¿Te crees que bastionando tu servidores estás seguro?, Tienes PKI, Certificados, SSL, e-DNI, IPSEC,mucha experiencia en seguridad, dispones de certificaciones y eres muy considerado en el sector, ¿pero? ¿le has preguntado a la secretaria de tu director? ¿sabes como y donde almacena las contraseñas tu director comercial? Hospital Central, pretende enseñar a los asistentes como se realizo una auditoría a un hospital utilizando mecanismos de ingeniería social y como se obtuvo el control del hospital en menos de 24 horas. Nada de exploits, nada de SQL Injection. Tan solo la utilización de técnicas y troyanos humanos.

1. Hospital)Central)
Historia(de(una(extorsión)
Pedro(Sánchez(
ConexionInversa)

2. Agradecimiento)a)todo)el)
equipo)de)la)Rooted)y)como)
no)a)todos)los)presentes)
Pedro(Sánchez(
ConexionInversa)

3. ● He trabajado en importantes empresas como consultor especializado en
Computer Forensics, Honeynets, detección de intrusiones, redes trampa y
pen-testing. He implantado normas ISO 27001, CMMI (nivel 5) y diversas
metodologías de seguridad. También colaboro sobre seguridad y análisis
forense informático con diversas organizaciones comerciales y con las
fuerzas de seguridad del estado, especialmente con el Grupo de Delitos
Telemáticos de la Guadia Civil y la Brigada de Investigación Tecnológica
de la policia nacional.
También he participado en las jornadas JWID/CWID organizadas por el
ministerio de defensa, en donde obtuve la certificación nato secret.
Actualmente soy miembro de la Spanish Honeynet Project y trabajo como
Information Security and Forensics Consultant para dos grandes
compañías como Bitdefender y Google inc.
3)

4. ● Soy autor del blog de CI – ConexionInversa.
● Somos cinco (pronto seis) personas integrantes en el equipo (tenemos
paridad – 4 Chicos y 1 Chica :-D )
● Nuestro foco es exclusivamente en Computer Forensics
● Trabajamos para multinacionales y aquellos que nos lo pidan.
● También trabajamos para ti si tú nos lo pides
● Hemos analizado parte del software de un F-18, también somos Lead
Auditor de Wolkswagen y Audi
● Nos dedicamos a luchar contra el Ciberterrorismo y dedicamos
altruistamente un 5% de nuestro sueldo a combatir la pornografía infantil
● Hemos diseñado proyectos de Forensics en OTAN. Trabajado para
petroleras y grandes entidades financieras.
SOMOS$UN$EJERCITO$DE$HORMIGAS$
4)

6. Caso)de)una)extorsión)
)
)

7. Caso)de)una)extorsión)
)
)

8. Agenda)
• Estado)actual)de)las)empresas)
– Extorsión)
• Hospital)
– El)proyecto)de)seguridad)
• Obje?vos)
– Como)acome?mos)el)ataque)
• Ingeniería)social)
– Como)desarrollar)un)ataque)de)ingeniera)social)
» Ingeniería)social)externa)
» Ingeniería)social)Interna)
• Atáques)vs)Exploits)
• Control)del)sistema)
– Repercusiones)
• Conclusiones)

9. 1.F)Estado)actual)de)las)empresas)
Extorsión)
)
)
Lo)que)se)ve)

10. 1.F)Estado)actual)de)las)empresas)
Extorsión)
• El)Capítulo)tercero)del)Htulo)XIII,)consta)de)un)sólo)
arHculo)el)243)que)establece)el)delito)de)extorsión.)
– Jurídicamente)la)extorsión)consiste)en)obligar)a)una)
persona,)a)través)del)uso)de)violencia)o)in?midación,)a)
realizar)un)acto)o)negocio)jurídico,)con)ánimo)de)lucro)y)
con)la)intención)de)causar)un)perjuicio)patrimonial)del)
sujeto)pasivo)o)de)una)tercera)persona.)
• Es)un)delito)que)guarda)relación)con:)
– El$robo:)por)que)es)necesario)la)violencia)o)in?midación)
• Con)las)amenazas)condicionales:)el)sujeto)ac?vo)coacciona)al)
sujeto)pasivo)para)que)realice)determinada)acción.)
– Con$la$estafa:)pues)es)necesario)que)se)de)un)acto)o)
negocio)jurídico)por)parte)del)sujeto)pasivo.)

13. 1.F)Estado)actual)de)las)empresas)
Extorsión)
)
)
Lo)que)NO)se)ve)

14. 1.F)Estado)actual)de)las)empresas)
Lo)que)NO)se)ve)
• La)mayoría)de)las)ocasiones)las)extorsiones)son)por)dos)mo?vos:)
– Venganza)
– Económicas)
• Las)extorsiones)suelen)ir)dirigidas)a)personas)Rsicas)en)concreto.)
Raramente)a)un)cargo)
• Se)sufre)en)silencio)“como)las)hemorroides”)
• Suelen)tener)el)control)en)tres)?pos)de)casos:)
– Datos)personales)y)comprometedores)de)una(as))personas)
– Datos)de)empresas)que)involucran)a)otras)empresas)(correos))
– Control)técnico)de)detalles)de)aplicaciones,)productos,)sistemas,)etc)
• Un)chantaje)se)convierte)en)extorsión)cuando)alguien)hace)un)mal)en)
nombre)de)otro)con)obje?vo)de)que)no)se)publique)cierta)información)
confidencial.)

15. 1.F)Estado)actual)de)las)empresas)
Lo)que)NO)se)ve)
• El)extorsionador)es)conocedor)de)cómo)es)su)
vic?ma)y)arremete)insistentemente)contra)el)
• Las)vic?mas)prefieren)solucionarlo)con)sus)
propios)medios)por)los)siguientes)mo?vos:)
– Poca)confianza)en)las)fuerzas)de)seguridad)
– Desconfianza)en)la)veracidad)del)extorsionador)y)
que)este)cumpla)su)amenaza)
• Las)vic?mas)suelen)ser)Pymes)y)en)su)mayoría)
el)extorsionador)es)exFpersonal)interno))

16. 2.F)HOSPITAL)
Un)proyecto)de)‘extorsión’)a)medida)

17. Hospital)
El$caso$
)
– En)Enero)de)2011,)un)hospital)privado)es)amenazado)por)la)
AEPD)con)una)sanción)económica,)tras)una)fuga)de)datos.)
– Los)datos)se)presuponen)‘blindados’)y)muy)pocas)personas)
?enen)autorización)a)todos)ellos.)
– En)Junio)de)2011,)se)vuelve)a)detectar)una)fuga)de)datos)por)
medio)de)una)personalidad)VIP)donde)sus)datos)aparecen)
publicados)en)un)medio)de)comunicación.)
– Se)reciben)correos)electrónicos)con)amenazas)y)en)los)cuales)se)
solicita)una)importante)can?dad)económica)
– Aparecen)en)diversos)blogs)ficheros)de)audio)distorsionados)
pertenecientes)al)nuevo)Director)General,)en)estos)blogs)se)
atenta)contra)la)honorabilidad)de)esta)persona)
)
)
)

18. Hospital)
– El)comité)direc?vo,)tras)un)análisis)previo)?ene)
veracidad)que)los)ficheros)de)audio)han)sido)grabados)
en)alguna)de)las)múl?ples)reuniones)del)Director)
General.)
– Se)?ene)constancia)real)de)que)la)seguridad)en)el)
Hospital)es)deficiente,)inclusive)tras)haber)realizado)
una)auditoría)de)seguridad)y)una)auditoría)legal.)
– Se)sospecha)expresamente)de)la)ges?ón)del)director)
de)IT.)
– Así)mismo)se)sospecha)de)‘alguien’)cercano)a)la)
dirección)de)IT.)En)la)estructura)de)IT)hay)un)
responsable)de)desarrollo,)uno)de)comunicaciones)y)
otro)de)sistemas.)
)

19. Hospital)
– Esta)afección)provoca:)
• Inquietud)en)los)diferentes)responsables)de)departamento)
(Todos)desconRan)de)todos))
• Desconfianza)en)el)comité)de)dirección)(Todos)desconRan)de)
todos))
• Precaución)en)el)departamento)de)IT,)todos)sus)trabajos)son)
mirados)con)lupa)
– Desarrollo)desconRa)de)sistemas)
– Sistemas)desconRa)de)desarrollo)
– IT)desconRa)del)Hospital)
• El)Hospital)desconRa)de)otros)Hospitales)
ES$DECIR:$
¡¡)PARALISIS)TOTAL)!!)
)
El)Hospital)decide)tomar)medidas)
)

20. 2.F)HOSPITAL)
Como)acome?mos)el)proyecto)

21. Hospital)
– El)comité)direc?vo,)decide)depositar)la)total)confianza)
en)el)director)general)del)hospital)para)solventar)el)
problema)
– El)director)prefiere)confiar)en)nosotros)(ahora)lo)
explico))
– El)proyecto)es)ambicioso)por)los)siguientes)mo?vos:)
• La)dificultad)que)supone)el)reto)
• La)amplitud)de)este)y)la)can?dad)de)sistemas)y)técnicas)
• La)posibilidad)de)no)encontrar)culpables)o)de)
encontrarlo(os))
• Se)nos)permite)“Hacer)casi)de)todo”)

22. Hospital)
– Para)acometer)el)proyecto)decidimos:)
• Ser)pocos)
• Conocer)el)funcionamiento)del)Hospital)
• Conver?rnos)en)troyanos)humanos)
– Ser)empleados)del)hospital)(Os)explico))
– Obtener)información)y)acceso)a:)
» Información)‘blindada’)del)Hospital)
» Métodos)y)técnicas)de)acceso)a)nuevos)productos)y)
clientes)VIP)
– Medir)la)seguridad)y)contra)medidas)del)Hospital)
• U?lizar)técnicas)que)muy)pocos)han)empleado)
)

23. 2.F)HOSPITAL)
Como)acome?mos)el)proyecto)
)
Conociendo)un)Hospital)

24. Hospital)
• Sistema$Asistencial:)engloba)a)todas)las)áreas)del)hospital)
que)?enen)una)función)asistencial,)es)decir)atención)
directa)del)paciente.)Hay)dos)áreas)primordiales)en)la)
asistencia)directa)del)paciente:)los$consultorios$externos$
para)atender)pacientes)con)problemas)ambulatorios)(que)
no)requieren)internación))y)las$áreas$de$internación,)para)
cuidado)de)problemas)que)sí)requieren)hospitalización.)
• Sistema$AdministraDvo$Contable:)este)sistema)?ene)que)
ver)con)las)tareas)administra?vas)de)un)hospital.)En)él)se)
encuentran)áreas)como)admisión)y)ingreso)de)pacientes,)
turnos)para)consultorios)externos,)departamento)de)
recursos)humanos,)oficinas)de)auditoría,)farmacia..)

25. Hospital)
• Dirección:)está)compuesto)según)los)hospitales)por)
Departamentos)o)Direcciones.)Las)más)destacada)es)la)
Gerencia)Médica,)que)organiza)o)dirige)el)funcionamiento)
global)del)hospital,)sus)polí?cas)de)prevención,)diagnós?co)y)
tratamiento,)y)el)presupuesto,)entre)otros)temas.)
• Sistemas$de$Información:)se)refiere)al)sistema)informá?co)
que)?ene)el)hospital)y)que)soporta)su)funcionamiento)en)
redes)de)ordenadores)y)programas)diseñados)especialmente)
para)el)correcto)funcionamiento)de)todas)las)áreas.)Es)
manejada)generalmente)por)un)Departamento)o)responsable)
de)IT)
• Sistema$Técnico:)engloba)a)todas)las)dependencias)que)
proveen)soporte,)mantenimiento)preven?vo)y)Bioingeniería.)
• Sistema$de$Docencia$e$InvesDgación:)La)docencia)en)un)hospital)es)un)punto)clave)
en)la)formación)de)profesionales.)La)docencia)y)la)inves?gación)están)ligadas)en)
varios)aspectos.)Muchos)hospitales)poseen)sistemas)de)capacitación)y)formación)
de)nuevos)profesionales)

26. Hospital)
Y)cientos)de)mini)sistemas)SCADA)
)
)

27. Hospital)
– ObjeDvos:$
)
1. Medir)la)fuga)de)datos)u?lizando)Ingeniería)Social)
2. Tener)el)control)de)los)administradores)y)de)sus)
sistemas)
3. Poner)en)vigilancia)extrema)a)diversas)personas)no)
confiables)
)

28. Hospital)
– Ingeniería)Social:)
• Es)la)prác?ca)de)obtener)información)confidencial)a)través)
de)la)manipulación)de)usuarios)legí?mos.)
– Uno)de)los)ingenieros)sociales)más)famosos)de)los)
úl?mos)?empos)es)Kevin)Mitnick)el)cual)se)basa)en)
cuatro)principios:)
)
• Todos)queremos)ayudar.)
• El)primer)movimiento)es)siempre)de)confianza)hacia)el)otro.)
• No)nos)gusta)decir)No.)
• A)todos)nos)gusta)que)nos)alaben.)
)

29. Tipos)de)ingeniería)social)
• Técnicas$Pasivas:$
– Observación)
Métodos$agresivos$
• Técnicas$no$presenciales:$ • Suplantación)de)personalidad)
– Recuperar)la)contraseña) • Chantaje)o)extorsión)
– Ingeniería)Social)y)Mail) • Despersonalización)
– IRC)u)otros)chats) • Presión)psicológica)
– Teléfono)
– Carta)y)fax)
• Técnicas$presenciales$no$agresivas:$
– Buscando)en)La)basura)
– Mirando)por)encima)del)hombro)
– Seguimiento)de)personas)y)vehículos)
– Vigilancia)de)Edificios)
– Entrada)en)Hospitales)
– Acreditaciones) VISITAR:$hMp://hackstory.net$
– Ingeniería)social)en)situaciones)de)crisis)
– Ingeniería)social)en)aviones)y)trenes)de)
alta)velocidad)

30. Hospital)
– Ingeniería)Social:)
• Desarrollar)un)guión)contando)lo)que)se)va)a)decir)y)las)
posibles)respuestas)del)interlocutor)
• Procurar)llamar)en)horario)de)mañana)que)es)cuando)
más)ac?vidad)se)encuentra)el)hospital.)
• Intentar)llamar)cerca)del)horario)de)cambio)de)turno)
• En)caso)nega?vo)no)llamar)a)la)misma)persona)
• Llamar)desde)un)locutorio)o)número)concertado)del)
hospital)
• Disponer)de)un)sistema)de)grabación)
• Ser)persuasivo,)elegante)en)las)palabras,)bien)visto)
audi?vamente,)con)tenacidad)y)tesón)

31. Hospital)
– Ingeniería)Social))
)
)
DEMOSTRACION )

32. La)concienciación)de)seguridad)en)el)
Hospital)
)
)
¡¡$FAIL$!!$
Se)reporta)al)Director)General)

33. Hospital)
– OBJETIVO)1:)OK)
• Ingeniería)Social))
– Pudimos)entrar)en)la)VPN)
PASAMOS)AL)SIGUIENTE)OBJETIVO:)
CONTROL)DEL)SISTEMA)
)
)

34. Hospital)
– Control)del)sistema)
• Una)vez)dentro)por)medio)de)la)VPN,)procedimos)a)realizar)
escaneos)de)la)red)con)los)siguientes)resultados:)
– Nos)encontrábamos)en)la)red)(VLAN))de)usuarios,)que)a)la)vez)es)la)red)
de)Médicos)(VLAN),)que)a)la)vez)es)la)red)de)Especialistas)(VLAN))
– U?lizamos)un)analizador)con)objeto)de)ver)los)recursos)compar?dos)
• Los)especialistas)?enen)acceso)a)una)unidad)disco)de)red)que)
con?ene)estadís?cas)y)catálogos)de)productos.)
– Viendo)los)productos,)caracterís?cas)y)revisando)las)estadís?cas)vemos)
que)proviene)de)una)IP.)Procedemos)a)realizar)un)análisis)sobre)esa)IP)
y)nos)encontramos)con)un)acceso)bastante)curioso)
)
)

35. Hospital)

36. Hospital)
– Control)del)sistema)
• Ese)fichero)nos)proporciona)IP’s)muy)interesantes)
DEMOSTRACION )
)

37. Hospital)
– Control$del$sistema$
• Paralelamente)a)lo)conseguido)procedemos)a)realizar)un)exploit)para)
adobe)acrobat)con)metasploit.)(nada)de)mariconadas)pensando)en)
0Days))
• Ese)PDF)lo)mandamos)a)los)administradores)y)al)responsable)de)IT.)El)
PDF)se)llamaba)“Aumento)de)sueldo)personal)2011.pdf”)
• El)correo)(sin)quererlo))se)propago)(misteriosamente))a)la)totalidad)
del)departamento)de)IT)y)representación)de)los)trabajadores)
• Teníamos)un)80%)de)IT)con)el)exploit)y)acceso)local)a)su)máquina))
PROBLEMA:)
)
El)an?virus)NOD32)a)los)días)actualizo)sus)firmas)detectando)el)PDF)
como)virus.)Había)que)buscar)otra)salida.)Nadie)protesto)¿?)
)

38. Hospital)
– OBJETIVO)1:)OK)
• Ingeniería)Social))
– Pudimos)entrar)en)la)VPN)
PASAMOS)AL)SIGUIENTE)OBJETIVO:)
CONTROL)DEL)SISTEMA)
)
)

39. Hospital)
– Control$del$sistema$
• Decidimos)acometer)el)asalto)a)la)plataforma)de)an?virus)
con)dos)obje?vos:)
– Neutralizar)el)sistema)de)an?virus)
– Montar)una)botnet)controlada)
)
)

40. Hospital)
Vuelta)a)la)ingeniería)social)
– NOTA:$
• Eduardo)Abril)(del)ex?nguido)blog)hacking)avanzado))consigue)
pasarse)por)médico)tan)solo)con)una)bata)blanca.))
– NOTA:)Con)una)bata)blanca)eres)dios)
• Evitamos)pasar)por)urgencias)
• Evitamos)aglomeraciones)
• Lo)ideal)es)en)el)cambio)de)turno)
• Iden?ficamos)a)los)administradores)
• Cuando)realizamos)un)ataque)presencial)hay)que)ser)hombre)
bueno)o)hombre)malo.):FD)
• Los)despachos)?ene)algo)bueno)y)es)que)nadie)te)ve)
• Montamos)varios)‘keylogger’)en)las)máquinas)de)los)
administradores)
)
)

41. Hospital)
CARACTERISTICAS:$
)
• Interfaz)WiFFi)con)acceso)a)través)de)
TCP/IP)
• Informes)por)EFmail)
• Encriptación)WEP,)WPA,)WPAF2)
• 2)gigabytes)de)la)memoria)incorporada)
• Modo)USB)Pendrive)
• Compa?ble)con)distribución)nacional)
de)teclado)
• Registro)de)tempo)y)fecha)
• Batería)incorporada)
• Encriptación)de)memoria)de)128Fbits)
• Filtra$datos,$capturando$
exclusivamente$contraseñas$
)
)

42. Hospital)
Vuelta)a)la)ingeniería)social)
– Entre)‘dimes)y)diretes’,)maquillajes)y)otras)cosas)
del)teatro,)el)trabajo)se)realizo)en)una)semana.)
– Maldita)la)suerte)nuestra)que)no)caímos)lo)
sencillo)que)fue.)
• En)aquellas)máquinas)que)tenían)el)exploit)
(imaginamos)en)su)momento)que)toda)la)instalación))
nos)encontramos)que)todas,)todas,)tenían)acceso)por)
terminal)server.)
)

43. Hospital)
Y)tan)sencillo)como)esto)
DEMOSTRACION$

44. Montando)una)Botnet)
• Decidimos)realizar)un)‘Buenoware’)para)tener)el)control)de)
aquellos)ordenadores)que)la)dirección)consideraba)que)tenía)que)
vigilarse)con)las)siguientes)caracterís?cas:)
)
– Que)evadiera)el)an?virus)y)sus)actualizaciones.)
– Que)fuera)oculto)al)sistema)
– Que)no)requiriese)privilegios)de)administrador)
– Que)me)permi?era)actualizarlo)en)remoto)
– Que)fuera)modelo)clienteFservidor)
– Que)el)cliente)me)enviara)las)pulsaciones)de)teclado)y)ratón)a)un)
servidor)'recolector')de)pulsaciones)
– Que)el)envío)lo)hiciera)cifrado)
– Que)fuera)liviano,)es)decir)pequeño)y)que)no)enviara)imágenes)ni)
todas)esas)cosas)que)hace)hoy)el)malware.)
– Que)se)autodestruyera)el)servidor)y)el)agente)

45. Montando)una)Botnet)
• La)arquitectura)es)muy)simple:)
– La)parte)cliente)(la)mas)guay))abría)(y)abre))dos)puertos,)uno)
para)recepciones)de)comandos)enviados)por)el)servidor)como)
actualizaciones)y)monitorización)y)el)otro)para)el)envío)de)los)
ficheros)con)las)pulsaciones.))
– Quedaba)lo)mas)importante)hacerlo)indetectable))ante)
cualquier)actualización)del)an?virus.))
– El)cliente)de)nombre)'svchost.exe')es)reconocido)a)día)de)hoy)
por)solo)dos)an?virus)de)los)43)actuales)y)cuyos)nombres)
omi?ré)con)objeto)de)no)hacer)publicidad,)pero)hay)que)decir)
que)en)su)día)no)lo)reconocían)ninguno.)De)todas)formas)con)
tocar)un)poco)el)código)fuente)se)puede)volver)indetectable.)

46. Montando)una)Botnet)
)
)
DEMOSTRACION.$

47. La)seguridad)en)el)Hospital)
)
)
¡¡$FAIL$!!$
Se)reporta)al)Director)General)

48. Hospital)
– OBJETIVO)1:)OK)
• Ingeniería)Social))
– Pudimos)entrar)en)la)VPN)
– OBJETIVO)2:)OK)
• Control)del)sistema)
– Teníamos)acceso)a)sistemas)SCADA)
– Acceso)a)Servidores)
– Acceso)a)puestos)de)trabajo)
PASAMOS)AL)SIGUIENTE)OBJETIVO:)
Monitorización)de)personas)
)
Se)requiere)la)ayuda)especializada)de)una)agencia)de)detec?ves)
para)la)inves?gación)de)personas.)La)agencia)es)proporcionada)
por)el)propio)Hospital.)

49. Hospital)
– Obje?vos:)
• Detectar)que)persona(as))están)obteniendo)
información)confidencial.)
• Analizar)los)perfiles)de)estas)personas)sin)ser)
detectados)
• Hacer)un)seguimiento)especial)del)Director)de)IT)en)
colaboración)con)una)agencia)de)detec?ves.)
)
)
)

50. Hospital)
– Acciones)realizadas)ajenas)a)conexioninversa:)
• Se)le)proporciona)a)la)agencia)de)detec?ves)para)su)
seguimiento)una)cámara)de)grabación)con?nua.)
• Se)inves?ga)por)parte)de)la)agencia,)movimientos)y)
acciones)con)conclusiones)muy)interesantes)desde)el)punto)
de)vista)de)la)inves?gación,)entre)ellas)fotograRas)con)
proveedores)en)situaciones)comprometedoras))
• Se)recoge)durante)aproximadamente)un)mes)la)papelera)
de)su)despacho,)obteniendo)pruebas)muy)curiosas,)entre)
ellas)fotocopias)de)comidas,)invitaciones)de)proveedores)y)
anotaciones)de)productos)
)

51. Hospital)
– Acciones)realizadas)ajenas)a)conexioninversa:)
• Se)le)proporciona)a)la)agencia)de)detec?ves)para)su)
seguimiento)una)cámara)de)grabación)con?nua.)
• Se)inves?ga)por)parte)de)la)agencia,)movimientos)y)
acciones)con)conclusiones)muy)interesantes)desde)el)punto)
de)vista)de)la)inves?gación,)entre)ellas)fotograRas)con)
proveedores)en)situaciones)comprometedoras))
• Se)recoge)durante)aproximadamente)un)mes)la)papelera)
de)su)despacho,)obteniendo)pruebas)muy)curiosas,)entre)
ellas)fotocopias)de)comidas,)invitaciones)de)proveedores)y)
anotaciones)de)productos)
)

52. Hospital)
– Acciones)realizadas:)
• U?lización)masiva)sobre)esta(s))persona(s))de)la)botnet.))
– NOTA:)Las)acciones)son)ajenas)a)conexioninversa)(os)cuento))
– Se)realiza)una)revisión)de)los)logs)obtenidos)del)agente)de)la)
botnet)con)la)siguientes)condiciones:)
» Se)abre)acta)con)un)notario)para)que)de)FE)
» Están)un)representante)de)RRHH,)Asesoría)Jurídica,)Dirección)
General)por)parte)de)la)empresa.)
» Dos)representantes)de)los)trabajadores)pertenecientes)a)UGT))
» Un)técnico)designado)como)operador)bajo)mis)instrucciones)
para)la)u?lización)y)acceso)a)los)logs.)
» Se)graba)en)vídeo)toda)la)manipulación)y)acceso)

53. Hospital)
– Resultados:)
• Se)ob?enen:)
– Registro)de)copia)de)ficheros)a)disposi?vos)como)‘pendrives’)estos)
archivos)y)documentos)son)confidenciales,)entre)ellos)historiales)
médicos)de)personalidades,)informes,)facturas)y)hojas)en)excel)de)
un)nuevo)proyecto)de)modificación)del)ERP)
– Muchas)de)estos)documentos)coinciden)con)fotocopias)
encontradas)en)la)papelera)
– Se)halló)el)acceso)al)correo)que)extorsionaba)al)Director)General)
)
)

54. El)extorsionador)
)
)
¡¡$FAIL$!!$
Lo)vio)el)propio)Director)General)

55. Hospital)
– OBJETIVO)1:)OK)
• Ingeniería)Social))
– Pudimos)entrar)en)la)VPN)
– OBJETIVO)2:)OK)
• Control)del)sistema)
– Teníamos)acceso)a)sistemas)SCADA)
– Acceso)a)Servidores)
– Acceso)a)puestos)de)trabajo)
– OBJETIVO)3:)OK)
• Monitorización)de)usuarios)
– Se)obtuvo)la)información)que)se)buscaba)
)

56. CONCLUSIONES)

57. Hospital)
– Conclusiones:)
• La)seguridad)como)nosotros)la)comprendemos)para)los)usuarios)
es)MATRIX)
• Las)Pymes)NI)CONOCEN)NI)QUIEREN)
• Las)En?dades)financieras)SE)MIRAN)EL)OMBLIGO.)Tengo)ISO)
27001)y)soy)buena)por)concepto)
• Las)grandes)corporaciones)están)‘joias’)dependen)de:)
– Se)dedican)a)subcontratar)proveedores)externos)(fuga)de)información))
– Tienen)control)funcional,)no)técnico)
• Los)estamentos)gubernamentales)
– Se)dedican)a)subcontratar)proveedores)externos)(fuga)de)información))
– Tienen)POCO)control)funcional,)no)técnico)
– La)seguridad)de)la)información)se)las)trae)‘al)pairo’.)El)responsable)de)
un)problema)es)un)señor)que)se)llama)‘la)administración”)

58. Hospital)
– Conclusiones:)
• Las)auditorias)son)buenas)pero)no)cubren)el)‘espectro’)del)
?empo)
• Las)consultorías)?enen)que)estar)focalizadas,)no)es)lo)
mismo)el)especialista)de)medicina)general)que)el)
cardiólogo)o)el)anestesista.)
• En)cuanto)a)una)EXTORSION:)
– En)un)gran)porcentaje)son)de)dentro)o)exFempleados)
– No)quieren)dinero,)quieren)VENGANZA)
– ))Cuanto)mas)grande)la)empresa)mas)fácil)es)esconderse)
)

59. Hospital)
– Conclusiones:)
• En)cuanto)a)la)ingeniería)social:)
– Nadie)estamos)lo)suficientemente)preparados)
– En)España)estamos)en)los)años)70))
– Estamos)en)una)cultura)del)bienestar)y)todavía)confiamos)en)todo)
– Podemos)estar)en)la)‘ALEGALIDAD’)en)muchas)ocasiones)
– Hay)que)se)cautos)y)cubrirse)legalmente)si)actuamos)con)la)
ingeniería)social)
» Podemos)usurpar)iden?dades)
» Podemos)coaccionar)a)personas))
» Podemos)inducir)a)hacer)trabajos)no)deseados)
– Los)resultados)son)ESPECTACULARES)
)

60. Gracias!!)
¿Preguntas?)
Mas)en:)
)
hxp://conexioninversa.blogspot.com)
)
)
Pedro(Sánchez(
ConexionInversa)