macOS (compras gratuitas desde la aplicación disponibles)

3. Dotpict

Galería de imágenes (3 imágenes)

Expandir

Expandir

Expandir

Cerca

Imagen 1 de 3

Imagen 2 de 3

Imagen 3 de 3

Dotpict es una aplicación y plataforma social que probablemente fue creada por desarrolladores que también son artistas de píxeles. Incluso la interfaz de la aplicación incluye texto e íconos en píxeles.

En términos de función, es muy similar a Pixilart. Dibuja de la misma manera, tiene lo esencial y también ha construido su propia comunidad familiar. El editor admite hasta tres capas, pero no tiene capacidades de animación.

Sin embargo, lo que diferencia a Dotpict del resto son las funciones de autoguardado y lapso de tiempo. El guardado automático garantiza que, incluso si la aplicación fallara por alguna razón, nunca perderá por completo el arte que estaba creando. Si activa la función de lapso de tiempo antes de comenzar a dibujar, podrá guardar una animación GIF de su proceso de pixelado de principio a fin.

Registrarse para obtener una cuenta de Dotpict le permite compartir su propio arte y paletas de colores, participar en concursos de arte de píxeles e interactuar con el arte de otros usuarios.

Descargar: Dotpict para iOS | Android (gratis)

4. Pixaki

Disponible solo para iPad, Pixaki es una aplicación con excelentes críticas. Cuenta con una interfaz multitáctil y paletas personalizables.

Hay soporte para hasta 50 capas, animación y los tipos de archivos más populares. A los desarrolladores de juegos les encantará la posibilidad de exportar hojas de sprites, también conocidas como imágenes que muestran la secuencia de cada fotograma de un sprite animado.

Convertir un boceto en pixel art en Pixaki es fácil con las capas de referencia . A menudo, al cambiar el tamaño de sus propios bocetos para crear pixel art encima de ellos, pierde muchos de los detalles que tenía originalmente. Pixaki le permite importar cualquier imagen (o varias imágenes a la vez) desde su biblioteca de fotos a resolución completa, cambiar su tamaño y reposicionarla en el lienzo.

La versión de prueba de la aplicación (Pixaki Viewer) funcionará durante 14 días antes de desactivar todas las funciones creativas. Aún podrá ver y exportar archivos creados en Pixaki. Si realizó alguna obra de arte durante la prueba, todos sus documentos y configuraciones se transferirán automáticamente a la versión completa de Pixaki una vez que la compre.

Descargar: Pixaki Viewer para iOS (prueba gratuita) | Pixaki 3 para iOS ($ 24,99)

5. Procrear

Hemos hablado de Procreate antes como una alternativa a Adobe Photoshop , pero esta aplicación de pintura digital para iPad también es más que capaz de crear pixel art.

Con su extenso currículum de características, es probable que tenga que jugar en el panel de configuración del pincel. Querrá asegurarse de que solo está usando dibujos con bordes duros (desactive el suavizado o solo use pinceles opacos).

La función más útil y única que proporciona Procreate a los artistas de píxeles es Palette Capture . En lugar de crear sus propias paletas de colores, puede importar una imagen desde la aplicación Fotos. Procreate luego creará una paleta personalizada de los colores de esa imagen.

Si bien no son funciones que usará con frecuencia (o en absoluto, en realidad) para el arte de píxeles, Procreate también tiene una enorme biblioteca de pinceles texturizados, controles de color precisos y una gran cantidad de impresionantes efectos digitales. La aplicación es compatible con Apple Pen y es una compra única.

Descargar: Procreate para iOS ($ 9.99)

Crea Pixel Art desde cualquier lugar

La industria de los juegos independientes ha experimentado un resurgimiento en los juegos de pixel art, y quizás eso se deba en parte a lo fácil que se ha vuelto comenzar. Algunos programas de gráficos requieren un hardware moderadamente potente para funcionar sin problemas, pero con estas aplicaciones, todo lo que necesitará es su teléfono o tableta.

Las herramientas para descifrar teléfonos tienen una gran demanda por parte del FBI y los departamentos de policía. Pero según un informe reciente sobre Gizmodo , también hay otro mercado en crecimiento para ellos … administradores escolares.

Según el artículo, varias escuelas han comprado herramientas forenses, como las fabricadas por la empresa Cellebrite, que pueden ayudarles a acceder a los iPhones que pertenecen a alumnos y profesores.

Las herramientas de la vigilancia estudiantil

Gizmodo cita ocho distritos escolares, siete de ellos en Texas, que han pagado hasta $ 11,582 por estas herramientas forenses de dispositivos móviles (MDFT). Dichas herramientas pueden ayudar a acceder a datos como textos, imágenes y aplicaciones en los dispositivos en cuestión.

Su presencia en estos distritos escolares significa que podrían haber sido utilizados para registrar los teléfonos de miles de estudiantes.

El informe se basó en una muestra aleatoria de 5.000 sitios web de escuelas públicas o distritos escolares en los EE. UU. Debido a que se trata de una minoría de los 13,506 distritos escolares que se calcula que están en funcionamiento, el número que utiliza estas herramientas de vigilancia podría ser significativamente mayor.

También existe la posibilidad de que muchos otros distritos escolares no informen la compra de esta tecnología como partidas en sus presupuestos públicos.

Cooper Quentin, tecnólogo senior de la Electronic Frontier Foundation, le dijo a Gizmodo:

Cellebrites y Stingrays comenzaron en la procedencia del ejército de los EE. UU. O de las fuerzas del orden público federales, y luego se abrieron paso en las fuerzas del orden público estatales y locales, y también finalmente llegaron a manos de delincuentes o pequeños tiranos como los administradores escolares. Esta es la trayectoria inevitable de cualquier tipo de tecnología de vigilancia o cualquier tipo de arma.

El informe además señala que el Distrito Escolar Unificado de Los Ángeles, que es el segundo distrito escolar más grande de los Estados Unidos, tiene un dispositivo Cellebrite que utiliza en ciertas investigaciones que involucran quejas de mala conducta de los empleados.

Apple lucha por la privacidad

Empresas como Cellebrite han estado en las noticias desde al menos 2016 cuando el FBI tuvo un enfrentamiento con Apple por la negativa de esta última a ayudar a descifrar el iPhone recuperado del tirador de San Bernardino. Cellebrite forma parte de un número creciente de empresas que ofrecen diversas soluciones de seguridad para ayudar a descifrar dispositivos protegidos.

Apple hace de la privacidad una parte fundamental de sus ofertas de productos, con varias funciones integradas en sus herramientas y ofertas de productos para mantener la privacidad de los datos de los usuarios. Esta ideología a veces ha posicionado a Apple en el lado opuesto de la aplicación de la ley, que quiere una puerta trasera que puedan usar para acceder a los dispositivos.

Relacionado: Ajustes y ajustes de seguridad del iPhone que necesita saber

Sin embargo, historias como esta muestran que no solo se buscan sospechosos criminales cuyos iPhones podrían ser descifrados como parte de las investigaciones, sino también, potencialmente, estudiantes y miembros de la facultad.

Crédito de la imagen: Element5 Digital / Unsplash CC