Predicciones sobre las principales amenazas de ciberseguridad para 2024

Y, como todos los años por esta época, es momento de analizar lo sucedido en materia de ciberseguridad durante 2023, ver tendencias, revisar el estado del arte de las tecnologías emergentes, estudiar datos, contrastar la información de analistas y empresas del sector y de hacer “cábalas” para tratar de averiguar cuáles serán las principales amenazas de seguridad con las que nos encontraremos en 2024.

Aunque aún no muchas organizaciones, empresas del sector y analistas han publicado sus predicciones para el año que viene, algunos de ellos ya lo están haciendo y, en breve, durante el mes de diciembre (máxime cuando nos estemos acercando al fin de año), veremos una avalancha de ellas.

Desgraciadamente, no tenemos la bola de cristal. Por ese motivo, éste es un artículo de opinión, no empírico ni científico, aunque sí basado en nuestra experiencia y en toda la información recabada y analizada de otras reconocidas fuentes como expertos, analistas y empresas del sector, con sus puntos en común, discrepancias y coincidencias.

A priori, las amenazas que los expertos apuntan se llevarán la palma en 2024, son los ataques a la Inteligencia Artificial (IA) y al Machine Learning (ML) o aprendizaje automatizado. En todas las previsiones consultadas hasta el momento, aparece en primer lugar, como la que más podrá ser explotada el año que viene.

Le siguen, a mucha distancia, pero en segunda posición, los ataques a la cadena de suministro y blockchain, de terceros (proveedores, socios, colaboradores, etc.). Este es un aspecto que se ha tratado mucho durante 2023 y en donde ha emergido una gran preocupación, tanto en materia de ciberseguridad como tal, como en los que a privacidad y cumplimiento normativo se refiere.

Finalmente, en tercera posición, aparece u bloque de amenazas 100% relacionadas con el factor humano, la debilidad humana y el ataque a las personas. Éstas son amenazas que pretenden lograr los objetivos manipulando las voluntades de las personas y lanzando ataques dirigidos contra ellas.

Entre ese tipo de ataques a las personas, el primordial a día de hoy y el que parece se mantendrá e incrementará en 2024 es el de los ataques de phishing (en cualquiera de sus variantes y sabores) y la ingeniería social.

Otro de ellos, aunque relacionado con lo anterior de un modo u otro, es el riesgo que supone la falta de concienciación, conocimiento, formación y habilidades de los empleados en materia de ciberseguridad.

En este sentido, se habla de los insiders que, con su comportamiento (intencionado o no), pueden dar al traste con el negocio en un solo clic, ya sea por falta de conocimiento, por despiste, por errores humanos, por configuraciones inadecuadas, por engaños en los que pican, o incluso realizando acciones de forma totalmente intencionada buscando objetivos concretos (económicos, políticos, sociales, de reconocimiento, descontento laboral, etc.).

Estos podrían ser los principales riesgos de ciberseguridad a los que nos enfrentaremos en 2024, pero podemos identificar muchos otros más. De nuestra experiencia y del análisis de quienes ya se han pronunciado al respecto, podríamos esbozar un primer ranking de amenazas de ciberseguridad que veremos en 2024:

• Ataques a la Inteligencia Artificial (IA) y al aprendizaje automático (Machine Learning / ML). Es la principal amenaza que se prevé nos encontremos en 2024 y en la que coinciden la mayoría de los expertos y analistas. Esto quizá se derive de las últimas importantes evoluciones y novedades de la IA que parece estar despejando como tecnología emergente (quizá en su momento hype). En este sentido, del mismo modo que será una tecnología interesante y muy útil para la seguridad, prevención y protección, también se prevé que sea el foco de multitud de ataques o, más bien, que sea utilizada por los ciberdelincuentes en el sentido opuesto. Éstos podrán emplearla, entre muchas otras cosas, para la evasión inteligente de detecciones, para el descubrimiento y explotación automatizada de nuevas vulnerabilidades, para generación inmediata de fakes (fake news, deepfakes, falsificaciones de voz, contenidos), para la generación de código malicioso, etc. Por otro lado, la ética, las normas, la regulación y el control del uso de esta tecnología, aunque parece arrancar, aun tiene mucho camino que recorrer y esto puede ser algo que se aproveche inadecuadamente.

• Ataques a la cadena de suministro / blockchain. Durante 2023 se ha hablado mucho de este asunto e incluso algunas actualizaciones de leyes, normativas y marcos de actuación, han puesto su vista en ello. Y es que tan importante es protegerse a sí mismo, como garantizar que quien nos presta infraestructura, software y/o servicios también sea seguro. Ya hemos visto en varias ocasiones casos en los que un ciberincidente que ha tenido lugar en una organización, ha sido debido no a ella sino a una empresa externa, tercera y ajena a la afectada, que le presta servicios informáticos (o de otro tipo). El software, servicios, sistemas e infraestructuras que estos proveedores, partners, socios o colaboradores comparten con la empresa víctima del incidente, pueden tener también sus propias vulnerabilidades y agujeros de seguridad que los cibercriminales aprovechan para conseguir accesos, entrar y atacar a la empresa cliente a quienes proveen no a ellos directamente.

• Phishing e ingeniería social. Tal y como lo vemos y hemos experimentado hasta la fecha, la verdad es que no es de extrañar que se encuentre entre el TOP 3 de riesgos que más se estima sucederán en 2024. En muchas (la mayoría) de las ocasiones, los ciberdelincuentes lo tienen “muy fácil” apelando a las personas, a la debilidad humana, al factor humano. En este caso, a través de un de los tipos de ataques más prolíferos y efectivos a día de hoy, conseguir engañar a las personas para que hagan algo, a través de cualquier medio, canal, o mecanismos (correo electrónico, SMS, vídeos, llamadas telefónicas, banners publicitarios, URLs fraudulentas, páginas web falsas o ilícitas, etc.).

• Factor humano, falta de concienciación, conocimiento y habilidades, e insiders. Aunque guarda una relación muy estrecha con el anterior (la ingeniería social, el phishing, etc.), va más allá. Mientras que en aquel caso se trata de engañar a las personas, aquí el matiz es diferente. Se trata de las personas en sí mismas y su condición. Esos ataques a las personas serán fructíferos, o no, y en mayor o menor medida, dependiendo del conocimiento, la aptitud y la actitud de cada persona en materia de ciberseguridad. El no estar concienciado, no estar formado y no tener habilidades para esquivar una amenaza, es muy peligroso. Asimismo, lo es el que dentro de la organización existan otras personas que funcionen descuidadamente, no tengan sentido de la importancia de aplicar correctamente los procedimientos existentes, o incluso tangan la capacidad de atacar intencionadamente desde dentro (insiders).

• Ataques a la nube. Las empresas cada vez más cuentan con servicios en la nube, propia (nube privada) pero generalmente de terceros (nube pública). En ella, las organizaciones manejan, transaccionan y almacenan información y datos de carácter privado, sensible y/o confidencial. Un caramelo para los ciberdelincuentes que, por todos los medios a su alcance, tratarán de acceder a ellos, atacando por, cualquier medio, a la nube de la empresa o atacando a la/s nube/s de su/s proveedor/es, cadena de suministro, e infraestructuras de su/s proveedor/es.

• Explotación de vulnerabilidades y ataques Zero Day. Otro clásico que seguiremos viendo durante mucho tiempo, puesto que nunca dejarán de existir errores, vulnerabilidades, bugs y agujeros de seguridad en el software que empleamos. Los ciberdelincuentes continuarán buscando estas brechas de seguridad y utilizándolas para lograr sus objetivos. Aquellas que, hasta el momento de su descubrimiento y explotación no hayan sido empleadas nunca, tendrán mayor impacto.

• Ataques a dispositivos inteligentes (IoT) y dispositivos conectados. Los dispositivos inteligentes, que transaccionan y comparten multitud de información, que dan acceso, que realizan tareas, en definitiva, el IoT (Internet of Things, Internet de las Cosas), con millones de dispositivos conectados a Internet al mismo tiempo, hace de estos elementos objetivos muy suculentos. No todos ellos están convenientemente protegidos y pueden permitir no solo la exfiltración de información confidencial, sino también el acceso a otros sistemas corporativos y su control, la realización de ataques de denegación de servicio, etc., tanto en entornos corporativos, como industriales, como domésticos.
• Ransomware. Aunque los cibersecuestros pueden llegar por muchos medios como algunos de los comentados anteriormente, en términos de malware e infecciones, el ransomware parece que continuará llevándose la palma entre todos ellos. Su especialización e incremento de complejidad tecnológica, ayudado de otros aspectos como la ingeniería social, la inteligencia artificial, los canales masivos de comunicación, etc., harán de esta amenaza una constante que podrá incluso llegar a impactar con más severidad.

• Deepfake. Como decíamos, el engaño es una de las principales argucias para un buen ataque. La desinformación, la posverdad, las fake news, los deepfakes, etc., actuarán más efectivamente y cada vez en más contra ese factor humano y su sensibilidad. Si bien no son un malware, o un tipo de ataque tecnológico como tal, debido a los avances de la tecnología en materia de inteligencia artificial y calidad de herramientas multimedia, etc., la generación de imágenes y vídeos falsos que suplantan la identidad de personas y aparentan lo que no es, serán cada vez más convincentes y conseguirán manipular la opinión pública

• Hacktivismo geopolítico y ciberespionaje. Nos encontramos inmersos en varios conflictos bélicos internacionales, como lo son la guerra de Ucrania y la de Israel con Hamas. En la mayoría de ocasiones, estos enfrentamientos tienen origen económico, religioso, geográfico, social, etc. Desde esa perspectiva y diferentes puntos de vista, se encauzan ataques de hacktivismo, unas veces originados por grupos sociales con fuerza y tendencias radicales, e incluso propiciados por estados, gobiernos y naciones, que seguiremos viendo en 2024 con el recrudecimiento de las actuales contiendas bélicas.

• Autenticación, acceso, e identidad. Debido a muchas razones, el robo de credenciales, el compromiso de cuentas en sistemas corporativos o en servicios de uso común y popular en Internet, la suplantación de identidad, etc., son objetivos de mucho valor. Durante el año que viene, continuaremos viendo como los ciberdelincuentes tratan de hacerse con esta información para saltar las barreras del perímetro corporativo, acceder a donde no deberían y hacerse pasar por quienes no son para tener privilegios y roles que les permitan realizar determinadas acciones.

• Malware. Aunque ya no es lo más habitual (si pensamos de forma independiente en el ransomware, sin considerar que, en cierta medida, se trata de un malware), seguirán existiendo infecciones, propagaciones y ataques de malware y spyware. Las amenazas de toda la vida, como los virus, los troyanos, gusanos, keyloggers, etc., seguirán estado ahí.

• Desinformación. La información es poder y con su manipulación o la invención de bulos (hoax), infoxicación y noticias falsas (fake news), se puede lograr manipular y controlar la conciencia ciudadana. Por ese motivo la utilizan grupos políticos, medios de comunicación, grupos de poder, e incluso gobiernos. Tiene capacidad de llegada, es rápido, tiene impacto, es eficiente, por lo que, como hasta ahora desde el comienzo de la humanidad, continuaremos viendo cientos de miles de casos, aunque no se trate de ciberataques o ciberincidentes como tal.

• Amenazas Persistentes Avanzadas (APT). Aun no siendo los más habituales, aquellos ataques que consiguen entrar en un sistema y permanecer en él “aletargados” durante mucho tiempo esperando el mejor momento para actuar, seguirán estando presentes. Éstos continuaran empleando una combinación de técnicas para asegurar su objetivo y proceder con toda su cadena de pasos: acceder, infiltrarse, establecerse, ocultarse, escalado de privilegios, movimientos laterales dentro de la organización, observación y actuación.

• Botnets. Esta es una amenaza que ha perdido algo de protagonismo últimamente, en lo que a la realización de ataques DoS (Denegación de Servicio) y DDoS (Denegación distribuida de servicio) se refiere, pero que en el ámbito de la tecnología Blockchain, el ataque a los bloques de esa cadena, y el minado de criptomonedas, aún tiene relevancia como para apostar por una capturar dispositivos (zombies) y montar una red de bots controlada para actuar simultáneamente y al unísono bajo las órdenes de un ciberdelincuente.

Pues bien, éstas son algunas de las amenazas y riesgos de ciberseguridad con los que nos encontraremos en 2024, tal y como podemos extraer de nuestras propias experiencias, de las previsiones de fabricantes y empresas del sector, así como de analistas y otras fuentes consultadas, entre las que destacan las siguientes: Gartner, Forbes, World Economic Forum, Google Cloud, WatchGuard, Mandiant, Virus Total, Kaspersky, SonicWall, ESET, ESED, Proofpoint, Check Point, Stellar Cyber, Fortinet, KnowBe4, SAS, BeyondTrust, Segnesys, Lenovo, TATA, IBES, Delinea, TechRepublic, etc.

¿Estará tu empresa preparada para estas ciber-amenazas y ciber-riesgos en 2024?

Quizá necesitéis la ayuda de servicios profesionales de ciberseguridad como los que ofrecemos en Zerolynx: Servicios de Ciberseguridad.

Si lo prefieres, contáctanos y hablamos.

Íñigo Ladrón Morales, Redactor de contenidos para Zerolynx.

¿Cuáles son las principales amenazas, riesgos y retos de ciberseguridad a los que se enfrentan las empresas?

La exposición a ciber-amenazas y ciber-riesgos por parte de las empresas, sigue estando ahí y nunca va a dejar de existir, incrementando enormemente cada día, en cuanto a volumen de casos y en cuanto a disparidad de técnicas, objetivos y complejidad.

Por ese motivo es importante conocer cuáles son los ciberincidentes más habituales en las empresas actualmente, con el objetivo de poder establecer una lista de prioridades de prevención concretas y unas medidas a poner en marcha lo antes posible.

En términos generales, la ciberseguridad sigue siendo un desafío para empresas de todos los tamaños y sectores. Los ciberincidentes varían en naturaleza y pueden incluir desde ataques de phishing, hasta exfiltración de datos a gran escala.

Revisando sólo algunos de los principales informes de referencia del sector, podemos tener las primeras pinceladas de ese lienzo de ciberincidentes o ciberriesgos corporativos.

Más del 50% de empresas han sufrido al menos un ataque de ransomware, mientras los ataques de phishing son la principal preocupación de seguridad para el 57%, según el Informe de Amenazas de Seguridad de Cisco.

Los ataques de phishing y los errores de configuración provocados generalmente por las personas (las cuales suponen el 74% de los ciberincidentes), suponen ya más del 50% de las brechas de datos, según el Informe de Ciberseguridad y el DBIR (Data Breach Investigation Report), de Verizon.

Los problemas de ciberseguridad en las empresas, pueden atribuirse al factor humano, a las personas, en el 95% de los casos, según el informe Global Risk Report del World Economic Forum.

Durante el último año, los ciberataques a aplicaciones web se han incrementado en un 21%, mientras que los ciberataques de robo de credenciales lo han hecho en un 22%, según el Informe de Amenazas de Seguridad de Internet de Akamai.

Como muestra, un botón. Estos son sólo algunos ejemplos, pero hay muchos más, que evolucionan en el tiempo y, lamentablemente, no siempre para mejorar la estadística ni la situación.

Siendo este el escenario, actualmente, algunos de los ciberincidentes más habituales son los siguientes, o son debidos a las siguientes causas (las principales, ciñéndonos a los estudios, informes y análisis existentes):

• Ataques de ingeniería social, ataques a las personas, al factor humano, o ataques de cualquier otro tipo, que comienzan con una acción de ingeniería social, los cuales, en la mayoría de los casos, llegan a través de phishing en cualquiera de sus variantes (smshing, vishing, qrshing, spear phishing, etc.) o de otros canales, medios, o tácticas empleadas por los ciberdelincuentes. Este tipo de ataques suelen dirigirse a empleados dentro de las empresas y, casi siempre, a empleados muy concretos (directivos, contables, personal de compras, VIPs -Very Important People- y/o VAPs -Very Attacked People-), quienes son engañados para revelar información privada y confidencial, o para descargar y ejecutar malware sin ser conscientes.

• Los ataques de phishing en sí mismos, ya sean de suplantación de identidad (tipo BEC - Business Email Compromise) o no, en cualquiera de sus modos de entrega y “sabores” (por correo electrónico, por SMS, en una llamada de teléfono, por WhatsApp, al leer un QR, etc.).

• Los dos anteriores (ingeniería social y phishing de todo tipo), entre otros tipos de ataques, producen a su vez exfiltración de datos, o violaciones de datos e información. Este es un gravísimo problema puesto que se exponen datos de clientes, información personal, o información legal, industrial o financiera de la empresa atacada.

• Los cibersecuestros o ataques de ransomware, cuyo número de casos aumenta considerablemente a medida que pasa el tiempo, sofisticándose cada vez más, siendo más dañinos y dirigiéndose a empresas de todo tipo de sectores y tamaño (negocios, autónomos, micropymes, pymes, grandes empresas, multinacionales). Estos ataques cifran la información y documentos, bloqueando el acceso datos y sistemas, exigiendo un rescate para restaurar el acceso, descifrándolos.

Además, existen otros tipos de amenazas a las que también se ve expuestas las empresas, aunque no en tanta cuantía como las anteriores:

• El malware en general (virus, troyanos, gusanos, botnets, spyware, etc.), que llega a la empresa (su perímetro, dispositivos internos y externos, red corporativa, nueva, infraestructuras, etc.) por diferentes canales (email, phishing, descargas, USBs, etc.) y realiza la actividad maligna, ilícita o dañina para la que está programado. En muchas ocasiones, existen variantes o muestras de malware aún desconocidas (de reciente creación) que pueden ser utilizadas para atacar e infectar. Este tipo de ataques se suele conocer como ataques Zero Day, 0-Day, o de Día Cero.

• La explotación de vulnerabilidades supone atacar por los puntos más débiles detectados en alguna de las aplicaciones o software de uso corporativo, así como su red, arquitectura hardware, infraestructura, cloud, sistemas informáticos de la organización, e incluso dispositivos (IT, OT, IT/OT e IoT). En muchas ocasiones, existen vulnerabilidades aún desconocidas que pueden ser explotadas por quienes las hayan detectado antes que nadie. Este tipo de ataques también se suele conocer como ataques Zero Day, 0-Day, o de Día Cero.

• Los ataques de denegación de servicio (DoS / DDoS), realizados consiguiendo alinear, de forma simultánea, peticiones masivas desde multitud (miles, cientos de miles, millones) de puntos o dispositivos, a un único elemento común (servidor web, base de datos, sistema de acceso, formulario de introducción de datos, API, etc.), con lo que se consigue saturar, colapsar y dejar fuera de servicio a ese sistema, sin necesidad de infectarlo ni realizar ningún otro tipo de acción. Pueden ser de tipo DoS (ataque de Denegación de Servicios) o de tipo DDoS (ataque Distribuido de Denegación de Servicios) y, generalmente, son lanzados desde una BotNet (una red de ordenadores, conocidos como zombies, que previamente han sido “capturados” para tomar el control sobre ellos y poder solicitarles que realicen determinadas acciones, como conectarse todos al mismo tiempo y de forma recurrente a un servicio web para provocar un DoS, un DDoS, un minado de criptomonedas, etc.).

• Los ataques a (o desde) el Internet de las Cosas (Internet of Things - IoT) e infraestructuras corporativas son también habituales, especialmente en empresas de entornos industriales. En este caso se aprovechan agujeros de seguridad y configuraciones incorrectas de dispositivos como cámaras, impresoras, PLCs, electrodomésticos inteligentes, etc.

• La inyección de código, o inyección de código SQL, que consiste en atacar un servicio web (generalmente a través de un formulario con campos para la introducción de datos), introduciendo código SQL en los campos vulnerables en los que sea posible, para lograr acceder a las bases de datos y extraer su información.

• Las APTs o Amenazas Avanzadas Persistentes, considerados unos de los ataques más evolucionados, que adoptan tecnologías, mecanismos y estrategias más sofisticadas, complejas y dirigidas. En este caso, consiste en casos de hacking que se realizan de forma continuada sobre una organización para conseguir entrar y permanecer en ella durante mucho tiempo, realizando su actividad dañina.

Por supuesto, existen muchos otros tipos de ciberamenazas, ciberriesgos y ciberataques a empresas, tales como:

• Aquellos que atacan a sus infraestructuras cloud, internas o externas de un tercero y a las aplicaciones existentes en ellas. En este caso, por ejemplo, podríamos hablar de shadow IT o los riesgos de infraestructuras que no controla el departamento de IT de la organización (como lo son las infraestructuras en la nube contratadas a proveedores cloud).

• Relacionado con el punto anterior, debido especialmente a la cada vez más grande dependencia de servicios de terceros, uno de los riesgos más comunes, que menos se tiene en cuenta pero que está cobrando especial relevancia y atención, es el de la cadena de suministro. Es decir, el de aquellos riesgos que, no siendo propios o inherentes a la empresa como tal, sí pueden afectar a ésta pues son riesgos de un tercero en el que tiene alojados sus servicios o con el que colabora para algo en concreto, incluso socios, partners, etc.

• Insiders o amenazas internas que, como usuarios internos de los sistemas de la organización (ya sean empleados, proveedores, colaboradores o partners), de forma intencionada o no, pueden realizar acciones perjudiciales y dañinas a causa de su falta de conocimiento y formación, desidia, descuido, configuraciones incorrectas, cese de accesos, credenciales y permisos, uso y conexión de dispositivos externos a la red corporativa, etc.

• Los ataques directos a sus activos de información, tales como bases de datos (o elementos contenedores de información) de clientes, proveedores, socios, usuarios, colaboradores, o la propia de la organización (propiedad intelectual, patentes, legal, societaria, financiera, etc.), con información privada y confidencial, que pueden producir, además de fugas de información, importantes problemas a la empresa en términos económicos, de cumplimiento normativo, legales, y de imagen, reputación, marca y continuidad de negocio.

• El desarrollo no seguro de software y aplicaciones propias corporativas, que no cuentan con una filosofía de la ciberseguridad desde el diseño, incurriendo en bugs, brechas de seguridad y vulnerabilidades que pueden ser explotadas por terceros. Parta subsanarlo, se requiere un modelo de Ciclos de Desarrollo Seguro de Software (SSDLC).

• La falta de adecuación técnica para el debido cumplimiento normativo (falta de compliance) es otro factor a tener muy en cuenta. En este caso, el no cumplir con determinados estándares y marcos de ciberseguridad y legalidad definidos, con determinadas normas, reglamentos y leyes, puede acarrear serios problemas. Ya no por no cumplir y las sanciones o multas que esto puede conllevar, sino también por los agujeros de seguridad y la falta de protección de calidad que supondrá el no cumplir con ellos.

Entre todo este maremágnum de riesgos, amenazas y las probabilidades de sufrir un ciberincidente, subyacen aspectos (motivos), no siempre tecnológicos, que, si no es que los provoquen directamente, quizá si sean factores determinantes en muchas ocasiones y caldo de cultivo para que se materialicen. Algunos de ellos podrían ser:

• La falta de concienciación, formación y entrenamiento de los empleados.

• La evolución continua de la tecnología y la digitalización que requieren una actualización constante y cuasi inmediata. Y, del mismo modo, la evolución (a la zaga) de las nuevas legislaciones, reglamentos y normativas que vienen a tratar de regularla y “poner cierto orden de conducta”, con una visión lo más holística posible, en multitud de países con características comunes o no.

• La capacidad económica, financiera, de inversión y recursos dentro de la organización. Una organización puede tener cierto conocimiento y destreza para llevar a cabo su propia estrategia de ciberseguridad, pero no es lo habitual. Si éste no es su core business o su área de TI no cuenta con esas capacidades, recursos o tiempo, lo normal y aconsejable es recurrir a expertos externos y a la adquisición de software, aplicaciones, herramientas y servicios de ciberseguridad.

Estos quizá sean los retos principales que deben cumplir las empresas para poder comenzar a adaptarse, protegerse convenientemente, prevenir y cumplir.

En un mundo donde la tecnología es omnipresente, la ciberseguridad se vuelve fundamental para la sostenibilidad y el crecimiento de cualquier empresa. Los riesgos y desafíos en este ámbito evolucionan constantemente, exigiendo un compromiso continuo con estrategias de ciberseguridad sólidas y una mentalidad proactiva para enfrentar estas amenazas de manera efectiva y eficiente.

¿Está tu empresa preparada y libre de ciber-amenazas y ciber-riesgos?

Quizá necesitéis la ayuda de servicios profesionales de ciberseguridad como los que ofrecemos en Zerolynx: Servicios de Ciberseguridad.

Si lo prefieres, contáctanos y hablamos.

Íñigo Ladrón Morales, Redactor de contenidos para Zerolynx.

La seguridad del dato como eje estratégico e integral de la ciberseguridad corporativa

La seguridad del dato, continuidad de negocio y la resiliencia, son aspectos fundamentales que deben de ser considerados transversales y ejes vertebrales de la estrategia de ciberseguridad corporativa de las empresas.

Garantizar la seguridad de la información en (y de) las empresas, es crítico. La cada vez más amplia cantidad de datos que se manejan y la dependencia sobre ellos de las tecnologías de la información, hacen que la protección de los datos deba ser prioritaria.

Para lograr una seguridad efectiva, es esencial comprender y aplicar los cinco pilares de la seguridad de la información:

1. Confidencialidad.
2. Integridad.
3. Disponibilidad.
4. Autenticidad.
5. Legalidad.

Estos pilares son fundamentales para garantizar que los datos estén protegidos contra fallos y ciberamenazas, tanto internas como externas.

Veamos en detalle cada uno de los pilares de la seguridad de la información.

La confidencialidad garantiza que los datos o información (de cualquier tipo, pero especialmente aquella que es sensible y privada) se mantengan protegidos y a salvo de quienes no deban tener acceso a ella.

Por otro lado, dicha información, además de no estar accesible a usuarios sin permisos, debe estar oculta para ellos, protegiendo así la confidencialidad, previniendo fugas de información y/o violaciones de privacidad.

Existen multitud de mecanismos para garantizar la confidencialidad de los datos y su protección, pero veamos alguno de ellos con el objetivo de poder tomar medidas al respecto:

• Establecimiento de controles de acceso en varias capas que, mediante un robusto sistema de autenticación de los usuarios y autorización segmentada a determinados niveles de información, permitan determinar y aplicar los permisos que tienen los usuarios autorizados sobre la información disponible y denegar al mismo tiempo el acceso a quienes no los deben de tener.

• Cifrando o encriptando la información, para que esta no sea legible o comprensible por quien no debe y pueda interceptarla en alguno de sus estadios (en reposo o en tránsito), garantizando así que, aunque un usuario pudiese “acceder” a ella, le sea imposible entenderla o descifrarla.

• Aplicando políticas de privacidad que todos los empleados de la empresa deben entender y aplicar de forma escrupulosa, garantizando así la confidencialidad de la información.

Poniendo en marcha mecanismos como estos (y otros), incrementaremos en nivel de protección de la información sensible en nuestra organización, evitando o minimizando al máximo posible su grado de exposición a riesgos y amenazas.

Esto, a su vez, redundará en una mejor imagen corporativa, reputación de la empresa, mejorando sus objetivos de negocio, favoreciendo el cumplimiento normativo, evitando sanciones e incrementando la confianza entre clientes, socios, colaboradores, partners, proveedores, etc.

La integridad de la información hace referencia a que los datos no han sido modificados ni alterados, de forma no autorizada (intencionada o no) por un usuario o sistema, garantizando de este modo que ésta sea precisa y fiable.

Entre muchos otros, algunas acciones o mecanismos para proteger la integridad de los datos, pueden ser los siguientes:

• Usando firmas digitales mediante las cuales se pueda corroborar que la información firmada es la original, no ha sido alterada y, por tanto, no tiene cambios ni cualquier tipo de modificación desde su creación y/o almacenamiento y firma.

• Estableciendo un sistema de control de versiones que permita hacer un férreo seguimiento de todos y cada uno de los cambios que sufre la información en su ciclo de vida, pudiendo analizar cada una de las versiones que han tenido lugar y los cambios asociados a cada una de ellas (realizados en ese momento), e incluso (como en el caso del software), poder volver a versiones anteriores de la información (estadios anteriores al actual) y sus correspondientes cambios.

• Realizando auditorías de datos para abalizar la información existente, detectar posibles cambios no autorizados en los datos y mantener un registro de las modificaciones realizadas.

Aplicando este tipo de mecanismos, conseguiremos un elevado nivel de confiabilidad en la información (datos fiables y confiables), que aportarán precisión y fiabilidad a la hora de su análisis y toma de decisiones.

Por otro lado, esto aportará un aceptable nivel de protección sobre la información, evitando ataques, o incluso evitando que los ataques fructíferos puedan aprovechar la información accedida o robada (modificándola o alterándola para lograr otros objetivos).

La disponibilidad consiste en garantizar que los datos estén siembre disponibles y accesibles, cuando sea necesario.

Existen muchos mecanismos para garantizar que la información esté disponible. Veamos alguno de ellos:

• Contando con backups o copias de seguridad que mantengan a buen recaudo la información, en copias seguras versionadas, con el objetivo de recuperarlos en ese estado cuando sea necesario (caída de sistemas, daño o corrupción de la información, modificaciones indebidas de la información, robo y borrado de datos, cifrado de la información por un ransomware, etc.).

• Manteniendo un modelo de redundancia de datos que permita tener la información duplicada en dos (o varios) repositorios a fin de evitar perderla y garantizar la continuidad de negocio en caso de interrupciones y/o fallos.

• Realizando una monitorización continua que chequee el estado de los datos, y alerte en caso de posibles problemas sobre ellos.

Como hemos comentado, estas iniciativas redundarán en una garantía de continuidad de negocio, que mantendrá la actividad empresarial en funcionamiento incluso en casos de incidente, ciberincidente o situaciones complicadas.

La autenticidad de la información nos garantiza que ésta proviene de una fuente confiable, de quien dicen ser o provenir y no han sido falsificada por el camino, evitando así la suplantación de identidad.

Veamos algunos de los posibles mecanismos para fortalecer la autenticidad de la información:

• Implantando y aplicando métodos robustos de autenticación que nos permitan identificar usuarios, así como sus privilegios, a través de contraseñas seguras, perfilado, configuraciones, roles, sistemas de autenticación de doble factor (2FA), sistemas de autenticación de múltiple factor (MFA), biometría, SMS, etc.

• Utilizando firmas electrónicas que corroboren la autenticidad de documentos, los datos e información que contienen, y de las transacciones realizadas con dicha información.

• Mantener un registro de eventos que almacene y contemple toda la actividad relacionada con todos y cada uno de los diferentes conjuntos de datos y sus “movimientos”, pudiendo conocer en todo momento quién ha accedido a ellos y qué cambios ha realizado.

De este modo, nos protegeremos del ciberfraude, evitando atacantes donde se falsifiquen los datos o a través de los cuales los ciberdelincuentes puedan realizar suplantación de identidad con las que se hagan pasar por usuarios legítimos para lograr sus objetivos. Por otro lado, esto también nos ayudará a protegernos frente a la suplantación de la imagen, identidad y marca de nuestra empresa.

La legalidad se refiere al cumplimiento de leyes, normativas y regulaciones existentes que apliquen a la gestión de datos y de todo su ciclo de vida. Estas, en la mayoría de los casos, son de obligado cumplimiento y conllevan sanciones legales y económicas en caso de incumplimiento.

Algunos posibles mecanismos de cumplimiento de la legalidad en materia de privacidad y protección de datos, podrían ser los siguientes:

• Preparación y certificación respecto al cumplimiento y sello de conformidad con leyes y normativas al respecto, como el GDPR / RGPD (Reglamento General de Protección de Datos), la LOPD (Ley Orgánica de Protección de Datos), la LOPDGDD (Ley Orgánica de Protección de Datos y Garantía de Derechos Digitales), la HIPAA (Ley de Portabilidad y Responsabilidad de Seguro de Salud de Estados Unidos) etc., dependiendo de cual nos aplique de forma prioritaria.

• Realización de auditorías frecuentes, tanto internas como externas, que garanticen la conformidad y el cumplimiento con las leyes y regulaciones en materia de protección de datos y privacidad que nos apliquen.

• Gestión de documentación que demuestre el cumplimiento de leyes, normativas y regulaciones al respecto.

Con ello evitaremos, en primer lugar, proteger la información aplicando medidas normalizadas y estandarizadas, pero también evitar sanciones y multas por no conformidades e incumplimientos. Del mismo modo, esto repercutirá en una buena imagen de la empresa y la confianza en la misma.

Como vemos, garantizar la seguridad de la información, de los datos, no es algo que sea especialmente trivial, sino que lleva su complejidad, máxime cuando va ligada al concepto de continuidad de negocio.

Ambos, son elementos estrechamente relacionadas y podríamos decir que hasta indivisibles. Una estrategia de ciberseguridad sólida debe incluir ambas piezas para garantizar que la empresa pueda resistir y recuperarse de ciberincidentes (lo que conocemos como resiliencia o ciberresiliencia).

Por esta razón, deben trabajar conjuntamente, buscando como tándem que son, las mismas capacidades, así como actividades para lograr objetivos finales comunes:

• La protección contra amenazas, evitando ciberincidentes y ciberataques que interrumpan las operaciones.

• El cumplimiento legal de las normativas y regulaciones requeridos a las empresas para la protección de datos y la aplicación de planes de continuidad de negocio.

• El mantenimiento de la operatividad que asegure que la empresa pueda continuar funcionando incluso después de un ciberincidente.

• La inmediata recuperación que reduzca al máximo el tiempo de inactividad y la pérdida de datos en caso de ciberincidente.

• La creación y aplicación de planes de continuidad de negocio que permitan a la empresa seguir funcionando en situaciones de crisis.

• La respuesta a incidentes / ciberincidentes que parta de una definición y establecimiento de procedimientos claros a aplicar en caso de ciberincidente con los que se pueda restaurar la integridad de los datos y minimizar el impacto operativo.

Con todo ello, será posible afrontar los retos para garantizar una resiliencia operativa empresarial aceptable (seguridad de los datos + continuidad de negocio) y un gap mínimo de interrupción de la operativa de negocio en situaciones adversas.

A este panorama y retos de protección de la información se enfrentan las empresas, todas las empresas, ya sean microempresas, pequeñas, medianas, grandes o enormes corporaciones, aunque a cada una les aplique de un modo diferente y las soluciones y regulaciones a aplicar, puedan variar entre ellas.

Las pequeñas empresas pueden optar por soluciones de seguridad más simples, tener aproximaciones quizá algo más laxas en algunos puntos respecto a las regulaciones en este ámbito y externalizar ciertas funciones para las que no tienen capacidad ni recursos.

Las grandes empresas requerirán de infraestructuras y soluciones más complejas, un cumplimiento normativo más férreo y equipos cualificados, especializados y profesionales, tanto internos como externos.

¿Necesita tu empresa ayuda con servicios de protección de la información y cumplimiento normativo, como los que ofrecemos en Zerolynx: Servicios de Ciberseguridad.

Si lo prefieres, contáctanos y hablamos.

¿Por qué es importante contratar servicios de análisis de actores maliciosos?

 

Los ciberdelincuentes buscan continuamente el poder infiltrarse, dañar, o robar información valiosa de particulares, y en especial de empresas, lo que provoca una creciente proliferación de actores maliciosos o actores de amenazas.

Los ciberincidentes como la exfiltración de datos, la fuga de información, el acoso en línea, la ciberextorsión y las ciberamenazas, pueden llegar a tener un enorme y significativo impacto en la reputación, continuidad de negocio y finanzas de cualquier empresa.

Los servicios de identificación y análisis de actores maliciosos o actores de amenazas son una herramienta esencial en la lucha contra el cibercrimen. Consisten en técnicas y herramientas específicas y profesionales, empleadas por expertos en ciberseguridad, para el rastreo rastrear, la identificación de los ciberdelincuentes.

Pero estos ciberdelincuentes pueden trabajar solos, e incluso organizados en grupos con intereses comunes. Saber cuáles son sus objetivos a alto nivel, sus ideales, sus motivaciones, su modo de pensar, los objetivos concretos a los que podrían pretender atacar, su modus operandi, etc. es de gran importancia para luchar contra ellos. Debemos conocerles lo máximo posible para poder defendernos proactivamente y contraatacar.

Los servicios de análisis de actores maliciosos se deben basar en el máximo posible de fuentes de datos disponibles (registro de eventos de seguridad, de red, inteligencia de amenazas, análisis forense digital y análisis de comportamiento, etc.) para que los expertos analistas pueden realizar su labor.

Aunque quizá este tipo de servicios parezca muy de “ciencia ficción”, la realidad es que, debido al panorama al que nos enfrentamos, está a la orden del día y las empresas los necesitan por los siguientes motivos (entre otros):

• Prevenir ciberataques, identificando a los actores de amenazas para prevenir y permitiendo a las empresas fortalecer sus sistemas de seguridad y tomar medidas inteligentes y proactivas para protegerse de futuros ataques, conociendo quién está detrás de un ataque ya producido.

• Ofrecer una respuesta efectiva ante un ataque, puesto que los servicios de identificación de actores de amenazas ayudan a las empresas a determinar la magnitud de lo sucedido y tomar las medidas más adecuadas para mitigar el daño.

• Proteger su imagen y reputación, pudiendo reaccionar a tiempo (gestión de crisis), al averiguar quién está detrás de un ciberataque y los motivos por los que el/los ciberdelincuentes/s lo están realizando (cuáles son sus objetivos).

• Lograr un correcto cumplimiento normativo, que incluso puede que sea obligatorio para determinados tipos de empresas y sectores que deben cumplir determinadas normativas, regulaciones, o leyes.

Por otra parte, indudablemente, la contratación de este tipo de servicios, beneficia a las empresas:

• Mejorando su seguridad, al conocer a los actores de amenazas y sus tácticas, lo que les permite reducir sus vulnerabilidades y exposición a futuros ataques.

• Permitiéndoles centrarse en su negocio, ahorrando recursos, tiempo y dinero al subcontratarlo y delegarlo en empresas dedicadas a ello, puesto que los departamentos de TI (que no tienen por qué ser expertos en ciberseguridad) no consumirán tiempo a este tipo de actividades e investigaciones que se les escapan y no dominan.

• Facilitándoles el poder realizar una toma de decisiones informada, dado que la información obtenida a raíz de la investigación de los actores de amenazas es enormemente valiosa y ayuda a saber responder a los ciberincidentes y los controles y medidas de seguridad que se deben implementar.

• Reduciendo el riesgo financiero, asociado pérdidas de actividad, detención del negocio, sobornos, chantajes, extorsiones, cibersecuestros por ransomware, así como el pago de sanciones y multas debidas a incumplimientos normativos.

Las empresas no cuentan con un equipo experto dedicado a esto, por lo que subcontratan este tipo de servicios especializados de ciberseguridad y ciberinteligencia, como los que ofrecemos en Zerolynx: Análisis de Actor Malicioso.

¿Te ayudamos a averiguar cuáles han sido los actores maliciosos de un ciberincidente y cómo se han comportado, para poder prevenir posibles nuevos ataques?

Puedes ampliar detalles sobre nuestros servicios visitando la página de Zerolynx

Si lo prefieres, contáctanos y hablamos.

Ciberamenazas: el mayor riesgo para las empresas en 2022

El Informe de Riesgos Globales 2022 (The Global Risks Report 2022) analiza las principales alarmas a nivel internacional con carácter anual y las clasifica en función de su impacto e incertidumbre. Este año el catálogo se compone de 37 riesgos globales.  

Uno de los riesgos a considerar es la falta de seguridad cibernética. Nuestra, cada vez mayor, dependencia de sistemas digitales ha convertido la ciberseguridad en uno de los principales desafíos que enfrenta la humanidad y, la falta de esta, en una amenaza que supera la capacidad de las sociedades para prevenirla y gestionarla eficazmente.  A nivel global en el año 2021 ha habido un incremento de un 358% de ciberataques basados en software malicioso (malware) y un 435% en secuestro informático (ransomware). Esto, sumado a los 3 millones de profesionales necesarios en todo el mundo, convierten a las ciberamenazas en un riesgo cada vez más cercano y real. 

Ante estos ciberataques, podemos ayudar a protegerte, para más información sigue este enlace. Y si quieres conocer más información sobre los riesgos globales de 2022, consulta el informe completo. 

El ransomware no para por vacaciones

El ransomware no para por vacaciones, y sino que se lo digan a tantos sysadmin que este mes de Agosto van a tener que pausar su periodo de descanso tras el típico aviso de un compañero... "José, ¡nos han cifrado la empresa!".

No hablamos por hablar, este último trimestre hemos atendido un volumen muy alto de infecciones por ransomware desde nuestro equipo de respuesta a incidentes, y todos bajo un patrón muy similar. En todos ellos, unas credenciales por defecto o muy sencillas de adivinar en un servicio del tipo  VPN/TeamViewer/RDP/etc. eran suficientes para que un delincuente se conectase a un equipo interno y comenzase a pulular por la red, desplegando mutaciones de ransomwares que no eran detectados por los motores antivirus. 

Por suerte, a las pocas horas, o al día siguiente, las firmas ya estaban extendidas, y el problema se cortaba de raíz. Pero durante esas primeras horas podría dar tiempo a los delincuentes a cifrar todos los archivos de carpetas compartidas y de los puestos de trabajo y servidores a los que han tenido acceso. Y es más, sino eran modificadas las credenciales comprometidas, esto podía seguir sucediendo una y otra vez. ¿Os suena verdad?

Un modus operandi simple y funcional, que no requiere de unos conocimientos muy avanzados por parte de los atacantes, ni de exploits, ni 0-days. Un simple kit para compilar ransomware, que puede ser adquirido en cualquier foro de la red Tor por un puñado de criptomonedas, y un script buscando credenciales por defecto, son suficientes para poner en jaque a una empresa.

Crysis, Rapid... son muchos los ransom que últimamente están siendo utilizados contra empresas españolas. Y en todas ellas buscan el mismo patrón, servicios expuestos y credenciales débiles. 

Reducir el perímetro de exposición y hacer uso de credenciales robustas, que sean rotadas cada pocos meses, son dos pasos simples y obligatorios para tener una capa básica de seguridad. Por supuesto las actualizaciones, soluciones de seguridad perimetral, etc. son elementos más que necesarios, que irán sumando poco a poco diferentes capas de protección a nuestros sistemas expuestos a Internet.

Por suerte, todos los casos que hemos atendido estos meses han tenido final feliz, y hemos podido frenar la intrusión, recuperar la información secuestrada y solventar los problemas de seguridad para que no vuelvan a ocurrir.

Fuente imagen: Smashicons

Participamos en el programa de radio "En la ciberguarida" de Cadena SER

Nuestro CEO Juan Antonio Calles ha participado hoy en el programa de radio "En la ciberguarida" de Cadena SER, en una interesante entrevista llevada a cabo por José Antonio Rubio y Pilar García, acerca del Ransomware y su impacto en particulares y empresas.

Durante 10 minutos, Calles ha dado la visión de Zerolynx sobre los ataques malware basados en ransomware, aportando consejos para protegernos y poder recuperar nuestros datos tras una infección.

El podcast con la entrevista completa puede ser descargado desde el siguiente enlace:

http://cadenaser.com/emisora/2018/04/19/ser_madrid_sur/1524139677_950011.html