Si ya tiempo atrás hablábamos de los potenciales riesgos de phising debido a la gripe porcina, existe una nueva posibilidad de un ataque de este tipo.
Lo que diferencia este ataque de los anteriores es que, además de enviar un email a un número indefinido de usuarios a los que engaña mediante un enlace a una página web que contiene código malicioso (phising), en este caso, se aprovecha una vulnerabilidad del tipo XSS (Cross-site Scripting) existente en el NHS (National Health Service) de Reino Unido (www.nhs.co.uk). Este organismo publica los tratamientos y dosis a seguir para combatir ciertas enfermedades. Si se aprovechara esta vulnerabilidad, podría llegar a engañar a los usuarios sobre las dosis de un tratamiento, mediante una página web que, por supuesto no está en los servidores del NHS británico.
El fallo ha sido descubierto por Phillip Clarke, director de una empresa de software que ha estado investigando en este tipo de vulnerabilidades en diferentes organizaciones, después de enterarse que han existido en los servidores web del MI5 y el Ministerio de Defensa Británico.
De momento no se han detectado campañas de mailings (spam) aprovechándose de este tipo de vulnerabilidad. Para tranquilidad de los lectores, las del NHS, han sido ya parcheadas, lo cual no quiere decir que no se puedan detectar este mismo tipo en otras entidades con funcionalidad similar y que se pueda reabrir la herida.
En el enlace de la noticia completa se puede además comprobar, cómo el descubridor de la vulnerabilidad del NHS, se intentó comunicar por activa y por pasiva con los webmasters de la organización sin éxito. Después publicó la vulnerabilidad en sla.ckers.org y al final fue redirigido a alguien de GovCertUK que ayudó a comunicar a Philip Clarke con los "sordos" webmasters de NHS de forma directa.
Esto me recuerda a un tema del que ya hablamos hace tiempo en SbD respecto al caso que hacían las empresas ante las notificaciones de descubrimientos de vulnerabilidades.
Lo que diferencia este ataque de los anteriores es que, además de enviar un email a un número indefinido de usuarios a los que engaña mediante un enlace a una página web que contiene código malicioso (phising), en este caso, se aprovecha una vulnerabilidad del tipo XSS (Cross-site Scripting) existente en el NHS (National Health Service) de Reino Unido (www.nhs.co.uk). Este organismo publica los tratamientos y dosis a seguir para combatir ciertas enfermedades. Si se aprovechara esta vulnerabilidad, podría llegar a engañar a los usuarios sobre las dosis de un tratamiento, mediante una página web que, por supuesto no está en los servidores del NHS británico.
El fallo ha sido descubierto por Phillip Clarke, director de una empresa de software que ha estado investigando en este tipo de vulnerabilidades en diferentes organizaciones, después de enterarse que han existido en los servidores web del MI5 y el Ministerio de Defensa Británico.
De momento no se han detectado campañas de mailings (spam) aprovechándose de este tipo de vulnerabilidad. Para tranquilidad de los lectores, las del NHS, han sido ya parcheadas, lo cual no quiere decir que no se puedan detectar este mismo tipo en otras entidades con funcionalidad similar y que se pueda reabrir la herida.
En el enlace de la noticia completa se puede además comprobar, cómo el descubridor de la vulnerabilidad del NHS, se intentó comunicar por activa y por pasiva con los webmasters de la organización sin éxito. Después publicó la vulnerabilidad en sla.ckers.org y al final fue redirigido a alguien de GovCertUK que ayudó a comunicar a Philip Clarke con los "sordos" webmasters de NHS de forma directa.
Esto me recuerda a un tema del que ya hablamos hace tiempo en SbD respecto al caso que hacían las empresas ante las notificaciones de descubrimientos de vulnerabilidades.
0 comments :
Publicar un comentario