Como hemos aprendido en nuestros focos anuales sobre Alemania y España, hay una gran variedad de ciberamenazas que se dirigen actualmente a las organizaciones europeas, desde una multitud de direcciones. En este artículo, explicamos algunos de los vectores de ciberataque más comunes que amenazan a las empresas en 2022, y cómo los utilizan los actores maliciosos.
La ingeniería social es un término amplio que utilizamos hoy para cubrir una variedad de vectores de ataque. Incluye términos que probablemente habrás escuchado antes, como phishing o spear-phishing, pero también abarca el smishing, el compromiso del correo electrónico empresarial (BEC), los ataques de watering hole y cualquier otra cosa que implique la manipulación de una persona.
De hecho, según el Informe de Violación de Datos 2021 del Centro de Recursos de Robo de Identidad, el smishing, el phishing y el BEC fueron la causa más común de las violaciones cibernéticas en 2021 (33%), superior incluso al ransomware (22%).
Todos funcionan de forma un poco diferente, pero con el mismo objetivo. Los ataques de ingeniería social generalmente tratan de manipular las acciones de una persona engañándola. A menudo, los atacantes ponen contenido delante de la víctima objetivo haciéndose pasar por genuino y digno de confianza. La víctima será atraída a participar en este contenido, haciendo clic en un sitio web o descargando un archivo, lo que permite a los atacantes robar credenciales (véase más adelante) o instalar malware en el dispositivo de destino.
Pero la ingeniería social no se limita a correos electrónicos fraudulentos y sitios web falsos
Las campañas de ingeniería social selectiva pueden tener un largo recorrido, en el que los atacantes exploran a las víctimas potenciales, encuentran objetivos vulnerables pero valiosos, generan confianza utilizando diversas técnicas -como perfiles falsos en las redes sociales que se hacen pasar por periodistas o compañeros de la industria- y luego hacen caer a las víctimas en la trampa. Este proceso puede durar semanas, incluso meses.
Un atacante muy hábil en ingeniería social puede incluso no necesitar contenido falsificado, si puede convencer a alguien a través del teléfono o la mensajería privada para que entregue sus datos voluntariamente.
Antes de seguir adelante, debemos advertirle con un poco más de detalle sobre la amenaza del compromiso del correo electrónico empresarial (BEC).
El ransomware (ver más abajo) tiende a acaparar la mayoría de los grandes titulares de los medios de comunicación, pero no es la principal estafa en términos de pérdidas financieras. El BEC, del que casi nadie habla realmente, cuesta bastante más al año: solo en Estados Unidos, el FBI señaló que el BEC costó a las organizaciones 2.400 millones de dólares en 2021 - el ransomware solo costó 42 millones de dólares.
Es cuando los ciberdelincuentes envían a los empleados de la empresa correos electrónicos con una solicitud específica, fingiendo ser de una fuente legítima (como otra persona de la empresa, un proveedor conocido, etc.). Puede ser una solicitud de transferencia de dinero, una factura fraudulenta con un plazo de pago urgente, o quizás una orden para ir a comprar un montón de tarjetas de regalo que se utilizarán como "recompensas para los empleados". Por supuesto, todo el dinero va a parar al estafador.
A menudo, los estafadores de BEC utilizan direcciones de correo electrónico falsas y esperan que nadie compruebe el nombre. Otras veces utilizan cuentas de correo electrónico reales, estafando a un empleado real con sus credenciales, entrando en su cuenta y enviando mensajes comprometidos. Este último método es muy peligroso y difícil de detectar, porque significa que la estafa procede de una fuente de confianza.
Existe otro tipo de BEC denominado secuestro de conversación, en el que un estafador que utiliza la cuenta de otra persona se introduce en una cadena de correo electrónico existente con su solicitud financiera.
La desconfiguración es un término que designa la mala configuración de los sistemas de una organización, de la que el almacenamiento en la nube se ha convertido en un ejemplo cada vez más común. Debido a la accesibilidad inherente a la nube, es bastante fácil equivocarse en la configuración de seguridad y dejar así los datos de la empresa expuestos a que personas ajenas a ella obtengan un acceso total o parcial.
Los grandes proveedores de la nube, como Amazon y Google, tienen servidores muy seguros, sí. La configuración incorrecta no es un problema de ellos, sino del usuario, ya que una configuración incorrecta puede, por ejemplo, dejar una carpeta privada como pública para que cualquiera pueda entrar en ella con un simple enlace.
Para ponerlo en perspectiva: el coste de los problemas debidos a servidores en la nube mal configurados es 12 veces mayor que la inversión mundial en la nube(DivvyCloud). Además, el 80% de las empresas han sufrido una violación de datos en la nube en los últimos 18 meses y la causa principal fue la mala configuración (67%)(IDC).
Más información: 5 estrategias multicloud y cómo abordarlas
El "malware" es un nombre general utilizado para describir el software infeccioso que causa daño, espía o interrumpe un sistema. Los virus informáticos son un tipo de malware, aunque hay muchos otros.
El malware es el clásico vector de ciberataque, ya que ha existido básicamente desde los albores de la red mundial. Incluso ahora, con todo nuestro avanzado software antimalware, sigue siendo un gran problema: el BSI alemán señaló que el año pasado se descubrieron unas 394.000 nuevas variantes de malware al día solo en Alemania.
Otros ejemplos de malware son: el ransomware, que describimos a continuación; los keyloggers, que pueden registrar las pulsaciones de teclas realizadas por un ordenador; los troyanos, que entran en los sistemas disfrazados; los droppers, que pueden instalar otras piezas de malware; las infecciones bot, que pueden replicarse y propagarse por sí solas; y, por último, los virus diseñados puramente para la destrucción: los wipers.
Por desgracia, las formas en que los grupos cibernéticos utilizan el malware son tan variadas como el propio malware, y por eso es tan difícil de detener. Los grupos suelen desarrollar su propio malware personalizado para ayudarles a atacar a empresas y particulares a través de los canales que prefieran (es decir, la ingeniería social). Pero también suelen compartir el malware con otros grupos y pueden comprometer la tecnología legítima para sus propios fines: Cobalt Strike, por ejemplo, es una herramienta que utilizan tanto los grupos legítimos como los criminales.
Hay muchas maneras diferentes en que los atacantes pueden inyectar malware en un sistema. La suplantación de identidad es muy común, pero los atacantes pueden recurrir a otros medios, como archivos troyanizados que simulan ser algo que no son (por ejemplo, un PDF que en realidad es un virus), o tal vez sitios web falsos que parecen reales pero que pretenden robar sus credenciales o hacerle descargar software infeccioso. También son populares las macros en archivos de Word o Excel aparentemente seguros.
Más información: 10 grupos de ciberespionaje conocidos y cómo protegerse
El ransomware es un tipo de malware. Cuando se inyecta en un sistema, puede bloquearlo por completo y cifrarlo para que sus usuarios pierdan el acceso. Los atacantes suelen pedir un rescate a cambio del acceso (de ahí el nombre).
Dato extra: la mayoría (96%) de las empresas afirmaron en 2021 que recuperaron sus datos tras un ataque "significativo". Pero, de media, solo pudieron restaurar el 65% de los mismos, lo que significa que estaban perdiendo potencialmente algo más de un tercio de sus datos por ataque(Sophos).
Como puede ver, el objetivo del ransomware es interrumpir la actividad y obligar a alguien a pagar.
Suele ser un acto de ciberdelincuencia en contraposición al ciberterrorismo, con el objetivo de ganar dinero en lugar de espiar o destruir objetivos clave. Por lo tanto, a menudo se ve que lo hacen grupos cibernéticos independientes en lugar de actores respaldados por el Estado.
Una cosa que hay que tener en cuenta es que el ransomware suele ser la etapa final de una larga cadena de actividades, como la ingeniería social y el escaneo de vulnerabilidades (sí, los atacantes utilizan lo mismo que las empresas para buscar vulnerabilidades, pero en este caso para explotarlas en lugar de parchearlas). Esto hace que sea fundamental detectar estas actividades con antelación.
Descárgalo ahora: ¿Debe pagar el rescate de un ransomware? Cómo prepararse para un ataque de ransomware
La cadena de suministro mundial es muy digital hoy en día, y la mayoría de las empresas modernas utilizan servicios digitales al menos en alguna medida. De hecho, es bastante raro encontrar una empresa en Europa que no dependa de un proveedor externo para algún servicio o herramienta subcontratada.
Esta dependencia de los servicios de otra empresa significa que su sistema se conecta con el suyo: un ataque a una parte podría comprometer a la otra. Por lo tanto, el compromiso de la cadena de suministro también se conoce como riesgo de proveedor externo.
Hoy en día, los atacantes a veces sólo necesitan atacar a una empresa para conseguir un punto de apoyo en un montón de otras. Por ejemplo, si se compromete a un proveedor de software, teóricamente se podría llevar la plataforma de esa empresa al corazón de cientos de clientes (lo que ha sucedido en la vida real más de un par de veces).
Por lo tanto, un ataque hacia arriba o hacia abajo en la cadena de suministro digital no es sólo un problema para el proveedor, sino para sus socios. Puedes tener la mejor seguridad del mundo, pero si ellos no la tienen, estás en riesgo.
Más información: ¿Está revisando los riesgos de seguridad de sus terceros?
Hasta ahora hemos hablado mucho de las amenazas del exterior, pero siempre va a existir el riesgo de que alguien dentro de su empresa sea a su vez una amenaza potencial. Existe un riesgo muy real de que alguien en algún lugar de la empresa se esté radicalizando, ya sea por gente que conoce en persona o a través de foros en línea.
Internet y las redes sociales han agravado este problema. Hay un efecto de cámara de eco en línea que puede exacerbar el riesgo de radicalización, donde los algoritmos diseñados para alimentar a la gente con contenidos que deberían interesarle les ofrecen constantemente mensajes radicales. Pueden quedar rápidamente atrapados en este mundo.
Leer más: "El efecto cámara de eco en las redes sociales"
Hay un gran número de formas en las que un grupo de ciberamenazas podría utilizar a alguien en el interior; alguien en el límite está listo para ser empujado. Si un individuo o grupo que desea hacer daño a su empresa es capaz de establecer un "hombre interior", por así decirlo (cultivando y alimentando su punto de vista o estado emocional), ya está en una posición en la que puede comprometer directamente su negocio desde dentro, saltándose las medidas de seguridad comunes.
Pueden pedirle a ese miembro del personal que inyecte malware en los ordenadores de la empresa, que envíe ataques de phishing a través de sus cuentas para que parezcan proceder de una fuente de confianza, o alguna otra forma de ataque.
Cualquiera que tenga una conexión con los medios sociales corre el riesgo de caer en una cámara de eco, y cualquiera corre el riesgo de volverse lo suficientemente audaz (o enfadado) como para actuar según sus creencias cambiantes. Si esto le ocurriera a alguien con acceso a su red empresarial, podría ser enormemente perjudicial.
Esos son los vectores de ciberataque más comunes que estamos viendo en 2022. Pero hay muchos más puntos de entrada potenciales a una empresa que su equipo de TI debe conocer. Aunque no son "vectores de ataque" tal y como los hemos clasificado anteriormente, son puntos débiles comunes en un sistema empresarial que pueden ser explotados por alguien utilizando uno de los vectores anteriores.
En dig8ital somos expertos en mitigación de ciberataques y llevamos años trabajando con algunas de las mayores empresas europeas para ayudarles a transformarse digitalmente en empresas modernas, flexibles y defendibles. Póngase en contacto con nosotros hoy mismo para obtener una consulta de madurez gratuita y hablemos de sus necesidades específicas.
.png)
.png)
.png)
.png)
