Esta semana contamos la historia del adolescente que estafó 72.000 euros gracias a un “vacío legal” en las devoluciones de Amazon (ahora la madre tendrá que pagarlo). También, hace muy poco explicamos que las devoluciones en Amazon iban a cambiar a partir de 2025. Lo que no sabe tanta gente es que Amazon y otros comercios online pueden llegar a devolver el dinero de una compra sin necesidad de que el cliente devuelva el producto. Lo que pasa es que no se publicita.

Devolución sin retorno. La historia la contaba esta semana Fortune centrados en el mercado estadounidense. Cada vez más minoristas grandes del país, como Amazon, Walmart o Target, están ofreciendo un tipo de devolución inédita para la gran mayoría de los usuarios: devoluciones sin retorno.

Hablamos de una política en la que los clientes reciben reembolsos completos sin necesidad de devolver los artículos. De fondo: una práctica que busca reducir los costes y la logística de las devoluciones, especialmente en productos de precio reducido o simplemente de difícil reventa, como pueden ser camisetas de 20 dólares o productos de un solo uso, cualquiera de los que te estés imaginando.

En Xataka

Australia comparó 1.700 ovejas y descubrió algo inesperado: las que pastorean entre paneles solares dan lana de mejor calidad

Cómo funciona. Aunque no es un secreto, nunca lo ha sido, el proceso de devolución sin retorno en los países donde se realiza sigue siendo poco conocido, principalmente porque los minoristas no lo anuncian a los cuatro vientos temiendo que una mayor publicidad pueda incentivar el fraude en las devoluciones.

Como decíamos, la política se utiliza principalmente para productos de bajo coste o limitada reventa, aunque en ocasiones los clientes también han obtenido esta opción en artículos de mayor valor. Por ejemplo, Dalya Harel, una empresaria de Nueva York que recibió un reembolso de Amazon por un escritorio defectuoso de 300 dólares sin tener que devolverlo. Ganaron todos, ya que le evitó molestias y costes adicionales.

La IA de las devoluciones. A la gran pregunta, ¿quién decide qué cliente es el “afortunado"?, los minoristas se basan en la tecnología. Para decidir quién es elegible para esta opción, muchos negocios utilizan algoritmos que analizan patrones de compra, costes de envío y demanda del producto, evaluando así la fiabilidad del cliente en función de su historial de compras y devoluciones.

Esta decisión, además, también considera el "valor de por vida" de un cliente, brindando esta política como un beneficio “discreto” de fidelización. Amazon, por ejemplo, ha extendido esta práctica a vendedores externos, permitiéndoles ofrecer reembolsos sin devolución en productos de precio reducido.

En Xataka

El milagro de los panes y los peces es uno de los grandes trucos de magia de la Biblia. Ahora sabemos "cómo se hizo"

El coste del “desembolso”. Es la última pata a tratar. Las compras online han crecido, sobre todo desde la pandemia, lo que también ha incrementado las devoluciones. Contaba Fortune que, en 2022, los consumidores estadounidenses devolvieron mercancías por un valor de 743 mil millones de dólares, con un 14% de esas devoluciones siendo fraudulentas, causando pérdidas de alrededor de 101 mil millones de dólares.

Como respuesta a ello y como contamos, algunos minoristas han comenzado a cobrar por las devoluciones o a simplemente reducir el período de devolución. Dicho esto, no todos los negocios ven a los clientes que devuelven con frecuencia como una pérdida. De hecho, los usuarios que compran mucho y devuelven algunos productos de vez en cuando a menudo son considerados altamente rentables.

En definitiva, una política de devoluciones sin retorno que, aunque controvertida y algo silenciosa, parece que también está transformando la experiencia de compra en la red, generando una especie de equilibrio entre la satisfacción del cliente y la rentabilidad para los minoristas en una era de retornos cada vez más crecientes.

Imagen | Dall E / Genbeta

En Genbeta | Sienta bien solicitar una devolución en Temu y quedarse el producto gratis, pero los vendedores en China se llevan la peor parte

En Genbeta | A alguien le salió a devolver 180.000 euros en la Renta y renunció a ella en favor del Estado: el 0,4% de la población lo hace

Una de las grandes ventajas que tiene Amazon es su política de devoluciones. El hecho de poder comprar cualquier producto con la seguridad de tener la opción de devolverlo si no nos gusta y sin apenas preguntas es algo envidiable. Pero que no sale nada barato en lo que a logística inversa se refiere.

Pero esto va a cambiar tajantemente en cuatro tres meses. A partir del 1 de enero de 2025 entra en vigor una nueva política de devoluciones en Amazon que persigue "hacer frente a los costes operativos de las devoluciones y disminuir los residuos".

Amazon quiere reducir los costes de devoluciones

A día de hoy Amazon tiene la obligación, al igual que otro negocio, de permitir que los consumidores rescindan su contrato de compra en un plazo de 14 días naturales desde el día en el que se recibe el producto. Un plazo que dentro de las políticas es mayor al dar 30 días de plazo para hacer estas devoluciones. Si bien, siempre estos productos deben estar "nuevos, sin usar y completos".

Aunque productos como ropa interior o maquillaje no están permitidos devolverlos por razones obvias. Pero si se acepta la devolución, se genera una etiqueta de logística inversa que sale gratis para los productos enviados desde la propia Amazon. En el caso de los vendedores externos se paga un precio variable entre 3 y 6 euros.

Pero ahora el vendedor va a tener cuidado con sus productos. A partir del 1 de enero de 2025 entra en vigor en España la nueva "tarifa por procesamiento de devoluciones a los productos con una ratio elevada de devoluciones". Esta nueva tarifa, que no repercute en el consumidor, afectará a los vendedores cuyos productos sean devueltos en masa. Siempre con excepciones como la ropa, gafas, zapatos o complementos que entienden que si se pueden devolver con más frecuencia.

Genbeta

Buscaba un chollazo comprando productos muy baratos devueltos en Amazon. Esto fue lo que intentaron entregarme en realidad

Durante los primeros meses del año se estarán controlando los productos que más se vayan devolviendo. Finalmente, será en la primera quincena cuando se deberá pagar esta tarifa. Siempre afectando a los grandes vendedores, estando exentos aquellos que envíen menos de 25 unidades al mes. Lo importante es que en este caso los clientes de Amazon no verán modificadas las condiciones, manteniendo los 30 días de devolución.

Imágenes | Mika Baumeister Kira auf der Heide

En Genbeta | Hace tres años abandoné Google Fotos para no pagar. La alternativa que he estado usando ha acabado gustándome más

A diario son miles los paquetes que se reparten en España tras el aumento exponencial de las compras por internet y la aparición de nuevos sitios o aplicaciones que muestran ofertas casi irresistibles. Esto es lo que le ocurría a una chica que frecuentaba la tienda de Shein a la hora de comprobar nueva ropa o complementos.

Una chica que sufría algo que sin duda te sonará muy familiar: no recibía los paquetes correctamente en su destino. Pero en uno de sus paquetes algo era realmente extraño con el envío de GLS y acuse de recibo: se había entregado en una dirección diferente a la de su domicilio y como firmante aparecía su nombre pero un DNI parcialmente anonimizado que no era el suyo. ¿Qué había podido ocurrir?

Una mala entrega de un paquete acaba con el despido del responsable

Ya en el pasado hemos hablado de numerosos casos en los que el hecho de entregar un paquete a un vecino o dejarlo en una recepción requiere de tener la autorización expresa del destinatario a través de teléfono o por escrito. Si no, las multas que hemos visto han sido realmente cuantiosas. Y en este caso el email de acuse dejaba claro que "se ha entregado el paquete a un tercero, sin mediar su consentimiento'.

Ante este caso, esta chica presentó una denuncia ante la Agencia Española de Protección de Datos (AEPD). En su denuncia se recoge que los datos personales fueron expuestos a un tercero sin su permiso, como son el nombre, los apellidos y su dirección.

La respuesta de la AEPD sin duda ha sorprendido: directamente la ha archivado sin dar respuesta. Entre las razones que dan desde la agencia es que "la confidencialidad solo se verá afectada cuando se posibilite el acceso por parte de un tercero a datos personales que no sean públicos", algo que no ha sucedido con esta afectada. Además, aluden a que la empresa incluye en las etiquetas la información imprescindible para su envío.

En Genbeta

Se estaba divorciando de su mujer y le vigilaba con cámara. Le ha caído un multazo de la AEPD

Pero aunque la AEPD estima que no hay pruebas claras para llevar adelante esta reclamación, la empresa de reparto GLS si que le ha dado una gran importancia a este gesto de su trabajador de haber dejado un paquete en otra dirección. Tales han sido las consecuencias que en el momento que se conoció este caso el trabajador dejó de trabajar en ENVIAPAQ, colaboradora de GLS a la hora de hacer esta entrega.

Imágenes | Mika Baumeister

Vía | Confilegal

En Genbeta | Te apuntaste a la Lista Robinson, pero te siguen llegando llamadas comerciales: así puedes reclamar ante la AEPD

Reinstalar Windows puede ser una tarea lenta y repetitiva, especialmente cuando se trata de volver a instalar todo el software necesario para volver a dejar el sistema funcionando (y a nuestro gusto). Sin embargo, existe una herramienta poco conocida que puede hacer de este proceso algo mucho más eficiente y rápido...

...un equivalente a los gestores de paquetes de los sistemas Linux (como el 'apt' de Ubuntu) que, como aquellos, se basan en el uso de la línea de comandos, por lo que no ha arraigado mucho (pese a su gran utilidad) entre los usuarios del sistema de Microsoft.

¿Qué es Winget?

Hablo, claro está, de Winget, el servicio de gestión de paquetes de Windows. Veamos cómo esta aplicación puede simplificar enormemente el proceso de reinstalación de Windows, ahorrándonos un tiempo muy valioso.

Winget permite a los usuarios instalar, actualizar, configurar y desinstalar software tanto en Windows 10 (a partir de la versión 1709) como en Windows 11. Aunque puede parecer intimidante para aquellos no familiarizados con la línea de comandos, Winget es sorprendentemente fácil de usar una vez que se entienden los conceptos básicos.

Cómo instalar programas con Winget

Para comenzar a usar Winget, primero necesitas abrir (importante: siempre con derechos de administrador) el 'Símbolo del sistema' o 'PowerShell'. Esto se puede hacer fácilmente buscando "cmd" o "PowerShell" en el menú de inicio, haciendo clic derecho sobre el resultado y seleccionando "Ejecutar como administrador". También puedes usar para ello la Terminal de Windows.

En Genbeta

Esta es la diferencia entre terminal, consola, shell y línea de comandos. Despejamos dudas habituales en torno al 'modo texto'

Una vez que estés en la línea de comandos, puedes explorar todos los comandos disponibles con 'winget --help'. Para instalar programas específicos, usarás el comando 'winget install', seguido del ID del programa.

Por ejemplo, para instalar de una sola tacada Discord, GIMP, Microsoft PowerToys y Steam, el comando sería:

"winget install discord.discord gimp.gimp microsoft.powertoys valve.steam"

Winget procederá a descargar e instalar todos estos programas automáticamente, uno tras otro. Créeme, este método es mucho más rápido y cómodo que descargar e instalar cada aplicación manualmente desde el navegador.

Preparación antes de reinstalar Windows

Antes de reinstalar Windows, es una buena idea hacer una lista de todas las aplicaciones que tienes instaladas actualmente y que querrás reinstalar después. Puedes hacer esto usando el comando 'winget list', que muestra todas las aplicaciones instaladas que están disponibles a través del administrador de paquetes de Windows.

Anota los IDs de las aplicaciones que necesitas o guárdalos en un archivo de texto para facilitar el acceso después de la reinstalación (esto último lo puedes hacer con el comando 'winget list > lista.txt').

Si hay aplicaciones que necesitarás tras la reinstalación, pero que no están instaladas actualmente, puedes buscar sus IDs con 'winget search' e introduciendo a continuación el nombre de la aplicación.

De esta manera, puedes preparar un solo comando para instalar todas tus aplicaciones necesarias después de reinstalar Windows. O, si prefieres hacer uso de una interfaz gráfica, puedes recurrir a herramientas web de terceros como Winget.run o Winstall.

No sólo te hace la instalación: también el mantenimiento

Además de instalar y desinstalar aplicaciones, Winget te permite mantener tus aplicaciones actualizadas con un par de simples comandos, asegurando que siempre estén actualizadas sin tener que revisar manualmente cada una.

Así, usando 'winget upgrade' puedes ver todas las aplicaciones que tienen actualizaciones disponibles. Para actualizar todas tus aplicaciones a la última versión disponible, puedes usar 'winget upgrade --all'.

En Genbeta | Cómo reinstalar Windows 10 sin perder nada

Una mujer demandó a UPS por dejarle, sin su permiso, un paquete en una heladería debajo de su casa. Concretamente, puso una reclamación ante la AEPD o Agencia Española de Protección de Datos, contra UPS por haber dejado el paquete que esperaba en un local comercial en vez de en su domicilio.

El repartidor le envió un mensaje de WhatsApp que decía: "el paquete te lo he dejado en la heladería que tienes abajo". Y esto ha supuesto una multa a la empresa de reparto de 140.000 euros. La alta cantidad es porque no es la primera vez que sucede algo así.

La AEPD ha considerado que la presencia en la caja del paquete de una copia del albarán de envío vulnera a la persona que tenía que recibir el paquete. Y es que ahí se encuentra información com0: nombre completo, teléfono y la dirección de la persona. El mensajero cometió dos infracciones de las leyes de protección de datos.

Multas por malos servicios de entrega

Concretamente, la cantidad de 140.000 euros, se divide así: por un lado hay un inafracción muy grave que se castiga con multas de con 100.000 euros, por vulnerar la “confidencialidad” de los datos personales de la personas y expuestos a una tercera persona sin permiso.

Dice la resolución que estos datos "figuraban en la etiqueta del paquete a entregar a la parte reclamante, etiqueta que se encuentra en un lugar visible para cualquiera que tenga acceso a dicho paquete”.

En Genbeta

Que entreguen tu paquete a un vecino puede ser ilegal: cómo hacerlo para que sea legal

La otra infracción es "grave” y multada con 40.000 euros es porque UPS ya ha hecho esto más veces y sigue sin contar con unos métodos adecuados para no tener que  entregar el paquete a un tercero cuando no pueda hacerlo al destinatario.

En noviembre de 2022, UPS ya tuvo que pagar una multa porque un repartidor dejó un paquete al vecino del destinatario real.

Vía | El Diario

Imahgen |Claudio Schwarz en Unsplash

Ya te hemos hablado en otras ocasiones de Winget, el gestor de paquetes implementado en estos últimos meses en Windows 10 y 11... siguiendo el ejemplo de Chocolatey (para Windows) o, más exactamente -por aquello de ser una herramienta preinstalada en el SO-, el de APT (para Debian Linux y derivados). Con Winget, se ha acabado tener que ir descargando e instalando el software de nuestro equipo individualmente, desde una larga lista de sitios web.

Sin embargo, pese a sus ventajas, Winget cuenta con un claro obstáculo a la hora popularizarse: Windows sólo ofrece la consola del sistema como método de gestión de las actualizaciones e instalaciones de paquetes.

Lo cierto es que el modo texto no constituye el método más atrayente para acercar al usuario inexperto al uso de los sistemas de paquetes: y por eso, a estas alturas, incluso los sistemas operativos basados en Unix (Linux, BSD...) cuentan con front-ends que permite usar dichos sistemas en modo gráfico.

Facilitando la tarea: ventanas en lugar de comandos

Lo que muchos usuarios no saben es que Winget sí cuenta con un front-end gráfico (aunque no oficial) llamado WingetUI (siglas de 'Interfaz de usuario de Winget'), del cual ayer por la tarde se lanzó la su versión 1.5.2 con todo tipo de mejoras de funcionamiento. Se han solventado también problemas preexistentes que provocaban que no siempre se mostraran como 'Instalados' los paquetes instalados desde la misma Microsoft Store.

En Genbeta

El creador de AppGet afirma que WinGet, el nuevo gestor de software de Microsoft, es una copia no reconocida de su trabajo

"Con esta aplicación, podrá descargar, instalar, actualizar y desinstalar fácilmente cualquier software que esté publicado en los administradores de paquetes compatibles". Sí, 'administradores', porque además de con Winget, WingetUI tiene soporte para instalar también paquetes de Scoop... y "la idea es agregar más administradores de paquetes en el futuro", por lo que quizá terminemos viendo, incluso, cómo WingetUI instala paquetes Chocolatey.

Más allá de eso, el programa incorpora funcionalidades extra y muy valoradas por los administradores de sistemas, como la posibilidad poner en cola las instalaciones de tal manera que eviten conflictos de dependencias, o de permitir al usuario seleccionar qué versión concreta de cada aplicación desea instalar.

Hay varias maneras de instalar WingetUI. La primera, descargar la última versión del instalador desde el repositorio oficial de WingetUI. La segunda es instalar la app desde línea de comandos, usando para ello cualquiera de los dos gestores de paquetes compatibles con WingetUI.

En el caso de Winget:

winget install wingetui

En el caso de Scoop:

scoop bucket add extras

scoop install wingetui

Ubuntu Linux incluye de serie un programa que actúa como su propia tienda de aplicaciones: la Snap Store (en realidad, recientemente se renombró a Ubuntu Software, pero casi nadie la llama así aún), y constituye un 'fork' de la tienda GNOME Software. Su nombre se debe a que, además del sistema de paquetes tradicional de las distribuciones basadas en Debian, Snap Store ofrece también la posibilidad de instalar paquetes snap (tan populares como polémicos), desarrollados e impulsados por Canonical, los creadores de Ubuntu.

Pero un alto porcentaje de usuarios de la popular distribución Linux no tiene Snap Store en alta estima: se le echa en cara la lentitud de sus búsquedas, lo sesgado de sus resultados (en favor de los paquetes Snap sobre los DEB), su desmesurado consumo de memoria RAM (empeorado por el hecho de que se sigue ejecutando en segundo plano), etc. También se critica la ausencia de soporte para los paquetes Flatpak, una alternativa a los Snap impulsada desde Red Hat.

Por todo ello, cuando a comienzos de este mes se supo que había surgido una versión alternativa, un 'Ubuntu Software' no-oficial, muchos se lanzaron a probarlo; y, según todos los que lo hicieron, mejora la experiencia de usuario del original.

Basado en el framework Flutter, esta tienda de aplicaciones se distingue por una interfaz adaptativa y mucho más usable a la para que vistosa, así como por unas búsquedas mucho más rápidas. Nadie se ha quejado de su consumo de RAM, tampoco, aunque lo de implementar el soporte para Flatpak aún no sabemos nada, por desgracia.

En Genbeta

AppImage, Snap, Flatpak... en qué se diferencian los principales formatos de distribución de software de Linux

A comienzos de mes, esta prometedora aplicación aún estaba en fase alfa y sus creadores desaconsejaban su instalación y uso en entornos de producción, pero eso no impidió que la comunidad ubuntera empezara a hablar maravillas de este proyecto (hay quien ha dicho que estando en fase beta, sigue siendo mejor que la actual Ubuntu Software estable).

Lo que no esperábamos era que Canonical tomara nota y diera la bienvenida al nuevo proyecto. Ahora, como se ha desvelado en el subreddit oficial de Ubuntu, Canonical ha sustituido su antiguo Ubuntu Software por la nueva aplicación homónima basada en Flutter, y ya es instalable si usáis el canal Preview / Edge de Ubuntu 22.04.

Ojo, porque aún le faltan opciones por implementar, y las traducciones parecen ser bastante incompletas, pero es de esperar una rápida mejora de la misma ahora que Canonical respalda su desarrollo. En cualquier caso, constituye una mejora para los usuarios y un ejemplo de las fortalezas del modelo open source.

Comandos de consola por si te interesa probar la nueva tienda

• Comando para desinstalar la antigua Snap Store / Ubuntu Software:

sudo snap remove snap-store

• Comando para instalar la nueva tienda de aplicaciones:

sudo snap install snap-store --channel=preview/edge

• Comando para volver a la antigua app tras haber probado la nueva:

sudo snap remove snap-store && sudo snap install snap-store --stable

Ubuntu no es, precisamente, una distribución Linux que nos tenga acostumbrados a un ritmo errático en sus lanzamientos. Por el contrario, suele ajustarse a su calendario preestablecido. Sin embargo, la comunidad 'ubuntera' esperaba el lanzamiento de Ubuntu 22.04.1 para el día de hoy… y ya sabemos que no éste no será el caso.

¿Qué ha pasado? La razón de este contratiempo radica en un grave bug que impide que las aplicaciones Snap (un formato de instalación creado y popularizado por la propia Ubuntu) puedan siquiera ejecutarse en aquellos equipos que hacen uso de la opción de instalación OEM.

Por instalación OEM entendemos aquella que realizan los distribuidores de hardware que preinstalan Ubuntu en sus equipos, pero dejando en manos del comprador minorista ciertos detalles de configuración —que habitualmente se detallan durante la propia instalación, como, las preferencias de idioma, horario, teclado y la creación de cuentas de usuario—.

Łukasz Zemczak, ingeniero de software de Canonical, ha explicado en la lista de correo oficial de Ubuntu que, obviamente, "este comportamiento observado en nuestras 'release candidates' afectaría seriamente la experiencia de cualquier usuario cuyo inicio de sesión se haya creado después de una instalación OEM".

"Para no comprometer la calidad de los medios de instalación, hemos decidido retrasar el lanzamiento de 22.04.1 una semana, lanzando el 11 de agosto de 2022".

Por fortuna, Ubuntu 22.04.01 no es una 'versión mayor' de Ubuntu, sino que sería el equivalente a un 'Service Pack' de Windows. La 22.04 vio la luz el pasado mes de abril, y era una versión LTS: ofrecía 'soporte extendido' (esto es, seguirá recibiendo actualizaciones hasta 2027), y Canonical no volverá a lanzar otra LTS hasta dentro de dos años.

En Genbeta

AppImage, Snap, Flatpak... en qué se diferencian los principales formatos de distribución de software de Linux

El lío de las Snap

Lo ocurrido no hará sino recrudecer el debate sobre las aplicaciones Snap, ya muy cuestionadas por la comunidad linuxera, que las acusa de 'hinchar' las instalaciones (cada paquete incluye todas las dependencias del programa, por lo que una misma biblioteca puede estar instalada potencialmente cientos de veces en un mismo equipo).

Precisamente, uno de los aspectos más polémicos de Ubuntu 22.04 fue su cambio de Firefox (el navegador predeterminado de la distribución) de un paquete APT tradicional a uno Snap: muchos usuarios se quejaron, además, de que percibían un rendimiento más lento en la aplicación.

Eso por no mencionar que una vulnerabilidad de la paquetería Snap ya obligó, el pasado mes de febrero,** a parchear las distribuciones compatibles** con la misma para evitar exponer a ataques basados en la escalada de privilegios.

Hace dos años, Microsoft presentaba el gestor de su nuevo sistema de gestión de paquetes de Windows, Windows Package Manager (más conocido como Winget, equivalente al Apt-get de Ubuntu y otras distribuciones Debian) y, menos de un año después, ya había lanzado la primera versión estable (de código abierto, además).

"WinGet es un conjunto de herramientas de software que nos ayudan a automatizar el proceso de descargar software en nuestro equipo. Tú especificas qué aplicaciones deseas instalar, y él hace el trabajo de encontrar la última versión disponible (o bien exactamente la que especificaste) e instalarla en tu PC".

Ahora, Microsoft acaba de anunciar que ya está disponible Winget 1.3, y llega con una amplia lista de nuevas características. Características que no hacen sino acercar Windows a un modelo de funcionamiento que lleva décadas funcionando muy bien en Linux…

…y que facilitan que cada vez más software pueda sumarse a este sistema de gestión de paquetes unificado, en lugar de ver cómo cada desarrollador de software utiliza su propio instalador. Este estándar, al poder gestionarse desde la línea de comandos, permitirá facilitar la automatización de la instalación y actualización del software en grandes organizaciones.

En Genbeta

13 aplicaciones para Windows gratis, ligeras y portables que no necesitan instalación

Aplicaciones portables, pero con todo lo bueno de las instalables

Según explica Demitrius Nelon, de Microsoft:

"Queríamos asegurarnos de que pudieras gestionar estos paquetes portables, por lo que cuando los instales en tu equipo se agregarán las pertinentes entradas en el menú de Aplicaciones de Windows. Eso te permite acceder a ellos como a cualquier aplicación instalada, e incluso borrarlos del sistema fácilmente sin tener que teclear 'winget uninstall Microsoft.NuGet'".

Microsoft asevera que pronto comenzará a aceptar en su repositorio de aplicaciones los primeros paquetes de aplicaciones portátiles remitidos por los desarrolladores. El proceso debería estar en marcha dentro de aproximadamente una semana, cuando la compañía termine de implementar la actualización para todos los usuarios a través de la Microsoft Store.

Y eso no es todo

Pero esos no son los únicos cambios. Hay otros que serán de gran utilidad para desarrolladores ("el equipo de desarrollo ha agregado varias mejoras a los manifest para mejorar la experiencia de instalación de paquetes") y otros que lo serán para los usuarios finales ("La barra de progreso se ha mejorado para mostrar el avance de la instalación de modo más detallado").

Al margen de eso, los nuevos argumentos y subcomandos disponibles para WinGet son los siguientes:

• Si lo que buscas es acceder a toda la información disponible sobre un determinado paquete, el comando 'winget show [nombre del paquete]' te será de gran utilidad.

• Si, por el contrario, lo que deseas es poder tener toda la información disponible sobre el proceso de instalación de un paquete —por ejemplo, para saber exactamente en qué paso falla— añadir "verbose-logs" a cualquier llamada al comando 'winget' enviará información más detallada a los logs de tu sistema.

• El comando 'winget –info' ahora muestra información referente a la arquitectura de la CPU, y la versión del sistema operativo y del propio administrador de paquetes de Windows. Eso facilitará saber por qué el paquete que has instalado sin problemas en un equipo parece, misteriosamente, no estar disponible en otro.

El pasado 29 de abril, la compañía de ciberseguridad Snyk Security Research anunció que había detectado un ciberataque dirigido contra varias empresas industriales relevantes con sede en Alemania. El método elegido para realizar el ataque se basaba en incluir código maligno en dependencias NPM, lo cual lo difundiría entre los desarrolladores de este popular repositorio y gestor de paquetes de NodeJS.

Los paquetes señalados (como gxm-reference-web-auth-server) contenían archivos package.json que incluían scripts post-instalación que a su vez invocaban a ficheros .js del propio paquete, que permitían recopilar y extraer información de los sistemas afectados, creando puertas traseras que permitían tomar el control de la máquina.

Horas después de ser detectado este ataque, los responsables de NPM borraron los archivos afectados. Pero aún faltaba por identificar a los responsables del ataque.

De modo que, hace dos días, otra compañía de ciberseguridad, JFrog, profundizaba en el estudio de los paquetes maliciosos detectados por Snyk, y analizaba los indicios de que disponían al respecto, dejando abierta la posibilidad de que no se tratara de un ciberataque real, sino de una simulación de uno con el objetivo de poner a prueba la seguridad de las empresas afectadas:

"Por un lado, tenemos fuertes indicadores de que se trataría de un sofisticado actor de amenazas reales:

• Todo el código utilizado es personalizado.

• El ataque está altamente dirigido y se basa en información privilegiada difícil de obtener (los nombres de los paquetes privados).

• La carga útil es extremadamente maliciosa y contiene características que no son necesarias en un simple pentest (por ejemplo, parámetros de configuración dinámica).

• Los paquetes cargados no tenían descripciones ni indicaciones de que se están utilizando con fines de pentesting.

Por otro lado, algunos otros indicadores podrían sugerir que estamos ante una prueba de penetración (¡aunque muy agresiva!):

• Los nombres de usuario creados en el registro npm no intentaron ocultar la empresa de destino.

• El ofuscador utilizado era público, por lo que se podía detectar e invertir fácilmente".

En Genbeta

Un desarrollador sabotea sus exitosos proyectos open source en GitHub para fastidiar a grandes empresas que usan gratis su trabajo

Misterio resuelto

Sin embargo, pocas horas después de la publicación en el blog de JFrog, otra compañía del sector especializada en inteligencia de amenazas y pentesting, Code White, asumía la responsabilidad de un ataque que, como JFrog había sido capaz de intuir, se trataba realmente de un ejercicio de 'pentesting' (prueba de penetración, en la que un falso atacante trata de violar las medidas de seguridad de la empresa que ha solicitado ser avaluada). Así, en un tuit dirigido a Snyk, escribían lo siguiente:

@snyksec Tnx for your excellent analysis at https://t.co/UoshhgaDgx and don't worry, the "malicious actor" is one of our interns 😎 who was tasked to research dependency confusion as part of our continuous attack simulations for clients. (1/2)

— Code White GmbH (@codewhitesec) May 10, 2022

"Gracias por vuestro excelente análsisis, y no os preocupéis, el actor malicioso es uno de nuestros becarios: se le encargó investigar la confusión de dependencias como parte de nuestras simulaciones de ataques para clientes".

Sin embargo, un directivo de Jfrog —Shachar Menashe, director senior de investigación de seguridad— comentó, tras conocerse la autoinculpación de Code White, que la forma en que esta compañía había llevado a cabo sus pruebas "no era muy normal y podría tener implicaciones problemáticas". Peor aún:

"También me preocupa que se dé una situación en la que este código de puerta trasera pueda ser secuestrado por un actor de amenazas reales, y utilizada para causar daños reales".

Vía | The Register