El Meta live Hacking Event durante Ekoparty fue todo un éxito!

MOSTRARON CÓMO SE PUEDE HACKEAR LOS CONTROLES BIOMÉTRICOS DE BANCOS Y FINTECH Lectura rápida Investigadores de Argentina y Ecuador mostraron en DEF CON 34 que algunos sistemas biométricos usados por bancos y fintech pueden ser manipulados desde el teléfono. En pruebas realizadas con autorización lograron introducir imágenes y videos preparados, superar pruebas de vida y engañar controles contra deepfakes. Aclaración Esto no significa que todas las aplicaciones bancarias sean vulnerables ni que haya que abandonar el reconocimiento facial: el mayor riesgo aparece cuando la biometría funciona como única barrera para abrir, recuperar o trasladar una cuenta a otro dispositivo. Biometría vulnerable Dan Borgogno y Javier Bernardo analizaron durante más de seis meses algunos de los principales sistemas biométricos utilizados por bancos y proveedores tecnológicos. Según los investigadores, alcanzaron una tasa de evasión del 100% en los frameworks que probaron. Utilizaron imágenes de rostros y técnicas para reemplazar la información capturada por la cámara antes de que llegara al sistema biométrico. Pruebas de vida Los ecuatorianos Xavier Riofrío Machado y Alex Tipan analizaron aplicaciones financieras reales. En pruebas realizadas con autorización, lograron superar controles biométricos y pruebas de vida mediante imágenes y videos controlados, incluido material generado con inteligencia artificial. Detectaron riesgos especialmente en procesos de alta y reenrolamiento de clientes cuando no existía una verificación adicional. El teléfono como riesgo Los investigadores señalaron que el problema no está en el reconocimiento facial como tecnología aislada, sino en cómo se integra dentro de las aplicaciones y cuánto confían bancos y fintech en los datos procesados por el dispositivo del usuario. Si un atacante consigue manipular la aplicación o el recorrido de las imágenes, puede sustituir la información real por contenido preparado. El avance de los deepfakes aumenta ese riesgo. Más factores de seguridad Los especialistas recomiendan que el reconocimiento facial no sea el único requisito para acceder, recuperar o trasladar una cuenta. Proponen combinarlo con contraseñas, códigos temporales, dispositivos de confianza y verificaciones adicionales. También sugieren trasladar más controles a los servidores de las entidades y utilizar desafíos generados en tiempo real. (+) en Clarín: clar.in/45rRQrq

💻 #CTF = learn 🤓 / have fun 😆 / win prizes 🏆 Upcoming free CTFs by @hxpctf, @advens, @saarsec, @LosFuzzys, @AlpacaHack, @WuerthPhoenix, @CyberSci, @ASIS_CTF, and many others. Explore the full list 👇🏽 infosecmap.com/explore/?type… #InfoSec #CyberSecurity

Shoutout to @accio_bugs for discovering this vuln in lunary-ai/lunary! 👏 They figured out how to invite and change users to other orgs' projects, escalating privileges along the way. Backend validation, where you at?? 😅 Check out their report here: bit.ly/4b1gDmE