Vitalino Lázaro
E. P. Desarrollo Agrario y Pesquero de Andalucía, S.A. (Bergantín, 39 - 41012
SEVILLA)
Reino Unido 1 - 41012 Sevilla
Telf.: 955.059.954/Ext.:8954
email: vlazaro@...

>>> noticias@... 08/08/04 16:05 >>>

-----BEGIN PGP SIGNED MESSAGE-----

-------------------------------------------------------------------
Hispasec - una-al-día 07/08/2004
Todos los días una noticia de seguridad www.hispasec.com
-------------------------------------------------------------------

¿Sabemos detectar un ataque phishing?
-------------------------------------

En los últimos meses, tal como hemos recogido en diversos
boletines de "una-al-día" se han popularizado los ataques
phishing. ¿Sabemos reconocer uno de estos ataques?

Por phishing hacemos referencia a una estafa que utiliza
mecanismos electrónicos, como puede ser un mensaje de correo
electrónico o una página web, para convencer al usuario que
revele información sensible, que va desde datos personales y
privados hasta las credenciales de acceso a servicios.

Los ataques phishing son posibles por la combinación de unos
mecanismos débiles de protección de acceso que generalmente no
son otra cosa que una simple combinación de usuario y contraseña,
y la capacidad innata de las personas a revelar cualquier
información a quien nos la pregunte.

El método utilizado con más frecuencia en los casos de phishing
masivo consiste en el envío de mensajes que simulan ser enviados
por alguien sobre quien en teoría confiamos y donde se nos
informe que, por cualquier circunstancia, es preciso revelar
nuestra contraseña de usuario o bien "verificar" nuestros datos
rellenando un formulario.

¿Estamos preparados para identificar este tipo de ataques?
¿Tenemos la capacidad de discernir los mensajes legítimos de
aquellos que no son otra cosa que una estafa en potencia?

La experiencia demuestra que no, que la mayoría de las personas
simplemente actúa de buena fe y se cree cualquier petición de
datos privados.

En la web que indicamos en el apartado de "Más información"
encontraremos un pequeño test con diez ejemplos de mensajes que
pueden ser o no un ejemplo de phishing. Se trata de mensajes de
diversas empresas, desde Microsoft a Paypal, pasando por eBay y
Visa. El objeto del test es determinar cuales de ellos son
legítimos y cuales son un intento de estafa.

A pesar de ser mensajes en inglés, son un buen ejemplo de los
clásicos ataques phishing que podemos encontrar. En algunos casos
es preciso fijarse muy bien para acertar la respuesta. El autor
de este boletín ha acertado en ocho de los diez mensajes. En los
otros dos mensajes, en uno he identificado erróneamente un
mensaje legítimo como estafa y en otro, un mensaje fraudulento lo
he clasificado erróneamente como legítimo.

Animo a los lectores de "una-al-día" que pongan a prueba su
capacidad de identificar las estafas que circulan por el correo
electrónico.

Opina sobre esta noticia:
http://www.hispasec.com/unaaldia/2113/comentar

Más información:

The MailFrontier Phishing IQ Test
http://survey.mailfrontier.com/survey/quiztest.html


Xavier Caballé
xavi@...


Tal día como hoy:
-----------------

07/08/2003: Vulnerabilidad local en firewalls ZoneAlarm
http://www.hispasec.com/unaaldia/1747

07/08/2002: Desbordamiento de búfer en Eudora 5.x
http://www.hispasec.com/unaaldia/1382

07/08/2001: Primer gusano del mundo en PDF
http://www.hispasec.com/unaaldia/1017

07/08/2000: Ejecución automática de código a través de Word
http://www.hispasec.com/unaaldia/651

07/08/1999: Gusano VBS.Monopoly
http://www.hispasec.com/unaaldia/284


-------------------------------------------------------------------
Claves PGP en http://www.hispasec.com/directorio/contacto
-------------------------------------------------------------------
Bajas: mailto:unaaldia-request@...?subject=unsubscribe
Altas: mailto:unaaldia-request@...?subject=subscribe
-------------------------------------------------------------------
(c) 2004 Hispasec http://www.hispasec.com/copyright
-------------------------------------------------------------------


-----BEGIN PGP SIGNATURE-----
Version: PGP 6.5.8

iQEVAwUBQRYUu3hEfcD7VnHhAQFNPQf/Vt4OosD23uNd20NRxshQ+K+d8ISRdAvJ
JCI4xqf4AReh8PM40hn+NMex3auK9VT/X5+9SjZc/I8n/Sc087dPAnFe1h5371Ja
mqR7xslpvtw9y7BhpodByfaabJqneB4CntdjEAxJaIhf7fD1mgmWe4D3Bb6zpNxj
Z7eJs8fg6J3BtoceKgBnl2sQdbL0HnnPsBmQsOIE8kJ+0wq8kitF5EXWqxbIPOQb
lU+2jSndzKQD+9Kkgm+d26mqOxhVpWqm0EqYR/HyqLOTN4WFlhdhnB/Hg6el9Uz8
/SvddR6iINfqz+aPGxG3EYz3DSfgpm5d26wUJhBMRz4QWSlBb/Sybg==
=c2Ys
-----END PGP SIGNATURE-----




-----------------------------------------------------
Este correo electrónico y, en su caso, cualquier fichero anexo
al mismo, contiene información de carácter confidencial
exclusivamente dirigida a su destinatario o destinatarios. Queda
prohibida su divulgación, copia o distribución a terceros sin la
previa autorización escrita de Dap. En el caso de haber
recibido este correo electrónico por error, se ruega notifíquese
inmediatamente esta circunstancia mediante reenvío a la dirección
electrónica del remitente.
----------------------------------------------------------
The information in this e-mail and in any attachments is confidential
and solely for the attention and use of the named addressee(s).
You are hereby notified that any dissemination, distribution or copy
of this communication is prohibited without the prior written consent
of Dap. If you have received this communication in error,
please, notify the sender by reply e-mail.
-------------------------------------------------------------