Per seguretat, i evitar ciberatacs, useu el correu institucional de la UB

Posted on by

Per seguretat, i evitar ciberatacs, el correu institucional de la UB és el Microsoft. No feu servir l’opció “Enviar correu com a” del client Gmail per enviar correu amb el vostre compte corporatiu.

Per a llegir els molts correus que arriben, sabem que alguns usuaris prefereixen fer servir el client Gmail per gestionar el correu corporatiu @ub.edu.

La UB va optar per Microsoft Office 365, com a plataforma institucional des de fa anys, i també és la plataforma de correu electrònic.

Des del PAU us ajudarem a trobar una aplicació s’adapti al cada un, però l’ús de regles de reenviament de correus amb gmail és un risc de possibles atacs i demanem que les retireu.

Malgrat que a la nostra comunitat hi ha altres preferències, i estem més familiaritzats amb algunes aplicacions com les de Google, us demanem no fer servir l’opció: “Enviar correu com a” fa servir el protocol SMTP  amb autenticació bàsica.

Tot i no haver-hi una data anunciada, Microsoft en algun moment desactivarà també aquest protocol i, a partir d’aquell moment no us funcionarà l’enviament de correus des del client Gmail. 

  • Una segona raó per la qual no recomanem aquesta opció és l’activació del doble factor d’autenticació a la Universitat, que ara està en fase pilot, però que s’anirà implementant de manera progressiva sobre tots els comptes corporatius personals.  

El doble factor és un mecanisme de seguretat de la nostra identitat. Mitjançant l’ús d’un segon dispositiu, s’afegeix una capa addicional de seguretat a l’hora de verificar la nostra identitat quan accedim a aplicacions i serveis. 

Quan el doble factor sigui obligatori pel vostre col·lectiu o unitat, automàticament es deshabilitarà l’autenticació bàsica de SMTP i l’opció “Enviar correu com a “ deixarà de funcionar.En enviar un correu,  llavors des de Gmail, us sortirà el següent error i el missatge no s’entregarà: 

  • El compte corporatiu personal s’ha de fer servir per activitats relacionades amb la gestió, aprenentatge, docència i recerca de la Universitat de Barcelona. Aquest compte, de caràcter professional, està vinculat a una persona física i com a tal implica la utilització de dades personals. Per aquesta raó, la UB ha de tenir signat un contracte amb el proveïdor del servei, que aquest cas és Microsoft. Aquest contracte ha de contenir prou garanties pel compliment de la normativa relativa a la protecció de dades personals, incloent-hi les clàusules tipus de la Unió Europea. 

L’opció “Enviar correu com a” fa servir el protocol SMTP  amb autenticació bàsica. 

 – Exemple d’un compte configurat d’aquesta manera –

L’Àrea TIC de la UB no té signat cap contracte amb Google com a proveïdor del servei de correu electrònic. Per tant, la utilització de l’eina Gmail per a gestionar el compte de correu corporatiu de la UB no compleix amb la legalitat.

Per evitar qualsevol problema, recomanem fer servir el client de correu natiu de Microsoft, Outlook, sigui en la seva versió web o en les versions actuals de client d’escriptori. 

Implantació de l’autenticació amb doble factor per accedir al Núvol UB

Posted on by

L’augment del nombre d’incidents de seguretat greus dels darrers anys, on les universitats, desgraciadament no en som alienes, ens ha demostrat que l’ús d’una contrasenya per accedir als recursos no és suficient.

Per aquest motiu, igual que la resta d’administracions públiques, estem implantant un segon factor d’autenticació per accedir als serveis corporatius i complir amb l’ENS (Esquema Nacional de Seguretat, Reial Decret 3/2020). Una de les mesures de protecció que cal complir és afegir l’autenticació amb doble factor (2FA) per assegurar la identitat de la persona que fa ús del servei.

Mitjançant l’ús d’un segon dispositiu, s’afegeix una capa addicional de seguretat a l’hora de verificar la nostra identitat quan accedim a determinades aplicacions i serveis de la Universitat.

La contrasenya, primer factor d’identificació, tot i ser robusta pot ser robada en un atac de phishing o de malware. Si disposem d’un segon factor associat al nostre dispositiu mòbil, reforcem enormement la seguretat impedint l’accés d’un tercer no desitjat.

La implantació del 2FA es farà de manera progressiva per a tots els col·lectius ( PAS, alumnes i PDI) començant pels accessos a l’entorn de l’Office365 (correu, Teams, SharePoint…) i ampliant-lo després a altres serveis i aplicacions.

L’Àrea de Tecnologies i Òrgans de Govern hem estat prova pilot i progressivament s’aniran incorporant la resta dels col·lectius de la UB, començant pel PAS. A aquest efecte, i si pertanyeu a aquest col·lectiu, rebreu en breu un correu informatiu indicant a partir de quina data serà obligatori l’ús del 2FA per accedir a les aplicacions del Núvol UB.

Si esteu interessats en configurar el 2fa en el Núvol UB, abans que sigui obligatori pel vostre col·lectiu, us animem que llegiu l’ajuda: Com configuro el 2FA en el núvol de manera voluntària? i proveu de configurar-lo.

Trobareu tota la informació sobre el doble factor en la secció de la nostra web.

Si teniu qualsevol dubte o incidència sobre la instal·lació o funcionament del 2FA, podeu obrir-nos un tiquet al PAU.

Segona campanya de phishing ètic a la UB

Posted on by

A finals del passat mes de novembre i primers dies de desembre es va dur a terme la segona campanya de phishing ètic a la UB. 

Com en l’anterior campanya, es van trametre correus electrònics  «maliciosos» a una mostra aleatòria de persones que treballem a la UB. En aquesta ocasió, però es va incrementar el nombre de missatges enviats superant els 8.000 correus, amb el doble objectiu d’arribar a més persones i poder fer una comparativa amb les dades obtingudes a la campanya anterior amb una mostra més àmplia. 

Per poder entregar els missatges i que no caiguessin en la carpeta de correu brossa o que es bloquegessin directament els comptes emissors, des d’ATIC vam obrir diferents barreres de seguretat que estan activades de manera permanent. 

Les falses adreces emprades en aquesta ocasió van ser: claudia.roselg@ub.edu, support@ub.edu, capus.virtual@ub.edu i secreteria@ub.edu que van enviar correus amb diferents temàtiques relacionades amb la nòmina, repositoris, campus virtual o qüestions generals. 

 

Les consultes obertes al PAU durant aquesta campanya també s’han incrementat de manera notable respecte a l’anterior amb quasi 500 consultes, cosa que ens alegra perquè ens demostra que anem pel bon camí en temes de ciberseguretat i, com  usuaris, davant del dubte sobre si un correu rebut és maliciós o, tenint-ne la certesa que així ho és, contactem amb el PAU per així notificar-ho. 

Seguint les pautes i recomanacions de l’empresa col·laborada que ha organitzat i assessorat la UB en aquestes campanyes de phishing ètic, des d’ATIC els tiquets oberts  no van ser contestats i tancats fins que la fase de la campanya d’enviament de correu  es va donar per finalitzada. 

Novament, volem fer èmfasi en la importància d’aquestes campanyes que no són una altra que ser un test de vulnerabilitats amb l’objectiu de conscienciar-nos dels perills de la ciberdelinqüència i la necessitat de protegir la nostra informació i la de l’organització.

Tingues sempre present els següents punts que t’han de posar en alerta si reps un correu que: 

  • no esperes ni té cap relació amb la teva activitat professional o personal, 
  • et demana dades personals (inici de sessió, contrasenyes, comptes bancaris, número del mòbil …), 
  • està enviat des d’una adreça de correu sospitosa (adreces amb lletres i números barrejats, dominis poc habituals o no relacionats amb la nostra activitat…) 
  • està escrit en un idioma que no és l’habitual en les teves comunicacions, amb faltes d’ortografia o estructures gramaticals no gaire correctes, 
  • t’anuncia que has estat premiat o t’ofereix increïbles promocions o ofertes, 
  • s’expressa amb un to amenaçant o amb urgència perquè facis alguna acció immediata. 
MAI proporcionis cap dada personal en resposta a un correu  ni facilitis les teves credencials o facis cap pagament sense assegurar-te abans que la petició és real. Davant de qualsevol sospita, no cliquis cap enllaç o descarreguis cap adjunt. 

En  qualsevol missatge  pot haver-hi un enllaç amb un text o un botó que no coincideix amb l’adreça a la qual apunta. Passa el ratolí o el cursor sobre l’enllaç o el botó i fixa’t a quina adreça apunta. 

Si tens qualsevol dubte, pots posar-te en contacte amb el PAU, facilitant una captura del missatge on surti el remitent, assumpte i cos del missatge. Amb aquesta informació podrem analitzar el missatge i aplicar diferents accions preventives i proactives. 

Acabem aquesta entrada  recordant que la informació obtinguda a través d’aquestes campanyes és confidencial i així és tractada. 

5 consells per gestionar la nostra disponibilitat en Teams

Posted on by

Amb el teletreball, Teams s’ha convertit en una eina habitual per comunicar-nos de manera immediata, organitzar reunions o compartir informació amb els nostres equips de treball.

En aquesta entrada et donem cinc consells per treballar amb Teams d’una manera més eficient i ajudar-te a gestionar la teva disponibilitat. Cada consell inclou un enllaç a les pàgines oficials de Microsoft per saber-ne més.

1

Inicia l’aplicació de Teams automàticament cada vegada que engeguis el teu equip.

Quan instal·les l’aplicació Teams d’escriptori, per defecte es posa en marxa, de manera automàtica cada cop que engegues l’ordinador. Si no és així, consulta l’ajuda Com puc iniciar automàticament Teams cada vegada que engego l’ordinador?

Més informació sobre opcions de configuració de Teams.
2

Modifica el teu estat perquè altres companys sàpiguen si estàs disponible o no i si és un bon moment per contactar-hi.

Teams establirà de  manera automàtica alguns estats, per exemple es posa en vermell si estàs participant en una reunió o  tens la franja horària reservada en el teu calendari, però sempre que et calgui, pots modificar-lo.

Més informació  sobre com canviar l’estat en Teams.
3

Programa des de Teams l’estat Fora de l’oficina quan sàpigues que estaràs absent.

Configura un missatge i un estat de fora de l’oficina perquè els teus companys de feina sàpiguen que no estàs treballant o estàs, per exemple, de vacances.  

Si els teus companys envien un missatge al xat, veuran el teu missatge de fora de l’oficina. 

Més informació per saber com programar un estat de fora de l’oficina.
4 Actualitza i mantén al dia el teu calendari. 

Reserva dates i hores en el teu calendari personal per ajudar als teus companys a saber si estàs disponible o no, en cas que vulguin programar una reunió amb tu. 

El calendari mostrarà totes les cites/reunions que hagis programat des de Teams o des del teu Outlook.

Més informació sobre com administrar un calendari en Teams.
5

Si programes una reunió des de Teams, fes servir l’auxiliar de planificació.

L’auxiliar de planificació t’ajudarà a conèixer la disponibilitat dels participants de la reunió quan l’estiguis programant i et facilitarà  trobar el dia i hora més adequats perquè tothom hi pugui assistir. 

Més informació  sobre com programar una reunió en Teams.

Recorda que també tens disponibles pàgines d’ajuda sobre les consultes més freqüents de Teams en la nostra web i, en cas de tenir una consulta, sempre pots obrir un tiquet a través del PAU.

Els BEC: un tipus d’estafa adreçada a les organitzacions

Posted on by

El Business Email Compromise o compromís del correu electrònic empresarial (BEC) és una pràctica d’enginyeria social que requereix el control de la bústia de correu de la persona a suplantar i un coneixement a fons de l’organització que es vol atacar, des de la seva forma d’escriure correus electrònics fins a les seves relacions professionals.  

Font de la imatge: https://internetsegura.cat/compromis-correu-electronic-empresarial-bec/

Podem diferenciar tres variants d’atac BEC: 

  • El frau del CEO: se suplanta una persona de poder dins l’organització amb l’objectiu de demanar a un treballador amb funcions financeres que faci una transferència econòmica. 
  • El frau del treballador: se suplanta un treballador per sol·licitar al departament de recursos humans un canvi en el número de compte on transferir la nòmina.  
  •  El frau del proveïdor: se suplanta el compte de correu electrònic d’un proveïdor per informar d’un canvi en el número de compte bancari on dirigir els futurs pagaments.  

En aquesta entrada del blog ens volem centrar en la tercera variant, la del frau del proveïdor i és que la Universitat, com a organisme públic, posa a disposició de tots els membres de la comunitat universitària, així com a la ciutadania en general, la informació més rellevant relativa a les seves activitats; així, concursos o contractes amb proveïdors  estan publicats al web de la UB. 

Aquesta informació, però pot ser emprada per iniciar un procés de frau de tipus BEC. Fent-se passar per un proveïdor o partner i en  haver compromès prèviament un o diversos comptes de correu del mateix (a vegades, ni tan sols estan  compromesos, sinó que en fan servir comptes de correu molt semblants) se sol·licita el canvi de compte corrent on fer els pagaments pendents o informació que pot ser utilitzada amb posterioritat per donar més versemblança al/s següent/s correu/s que el ciberdelinqüent intercanviarà amb la víctima del frau.

Hem de pensar que aquest tipus de frau és molt sofisticat, l’estafador  no té pressa si el guany a obtenir és gran, com més informació de la nostra organització tingui, més credibilitat tindrà en les seves peticions.  

El control clau per part de l’organització és configurar les transferències bancàries de manera que es requereixi més d’una autorització per fer-la efectiva i que no n’hi hagi prou amb una confirmació per correu electrònic.

Mai s’ha de fer el canvi d’un compte corrent, transferència o qualsevol altra acció que impliqui un moviment de diners sense estar prèviament 100% segurs que és el destinatari que ho demana és legítim. 

Tot i que la Universitat ja té una sèrie de procediments de validació i mecanismes per evitar aquests casos de frau, si detecteu que podeu ser una possible víctima perquè rebeu un correu sospitós d’aquest tipus, obriu un tiquet al PAU adjuntant una captura del correu per poder prendre les mesures adients des d’ATIC. 

Per a més informació llegiu l’article El compromís de correu electrònic empresarial (BEC): què és i com posar-hi solució.

SIRE es migra al núvol

Posted on by

SIRE és el Servei Intermediari d’accés als Recursos Electrònics, en marxa des de l’any 2015, que permet accedir, amb un ordinador, als recursos d’informació electrònics: revistes, llibres i bases de dades, contractats pel CRAI de la Universitat de Barcelona als diferents col·lectius amb independència de si estan ubicats dins o fora de la xarxa de la Universitat.

El control d’accés s’efectua contra el sistema d’identificació de la UB i per accedir al servei cal:

  • Ser membre de la comunitat de la Universitat de Barcelona en qualitat de professor, estudiant o personal d’administració i serveis.
  • Disposar d’un identificador UB (el que s’utilitza per accedir a les intranets de la Universitat: PDI, PAS o MónUB).

Aquest dimecres, 20 de juliol de 2022, com vam anunciar, s’ha migrat el servei al núvol.

La migració d’aquest servei al núvol ha permès:

  • Actualitzar la infraestructura.
  • Reduir l’impacte que provoquen les actualitzacions i manteniments del servei i de les infraestructures.
  • Millorar la continuïtat del servei.

S’ha mantingut l’adreça del servei per fer el canvi transparent per l’usuari i minimitzar l’impacte amb els diferents sistemes del CRAI integrats amb el SIRE.

Més informació sobre SIRE.

Si teniu qualsevol dubte o consulta sobre aquest servei, adreceu-vos a Servei d’Atenció d’Usuaris (S@U) del CRAI.

Bitlocker, nova mesura per protegir les dades dels equips de la UB

Posted on by

Des de l’Àrea TIC estem desplegant Bitlocker, una funcionalitat del sistema operatiu Windows que encripta els discs durs. Gradualment, s’anirà activant a tots els equips de sobretaula i portàtils gestionats per l’ATIC.

Què és i com funciona?

Bitlocker és una funcionalitat de seguretat de Windows que permet xifrar el disc sencer. D’aquesta manera el disc només pot ser llegit per l’usuari autoritzat; i en cas de pèrdua o de robatori de l’ordinador les dades no seran accessibles.

El procés de xifratge que automatitzem des de l’àrea TIC, és transparent a l’usuari. Consisteix en xifrar les dades amb una clau de seguretat que només funciona amb les credencials de l’usuari.

En el cas de la UB i seguint les recomanacions de seguretat, s’ha triat l’encriptació amb claus de 256 bits. En molts equips nous, el xifratge per defecte és de 128 bits i des de l’àrea TIC el canviem de forma automàtica a 256 bits.

Com puc saber si el meu disc està xifrat?

Sí aneu a l’Explorador de fitxers de Windows, i aneu a l’apartat de “Dispositius i Unitats” podreu veure si el vostre disc està encriptat. Si està encriptat ha d’aparèixer un cadenat, com el de la imatge de sota. En cas que no estigués activat, apareixeria sense el cadenat.

Les claus de xifratge

Mentre l’equip funcioni bé no necessitem les claus de xifratge; només accedint amb les credencials d’usuari el sistema operatiu desxifra el disc i ens mostra les dades com sempre i de forma transparent.

En cas d’avaria de l’equip, l’àrea TIC té els procediments per recuperar de forma segura les claus de xifratge; ja que una còpia de les claus de xifratge queden emmagatzemades de forma segura als servidors i núvol UB. Aquestes claus també són recuperables per part dels usuaris de portàtils UB accedint al núvol UB. En cas de necessitar-les, pots posar-te en contacte amb el PAU.

Campanya de phishing ètic a la UB: vas caure en el parany?

Posted on by

Fa unes setmanes es va fer una campanya de phishing ètic a la UB. Es van trametre més de quatre mil correus electrònics  «maliciosos» a una mostra de les persones que treballem a la UB, sense cap conseqüència negativa més que ser un test de vulnerabilitats. La informació d’aquesta campanya és confidencial i així és tractada. Cada dia arriben correus maliciosos i volem ajudar-te a generar hàbits segurs, tant personals com institucionals. Els pirates informàtics volen diners, volen fer mal i no distingeixen entre àmbits personals o professionals, per això, volem compartir unes pautes per ajudar-te a detectar missatges de correu fraudulents i marcar les actuacions posteriors.   Qualsevol dels punts següents t’hauria de posar en alerta si reps un correu que:

  • no esperes ni té cap relació amb la teva activitat professional o personal,
  • et demana dades personals (inici de sessió, contrasenyes, comptes bancaris, número del mòbil …),
  • està enviat des d’una adreça de correu estranya (adreces amb lletres i números barrejats, dominis poc habituals o no relacionats amb la nostra activitat…)
  • està escrit en un idioma que no és l’habitual en les teves comunicacions, amb faltes d’ortografia o estructures gramaticals no gaire correctes,
  • t’anuncia que has estat premiat o t’ofereix increïbles promocions o ofertes,
  • s’expressa amb un to amenaçant o amb urgència perquè facis alguna acció immediata.

– Exemple d’un correu de tipus phishing  que inclou algun dels elements esmentats –

MAI proporcionis cap dada personal en resposta a un correu  ni facilitis les teves credencials o facis cap pagament sense assegurar-te abans que la petició és real. Davant de qualsevol sospita, no cliquis cap enllaç o descarreguis cap adjunt.

En  qualsevol missatge  pot haver-hi un enllaç amb un text o un botó que no coincideix amb l’adreça a la qual apunta. Passa el ratolí o el cursor sobre l’enllaç o el botó i fixa’t a quina adreça apunta.

– Exemple de correu amb enllaç que apunta a una web maliciosa –

En una connexió insegura, per evitar el pharming, quan hagis d’introduir dades personals, presta atenció que l’URL contingui el forrellat HTTPS i que tingui un certificat d’autenticitat clicant al damunt.

 – Exemple d’URL amb forrellat https –

Recorda que davant de qualsevol dubte, pots posar-te en contacte amb el PAU, facilitant una captura del missatge on surti el remitent, assumpte i cos del missatge. Amb aquesta informació podrem analitzar el missatge i aplicar diferents accions preventives i proactives.

T’animem que facis aquestes formacions que t’ajudaran a aprofundir coneixements i estar més preparat en temes de ciberseguretat:

Gràcies per la teva col·laboració!

Autenticació moderna en tots els clients de correu

Posted on by

A partir de l’1 d’octubre d’enguany, Microsoft ha anunciat la desactivació de l’autenticació bàsica (Basic Auth) per a tots els clients de correu.

Aquesta actualització implicarà que els diferents clients de correu que es connectin per accedir a les bústies de correu UB, hauran de fer servir obligatòriament l’autenticació moderna (basada en OAuth 2.0).

Per què es fa aquesta actualització?

Es tracta d’una mesura de seguretat necessària i obligada. L’autenticació bàsica envia els noms d’usuari i contrasenyes en cada sol·licitud, aquest comportament augmenta el risc que ciberdelinqüents puguin capturar les credencials. El nou protocol soluciona i reforça les mesures de seguretat en l’enviament i recepció de correu.

Quines implicacions té aquesta actualització?

Si el teu client de correu no accepta l’autenticació moderna, no podràs accedir a les bústies de correu de la Universitat on tens permisos.

Faig servir el client Outlook, com sé si accepta l’autenticació moderna?

El dia 1 de novembre de 2021, les versions obsoletes d’Outlook ja no es van poder connectar al correu del núvol. Les versions suportades actualment per Microsoft són:

  • Office 2013 (a partir de la versió 15.0.4971.1000)
  • Office 2016 (a partir de la versió 16.0.4600.1000)
  • Office 2019
  • Office 365

Qualsevol d’aquestes versions  funciona amb autenticació moderna.

Si vols saber quina és la teva versió del client Outlook fes el següent:

Obre l’Outlook – Fitxer – Compte de l’Office – Fes clic sobre “Quant a l’aplicació Outlook”

Faig servir un altre client diferent d’Outlook

La majoria dels clients de correu electrònic de tercers moderns ja admeten l’autenticació moderna. Comprova les opcions de configuració del teu client i actualitza’l si s’escau.

Recorda que, sempre pots accedir al correu de la UB, a través del client web, accedint al Núvol UB.

Per a més informació sobre aquesta actualització, consulta la notícia publicada per Microsoft.

OneDrive: què i com compartim informació

Posted on by

OneDrive és una de les diferents aplicacions que formen el Núvol UB. La seva finalitat és  l’emmagatzematge d’informació personal relacionada amb el nostre treball o activitat a la UB.

És la nostra biblioteca personal de documents on podem pujar, crear i editar fitxers que són accessibles des de qualsevol dispositiu i en qualsevol moment i que podem compartir quan i amb qui vulguem.

En aquesta entrada del blog ens volem centrar en aquest últim punt: la compartició de fitxers des de OneDrive centrant-nos en dues opcions: la carpeta Compartit amb tots els usuaris i la compartició d’enllaços amb qualsevol persona que tingui el vincle.

En tots dos casos, cal tenir molta cura i ser molt restrictius en fer-ne ús. En cap cas, hem de fer-les servir per compartir fitxers que puguin contenir informació sensible, que sigui de caràcter confidencial o que inclogui  dades de caràcter personal.

1 – Carpeta Compartido con todos los usuarios

Molts de nosaltres tenim en el nostre OneDrive una carpeta anomenada “Compartido con todos los usuarios” que es va crear quan es van donar d’alta tots els nostres comptes al Núvol UB (per les noves adreces posteriors ja no es crea aquesta carpeta)

Tota la informació que es guarda dins d’aquesta carpeta és susceptible de ser consultada per qualsevol membre de la Comunitat UB: PAS, PDI, personal col·laborador o estudiants. Cal ser molt curosos i conscients del que guardem aquí i eliminar qualsevol document que tinguem si ja no cal que tingui aquest caràcter públic. Recomanem revisar periòdicament el contingut d’aquesta carpeta i eliminar o moure el seu contingut a una altra carpeta més privada o eliminar-la directament si no és necessària.

El cercador del Núvol UB només troba informació d’aquells fitxers on tenim algun tipus de permís i, quan creem o guardem un document en aquesta carpeta, automàticament, estem donant permisos a tots els usuaris de la UB i, per tant, el podran cercar i trobar.

2 – Compartir fitxers amb qualsevol persona que tingui el vincle

Quan decidim compartir un fitxer o una carpeta del nostre OneDrive tenim l’opció de decidir com i a qui.

Cal evitar al màxim l’opció Qualsevol persona que tingui el vincle,  però en cas que sigui necessària, és molt recomanable activar també diferents opcions en aquesta compartició per fer-la més controlada com no permetre l’edició, establir una contrasenya o una data d’expiració d’aquest vincle.L’opció Qualsevol persona que tingui el vincle,  dona accés a qualsevol persona que rebi el vincle, sigui perquè l’ha rebut directament o perquè li ha reenviat una altra persona, i això també inclou persones de fora de la UB.