Nuevas estrategias para los ciberdelincuentes
Como cada año, la entidad ENISA (Euopean Union Agency for Cibersecurity) publica las tendencias de ciberataques (FORESIGHT 2030 THREATS) para el año siguiente al estudio, muchas de ellas desgraciadamente se convierten en realidad, las menos se quedan en el tintero, y aparecen nuevas amenazas no pronosticadas que impactan en nuestras empresas. Este año han hecho uso de una nueva metodología de análisis forense en ciberseguridad, que les ha permitido ir más allá en las predicciones basándose en toda la información que han recabado de los distintos países que conforman la Unión Europea. Dicha predicción alcanza hasta el año 2030, lo cual puede resultar arriesgado, pero sabemos que es fruto de un trabajo de muchos meses, bien coordinado y ejecutado.
Entrando en la materia de predicción, queremos trasladar cuáles son las tendencias más relevantes de las veintiuna que analiza el informe de ENISA, y consideramos más cercanas al sector de la hostelería.
- Compromiso en la cadena de suministro, mediante dependencias de software. El modelo de negocio turístico online conlleva numerosas integraciones con proveedores y clientes. Los atacantes insertan “puertas traseras” en diferentes componentes utilizados de forma abierta, para desarrollar estas integraciones. Como resultado, los criminales pueden utilizar estos agujeros de seguridad para inutilizar las comunicaciones o robar información que viajen por ellas.
- Campañas de desinformación. También llamadas “deep fakes”, pueden provocar serios impactos en la imagen de las empresas, suplantando la identidad de altos cargos que puedan perpetrar un abuso de privilegios.
- Explotación de sistemas obsoletos. Muy frecuente en las organizaciones complejas, existen aplicaciones, sistemas, bases de datos, etc. que han perdido soporte o actualizaciones de seguridad. Este es posiblemente el vector de ataque más utilizado por los atacantes, por su facilidad de explotación. También tiene el riesgo añadido de afectar a terceros que integran con estos sistemas.
- Ataques dirigidos mejorados mediante datos de dispositivos inteligentes. Imaginemos los ataques de ransomware o secuestro de sistemas, pero infinitamente mejorados. ¿Cómo se pueden mejorar para que las empresas caigan en el engaño y se infecten? Los atacantes acceden a datos de la red oscura (Dark Net) de distintos cargos de las empresas, que previamente han robado de sus teléfonos inteligentes, tablets, etc. Utilizan estos datos para construir literalmente, una nueva forma de ransomware hecho a medida para que sea muy, muy complicado detectar por las víctimas.
- Falta de personal cualificado. Pensarán que esta no es una forma de ataque, pero desgraciadamente se convierte en una fuente de información privilegiada para los atacantes. El hecho que las empresas busquen personal cualificado en las redes, indica muchas veces la tecnología de la que dependen y, por consiguiente, la falta de protección adecuada. Por ejemplo, buscamos profesionales de seguridad en un sistema concreto, digamos Oracle; los atacantes se fijan en ello y comienzan a buscar brechas de seguridad en esta base de datos.
- Manipulación de motores de inteligencia artificial. En plena expansión del uso de la inteligencia artificial, atacantes con mayor capacidad económica para invertir en ello, pueden modificar los algoritmos que usa la IA para engañar a las víctimas, mediante su exposición en páginas web, por ejemplo. Si bien puede parecer un ataque altamente sofisticado, el desconocimiento de esta tecnología nos convierte especialmente vulnerables, sin lugar a duda.
Como vemos, la capacidad de los atacantes y sus formas van evolucionando junto con la capacidad tecnológica que disponemos hoy en día. En general, los ataques se vuelven más concretos, directos y construidos a medida para que sean extremadamente eficaces en su objetivo. No queda otra opción que invertir en profesionales que ayuden a fortalecer y vigilar nuestras empresas, siendo conscientes de los impactos que producen los ataques en nuestros clientes, reputación, incumplimiento de normativas o la continuidad del negocio.
Xavier Ferretjans
Director de BinauraMonlex
