Robo de casi 5 millones de euros a Ryanair

Esta noche escuché en las noticias que un hacker había robado 5 millones de euros de las cuentas de la compañía aérea Ryanair. Para empezar, un hacker no hace esas cosas. Habrá sido un ciberdelincuente o un grupo de ellos. Hoy jueves 29 de abril de 2015 he buscado por la web información al respecto sobre el hecho, pero no he encontrado nada más que la simple información extendida del titular de la noticia: alguien ha atacado las cuentas que la compañía Ryanair utilizaba para comprar combustible y ha hecho una transferencia a cuentas bancarias chinas.

Figura 1: Robo de casi 5 millones de euros a Ryanair

He tenido que visitar más de 10 webs hasta encontrar un poco más de información acerca del modus operandi del delito. Según la web Betanews, que a su vez su información es del blog HotForSecurity.com, se relaciona este hecho con el malware Dyreza, un troyano especializado en robar claves bancarías, para después extraer el dinero. IBM Security confirmó hace unas semanas el robo de al menos un millón de dólares de diferentes empresas. BitDefender lo ha detectado intentando robar claves de entidades como el Banco de Santander, NatWest, Barclays, HSBC, RBS, Lloyds Bank, y otros bancos internacionales, la mayoría de ellos británicos.

En esa campaña, los delincuentes infectan los ordenadores de los trabajadores con un malware y los engaña para hacer llamadas a una operadora de telefonía en vivo (un call center que trabaja para la banda) que mediante ingeniería social podría recopilar información y credenciales para acceder a las cuentas con grandes sumas de dinero de la cuenta del negocio.

Aunque esta técnica es bastante antigua ya, y no consigue saltarse las defensas de uso común, tales como la autenticación de dos factores, vemos que ha sido efectiva.

Por supuesto, no se sabe si esto fue la técnica utilizada por los delincuentes que atacaron a Ryanair, pero se supone que si no es esta será una muy parecida.

El dinero ha sido congelado hasta que todo se aclare y Ryanair espera recuperarlo.

En todo caso de momento Ryanair no ha confirmado el método ni los autores de este robo, pero ha prometido dar toda esta información una vez el caso esté resuelto, información importante para que otras compañías puedan protegerse.

Es curioso que ayer Chema en su blog publicara una entrada sobre phishing bancario, con capturas de pantalla del timo en uno de los banco que fueron afectados por el supuesto malware de este caso que explicamos.

¿Podríamos estar hablando de ciberguerra? supongamos que unos delincuentes chinos de los de toda la vida con pasamontañas y pistolas va a Dublín, donde están las cuentas bancarias de Ryanair y roban 5 millones de euros y los meten en una bolsa con el símbolo del dolar. Luego viajan a China y los ingresan en sus cuentas. ¿La noticia habría sido más sonada? ¿Habría tomado represalias el Gobierno de Irlanda contra el Gobierno de China?

Para terminar, una charla de Chema Alonso sobre la ciberdelincuencia proveniente de China:

Vídeo 1: Ciberguerra & Ciberterrorismo: Conferencia impartida por
Chema Alonso en Septiembre de 2013 en Madrid, en el Instituto
 de Ingeniería Español, sobre Ciberguerra y Ciberterrorismo.

Saludos!

Ciberguerra y ciberamenazas

Hoy por la mañana Chema nos informaba en su blog de las consecuencias que tuvo el ciberataque supuestamente ruso a la Casa Blanca que tuvo lugar esta semana pasada. Según Obama, como este tipo de ataques afectan a la economía y la seguridad de la nación, los declaró Emergencia Nacional y emitió una Orden Ejecutiva. Chema hace una referencia al revuelo que tuvieron los ataques de EEUU anteriormente hacia países del G20 y Obama no se pronunció.

Figura 1: entrada en el blog de Chema sobre el ataque a la Casa Blanca

A lo largo de la mañana surgía otra noticia sobre un ciberataque. Esta vez el objetivo era la cadena francesa TV5Monde, y el ciberataque ha sido reivindicado por el grupo terrorista del Estado Islámico. La página de la cadena y su cuenta de facebook tenían este aspecto:

Figura 2: perfil de facebook hackeado de la cadena TV5Monde

Así de primeras vemos que no se salva nadie. Estados contra estados, grupos religiosos contra cadenas, ... todos pueden ser y son ciberatacantes y ciberatacados. Chema comenta en varios de sus vídeos que internet está lleno de corderos y lobos. Si no eres lobo eres cordero.

Me dio por pensar en el nivel de ciberataque que existen cada momento en el mundo, ya que si estos son los que mayor repercusión mediática tienen, habrá otros muchos que se queden en un mero intento de ciberataque. Buscando por internet encontré la web http://map.ipviking.com/ . En ella se puede ver en tiempo real el volumen de ciberataques existentes, su origen y su destino:

Figura 3: ciberataques en tiempo real

Los ataques aquí reflejados se puede entender que son del tipo un atacante de un lugar que intenta atacar a una cibervíctima, pero elegida, hay intención de que el atacado sea el que nos interesa. 

Pero hay otro tipo de ataque que son a nivel global. Pueden ser los ataques que hacen las botnets enviando sus troyanitos a todo aquel que puedan infectar. Este nivel ya nos pilla un poco más cerca, pues este tipo de ataques son hacia nuestros propios ordenadores, los de los usuarios domésticos, smartphones, tablets, usuarios de empresa grandes y pequeñas, ...

Seguí buscando y encontré el mapa en tiempo real de las amenazas detectadas por Kaspersky. Esta amenazas son las que han intentado entrar en nuestro ordenador de casa, oficina, colegio, smartphone, ... y ha sido bloqueado por Kaspersky.

Este es el mapa:

Figura 4: amenazas a nivel mundial detectadas por Kaspersky

Como el mapa es interactivo, puede hacer zoom, seleccionar un país en concreto, ver el origen y destino y otras muchas opciones. Me interesé por ver las amenazas detectadas en España:

Figura 5: amenazas detectadas por Kaspersky en España

Y como curiosidad busqué entre varios países viendo cuales son los más atacados y los que menos. Da igual que país busques, europeo, americano, africano, asiático, ... En todos se están detectando amenazas a cada momento. 

Pero encontré un lugar donde no existe este problema. Un lugar donde los virus no existen, la Antártida:

Figura 6: mapa de amenazas detectadas en la Antártida

¿Será por el frío, que ahí los virus proliferan menos? ¿o será porque no hay ordenadores domésticos conectados a internet y si los hubiera pues tendría el mismo nivel de ataques que todos los demás países?

Os paso un par de vídeos de Chema analizando la ciberguerra y cómo está el mundo:

Vídeo 1: The App Fest 2012 - Hacking, ciberguerra y otras palabrotas - Chema Alonso

Vídeo 2: Mundo Hacker en Discovery MAX - Capítulo 3: Ciberguerra

Vídeo 3: World War III: Ciberguerra en el siglo XXI, Chema Alonso

Saludos!