🎧 🇬🇧 Data-Wiping Cyberattacks Plague Financial Firms
@RSA Conference 2019

A new report outlines the cyberattacks and threats that financial firms are facing.
Over a quarter of surveyed financial institutions reported that they were targeted by destructive cyberattacks over the past year, bent on completely destroying data.

📻 #RSA #conference #DataWiping #cyberattacks #plague #financial #firms #podcast
https://threatpost.com/rsac-2019-data-wiping-cyberattacks-plague-financial-firms/142397/

📡@cRyPtHoN_INFOSEC_DE
📡@cRyPtHoN_INFOSEC_EN
📡@cRyPtHoN_INFOSEC_ES

🎧 🇬🇧 The CyberWire Daily Podcast
India hacks back. Rob Joyce discusses cyber conflict. Chinese hackers...

In today’s podcast, we hear that India went on the offensive when its government websites were attacked by hackers from Pakistan.
Rob Joyce, Senior Advisor for Cybersecurity Strategy to the Director of the US National Security Agency, discusses trends in cyber conflict.
A Chinese cyberespionage group hacks for maritime technologies.
Facebook lets people look you up by your two-factor authentication phone number.
And Google researchers disclose a vulnerability in macOS.
CyberWire Editor John Petrik with results from the RSA Conference Innovation Sandbox.
Guest Balaji Parimi from CloudKnox weighs the pros and cons of various authorization schemes.

📻 The #CyberWire Daily #podcast
https://www.thecyberwire.com/podcasts/cw-podcasts-daily-2019-03-05.html

📡@cRyPtHoN_INFOSEC_DE
📡@cRyPtHoN_INFOSEC_EN
📡@cRyPtHoN_INFOSEC_ES

📺 🇬🇧 BleedingBit’s impact continues to spread across various devices, researchers at RSA Conference 2019 said.
The researchers said in a Wednesday session at RSA Conference 2019 that the latest patch showcases just how widespread BleedingBit is on various devices – and the breadth of attacks that the flaws could enable.

📺 #RSA #Conference 2019 #UniKey #Patches #BleedingBit #Flaws Granting #Access To Hotel Rooms, Cars
https://threatpost.com/unikey-bleedingbit-hotel/142523/

📡@cRyPtHoN_INFOSEC_DE
📡@cRyPtHoN_INFOSEC_EN
📡@cRyPtHoN_INFOSEC_ES

Guide to the technical implementation of IoT-Security

IoT Security Maturity Model: Practitioner’s Guide Version 1.0

💾 https://www.iiconsortium.org/pdf/IoT_SMM_Practitioner_Guide_2019-02-25.pdf/

#guide #IoT #security #implementation
📡@cRyPtHoN_INFOSEC_DE
📡@cRyPtHoN_INFOSEC_EN
📡@cRyPtHoN_INFOSEC_ES

🎧 🇬🇧 The CyberWire Daily Podcast
5G worries. Whitefly vs. SingHealth. Speculative execution bug.

In today’s podcast, we hear that Australia's former prime minister warns Britain about Chinese tech companies.
Symantec says Whitefly was behind SingHealth's massive data breach.
Iranian hackers show code overlap.
Intel CPUs are vulnerable to another speculative execution flaw.
The NSA hasn't been using its domestic phone surveillance program lately.
And Google will ban political ads in Canada.
Justin Harvey from Accenture with results from their Costs of Crime report, as well as observations from RSAC.
Guest is Gerald Beuchelt from LogMeIn with info from their latest password survey.

📻 The #CyberWire Daily #podcast
https://www.thecyberwire.com/podcasts/cw-podcasts-daily-2019-03-06.html

📡@cRyPtHoN_INFOSEC_DE
📡@cRyPtHoN_INFOSEC_EN
📡@cRyPtHoN_INFOSEC_ES

🇬🇧 You Think That’s Air You’re Breathing?
An Exercise in Practical Container Escapology

🇩🇪 Du denkst, das ist Luft, die du atmest?
Eine Übung in der praktischen Container-Eskapologie

https://capsule8.com/blog/practical-container-escape-exercise/
#container #escapology

🇬🇧 2019 GLOBAL ICS & IIoT RISK REPORT (Detailed)
A data-driven analysis of real-world vulnerabilities observed in more than 850 production ICS networks across all industrial sectors and 6 continents

Now in its second year, this year’s report is based on traffic captured over the past 12 months from more than 850 production ICS and SCADA networks, across six continents and all industrial sectors including energy and utilities, manufacturing, pharmaceuticals, chemicals, and oil & gas.

The data shows that industrial control systems continue to be soft targets for adversaries, with security gaps in key areas such as plain-text passwords (69%), direct connections to the internet (40%), weak anti-virus protections (57%), and WAPs (16%).

💾 https://cyberx-labs.com/resources/risk-report-2019/

#pdf #risk #report #ICS #IIoT #detailed
📡@cRyPtHoN_INFOSEC_DE
📡@cRyPtHoN_INFOSEC_EN
📡@cRyPtHoN_INFOSEC_ES

🇬🇧 2019 GLOBAL ICS & IIoT RISK REPORT (Summary)
A data-driven analysis of real-world vulnerabilities observed in more than 850 production ICS networks across all industrial sectors and 6 continents

Now in its second year, this year’s report is based on traffic captured over the past 12 months from more than 850 production ICS and SCADA networks, across six continents and all industrial sectors including energy and utilities, manufacturing, pharmaceuticals, chemicals, and oil & gas.

The data shows that industrial control systems continue to be soft targets for adversaries, with security gaps in key areas such as plain-text passwords (69%), direct connections to the internet (40%), weak anti-virus protections (57%), and WAPs (16%).

💾 https://cyberx-labs.com/resources/risk-report-2019/

#pdf #risk #report #ICS #IIoT #summary
📡@cRyPtHoN_INFOSEC_DE
📡@cRyPtHoN_INFOSEC_EN
📡@cRyPtHoN_INFOSEC_ES

🎧 🇬🇧 DtSR Episode 336 - Energy Sector Security Update Q1-2019
This week, Patrick Miller joins Rafal to provide an update on the energy sector, and what's different (or not). Another episode with a returning guest who continues to provide timely and important updates on key "big picture" security issues.

Highlights from this week's show include...

🎧 Patrick gives us a "state of the union" update on what's going on in the power industry with security
🎧 Raf asks "are we getting better... or worse?"
🎧 Patrick discusses IoT, IIoT, and "everything has an IP address"
🎧 Patrick tells a story about his recent encounter with a 386 & DOS 2.2 (if you know what this is, you're old)

📻 http://podcast.wh1t3rabbit.net/dtsr-episode-336-energy-sector-security-update-q1-2019

#DtSR #rabbithole #podcast
📡@cRyPtHoN_INFOSEC_DE
📡@cRyPtHoN_INFOSEC_EN
📡@cRyPtHoN_INFOSEC_ES

🇩🇪 Transkript-Leak: Im Rahmen des geheimen Krisentreffens von Facebook, bei dem Zuck und Sheryl darum ringen, den Ruf des sozialen Netzwerks zu retten.

Wir haben eine Abschrift eines geheimen Krisentreffens erhalten, das letzte Woche zwischen den Top-Führungskräften von Facebook, darunter CEO Mark Zuckerberg und COO Sheryl Sandberg, abgehalten wurde, um eine Unternehmensreaktion auf die ununterbrochene Achterbahnfahrt der Skandale im sozialen Netzwerk auszuarbeiten. Wir präsentieren es hier unbearbeitet.

Mark Zuckerberg: Hallo zusammen. Also der Grund, warum ich uns alle hier haben wollte, war... Nun, letzte Woche, wie du weißt, habe ich einem Harvard Law Professor ein Interview gegeben. Also dachten wir alle, dass dies eine gute Idee wäre, weil er kein Journalist ist und keine konkreten Fragen stellen würde.

[Murmeln der Zustimmung]

Also dachte ich, es lief ziemlich gut. Aber dann las ich die Berichterstattung darüber und alles konzentrierte sich auf mich, ohne etwas über ein Produkt zu wissen, das wir haben, das eine Kamera darin hat, und es sitzt in den Wohnzimmern der Leute. Also lautet diese Schlagzeile: "Wir wollen keine Kamera im Wohnzimmer von jedem, sagt der Typ, der Kameras in Wohnzimmern verkauft...."

Unbekannter exec: Sie meinen das Portal?

Zuckerberg: Das ist es: Portal. Ich hatte noch nie davon gehört. Als ich hierher zurückkam, bat ich jemanden, mir eines zu besorgen: Es ist wie ein Billig-IPad. Ich verstehe nicht. Wir sind ein Softwareunternehmen - warum versuchen wir, Hardware zu verkaufen? Wie viele haben wir von ihnen überhaupt verkauft?

Unbekannter exec 2: Wir liegen im Zeitplan, um unsere Umsatzziele zu erreichen.

Zuckerberg: Wow, so schlimm? Warum verschrotten wir nicht einfach dieses Ding, und ich kann mich wieder damit befassen, darüber zu diskutieren, dass ich keine Kamera im Wohnzimmer von jedem haben will.

(Stille)

Also, dann ist das geklärt. Beseitigt dieses Portal. Ja? Einverstanden?

Sheryl Sandberg: Ich denke, das ist eine weise Entscheidung, Mark, aber vielleicht sollten wir es nicht überstürzen. Vielleicht können wir eine interne Überprüfung vornehmen. Es gibt einige potenzielle Überschneidungen mit dem Portal und unseren Kernumsatzträgern.

Zuckerberg: Wie zum Beispiel?

Sandberg: Nun, wie Du weißt, haben wir uns kürzlich verpflichtet, es den Menschen zu ermöglichen, die Fähigkeit von Facebook zur Interaktion mit dem Mikrofon in ihrem Smartphone einzuschränken.

Zuckerberg: Ja, aber es schaltet es nicht wirklich aus.

Sandberg: Nein, das war die vorherige Verpflichtung. Die neue Verpflichtung ist etwas strenger.

Zuckerberg: Du meinst, jemand kann uns tatsächlich davon abhalten, ihnen zuzuhören?

Sandberg: Nun, wenn sie eine präzise Kombination von unzusammenhängenden Datenschutzeinstellungen treffen, dann ja, ist es möglich. Es gibt bereits Anleitungen auf YouTube.

Zuckerberg: Wann sind also unsere neuen Einstellungen fällig?

Unbekannter Exec 3: Wir sind jetzt bereit zu starten. Statistiken zeigen, dass sechs Prozent der Nutzer den vollen Mikrofonzugriff bereits unterbunden haben. Wir warten normalerweise darauf, dass es 10 Prozent erreicht, bevor wir Operation Square One aktivieren.

(Stille)

Du weißt schon, die Einstellungen so lange verschieben, bis alles bequem wieder eingeschaltet ist. Mikrofon, Standort.....

Zuckerberg: OK, gut.

Unbekannter Exec 3: ...Telefonnummern.....

Zuckerberg: OK.

Unbekannter Exec 3: ...Stalker.....

Zuckerberg: OK, alles klar! Ich danke dir. Damit komme ich zu einem größeren Anliegen: unserem öffentlichen Image. Wie Sie wissen, nehmen wir die Privatsphäre unserer Nutzer sehr ernst.....

Alle: Sehr ernst.

Zuckerberg: Aber es gibt den Eindruck, dass wir nicht genug tun oder dass wir nicht die Interessen unserer Benutzer im Blick haben. Nein, nein, nein, versuche nicht, mir etwas anderes zu sagen, ich habe auf Twitter geschaut.

Obwohl ich nicht erwarte, dass die Leute vollständig verstehen, dass das, was gut für Facebook ist, gut für sie ist, sollten wir uns etwas mehr anstrengen, sie an all die großartigen Dinge zu erinnern, die die Leute auf unserer Plattform tun, und nicht nur an die Dinge, die wir tun, um damit Geld zu verdienen.

Also, lasst uns eine offene Ideen-Session haben - werfen Sie alles raus, was gut ist, was gut ist, was die Leute auf Facebook benutzen, was wir promoten können, und sich von all diesen persönlichen Daten ablenken lassen. Kommt schon, Leute.....

Unbekannter Geschäftsführer: Krebs?

Zuckerberg: Krebs?! Ist das dein Ernst? Niemand mag Krebs.

Sandberg: Warte eine Sekunde, Mark. Ich mag es. Krebs. All die Menschen mit Krebs, die es ihren Lieben erzählen. Ihre Gedanken und unterstützenden Botschaften teilen. Menschen, die kämpfen. Stellen Sie sich vor: Eine weibliche Top-Führungskraft, sie hat alles, aber jemand, der ihr nahe steht - nicht sie natürlich -, aber jemand, der ihr nahe steht, bekommt Krebs. Und sie ist für sie da und lernt und wächst aus der Erfahrung. Vielleicht schreibt sie ein Buch darüber. Ich glaube nicht, dass jemals jemand ein Buch über Krebs geschrieben hat.

Zuckerberg: Es ist immer noch Krebs.

Sandberg: Nein, ich habe es! Jemand entdeckt, dass er Krebs hat - sie beschweren sich über ihre Symptome und Freunde sagen "hey, du könntest Krebs haben" und sie gehen zu ihrem Arzt - und sie sind gerettet! Alles dank Facebook. Wenn ich darüber nachdenke, bin ich mir jetzt ziemlich sicher, dass das genau das ist, was mit einem Facebook-Freund von mir passiert ist. Ja, das ist genau das, was passiert ist.

Zuckerberg: Schön, du kannst Krebs haben. Was ist mit mir?

Unbekanntes Exec 2: Etwas über Verschlüsselung?

Zuckerberg: Ich mag es. Was ist mit der Verschlüsselung?

Unbekannter Exec 2: Umm, Datenschutz und Verschlüsselung. Du weißt schon, wie Datenschutz und Verschlüsselung Hand in Hand gehen und wie Facebook bei beidem hilft?

Zuckerberg: Ja, ja, ja, das tun wir. Wir machen die Informationen von Menschen sicherer, indem wir sie verschlüsseln. Damit nur Benutzer und ihre Freunde... und Freunde von Freunden... und Apps, völlig harmlose Apps... und vielleicht die ganze Welt - und natürlich wir - es tatsächlich lesen können. Nein, warte, das funktioniert nicht -

Unbekanntes Exec 3: Vielleicht lesen sie es nicht. Vielleicht ist es die private Kommunikation. Facebook hilft Menschen, privat wie nie zuvor zu kommunizieren - und zwar sicher.

Zuckerberg: Ja, es gefällt mir. Ein Schwerpunkt liegt auf dem Datenschutz in sozialen Netzwerken.

Unbekanntes Exec 3: Vergiss nicht die Vision - du erinnerst uns immer so großzügig daran, dass du ein Visionär bist.

Zuckerberg: Das stimmt, das tue ich. Eine auf den Datenschutz ausgerichtete Vision für soziale Netzwerke. Es ist meine allerletzte und beste Idee. Ich weiß nicht, was es ist, du weißt nicht, was es ist und die da draußen wissen es erst recht nicht.

(gestikuliert wild am Fenster)

Ich habe tatsächlich keine Ahnung, was es ist, aber es ist brillant. Tatsächlich ist es die Zukunft.

Unbekannter Exec 4:

Tut mir leid, hier reinzuspringen, aber ich mache mir Sorgen um die Übersichtlichkeit der Nachrichten. Ich glaube, wir hatten vor zwei Jahren eine starke Vision von der Zukunft, als Facebook das Zentrum einer globalen Gemeinschaft war und eine soziale Infrastruktur aufbaute.

Zuckerberg: Nein, das war die Zukunft im Jahr 2017. Die Zukunft jetzt ist das nicht. Alles ist privat. Ja. Die privaten Gedanken der Menschen gingen privat zueinander über. Und wir nehmen die Metadaten aus ihren Botschaften und koppeln Werbung mit ihnen. Brillant.

Unbekannter Exec 4: Während wir darüber reden, was wir tun können, werden wir in Washington wegen dieser Sache umgebracht, bei der wir als Lügner wahrgenommen wurden.....

Zuckerberg: Oh, dieses zielgerichteten VPN-Ding mit den Kindern; machen Sie sich keine Sorgen darüber, wir haben vor Wochen einen Brief an Senator Warner geschickt.

Unbekannter Exec 4: Nein, eigentlich war es die.....

Zuckerberg: Standortdaten? Keine Sorge, wir haben die Einstellungen im letzten Jahr geändert.....

Unbekannter Exec 4: Eigentlich habe ich versucht,.....

Zuckerberg: Firmenzugang zu privaten Nachrichten? Sie werden es nicht hart angehen, jeder macht es.....

Unbekannter Exec 4: Nun, was ich wirklich.....

Zuckerberg: Also sag mir einfach, was du meinst.

Unbekannter Exec 4: OK, sicher. Nun, die beiden Dinge, die jeder in DC im Moment hasst, sind China und die Verletzung geistigen Eigentums. Wenn wir also etwas dagegen tun könnten. Irgendwas wirklich.

Sandberg: Verstanden. Chinesische Unternehmen und Markenverletzungen. Überlass das mir.

Zuckerberg: Also, ich denke, das bringt alles zum Abschluss? Gibt es noch andere Probleme?

Unbekannter Exec 1: Gefälschte Nachrichten.

Zuckerberg: Haben wir es immer noch damit zu tun? Also, lasst uns eine Art Kampfansage ankündigen. Irgendwelche Ideen für Themen?

Unbekannter Exec 2: Myanmar?

Alle: NEIN!!!!

Unbekannter Exec 2: Ah, sorry. Wahlmanipulation?

Zuckerberg: Raus mit dir!

Sandberg: Krebs?

Zuckerberg: Halt die Klappe, Sheryl.

Unbekannter Exec 1: Impfstoffe?

Zuckerberg: Perfekt. Also, eine Art hartes Vorgehen gegen Impfstoff-Fehlinformationen. Wir werden das im Keim ersticken. Kümmere dich sofort darum, bevor es außer Kontrolle gerät. Stoppt es, bevor etwas Schlimmes passieren kann.

Ich meine, es spielt sowieso keine Rolle, was es ist, was wir genau tun, denn niemand kann sagen, ob wir überhaupt etwas tun: Die Seite ist so verdammt groß.

Oh, und ich hätte es fast vergessen. Wir sind bereit, den Dunklen Modus in Messenger zu starten. Ich bin sehr aufgeregt wegen dieser Sache. Und nur um es noch lustiger zu machen, müssen die Leute ein bestimmtes Emoji schicken, damit es sich einschalten kann. Rate mal, welcher, rate mal, welcher.....

Unbekannter Exec 1: Eine Taschenlampe?

Zuckerberg: Nein! Das würde es heller machen. Noch einmal versuchen, noch einmal versuchen.....

Unbekanntes Exec 3: Ein zwinkerndes Emoji?

Zuckerberg: Nein, komm schon, gib dir mehr Mühe!

Sandberg: Ein blindes Kind mit Krebs-Emoji?

Zuckerberg: Sheryl, du weißt, dass einer vor Monaten abgelehnt wurde. Nein, es ist das Mond-Emoji! Ich liebe Emojis. Und dunkle Modi. Und die Kodierung. Ich wünschte, ich könnte zur Programmierung zurückkehren. Ich vermisse die Programmierung.

Quelle und original Text (Englisch):
https://www.theregister.co.uk/2019/03/08/facebook_privacy_transcript/

#DeleteFacebook #Transcript #Leak
📡@cRyPtHoN_INFOSEC_DE
📡@cRyPtHoN_INFOSEC_EN
📡@cRyPtHoN_INFOSEC_ES

🇬🇧 Transcript leak: Inside Facebook's secret crisis meeting, where Zuck and Sheryl race to save social network's rep

We have obtained a transcript of a secret crisis meeting held last week between top executives at Facebook, including CEO Mark Zuckerberg and COO Sheryl Sandberg, hammering out a corporate response to the social network's non-stop rollercoaster of scandals. We present it here unedited.

Read at: https://www.theregister.co.uk/2019/03/08/facebook_privacy_transcript/

#DeleteFacebook #transcript #leak
📡@cRyPtHoN_INFOSEC_DE
📡@cRyPtHoN_INFOSEC_EN
📡@cRyPtHoN_INFOSEC_ES

🎧 🇬🇧 The CyberWire Daily Podcast
Scope of APT33 attacks revealed. GandCrab criminals shift tactics.

The scope of Iran-linked APT33 cyberattacks has been revealed.
GandCrab criminals are using more sophisticated tactics.
A new type of malware was using Slack to communicate.
Chrome gets an important update.
Huawei sues the US, and Germany sets tougher security rules for telecom companies.
And people who invest in cryptocurrency often don't know what they're getting into.
David Dufour from Webroot with his thoughts on RSA Conference.
Guest is Asaf Cidon from Barracuda Networks on account takeover vulnerabilities.

📻The #CyberWire Daily #podcast
https://www.thecyberwire.com/podcasts/cw-podcasts-daily-2019-03-07.html

📡@cRyPtHoN_INFOSEC_DE
📡@cRyPtHoN_INFOSEC_EN
📡@cRyPtHoN_INFOSEC_ES

🎧 🇬🇧 The CyberWire Daily Podcast
Chinese influence campaigns. Egyptian spear phishing. Hundreds of email records were found online.

In today’s podcast, we hear that Chinese information operations on US social media are widespread.
The Egyptian government launches spear phishing attacks against activists.
Hundreds of millions of email records were found online.
Chelsea Manning is back in jail. The US is retaliating for Chinese cyberespionage.
And Facebook wants to change its image.
Ben Yelin from UMD CHHS on a PA supreme court ruling on protection of employee’s personal information.
Guest is Scott Shackelford from Indiana University on the Paris call for trust and security.

📻 The #CyberWire Daily #podcast
https://www.thecyberwire.com/podcasts/cw-podcasts-daily-2019-03-08.html

📡@cRyPtHoN_INFOSEC_DE
📡@cRyPtHoN_INFOSEC_EN
📡@cRyPtHoN_INFOSEC_ES

🎧 🇬🇧 Job-seeker exposes banking network to Lazurus Group
Vitali Kremez is a Director of Research at Flashpoint. His team discovered that the recently disclosed intrusion suffered in December 2018 by Chilean interbank network Redbanc involved PowerRatankba, a malware toolkit with ties to North Korea-linked group Lazarus. The intrusion represents the latest known example of Lazarus-affiliated tools being deployed within financially motivated activity targeted toward financial institutions in Latin America.

🔍 The original research can be found here:
https://www.flashpoint-intel.com/blog/disclosure-chilean-redbanc-intrusion-lazarus-ties/

📻 #Research #Saturday #CyberWire #podcast

📡@cRyPtHoN_INFOSEC_DE
📡@cRyPtHoN_INFOSEC_EN
📡@cRyPtHoN_INFOSEC_ES

Social Media Platforms and the Cyberkrime Economy

In this next chapter of the Web of Profit, we examine the role of popular social media platforms in cybercrime and other forms of crime-enablement. The findings are startling, and should serve as a wake-up call for individuals, enterprises, governments and law enforcement.

https://learn.bromium.com/rs/497-ITQ-712/images/Bromium-Web-of-Profit-Social-Platforms-Report.pdf

#socialmedia #platforms #ybercrime #report #pdf
📡@cRyPtHoN_INFOSEC_DE
📡@cRyPtHoN_INFOSEC_EN
📡@cRyPtHoN_INFOSEC_ES

📺 🇬🇧 Sophia d'Antoine — asm2vec: Binary Learning for Vulnerability Discovery
This talk will present a novel application of a machine learning model and a corresponding tool, asm2vec, for vulnerability discovery. Treating both program disassembly as a natural language, we construct embeddings of identifiers at scale using a concept similar to word2vec, in which the output is a vector of related identifiers and their proximity.

This work builds on top of Facebook’s #StarSpace project as well as Tensorflow’s #Swivel to calculate the co-occurrence matrix. (Source: #Jailbreak Brewing Company) http://www.jailbreaksecuritysummit.com/

📺 #binary #learning for #vulnerability #discovery #asm2vec #video #podcast
https://vimeo.com/273963786

📡@cRyPtHoN_INFOSEC_DE
📡@cRyPtHoN_INFOSEC_EN
📡@cRyPtHoN_INFOSEC_ES

🇪🇸Así se protegen las empresas del Ibex 35 ante los ciberataques.

Crean comités específicos de ciberseguridad, contratan ciberseguros, dan formación a sus empleados e invierten en tecnología para detectar y responder a estas amenazas.

La ciberseguridad rara vez aparecía en los informes anuales de las empresas. Pero hoy, lo extraño y preocupante es que no aparezcan referencias al tema, como vía para dar transparencia a un riesgo creciente, que afecta a cualquier compañía, y que exige una continua vigilancia. La práctica empieza a calar entre las grandes corporaciones españolas, que han decidido tratar esta amenaza con normalidad en sus memorias anuales.

Si el pasado martes, CincoDías informó de que Telefónica se ha blindado contra los hackers con seguros de ciberriesgos por 405 millones (un dato que desvelaba por primera vez en su informe financiero anual), otras empresas del Ibex 35 también han contratado pólizas similares. Iberdrola, por ejemplo, desvela que cuenta con protección aseguradora específica para este tipo de amenazas desde 2017 “en los términos que el mercado asegurador permite”, y que revisan “periódicamente” ante la rápida evolución y la amplia variedad de estos ciberriesgos.

El seguro da cobertura al grupo en los distintos países donde opera. “El programa se contrata en capas con grupos aseguradores internacionales de primer nivel y cuenta con la participación de Iberdrola Re, reaseguradora del grupo”, aclara la eléctrica, para quien el ciberseguro constituye, en cualquier caso, una capa final para reducir el posible impacto financiero.

“Para nuestro Consejo de Administración, la ciberseguridad es un riesgo clave de negocio. Por ello, realizamos inversiones multimillonarias en este ámbito, destinadas especialmente a reforzar la detección temprana y respuesta ante incidentes para minimizar cualquier impacto”, resalta Iberdrola. La compañía admite que en 2018 detectaron y lograron bloquear cientos de eventos e intentos de ataque, aunque asegura que no registró ningún incidente significativo que resultase en una pérdida financiera o reputacional. En su informe anual sí cuantifica que ha tenido 364 reclamaciones “fundamentadas” por violación de la privacidad o fuga de datos de clientes (la mayoría en Reino Unido y algunas pocas en España).

CaixaBank, Indra, Repsol, Santander, Amadeus y Bankia también tienen contratados seguros de ciberriesgo, y Ferrovial asegura que lo “está valorando”. “Contamos con seguros para proyectos digitales concretos, pero no generales como los de Telefónica, aunque lo estamos analizando. Aún no hay una decisión tomada, ya que en general no tenemos servicios digitales a cliente final”, dicen desde la compañía.

Bankia y CaixaBank sí especifican que tienen contratados sus ciberseguros con AIG. La entidad presidida por José Ignacio Goirigolzarri precisa que, en su caso, entre las coberturas más relevantes se incluyen las pertenecientes a responsabilidades por fallos de privacidad por posibles vulneraciones de datos personales o información corporativa o responsabilidades por fallos de seguridad en los sistemas. También coberturas relativas a procedimientos regulatorios y sanciones en materia de protección de datos de carácter personal, así como otras relacionadas con las pérdidas de beneficios por interrupción en los sistemas o por daño reputacional. "Además, incluye coberturas sobre extorsión a redes y sistemas y gastos de crisis que pudieran derivarse de un incidente".

IAG reconoce en su informe anual que en 2018 la seguridad cibernética cobró una gran importancia para el grupo tras el robo de datos de clientes sufrido por British Airways en septiembre de ese año. Su consejero delegado, Willie Walsh, admite la necesidad de estar preparados ante estas nuevas amenazas y responder a ellas “minuto a minuto, todos los días”. El directivo apunta que trabajan con expertos de “primera línea y cuando es necesario, podemos contactarlos para soliciarles ayuda adicional”.

Las empresas declaran que la ciberseguridad se ha convertido en un desafío permanente que se toman muy en serio. IAG cuenta con una Oficina de ciberseguridad; Acciona e Iberdrola con comités específicos, que impulsan y supervisan el despliegue en toda la organización del plan estratégico y de la normativa de ciberseguridad, y BBVA tiene un centro de prevención, alerta y respuesta ante ciberamenazas para estar “permanentemente actualizado” frente a los posibles ataques. Además, la Comisión de Tecnología y Ciberseguridad de este banco informa al consejo y revisa los sistemas de evaluación, control y gestión de los ciberriesgos, incluyendo los planes de respuesta y recuperación frente a posibles ciberataques.

Bankia, por su parte, ha creado una Dirección Corporativa de Innovación y Ciberseguridad. Su comité de Ciberseguridad aprobó en el último trimestre de 2018 un nuevo Plan Estratégico de Seguridad 2019-2021 que plantea convertir la ciberseguridad en un pilar fundamental para ganar la confianza de los clientes. Para acometer dicho plan, Bankia ha ampliado un 33% su presupuesto para el área de ciberseguridad y ha reforzado su equipo técnico y directivo (que crece casi un 24%), con la incorporación de perfiles especializados.

En 2018, casi 1.500 profesionales de Bankia recibieron formación en ciberseguridad. También en CaixaBank, 27.646 empleados han realizado cursos formativos sobre esta cuestión (entre otras cosas hacen simulacros de phishing cada mes para entrenar a sus trabajadores en la identificación de correos fraudulentos). La concienciación de los empleados es visto como algo esencial. Por ello, Repsol hace cursos online en ciberseguridad obligatorios para toda su plantilla y el Banco Santander también ha lanzado medidas para que sus profesionales mejoren su formación ante los ciberriesgos.

Más allá de la formación, la entidad que preside Ana Botín señala que ha continuado evolucionando su normativa de ciberseguridad con la definición de políticas alineadas a las mejores prácticas internacionales. También asegura que sigue invirtiendo en sistemas y plataformas que les ayude a mejorar en esta materia. “El grupo está embarcado en un ambicioso programa de transformación de ciberseguridad con objeto de fortalecer los mecanismos de detección, respuesta y protección”, dicen. En julio de 2018, la comisión ejecutiva de riesgos de la entidad aprobó una nueva versión del modelo de supervisión y control de ciber incorporando a su vez el riesgo tecnológico dentro de su alcance. El Santander ha incluido el ciberriesgo entre los factores de riesgo más relevante, donde también están el blanqueo de capitales o el cumplimiento regulatorio.

CaixaBank cuenta con un equipo de respuesta ante emergencias informáticas (CERT) formado por especialistas entrenados y preparados las 24 horas del día para prevenir, detectar y actuar ante cualquier ciberamenaza. La entidad asegura, además, que es cofundadora de APWG.eu, una de las principales alianzas internacionales en materia de ciberseguridad.

Por su parte, Ferrovial, que admite en su memoria que sus infraestructuras están expuestas a ataques cibernéticos que "pueden llegar hasta la paralización de su operación", explica que ha integrado el concepto de seguridad desde la fase de diseño para proteger los activos de estos ciberataques. "Es un tema al que damos gran importancia, por lo que hemos desarrollado un modelo de gestión formal con controles en diferentes niveles. Y hemos convertido este campo en uno de los ejes de nuestro plan estratégico de innovación", explican.

IAG también destaca que cuenta con un centro mejorado de operaciones de seguridad con funcionamiento ininterrumpido, y asegura que su comité de dirección revisa regularmente el riesgo cibernético. En 2018, la firma puso en marcha en todo el grupo un programa relacionado con el nuevo reglamento europeo de protección de datos e implementó la directiva relativa a la seguridad de las redes y sistemas de información.

✳️Prevención y detención

Indra. La tecnológica española refuerza continuamente sus sistemas de protección ante las ciberamenazas como escudo para sí misma y para sus clientes. Indra cuenta con un sistema de gestión de seguridad de la información certificado bajo la ISO 27001 y un código de conducta que cubre el acceso a datos confidenciales. La firma realizó en 2018 un plan de formación intensivo a nivel global en materia de seguridad de la información y tiene una Oficina de Privacidad y Protección de Datos. Indra cuenta con una unidad de negocio de Ciberseguridad integrada en Minsait y, por tanto, con numerosos especialistas en la materia distribuidos en tres centros de operaciones de seguridad globales ubicados en España, México y Colombia.

Amadeus. El proveedor tecnológico de la industria turística Amadeus cuenta con un equipo dedicado a seguridad de la información, así como organismos internos a cargo del monitoreo, prevención y detección de posibles problemas ligados a la ciberseguridad. La firma española asegura que “otorga la máxima prioridad a la seguridad de los sistemas y datos de los clientes".

Sacyr. La constructora está renovando sus soluciones para mitigar los riesgos de ciberseguridad, tanto a nivel de infraestructuras como de puesto de trabajo. Su presupuesto de TIC para el área de seguridad se ha incrementado para este año en un 75% respecto al 2018, aunque no especifica la cifra.

#seguridad #ibex35
📡@cRyPtHoN_INFOSEC_DE
📡@cRyPtHoN_INFOSEC_EN
📡@cRyPtHoN_INFOSEC_ES