{"id":5625,"date":"2014-11-04T23:14:06","date_gmt":"2014-11-04T23:14:06","guid":{"rendered":"http:\/\/la-uno.com\/blog\/index.php\/2014\/11\/04\/subdominios-abandonados-representan-un-riesgo-de-seguridad-para-las-empresas\/"},"modified":"2015-02-18T14:46:17","modified_gmt":"2015-02-18T20:46:17","slug":"subdominios-abandonados-representan-un-riesgo-de-seguridad-para-las-empresas","status":"publish","type":"post","link":"https:\/\/la-uno.com\/blog\/2014\/11\/04\/subdominios-abandonados-representan-un-riesgo-de-seguridad-para-las-empresas\/","title":{"rendered":"Subdominios abandonados representan un riesgo de seguridad para las empresas"},"content":{"rendered":"
Cuando las empresas olvidan desactivar los subdominios que ya no est\u00e1n siendo usados en sus servicios, \u00e9stas crean un vaci\u00f3 legal a explotar por los atacantes.<\/strong><\/h5>\n
\"seguridad<\/h5>\n
Y debido a que muchos proveedores de servicios no validan correctamente<\/strong> la propiedad de los subdominios se\u00f1alados en sus servidores, los atacantes pueden crear nuevas cuentas y subdominios y abusar de los olvidados por las empresas, alegando como propios.<\/h5>\n
La eliminaci\u00f3n<\/strong> o actualizaci\u00f3n<\/strong> de entradas de DNS para subdominios que ya no est\u00e1n siendo utilizadas activamente suena como algo que debe ser un procedimiento com\u00fan<\/strong>, pero de acuerdo a los investigadores de Detectify, un proveedor con sede en Estocolmo de servicios de escaneo de seguridad web, este tipo de supervisi\u00f3n es en realidad bastante generalizada entre las empresas .<\/span><\/h5>\n
“Hemos identificado al menos 17 proveedores de servicios que no se ocupan de la verificaci\u00f3n de la propiedad del subdominio correctamente y que permite esta vulnerabilidad para ser explotada, Heroku, Github, Bitbucket, Squarespace, Shopify, Desk, Teamwork, Unbounce, Helpjuice, HelpScout, Pingdom, Tictail, Campaign Monitor, CargoCollective, StatusPage.io and Tumblr, ” mencionan\u00a0los investigadores de Detectify\u00a0en una entrada de su blog<\/a>.<\/h5>\n
El riesgo que corre la empresa depende de lo que se pueda hacer en un servicio de terceros una vez que un dominio apunte a el, un problema para el usuario es el de encontrarse un ataque de phishing, si se redirecciona a una pagina falsa del sitio web oficial.<\/h5>\n
En un escenario de ataque descrito por Detectify, una empresa puede crear un subdominio para su uso con un servicio externo de venta de entradas, pero m\u00e1s tarde se cerrar\u00e1 su cuenta y se olvidar\u00e1 de eliminar el subdominio.<\/span> Los atacantes podr\u00edan entonces crear una cuenta nueva con el mismo servicio y reclamar como propio el subdominio de la empresa, que ya cuenta con la configuraci\u00f3n de DNS necesarios, lo que les permite establecer un sitio web falso en \u00e9l.<\/span><\/h5>\n
Detectify encontr\u00f3 que algunos de los subdominios que han sido expuestos a esta forma de secuestro pertenecen a diferentes tipos de organizaciones, incluyendo agencias gubernamentales, proveedores de servicios de salud, compa\u00f1\u00edas de seguros y bancos.<\/strong><\/h5>\n
La firma de seguridad ha creado una herramienta en l\u00ednea<\/a> que puede ayudar a las organizaciones a comprobar si tienen subdominios vulnerables a este ataque<\/strong>.<\/span> La herramienta requiere que los usuarios demuestren en primer lugar que tienen el control sobre los dominios a analizar mediante el uso de varios m\u00e9todos.<\/span><\/h5>\n
Algunos proveedores de servicios utilizan controles similares.<\/span> Por ejemplo, para utilizar Google Apps con un nombre de dominio personalizado el administrador del dominio tiene que cargar un archivo HTML espec\u00edfico en el servidor Web que aloja el dominio, para agregar un TXT o un registro CNAME en la configuraci\u00f3n de DNS de su dominio o para a\u00f1adir una metatag espec\u00edfica para la p\u00e1gina de inicio de su sitio web.<\/span> Todos estos m\u00e9todos son formas de verificaci\u00f3n de la propiedad de dominio.<\/span><\/h5>\n
\n

 <\/p>\n

<\/div>\n

<\/path><\/svg><\/i> \"Loading\"<\/p>\n

<\/div>\n","protected":false},"excerpt":{"rendered":"

Cuando las empresas olvidan desactivar los subdominios que ya no est\u00e1n siendo usados en sus servicios, \u00e9stas crean un vaci\u00f3 legal a explotar por los atacantes. Y debido a que muchos proveedores de servicios no validan correctamente la propiedad de los subdominios se\u00f1alados en sus servidores, los atacantes pueden crear nuevas cuentas y subdominios y…<\/p>\n

<\/div>\n

<\/path><\/svg><\/i> \"Loading\"<\/p>\n

<\/div>\n","protected":false},"author":1,"featured_media":5626,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_bbp_topic_count":0,"_bbp_reply_count":0,"_bbp_total_topic_count":0,"_bbp_total_reply_count":0,"_bbp_voice_count":0,"_bbp_anonymous_reply_count":0,"_bbp_topic_count_hidden":0,"_bbp_reply_count_hidden":0,"_bbp_forum_subforum_count":0,"jetpack_post_was_ever_published":false,"_jetpack_newsletter_access":"","_jetpack_dont_email_post_to_subs":false,"_jetpack_newsletter_tier_id":0,"_jetpack_memberships_contains_paywalled_content":false,"_jetpack_memberships_contains_paid_content":false,"footnotes":"","jetpack_publicize_message":"","jetpack_publicize_feature_enabled":true,"jetpack_social_post_already_shared":true,"jetpack_social_options":{"image_generator_settings":{"template":"highway","default_image_id":0,"font":"","enabled":false},"version":2}},"categories":[186,34,37],"tags":[],"class_list":["post-5625","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-certificados","category-internet","category-seguridad"],"jetpack_publicize_connections":[],"jetpack_featured_media_url":"https:\/\/la-uno.com\/blog\/wp-content\/uploads\/2014\/11\/seguridad-empresarial.jpg","jetpack_sharing_enabled":true,"jetpack_shortlink":"https:\/\/wp.me\/p529Uq-1sJ","jetpack-related-posts":[{"id":5935,"url":"https:\/\/la-uno.com\/blog\/2014\/09\/10\/el-poder-de-los-servidores-dedicados\/","url_meta":{"origin":5625,"position":0},"title":"El poder de los servidores dedicados","author":"marco","date":"September 10, 2014","format":false,"excerpt":"La modalidad mas usada en paginas web es el alojamiento compartido lo que significa que no todos conocen el poder que da el disponer de un servidor dedicado, ya que a diferencia del alojamiento compartido los recursos que tiene el equipo no se reparten entre un numero indeterminado de usuarios,\u2026","rel":"","context":"In "Internet"","block_context":{"text":"Internet","link":"https:\/\/la-uno.com\/blog\/category\/internet\/"},"img":{"alt_text":"","src":"https:\/\/i0.wp.com\/la-uno.com\/blog\/wp-content\/uploads\/2014\/09\/servidores.jpg?resize=350%2C200&ssl=1","width":350,"height":200,"srcset":"https:\/\/i0.wp.com\/la-uno.com\/blog\/wp-content\/uploads\/2014\/09\/servidores.jpg?resize=350%2C200&ssl=1 1x, https:\/\/i0.wp.com\/la-uno.com\/blog\/wp-content\/uploads\/2014\/09\/servidores.jpg?resize=525%2C300&ssl=1 1.5x"},"classes":[]},{"id":3058,"url":"https:\/\/la-uno.com\/blog\/2014\/09\/25\/fallo-de-seguridad-en-bash-deja-a-linux-unix-os-x-y-otros-vulnerables\/","url_meta":{"origin":5625,"position":1},"title":"Fallo de seguridad en BASH deja a Linux, Unix, OS X y otros vulnerables","author":"marco","date":"September 25, 2014","format":false,"excerpt":"\u00a0 Ayer se anunci\u00f3 un problema de seguridad que tiene BASH\u00a0una terminal en Unix y sistemas operativos compatibles con\u00a0POSIX\u00a0y que es la terminal por defecto de muchas distribuciones de Linux e incluso cuando no est\u00e1 por defecto viene instalada. Y es que BASH es la terminal mas popular en Unix.\u2026","rel":"","context":"In "Apple"","block_context":{"text":"Apple","link":"https:\/\/la-uno.com\/blog\/category\/apple\/"},"img":{"alt_text":"","src":"https:\/\/i0.wp.com\/la-uno.com\/blog\/wp-content\/uploads\/2014\/09\/shellshock-rob-graham-twitter.jpg?resize=350%2C200&ssl=1","width":350,"height":200,"srcset":"https:\/\/i0.wp.com\/la-uno.com\/blog\/wp-content\/uploads\/2014\/09\/shellshock-rob-graham-twitter.jpg?resize=350%2C200&ssl=1 1x, https:\/\/i0.wp.com\/la-uno.com\/blog\/wp-content\/uploads\/2014\/09\/shellshock-rob-graham-twitter.jpg?resize=525%2C300&ssl=1 1.5x"},"classes":[]},{"id":5730,"url":"https:\/\/la-uno.com\/blog\/2014\/12\/22\/sera-el-momento-para-volvernos-anti-digitales-empresas-replantean-su-dependencia-al-correo-electronico\/","url_meta":{"origin":5625,"position":2},"title":"\u00bfSera el momento para volvernos anti-digitales? Empresas replantean su dependencia al correo electr\u00f3nico","author":"marco","date":"December 22, 2014","format":false,"excerpt":"Tras las noticias relacionadas al espionaje y al reciente hackeo de la divisi\u00f3n cinematogr\u00e1fica de Sony ejecutivos estadounidenses se est\u00e1n asustando lo que motiva a revisar sus medidas de seguridad y pensar 2 veces en lo que se dicen por email. Desde el auge de las nuevas tecnolog\u00edas las empresas\u2026","rel":"","context":"In "email"","block_context":{"text":"email","link":"https:\/\/la-uno.com\/blog\/category\/email\/"},"img":{"alt_text":"","src":"https:\/\/i0.wp.com\/la-uno.com\/blog\/wp-content\/uploads\/2014\/12\/web-needs.jpg?resize=350%2C200&ssl=1","width":350,"height":200,"srcset":"https:\/\/i0.wp.com\/la-uno.com\/blog\/wp-content\/uploads\/2014\/12\/web-needs.jpg?resize=350%2C200&ssl=1 1x, https:\/\/i0.wp.com\/la-uno.com\/blog\/wp-content\/uploads\/2014\/12\/web-needs.jpg?resize=525%2C300&ssl=1 1.5x, https:\/\/i0.wp.com\/la-uno.com\/blog\/wp-content\/uploads\/2014\/12\/web-needs.jpg?resize=700%2C400&ssl=1 2x, https:\/\/i0.wp.com\/la-uno.com\/blog\/wp-content\/uploads\/2014\/12\/web-needs.jpg?resize=1050%2C600&ssl=1 3x"},"classes":[]},{"id":6072,"url":"https:\/\/la-uno.com\/blog\/2014\/12\/05\/los-megaservidores-de-amazon-el-negocio-poco-conocido-de-la-tienda-online\/","url_meta":{"origin":5625,"position":3},"title":"Los megaservidores de Amazon, el negocio poco conocido de la tienda online","author":"marco","date":"December 5, 2014","format":false,"excerpt":"La lista de productos de Amazon en internet parece interminable y a\u00fan as\u00ed contin\u00faa creciendo. Por algo se ha ganado el apodo de \"la tienda de todo\". Y sin embargo, un brazo menos conocido de esta misma compa\u00f1\u00eda ofrece bienes menos tangibles pero quiz\u00e1s m\u00e1s importantes para el futuro de\u2026","rel":"","context":"In "almacenamiento"","block_context":{"text":"almacenamiento","link":"https:\/\/la-uno.com\/blog\/category\/almacenamiento\/"},"img":{"alt_text":"","src":"https:\/\/i0.wp.com\/la-uno.com\/blog\/wp-content\/uploads\/2014\/12\/amazon-webservices-reception1.jpg?resize=350%2C200&ssl=1","width":350,"height":200,"srcset":"https:\/\/i0.wp.com\/la-uno.com\/blog\/wp-content\/uploads\/2014\/12\/amazon-webservices-reception1.jpg?resize=350%2C200&ssl=1 1x, https:\/\/i0.wp.com\/la-uno.com\/blog\/wp-content\/uploads\/2014\/12\/amazon-webservices-reception1.jpg?resize=525%2C300&ssl=1 1.5x, https:\/\/i0.wp.com\/la-uno.com\/blog\/wp-content\/uploads\/2014\/12\/amazon-webservices-reception1.jpg?resize=700%2C400&ssl=1 2x, https:\/\/i0.wp.com\/la-uno.com\/blog\/wp-content\/uploads\/2014\/12\/amazon-webservices-reception1.jpg?resize=1050%2C600&ssl=1 3x, https:\/\/i0.wp.com\/la-uno.com\/blog\/wp-content\/uploads\/2014\/12\/amazon-webservices-reception1.jpg?resize=1400%2C800&ssl=1 4x"},"classes":[]},{"id":5890,"url":"https:\/\/la-uno.com\/blog\/2015\/02\/13\/nadie-es-inmune\/","url_meta":{"origin":5625,"position":4},"title":"Nadie es inmune","author":"marco","date":"February 13, 2015","format":false,"excerpt":"Aunque Linux es un sistema minoritario en cuanto a computadoras personales para las empresas resulta una mejor alternativa, el 92.4% de los ordenadores m\u00e1s r\u00e1pidos del planeta ejecutan GNU\/Linux, y los riesgos a los que se enfrenta Windows en cuanto a seguridad puede que no est\u00e9n muy lejos. Y es\u2026","rel":"","context":"In "Internet"","block_context":{"text":"Internet","link":"https:\/\/la-uno.com\/blog\/category\/internet\/"},"img":{"alt_text":"","src":"https:\/\/i0.wp.com\/la-uno.com\/blog\/wp-content\/uploads\/2015\/02\/IMG_1076-1.jpg?resize=350%2C200&ssl=1","width":350,"height":200,"srcset":"https:\/\/i0.wp.com\/la-uno.com\/blog\/wp-content\/uploads\/2015\/02\/IMG_1076-1.jpg?resize=350%2C200&ssl=1 1x, https:\/\/i0.wp.com\/la-uno.com\/blog\/wp-content\/uploads\/2015\/02\/IMG_1076-1.jpg?resize=525%2C300&ssl=1 1.5x"},"classes":[]},{"id":5938,"url":"https:\/\/la-uno.com\/blog\/2014\/09\/15\/las-empresas-son-anos-de-retraso-en-materia-de-seguridad\/","url_meta":{"origin":5625,"position":5},"title":"Las empresas son a\u00f1os de retraso en materia de seguridad","author":"marco","date":"September 15, 2014","format":false,"excerpt":"Una investigaci\u00f3n reciente del NTT Communications arroja unos resultados alarmantes: Mientras que las empresas tendr\u00e1n la posibilidad de pensar que est\u00e1n haciendo al d\u00eda en materia de seguridad, son muchos los a\u00f1os de retraso en la detecci\u00f3n y protecci\u00f3n contra las vulnerabilidades. El\u00a0Informe de Inteligencia de amenaza global\u00a0realizado \u00e9ste a\u00f1o\u2026","rel":"","context":"In "Internet"","block_context":{"text":"Internet","link":"https:\/\/la-uno.com\/blog\/category\/internet\/"},"img":{"alt_text":"","src":"https:\/\/i0.wp.com\/la-uno.com\/blog\/wp-content\/uploads\/2014\/09\/seguridad_informatica1.jpg?resize=350%2C200&ssl=1","width":350,"height":200,"srcset":"https:\/\/i0.wp.com\/la-uno.com\/blog\/wp-content\/uploads\/2014\/09\/seguridad_informatica1.jpg?resize=350%2C200&ssl=1 1x, https:\/\/i0.wp.com\/la-uno.com\/blog\/wp-content\/uploads\/2014\/09\/seguridad_informatica1.jpg?resize=525%2C300&ssl=1 1.5x"},"classes":[]}],"_links":{"self":[{"href":"https:\/\/la-uno.com\/blog\/wp-json\/wp\/v2\/posts\/5625","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/la-uno.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/la-uno.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/la-uno.com\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/la-uno.com\/blog\/wp-json\/wp\/v2\/comments?post=5625"}],"version-history":[{"count":1,"href":"https:\/\/la-uno.com\/blog\/wp-json\/wp\/v2\/posts\/5625\/revisions"}],"predecessor-version":[{"id":5627,"href":"https:\/\/la-uno.com\/blog\/wp-json\/wp\/v2\/posts\/5625\/revisions\/5627"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/la-uno.com\/blog\/wp-json\/wp\/v2\/media\/5626"}],"wp:attachment":[{"href":"https:\/\/la-uno.com\/blog\/wp-json\/wp\/v2\/media?parent=5625"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/la-uno.com\/blog\/wp-json\/wp\/v2\/categories?post=5625"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/la-uno.com\/blog\/wp-json\/wp\/v2\/tags?post=5625"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}