Ya es posible descifrar GandCrab 5.2

• Ransomware
• GandCrab
• Bitdefender

• La nueva herramienta lanzada permite el descifrado de la última versión de este ransomware

En un trabajo en conjunto entre la Europol, el FBI y Bitdefender, ha sido posible la recuperación de las claves de cifrado que empleaba el ransomware GandCrab 5.2 antes del cierre de los servidores empleados por los criminales tras este malware. Anteriormente, Bitdefender ya había lanzado herramientas para el descifrado de versiones anteriores de GandCrab, pero la versión 5.2 se seguía resistiendo hasta este momento.

La recuperación de las claves ha llegado justo a tiempo antes del cierre del servicio. Ya a principios de mes el grupo tras GandCrab anunciaba en los foros de habla rusa exploit.in que cerrarían a finales de mes tras haber logrado 2000 millones de dólares a un ritmo de 150 millones al año, habiendo blanqueado ya todo el dinero.

La nueva herramienta lanzada por Bitdefender permite el descifrado tanto de esta versión como de otras anteriormente lanzadas de GandCrab. Además de poder descargarse gratuitamente desde la web de Bitdefender, es posible encontrarla en No More Ransom, un proyecto que recopila herramientas de descifrado de este y otros ransomware.

El punto y final a GandCrab supone el cierre de uno de los ransomware más difundidos y que más víctimas ha tenido, aunque aún quedan muchas otras amenazas como GandCrab que siguen sin poder descifrarse. Las ganancias obtenidas por este grupo sólo son una evidencia más de que el ransomware ha llegado para quedarse, y la importancia de tener una buena política de seguridad para estar preparados.

Más información: Una al Día

La AEPD celebrará su 11ª Sesión Anual Abierta el próximo 25 de junio

La Agencia Española de Protección de Datos (AEPD) celebrará, el próximo 25 de junio, su 11ª Sesión Anual Abierta. Esta edición renueva completamente su formato, dando cabida a ponentes tanto de la AEPD como de entidades públicas y privadas y desarrollándose en tres foros paralelos en los que se abordarán diversos aspectos relacionados con la aplicación del Reglamento General de Protección de Datos.

Durante la Sesión se efectuará un análisis de la Ley Orgánica de Protección de Datos y garantía de los derechos digitales (LOPDGDD), y se abordarán aspectos relacionados con la responsabilidad activa, los Delegados de Protección de Datos (DPD), los responsables y encargados de tratamiento o la gestión del riesgo tecnológico, entre otros.

El programa completo de la Sesión puede consultarse aquí.

Durante el evento se entregarán los Premios Protección de Datos 2018, que este año alcanzan su 22ª edición. Estos galardones reconocen los trabajos que promueven en mayor medida las buenas prácticas, la difusión y la investigación de este derecho fundamental.

La Sesión está dirigida a representantes de instituciones, empresarios, profesionales de la protección de datos y ciudadanos interesados en la materia.

Las presentaciones y foros realizados en el Auditorio podrán seguirse en directo en streaming a través de la web de la Agencia.

AEPD (07/06/2019)

Más información

La AEPD publica el listado de tratamientos en los que es obligatorio realizar una evaluación de impacto

• Las organizaciones que tratan datos están obligadas a realizar una evaluación de impacto cuando sea probable que ese tratamiento entrañe un alto riesgo para los derechos y libertades de las personas.
• El listado completo de estos tratamientos puede consultarse aquí

La Agencia Española de Protección de Datos (AEPD) ha publicado el listado de tratamientos de datos personales en los que es obligatoria la realización de una evaluación de impacto. El Reglamento General de Protección de Datos (RGPD) establece en su artículo 35.1 que las organizaciones que tratan datos tienen obligación de realizar una Evaluación de Impacto relativa a la Protección de Datos (EIPD) con anterioridad a la puesta en funcionamiento de dichos tratamientos cuando sea probable que, en función de su naturaleza, alcance, contexto o fines, entrañen un alto riesgo para los derechos y libertades de las personas.

Por otro lado, el apartado 4 de ese mismo artículo prevé que cada autoridad de control establezca y publique una lista de los tipos de operaciones de tratamiento que requieran de una evaluación de impacto. Esta lista tiene, por tanto, la finalidad de ofrecer seguridad a los responsables respecto a cuáles son los tratamientos en que siempre se considerará que es probable que exista un alto riesgo. También de acuerdo con lo previsto por el RGPD, la lista ha sido comunicada al Comité Europeo de Protección de Datos, que ha emitido un dictamen favorable sobre ella, siguiendo los criterios establecidos en la valoración de todas las listas remitidas por las autoridades nacionales.

La Agencia ha definido que será necesario realizar una EIPD en la mayoría de los casos en los que en los que el tratamiento cumpla con dos o más criterios de la lista, entre los que se encuentran la realización de perfilado; observación, geolocalización o control de forma sistemática y exhaustiva; el uso de datos biométricos para identificar de forma unívoca a una persona; datos que permitan determinar la solvencia patrimonial o procesamiento de identificadores únicos que permitan identificar usuarios de servicios de la sociedad de la información como pueden ser los servicios web, televisión interactiva o aplicaciones móviles, entre otros tratamientos. Cuantos más criterios reúna el tratamiento en cuestión, mayor será el riesgo que entrañe y mayor la certeza de la necesidad de realizar una Evaluación de impacto.

Las Evaluaciones de impacto

El Reglamento establece que en aquellos casos en los que sea probable que los tratamientos entrañen un alto riesgo para los derechos y libertades de las personas físicas incumbe al responsable del tratamiento realizar una evaluación de impacto relativa a la protección de datos, que evalúe, en particular, el origen, la naturaleza, la particularidad y la gravedad del riesgo.

Como herramienta de ayuda al cumplimiento, la Agencia presentó con anterioridad a la aplicación del RGPD las guías de Análisis de Riesgo y Evaluación de Impacto en la Protección de Datos. La Guía de Evaluación de Impacto en la Protección de Datos ayuda a las organizaciones a identificar las actividades que conllevan un alto riesgo, afrontar y gestionar los posibles peligros antes de que produzcan y establecer las medidas de control más adecuadas para minimizar el mismo antes de iniciar el tratamiento. En el proceso de la evaluación, la organización debe conocer para qué y cómo se van a utilizar los datos, identificar, evaluar y tratar los riesgos potenciales y elaborar un plan de acción donde se incluyan las medidas de control para garantizar los derechos y libertades de las personas.

AEPD (06/05/2019)

Más información