La Guardia Civil detiene a un "auditor de seguridad"

Este es como aquellos que operaron un día por mi barrio: se dedicaban a reventar los telefonillos de los portales, para luego poner una pegatina de "reparación de telefonillos, teléfono tal". En fin, si no viene el negocio, habrá que ir a buscarlo. En cualquier caso...no hay ex-hackers trabajando para la seguridad de multinacionales?

De todas formas hay que ser estúpido para hacer fechorías desde un ADSL. No hace falta que os diga que en 5 segundos, a partir de una dirección estática de ADSL, se sabe hasta el color de tus gallumbos, así como que en la lentitud burocrática de la operadora del monopolio, las órdenes judiciales se desenvuelven con una rapidez tremenda.

Incluso a las llamadas "anónimas" a nodos de telefónica y de t-data, con los módem de toda la vida, con IP´s aleatorias, se les puede rastrear fácilmente dado que los logs de conexión no se borran. Que valga la información para los hacker de fin de semana buscando el subseven, etc.

salu2

Si no ha puteado en absoluto a dicha empresa, me gustaria saber el por que de la denuncia. Es como quien se deja el coche abierto sin darse cuenta, y un tio te da un aviso para que lo cierres bien... mientras no se haya dedicado a fisgonear en lo que hay dentro...

No creo que sea comparable al tema de las cabinas porque un servidor se supone que no esta expuesto, y si se produce una entrada no autorizada esta claro de quien es la culpa, del administrador del servidor. Pero tal vez el admin sea el jefazo de dicha empresa y claro, siempre es mas facil echarle la culpa a los demas :P

Al menos este tio podria haberse dedicado a sus trabajitos desde un cyber...

Ahora el auditor tendría que decir el nombre de la empresa, y le iba a caer una buena, por listos....

Además el hecho de que el auditor realizase el checkeo desde su ADSL sin pegar ningún bote ya indica que el chaval no quería hacer nada para joder a la empresa.

El chaval en cuestion no ha cometido ningun delito, ya que no ha hecho nada ilegal, simplemente ha entrado y ha recomendado una solucion, verdad que cuando ves que un vecino se deja una ventana del coche bajada, le avisas para que la suba ? o si le han roto la ventana, o si simplemente no tiene bien cerrada la puerta, tu como persona, eticamente tienes el deber de avisarle ?

Pues para el caso me parece que es lo mismo, de hecho conozco varias empresas que tienen bugs iguales, no quiero dar nombres ni ip's, pero en castellon tengo filadas unas cuantas, ahora me planteo que debo hacer, si lo comunico, es posible q me pase lo mismo ?

En fin, es vergonzoso que en el mundo en que vivimos se castiguen las buenas obras :(

Es mas me atreveria a decir que la empresa deberia ser castigada por la ley, teniendo en cuenta que ha expuesto la informacion y perdido la confidencialidad que tanto sus trabajadores como clientes depositan en ella.

Al igual que a Telefonica se la denuncio por dejar un servidor abierto, con datos de clientes, a esta tendrian que hacerle lo mismo, pues es su obligación encargarse de proteger la información.

A nosotros se nos exige confidencialidad, sobre nuestros clientes, por eso tenemos que destruir papeles, nominas, cartas... antes de tirarlas a la basura. Para que ? para evitar que un espontaneo de con algo de informacion que comprometa la confianza que tienen las empresas en nosotros.

Me parece muy mal, como se ha tratado a esta persona.

Al fin y al cabo, cada uno se gana la vida como puede, y siempre se ha dicho, en los nuevos negocios hay que buscar necesidades, y ofrecer soluciones. La empresa en cuestion deberia estar agradecida, de que no hiciera como algunos, que se dedican a vender la informacion al mejor postor.

TA luego !

Si no he leído mal el anuncio, no es que el técnico en cuestión "chequease" la seguridad del servidor, sino que se "introdujo en él". Es decir, no es avisar al vecino de que tiene una ventana rota, es mirar las ventanas de todo el vecindario buscando una rota, y luego introducirte por ella para despertar al tipo de su siesta con un carraspeo y decirle que tiene la ventana rota, que tú eres cristalero y además vigilante de seguridad y que le ofreces tus servicios.

Yo creo que si la Guardia Civil ha actuado, es porque han visto o intuído delito. El juicio le dará la razón o no.

salu2

Os copio el texto que apareció en el periódico Mediterráneo del viernes:
----------

Daña el sistema informático de empresas para repararlas

La Guardia Civil de Castellón ha detenido en Barcelona a un hombre que supuestamente accedía ilegalmente a los sistemas informáticos de empresas para demostrar que presentaban anomalías y se ofrecía después para repararlas, informaron ayer fuentes de la subdelegación del Gobierno.

La investigación fue llebada a cabo por los miembros de la comandancia de Castellón tras la denuncia presentada por un empresario del sector de la cerámica de la provincia, quien comunicó que se había producido una intrusión ilegal en el servidor informático de la compañía a través de Internet. Las investigaciones permitieron logar la identificación del origen del acceso ilegal, que procedía de un usuario de Barcelona identificado como D.H.A.P., de 32 años nacido en Georgia (Estados Juntitos de América), de nacionalidad colombiana y con residencia en Barcelona.

--------------

A mi modo de ver, si yo trabajara de esto haría lo que el resto de empresas o individuos que se dedican a hacer auditorias de seguridad informática. O sea, te presentas a la empresa que crees que pueden interesarle tus servicios, se habla de lo que se va a hacer y cómo, y sólo cuando se tenga un acuerdo escrito es cuando puedes "meter mano" a sus sistemas informáticos.

Para ser más concretos, si yo fuera el colombiano este, habría ofrecido una auditoria bien simple desde el "exterior" gratuitamente (no sin el previo concentimiento de la empresa), a la empresa seguramente no le importaría que le hicieran un 'chequeo' superficial gratis y en el caso de encontrar algo, es muy probable que la auditoria completa y los trabajos para solucionarlo te los encargaran a ti.

Buenas,

Esto se lo hicieron a mi empresa, cuando salió el famosillo problema del iis que todo el mundo aprovechaba. Un "auditor" nos mandó un listado del contenido de nuestro disco duro, diciéndonos que conocía el problema y que por un "módico" precio nos auditaba y solucionaba el problema.

Ms sacó el parche, lo instalamos y listo. Moscas por el tema, nos dedicamos a mirar el servidor de este "auditor". Encontramos un fallo bastante tonto, le listamos el contenido del disco duro y se lo enviamos, comunicándole que ppor un módico precio le decíamos cual era su problema y se lo solucionábamos. El tipo se puso como un energúmeno, diciéndonos que lo que habíamos hecho era completamente ilegal, momento en el que le dijimos que lo que había hecho él, también. Nunca hemos vuelto a saber del "auditor".

Vamos, que alguien quiera avisarte de un problema en tu servidor, puede ser loable, si se mete rebusca y encima quiere lucrarse con el tema, que le vayan dando. No por que sepamos más que nadie, si no por que, como han dicho por ahí arriba, es como si te dejas el coche abierto, entro, rebusco y luego te digo que te arreglo la cerradura, o que, mejor, te audito el coche y te lo dejo super-guachi-piruli. A vacilar, a la ONU.

be yonki!!!

Salud!

elgnomo

Imaginaos, es comparable a que un cerrajero vaya abriendo puertas ajenas con una radiografia, curioseando en cosas privadas y dejando como tarjeta de visita un "Su cerradura no es segura, venga a mi tienda para que le haga un presupuesto"

Lo que hay que hacer ante un caso asi, por parte de la empresa es evidente, no dejarse chantajear y naturalmente hecharles la bronca a los irresponsables que lo configuraron mal. Denunciar, lo haria en casos como el expuesto.

Cuando se encuentra una vulnerabiliad en un sistema hay dos opciones que considero validas (alguna mas etica que otra), comunicarselo a alguien responsable del sistema y orientarle en donde se encuentra el fallo y como solucionarlo cordialmente, o sacar provecho de este, con la ilegalidad que esto supone, pero el ir de "chantajista" me parece patetico...Ademas si la empresa tiene vulnerabilidades informaticas, que espabilen, que desde un principio contraten a alguien competente y no al primer titulado que les llegue.

Hola:

Vamos a ver, ¿a qué viene tanta paranoia con las IPs fijas del ADSL, y lo rápidas que circulan las órdenes judiciales en Telefónica?

Si el tío se ponía en contacto con las empresas para decirles 'esto pasa', supongo que dejaría un teléfono de contacto o algo así, por si decidían contratar sus servicios luego, ¿no? Pues ya está.

¡No le veo el mérito! Encontrar a alguien de esa forma, lo sabe hacer cualquiera! Ja, ja ja.

• Mirad, aparte de que no hay que confundir nunca las palabras etico o moral con Legal. La etica es cuestion de matices y de intenciones, y la legalidad es lo que hay. No se puede decir "me parece que es legal que ...", queriendo decir "me parece que esta en su derecho moral de hacer tal cosa".

• Lo que este auditor tenia que haber hecho es crear un concepto comercial distinto de como lo ha hecho (pensemos en la pelicula Los Fisgones):

Una intrusion autorizada es trabajo, y se cobra por hacerla.

Una intrusion no autorizada es un delito y se paga una multa o lo que sea por hacerla.

La idea es conseguir que parezca que se hace por trabajo. Asi que le mandas un mail al admin de la empresa diciendo: "Enhorabuena, ha sido usted agraciado con una revision de auditoria para su sistema GRATIS, no desperdicie esta oportunidad y haga click aqui... Recuerde, gratis y sin compromisos.."

Si el tio pincha ya tienes permiso y un cliente potencial, y encima el gachon no solo no se enfada, sino que piensa que le estas ofreciendo un chollo... bueno, o no XD

Pos na, espero que os guste la idea, aunque sea como coña... Y si se os ocurre llevarla a cabo no os cobro copyright, pero avisadme pa que me ria un rato... (by SuD)