Cómo protege Google tus datos

Tadek Pietraszek, tanto tú como tu equipo sois responsables de la seguridad de las cuentas de los usuarios. ¿Cómo evitáis que los hackers consigan acceder a las cuentas?

Tadek Pietraszek, ingeniero principal de Software de Seguridad para cuentas de usuario: En primer lugar, es importante que podamos detectar el ataque inicial. Utilizamos más de cien variables para identificar actividades sospechosas. Supongamos que vives en Alemania, no sueles viajar al extranjero y alguien intenta acceder a tu cuenta desde otro país. Esto hace que se disparen las alarmas.

Stephan Micklitz, director de Ingeniería del equipo de Privacidad y Seguridad de Google: Por este motivo, a veces te pedimos que confirmes el número de teléfono que nos has facilitado u otro tipo de información que solo conoces tú como propietario de la cuenta.

Para Tadek Pietraszek (izquierda), el phishing es una de las mayores amenazas de seguridad online.

¿Con qué frecuencia se producen este tipo de ataques?

Pietraszek: Cada día se lanzan cientos de miles de ciberataques. Nuestro mayor problema es que hay innumerables listas de nombres de usuario y contraseñas en Internet que se han robado de sitios web hackeados. Dado que muchos de nuestros usuarios utilizan la misma contraseña en diferentes cuentas, estas listas también contienen los datos de inicio de sesión de las cuentas de Google.

¿Suponen estas listas la mayor amenaza para la seguridad?

Pietraszek: Sí, sin duda. Junto con los ataques de phishing clásicos. Prácticamente todo el mundo ha recibido correos electrónicos de delincuentes que intentan conseguir las contraseñas de sus cuentas. Naturalmente, nosotros hacemos todo lo posible para asegurarnos de que no consigan su objetivo. Si consideramos sospechoso un correo electrónico que tiene como destino tu bandeja de entrada de Gmail, podemos marcarlo con una advertencia para que puedas analizarlo en detalle o descartarlo automáticamente. Nuestro navegador Chrome también envía alertas cuando intentas acceder a un sitio web que hemos identificado como sitio web de phishing.

Micklitz: Hay dos tipos básicos de phishing. Los correos electrónicos masivos, que los delincuentes utilizan para recopilar tantos datos de inicio de sesión como sea posible, y lo que se conoce como "phishing de objetivo definido", que está dirigido a cuentas de personas concretas. Estos ataques pueden ser operaciones muy sofisticadas que duran varios meses. En este periodo, el delincuente analiza en detalle la vida de la víctima y lanza un ataque muy dirigido.

"Si consideramos sospechoso un correo electrónico que tiene como destino tu bandeja de entrada de Gmail, podemos marcarlo con una advertencia".

Tadek Pietraszek

¿Cómo contribuye Google a que sus usuarios puedan evitar que estos ataques tengan éxito?

Pietraszek: Un ejemplo es nuestro sistema de verificación en dos pasos. Muchos usuarios están familiarizados con este tipo de sistema, ya que se utiliza en las cuentas bancarias online. Por ejemplo, si quieres hacer una transferencia, es posible que tengas que introducir tu contraseña y un código que recibes por SMS. Google introdujo la autenticación de dos factores en 2009, antes que la mayoría de los principales proveedores de correo electrónico. Además, los usuarios de Google que han registrado su número de móvil se benefician automáticamente de un nivel de protección similar frente a intentos sospechosos de inicio de sesión.

Micklitz: La autenticación de dos factores es un buen método, pero hasta los códigos de SMS se pueden interceptar. Por ejemplo, los delincuentes pueden contactar con tu proveedor de servicios móviles para intentar que les envíen una segunda tarjeta SIM. La autenticación con un token de seguridad físico, como un transmisor Bluetooth o un dispositivo USB, es aún más segura.

Pietraszek: Utilizamos este recurso como parte de nuestro Programa de Protección Avanzada.

¿En qué consiste?

Pietraszek: Google introdujo el Programa de Protección Avanzada en 2017 y está dirigido a los usuarios que corren un mayor riesgo de ser hackeados, como periodistas, políticos, CEOs y disidentes políticos.

Micklitz: Además de nuestra llave de seguridad física, incorporamos pasos adicionales con los que los usuarios tienen que verificar su identidad si pierden la llave para limitar el acceso a los datos de las aplicaciones de terceros.

Stephan Micklitz es director de Ingeniería y responsable de la privacidad y la seguridad globales en Google. Estudió Informática en la Universidad Técnica de Múnich y lleva trabajando en la oficina de Google de la misma ciudad desde finales del 2007.

¿Podríais hablarnos sobre uno de los principales ciberataques que habéis sufrido y cómo reaccionasteis a él?

Pietraszek: Uno de estos ataques se produjo a principios del 2017. Los hackers habían diseñado un programa de software malicioso para acceder a las cuentas de Google de las víctimas y enviar correos electrónicos falsos a los contactos de los usuarios. En estos correos electrónicos, se pedía a los destinatarios que concedieran acceso a un documento de Google falso. Los usuarios que lo hicieron concedieron acceso de forma involuntaria al malware, que envió automáticamente los mismos correos falsos a sus contactos. El virus se propagó rápidamente. Contamos con planes de contingencia para situaciones como esa.

Micklitz: En este caso en particular, por ejemplo, bloqueamos la distribución de esos correos electrónicos en Gmail, revocamos el acceso que se concedió al programa y protegimos las cuentas. Por supuesto, también añadimos protecciones sistemáticas para hacer que ataques similares a ese no se pudieran producir tan fácilmente en el futuro. Las cuentas de Google sufren ataques constantemente y nuestros sistemas automatizados ofrecen la protección más efectiva. Por supuesto, esto depende de que podamos contactar con nuestros usuarios mediante otros medios que no sean sus cuentas de Google, como una segunda dirección de correo electrónico o un número de teléfono.

"En realidad, suele bastar con seguir unas reglas básicas".

Stephan Micklitz

¿Qué importancia tiene la seguridad para un usuario normal y corriente?

Pietraszek: Muchos usuarios piensan que adoptar las precauciones de seguridad necesarias es muy importante, pero puede resultar tedioso hacerlo. Por ejemplo, esto explica por qué los usuarios suelen utilizar la misma contraseña para varias cuentas, aunque este sea el peor error que puedes cometer. Nuestro trabajo consiste en explicarles a los usuarios cómo pueden proteger sus cuentas con el mínimo esfuerzo. Por este motivo, ofrecemos la función Revisión de Seguridad en la cuenta de Google, con la que los usuarios pueden comprobar su configuración fácilmente.

Micklitz: En realidad, con seguir unas reglas básicas suele ser suficiente.

¿Y cuáles son esas reglas?

Micklitz: No utilizar la misma contraseña en diferentes servicios, instalar las actualizaciones de seguridad y evitar el software sospechoso. Facilitar un número de teléfono o una dirección de correo electrónico alternativa para que podamos contactar contigo mediante otros medios. Por último, habilitar el bloqueo de pantalla del teléfono para que las personas no autorizadas no puedan acceder a él fácilmente. Estos pasos son un buen comienzo.

.

Fotografías: Conny Mirbach