En el artículo Alerta por el aumento de ciberataques contra las entidades se evidenciaba el aumento de los ciberataques en los últimos años. Si bien las organizaciones cada vez tienen más conciencia de la necesidad de invertir en seguridad digital, las pequeñas y medianas entidades sin ánimo de lucro todavía arrastran esta carencia.
A pesar de que consideremos que nuestra entidad es poco relevante o no tenemos información de interés para los ciberatacantes, esto no es así. Cuanto más frágil sea la seguridad de nuestra entidad y cuanto más expuesta esté a los ataques, más fácil será sufrir uno. Y, aunque las pérdidas no sean millonarias como en las grandes empresas, puede suponer inconvenientes muy graves.
A medida que las posibles víctimas se han reforzado, las organizaciones criminales han visto claramente una bajada en sus ingresos por los ataques. Por eso, el objetivo ya no es solo el pago del rescate y de los datos robados o bloqueados, sino que estos operadores de ransomware están monetizando los datos robados en el mercado negro para obtener ingresos adicionales, retroalimentados.
Es decir, los datos robados son puestos en venta en el mercado negro para que alguna otra organización las use y, a la vez, volver a perpetrar un nuevo ataque sobre los datos robados. Los datos del sector de la sanidad son los más valiosos, así como los sensibles (datos personales, estudios…).
Algunos tipos de ciberataques
Existen muchas fórmulas para atacar digitalmente. A continuación, se muestran los tipos más habituales que pueden sufrir las entidades:
- Phishing: engañar a los usuarios para que proporcionen información confidencial a través de correos electrónicos o mensajes de texto.
- Malware: infectar un ordenador o una red con un software malicioso para obtener acceso a datos confidenciales o pedir un rescate para desbloquear los datos cifrados.
- Ataques de fuerza bruta: probar un gran número de combinaciones de contraseñas para acceder a una cuenta o sistema. Normalmente, se usan ‘Diccionarios’ de contraseñas. Por eso, es importante poner contraseñas complejas, más allá de no tenerlas a la vista o guardarlas en los dispositivos.
- Suplantación de identidad: hacerse pasar por otra persona u organización para obtener información o engañar a otras personas para realizar acciones no deseadas.
- Ataques BEC: utilizar correos electrónicos suplantados para engañar a los destinatarios y conseguir el acceso a datos o dinero. Suelen dirigirse a empresas u organizaciones y los atacantes a menudo se hacen pasar por empleados, proveedores u otros contactos confiables de la víctima.
Durante el 2022 los casos de fraude de correo profesionales publicados han aumentado un 300% respeto al 2021.
En un ataque BEC típico, el atacante envía un correo electrónico suplantado a un empleado de la empresa, pidiendo datos o información confidencial, o bien solicitando una transferencia de fondo a una cuenta bancaria controlada por el atacante. El correo electrónico puede parecer auténtico, con un remitente similar al de un contacto legítimo de la víctima, y puede contener información específica y personalizada que hace que el correo electrónico sea más creíble.
La mejor manera de anticiparse es ser conscientes de su existencia y llevar a cabo el denominado Cero Trust (confianza cero), es decir sospechar de todo aquello que podría llevarnos a un engaño, incluso, si viene de personas de confianza.
Previsión y protección contra los cibertaques
Para una correcta protección, son necesarios cada uno de los niveles del ciclo de vida de la ciberseguridad. El Instituto Nacional de Estándares y Tecnología los describe de la siguiente manera:
- Identificar: identificación de los sistemas, los datos y los recursos críticos que son importantes para la organización. Esto incluye la creación de un inventario de activos, la identificación de las amenazas y la valoración de los riesgos para ayudar a priorizar la gestión de la seguridad.
- Proteger: implementación de medidas de seguridad para prevenir o minimizar los ataques. Esto incluye la implementación de políticas de seguridad, la formación del personal en ciberseguridad, la implementación de controles de acceso y la gestión de las vulnerabilidades.
- Detectar: identificación rápida y efectiva de las amenazas y los ataques. Esto incluye la implementación de sistemas de monitorización y alerta, la realización de revisiones de seguridad periódicas y el establecimiento de indicadores de compromiso para ayudar a detectar las amenazas.
- Responder: respuesta rápida y efectiva a los incidentes de seguridad. Incluye la definición de procedimientos de actuación ante incidentes, la coordinación de los esfuerzos de investigación y respuesta, y la comunicación con las autoridades competentes.
- Recuperar: restauración de los sistemas y los datos después de un incidente de seguridad. Incluye la realización de copias de seguridad y la implementación de planes de contingencia para minimizar el impacto de los incidentes de seguridad y garantizar la continuidad de los negocios.
En resumen, estos cinco niveles son fundamentales para la gestión eficaz de la ciberseguridad y para proteger a las organizaciones contra los ataques TIC. Las empresas que crean y distribuyen soluciones para la seguridad, no destinan los mismos recursos a todos los niveles del ciclo. En la mayoría de los casos, los usuarios adquieren los productos de seguridad, no porque conozcan las necesidades sino porque los fabricantes hablan de las necesidades que su producto puede cubrir. Sin embargo, es importante tener conciencia de la importancia de la seguridad a las TIC.
Para más información sobre esta cuestión puedes contactar con el servicio informático de Gestión Tercer Sector.