La cadena internacional de noticias BBC, ha adquirido una botnet y ha controlado más de 20,000 equipos a fin de demostrar la gravedad de estas tecnologías. ¿Fines educativos? ¿Legal o ilegal? ¿Ético o no? Los elogios y críticas ya empezaron, la polémica está servida.

“La BBC ha adquirido un software para controlar miles de computadoras como parte de una investigación global sobre el ciber crímen. El programa de tecnología Click ha demostrado cuál es el riesgo al que se enfrentan las computadoras por parte de los hackers. Casi 22,000 equipos han sido secuestrados por la red de Click, que ya ha sido desactivada. La BBC ha alertado a los usuarios que su PC está infectada e informó a los usuarios sobre cómo segurizar sus sistemas“.

Así empieza la noticia publicada por la BBC anunciando lo realizado en las últimas semanas por su programa tecnológico. La empresa adquirió una red botnet a través de una sala de chat. Posteriormente, utilizó la red para un ataque de denegación de servicio (DoS) contra un sitio de backup de una compañia de seguridad y para el envío masivo de correos electrónicos.

Además, los sistemas infectados notarían una modificación en sus fondos de pantalla invitando al usuario a visitar el sitio http://bbc.co.uk/click/infection, que comienza con la siguiente anotación:”Si usted vio esta imagen en el costado derecho de su monitor, esta página es para usted“. Posteriormente, se describen para el usuario los pasos necesarios para eliminar la infección y quedar protegidos.
“Si este ejercicio hubiera sido realizado con intenciones criminales, hubiera roto la ley“, afirmó la BBC. “Nuestro propósito fue demostrar cuan peligrosas pueden ser estas herramientas en manos criminales“. Sin embargo, ya circulan por la red opiniones diversas acusando a la BBC de haber realizado tareas ilegales sobre los más de 20 mil afectados. Entre otros, la empresa Sophos ha puesto en duda la legalidad del accionar de la BBC. Para otros, este ha sido un acto de bien comprando una botnet que de todas formas hubiera sido utilizada e incluso con fines maliciosos.

“Queremos tranquilizarlo dado que no hemos accedido a su información personal o lastimado su computadora, a pesar de que ello ya había ocurrido previo a que la BBC adquirió el software“.

La polémica ya está circulando por cientos de blogs y foros alrededor del mundo sobre seguridad. Independientemente del juicio respecto a lo ético o legal de lo realizado, la BBC ha demostrado cuan simple es, en la actualidad, ejecutar tareas maliciosas solo con algo de dinero y la intención de hacerlo.

En los próximos días la cadena extenderá la información de lo realizado a través de sus canales de noticias.

Fuentes:
http://news.bbc.co.uk/2/hi/programmes/click_online/7932816.stm
http://www.techradar.com/news/internet/bbc-hacks-into-thousands-of-pcs-581906
http://www.h-online.com/security/The-BBC-acquired-a-botnet-but-was-it-legal–/news/112834
http://www.sophos.com/blogs/gc/g/2009/03/12/bbc-break-law-botnet-send-spam/

Lo que hizo Alvaro fue recorrer las redacciones digitales de siete periódicos de habla hispana: abc.es (España), clarín.com (Argentina), críticadigital.com (Argentina), cronista.com (Argentina), elpaís.com (España), elmundo.es (España) y perfil.com (Argentina). El resultado es un documental con varias similitudes con el anterior: publicado en internet de forma libre, una humilde pero profesional edición y excelente contenido.

Creo que lo que logra Luizzi con estas iniciativas es posicionarse como referente. Nada mejor que tomarse un buen rato para ver este documental, si lo que se quiere es conocer qué son las redacciones digitales y cuál es el estado actual en medios importantes de habla hispana. El documental es muy extenso, son más de 30 videos distribuidos entre los siete diarios y en los que se tratan temas como:

• Surgimiento del medio
• Organización del staff y del medio
• Participación de los lectores
• Blogs en el sitio
• Contenido multimedia en el sitio
• (Des)Integración de las redacciones

Si se me permite una crítica (siempre digo que en Un Mundo Binario no se salva nadie), me gustaría que se agregue a los videos actuales, otros que nucleen a todos los medios hablando de un mismo tema, como se hizo con la integración de redacciones. Aunque a priori me resultó cómodo, por momentos hubiera preferido otra distribución que no sea dividad por medios, pudiendo escuchar muchas voces hablar de un tema, específicamente sobre blogs y participación de lectores, dos de los temas que a mí más me interesan.

Les dejo solo dos de todos los videos. El primero es de Darío Gallo, de diario perfil.com, hablando de blogs e innovación en medios digitales.

El segundo se trata de Sebastián Penelli, de críticadigital.com, hablando también de blogs pero antes contando como es el proceso de publicación de una noticia.

Realmente quedé muy satisfecho dedicando un buen rato de los últimos dos días y hoy por la mañana (bien tempranito) a ver los videos del documental.

Una vez más, el material realizado por Liuzzi es altamente recomendable y espero que puedan darse una vuelta por el sitio y bucear los temas que más les interesen.

Mis felicitaciones al creador por el trabajo realizado y por difundirlo libremente, una decisión que no todos se animan a tomar.

Esta vez le toca a La Flecha, otro diario de ciencia y tecnología, que nos avisan hoy Lunes 2 de Febrero: Alerta por una nueva amenaza: el “Clickjacking”.

¿A usted le parece, decirle a los lectores “nueva amenaza” a algo que ya fue reportado en Septiembre del año pasado?

En Google ya aparecen más de 500 mil resultados de esta “nueva amenaza”…

La historia que les voy a contar, puedo hacerlo gracias al enorme trabajo de Raúl Batista, uno de los colaboradores de Segu-Info; y de Cristian, el Director, que trabajaron en el día de ayer para ser casi el único medio que se preocupó por corroborar una información antes de difundirla.

Les cuento lo ocurrido: en el “buceo” diario por sitios y noticias de seguridad, aparece la siguiente noticia: “Microsoft sugiere a los usuarios afectados por Downadup que reinstalen el sistema“. Semejante afirmación motivó a la gente de Segu-Info a investigar y verificar si la información era correcta. Vamos a omitir que ya de por sí, a cualquier tipo medianamente metido en el ambiente le debería sonar raro que Microsoft de tal recomendación. Evidentemente los periodistas no entienden mucho de informática, a pesar de escribir sobre ello.

Intentando encontrar la fuente ocurrieron dos cosas:

• No apareció en ningún sitio de Microsoft nada que indique que la empresa había dado tal recomendación.
• Cientos de sitios comenzaron a distribuir la noticia que aparentemente se inició en el Instituto Nacional de Tecnologías de la Comunicación (INTECO) de España.

¿Qué poco serio, no? Sí, así es. La gente de Segu-Info comenzó a escribir correos a MVP’s y gente de Microsoft. A las pocas horas comenzaron a aparecer las respuestas indicando que nadie tenía conocimiento de que Microsoft hubiera hecho tal información.

Posteriormente, la misma empresa decidió desmentir la noticia que ya estaba siendo distribuída por los diarios digitales más populares de la Web.

En un post titulado “Mala interpretación sobre Conficker en los medios“, Christian Linacre, de Microsoft, desmintió oficialmente que Microsoft hubiera hecho tal información.

Ahora pensemos:

1. Menos mal que el blog de Segu-Info tiene miles de lectores.
2. Asi y todo, teniendo en cuenta los miles y miles de lectores que tendrán los cientos de sitios restantes que distribuyeron la noticia (vale aclarar que en su mayoría no se corrigieron ni quitaron la noticia)… ¿cuánta gente piensa que Microsoft recomienda reinstalar el sistema? ¿cuántos ya lo estarán haciendo?

Los perjudicados son los miles de usuarios que son tratados como bobos, y obviamente la figura de Microsoft por haber puesto “en su boca” cosas que la empresa nunca dijo.

La mediocridad del periodismo queda clara y evidente ante este tipo de casos, por lo tanto no se olviden de leer sitios serios y responsables y chequeen la información toda vez que sea posible.

En estos casos pienso que si solo de algo “tan poco importante” como la seguridad informática, son tan poco serios, ¿cuántas noticias que leemos a diario serán realmente verídicas?

Triste e indignante. Saludos.

Actualización 29/01: El mismo Raúl me aclara algo que considero oportuno clarificar. El origen de la mala información no fue INTECO sino también DiarioTi, cuya noticia aún sigue en linea (http://www.diarioti.com/gate/n.php?id=21117).

Donde dice: “Si bien todavía se desconoce cuándo llegará al cable nacional, lo cierto es que los tiempos entre los estrenos en Estados Unidos y América Latina se acortaron muchísimo en los últimos años. La proliferación de sitios de descarga ilegal en Internet, además, permiten un acceso veloz a los nuevos episodios“.

Puede leerse: “Si bien todavía se desconoce cuándo llegará al cable nacional, lo cierto es que los tiempos entre los estrenos en Estados Unidos y América Latina se acortaron muchísimo en los últimos años. Mientras tanto, ¡no dudes un segundo en bajarte la serie de Internet!“.

Disculpen mi intromisión, pero no se trata de “defender lo de uno”.

Cuando defensor del periodismo tradicional me dice “en internet no se chequea la info”, yo le contesto “¿y en los medios tradicionales sí?”.

Cuando defensor del periodismo tradicional me dice “en internet no hay profesionalismo”, yo le contesto “¿y en los medios tradicionales sí?”.

Cuando defensor del periodismo tradicional me dice “en internet todo es inmediato, no hay análisis”, yo le contesto “¿y en los medios tradicionales sí?”.

Cuando defensor del periodismo tradicional (dibuja) me dice “en internet no tengo seguridad”, yo le contesto “¿y en los medios tradicionales sí?”.

Cuando defensor del periodismo tradicional me dice “en internet tengo la sospecha de que me mienten”, yo le contesto “¿y en los medios tradicionales no?”.

Es decir, no estoy diciendo que Internet es la panacea pero utilizar la web para defender un periodistmo tradicional cada vez más mediocre, menos preparado y más mercantilista es una lástima.

Si quieren defender el periodismo tradicional nada mejor que levantar su nivel. Si yo (y ese es mi caso) me informo más por la web que por los medios tradicionales es porque no encuentro en los diarios y programas periodisticos televisivos nada más que bastante mediocridad.

En fin, si la discusión es cuál es el mejor me parece banal. Si alguien piensa que “el mio es mejor” también me parece flojo. Ambos tendrán sus cosas positivas y negativas y usar los defectos de una parte, para esconder lo de la otra es patético.

Los invito a leer el post completo y los comentarios que anteceden al mío. Realmente es tal cual lo indica el título del post. A algunos los avances tecnológicos (y los cambios sociales que estos implican) los asustan demasiado. Lo mismo pasa con las productoras y la “piratería de música” y todas esas cosas.

Los aterran los cambios, los aterra quedarse afuera y es entendible. Pero no por eso hay que dejar de repudiar que en ese miedo, despotriquen mentiras violentas contra, en este caso, las nuevas formas de periodismo.

¿Y ustedes qué opinan?

Resumo la situación de la cual pueden leer más aquí: un intruso logró acceder a la cuenta de correo de Sarah Palin, utilizando la opción de “olvidé mi contraseña” en la que, habiéndose olvidado la contraseña el usuario, se le hace una “pregunta secreta” previamente almacenada. En el caso de la integrante de la fórmula presidencial, la respuesta al “¿cuál es mi mascota preferida?” era el nombre de su perro. El intruso ingresó a la cuenta, modificó la contraseña y la publicó. Siguiente paso: la noticia recorrió el mundo.

Para ser más claro, algunos lectores recordarán (contado en “Hackear Hotmail“) que yo utilicé la misma técnica para vulnerar las casillas de correo de dos compañeros míos de la secundaria, y yo tenía menos de 18 años, escasos conocimientos informáticos, y mucho menos de hacking (probablemente no conocía ni la palabra).

Y en esto me quiero focalizar. Si yo utilicé esa técnica siendo un ignorante del hacking, ¿por qué todos hablan de hacking? ¿Por qué los medios no usan palabras más precisas como “intrusión”, “vulnerar”, “acceder”? Claro, porque hacking suena mucho mejor para un periodista.

Sigo: si hubo muchísimos errores de parte del usuario, ¿por qué los medios hablan de que “intervenir el correo de yahoo es sencillo” o de que “yahoo es vulnerable“? ¿por qué no aprovechan el caso para concientizar al público de la importancia de contraseñas y claves de acceso seguras? ¿por qué no concientizar respecto a la importancia de mantener los datos críticos en servicios más privados que un e-mail gratuito? Ah, claro, porque así el titular es mucho “más lindo”.

En fin, la mediocridad de este mundo incluye que el trabajo periodístico consista en “poner lo que mejor queda”, “lo que más venda”; sin importar si esto está más lejos o más cerca de la realidad. Qué pena. Habiendo tanta gente del mundo de la seguridad, dispuesta a “ayudar” a periodistas a clarificar las notas sobre delitos informáticos. ¿tan pocas ganas tienen de aprender cosas nuevas? Una vez más, las grandes noticias (?) son cubiertas de una forma patética por el periodismo internacional.

Unos pocos sitios encontré entre mis feeds, dispuestos a hacer un análisis serio de lo que pasó.

Mi breve conclusión: esto se trata de un modelo de “backup” obsoleto para el mundo en que vivimos y de la bajísima concientización que tienen los usuarios sobre el uso de las tecnologías y los peligros que esto implica.

De lado del usuario, repasemos los principales errores:

1. Utilizar una cuenta de un servicio gratuito, para fines críticos.
2. Siendo una persona extremadamente pública, tener un correo electrónico muy simple (era algo así como sarahpalin@yahoo.com.)
3. Utilizar como pregunta secreta la combinación: “¿Cuál es el nombre de tu mascota favorita?” + (nombre_de_su_mascota).

Por el lado de las prestadoras de correo electrónico, considero que, teniendo en cuenta la suma de factores alto uso + baja concientización, será necesario replantearse este modelo de “pregunta secreta” y la inseguridad que este brinda.

Es decir, esto no se trató de grandes hackers, ni de grandes vulnerabilidades, sino de la suma de un modelo “no tan seguro” y de un usuario “muy inconciente”. Nada más y nada menos. Nada complejo. Nada para asombrarse.

Si Yahoo (o cualquier servicio con esta prestación) hubiera tenido otra funcionalidad, probablemente no hubiera pasado. Si el usuario, hubiera tenido cuidados, por decirlo, “mínimos”, esto tampoco hubiera pasado.

Y si los medios, se hubieran tomado un poquito de tiempo en intentar “transmitir la realidad”, yo no hubiera escrito este post.