02 Sep Prepárate para un ataque de ciberseguridad en tu empresa

Autor: Renato Guzmán G

Ciberseguridad o Ciberguerra

La ciberseguridad se debe convertir en la obsesión de las empresas. Resguardar los datos de tu empresa es una prioridad a la que debemos dedicar los recursos suficientes. El nivel de los ciberataques y de la de las bandas organizadas que los ejecutan son cada vez más soficticados y cuentan con mejores recursos humanos y tecnologícos. El negocio del cibercrimen es muy lucrativo y no existen empresas que no estén en inminente peligro. Ante tal escenario quizá es necesario replantear el término de ciberseguridad y reemplazarlo por el de ciberguerra.

«Sólo cuando conoces cada detalle de la condición del terreno puedes maniobrar y luchar«

-Sun Tzu (El arte de la Guerra)

Resguarda tu empresa frente a un ciberataque

Hace poco tiempo Twitter sufrió un ciberataque en la que se vieron involucrados entre otras cuentas las de Bill Gates, Jeff Bezos, Barack Obama y Elon Musk entre otros. La respuesta de Twitter a este ataque fue: «Detectamos lo que creemos que es un ataque coordinado de ingeniería social por personas que se dirigieron con éxito a algunos de nuestros empleados con acceso a sistemas y herramientas internas».

Si twitter puede ser víctima de un ciberataque tu empresa también puede serlo. Es más, muchos de los ciberdelincuentes atacan a las pequeñas empresas ya que son sus objetivos más fáciles.

En el ataque a las cuentas de Twitter se solicitaba el ingreso de dinero a distintas cuentas de Bitcoin. Los ciberdelincuentes van a acudir a Bitcoin así como otros sistemas de pago internacionales que permiten el anonimato, para solicitar el depósito de sus extorsiones.

Thor es otra herramienta que van a utilizar las mafias que se dedican al cibercrimen, para navegar de forma anónima y también como plataforma para comprar usuarios y contraseñas que ya han sido atacados en forma de bases de datos. Si quieres saber si tu mail ha sido comprometido visita la web : «Have i been pawned» esta herramienta te va a decir en qué momento y utilizando qué plataforma fue comprometido tu email.

Fases de un ciberataque

Los ataques se producen de forma organizada. Va a ser clave conocer cómo operan estas mafias y cuales son los pasos que siguen hasta ejecutar el ataque. En las primeras fases la recopilación de información va a ser clave para el diseño del ataque. No dudes en la tenacidad y paciencia de los cibercriminales para diseñar una estrategia que les suponga el máximo beneficio.

Fase de reconocimiento:

En esta primera fase van a investigar todo acerca de nuestra empresa, toda huella digital, información en noticias y en nuestros propios canales. También van a generar un completo organigrama para esto van a utilizar LinkedIn y la web corporativa. Muchos usuarios van a dejar dentro de su huella digital sus correos corporativos, números de teléfono y estas son las claves de acceso que están buscando. Van a buscar perfiles directivos y también administrativos, pero no van a descartar otros perfiles susceptibles a convertirse en la puerta de entrada a la información de la empresa.

Fase de ataque

Con estos correos de empresa van a tratar un ataque del tipo phising : se trata de un correo que busca suplantar grandes marcas y entidades reconocidas como bancos o grandes corporaciones. En el mail van a incluir un texto que genere en el usuario un sentimiento de urgencia: del tipo evitar un cobro no deseado o la suspensión de una cuenta. El cibercriminal buscará ese click, que va a ser clave para que pueda apropiarse de la información de tu correo como lista de contactos, bandeja de entrada y otros detalles que podrían comprometer información clave para tu empresa. Una vez alcanzado este nivel de acceso van a estudiar tus movimientos, tu vocabulario tus contactos más frecuentes para entender las dinámicas de comunicación que utilizas.

La segunda opción de ataque son los denominados Watering holes, se trata de enlaces malintencionados colocados en los sitios web visitados frecuentemente por los usuarios de una empresa. Pongamos un ejemplo: si el objetivo es la Empresa X y saben que existen usuarios de esta empresa que usualmente entran a una web de noticias deportivas, en ese caso van a comprometer esta web de noticias que podría tener un nivel de seguridad más vulnerable. Cuando el atacante detecta que uno de los usuarios que está navegando se conecta desde la IP de la Empresa X, es en ese momento que se le envía el código malicioso.

La tercera opción de ataque: Ataque a Routers. Los routers presentan vulnerabilidades y los atacantes van a tratar de acceder por esta vía. Durante el último año hemos visto una tendencia, ha sido el año de las VPNs.

Otro tipo de ataque que se ha convertido muy frecuente es el Ransonware: es un tipo de malware (software malintencionado) que tiene como objetivo bloquear el uso del ordenador o parte de la información que contiene, para después poder pedir un rescate a cambio de su liberación.

Cuenta de usuario comprometida

Llegados a este punto el atacante ya tiene acceso a una cuenta o varias de usuario dentro de la empresa. Ahora va a empezar una segunda fase del reconocimiento esta vez desde dentro. Quizá han comprometido la máquina del responsable de Marketing pero el objetivo principal era una cuenta de gerencia o administrativa. Para dar el salto a otras máquinas y por lo tanto usuarios más atractivos para el ataque van a estudiar el correo, sus contenidos y dinámicas. Muchas veces no van a buscar un control específico de un usuario pero sí abarcar a todos los usuarios de una misma organización.

Técnica de robo de credenciales

El atacante va a buscar ese «post it» virtual que casi es más peligroso que el post-it físico. Es frecuente que se guarden todas las contraseñas y accesos en algún fichero que has dejado en tu escritorio. En otros casos van a acceder al usuario administrador, este tipo de usuario que utilizan muchas empresas para gestionar diversos dispositivos o cuentas. El atacante va a buscar cuentas privilegiadas, son estas cuentas las que les van abrir todas las puertas de la información de la empresa.

Fase de persistencia (Han llegado para quedarse)

Algunos veces los objetivos de los cibercriminales es entrar y ejecutar un robo para después salir, es decir un enfoque de tipo «robo relámpago». Pero en otras ocasiones el objetivo va a ser conseguir persistencia esto significa conseguir un control del sistema para asegurarse de que no va a ser expulsado. También se denominan Amenazas persistentes avanzadas (APT)

La amenaza de Destruir o exfiltrar los datos de empresa

El atacante es ahora administrador, y va a distribuir un programa a todas tus máquinas para cifrar todos los ficheros. El llamado Ransomware. Te va a llegar entonces una comunicación dónde te van a pedir dinero a cambio de la clave de descifrado y por lo tanto la recuperación de toda la información de tu empresa.

Las mafias van a ofrecerte varias formas de pago normalmente Bitcoin o similar incluso asistencia para realizar el pago. Por esta razón es importante mantener un back-up de nuestros datos en la nube. Sin embargo los atacantes se están adaptando a la respuesta de muchas empresas que responden ante uno de estos ataques con un : «no me importa tengo un respaldo de mi información».

Por esta razón es cada vez más frecuente que la amenaza no sea la destrucción de tu información pero si el exfiltrado de esta. La amenaza de hacer pública la información de toda tu empresa puede significar un jaque a la existencia de tu proyecto corporativo.

Prepárate para un inminente ataque de ciberseguridad en tu empresa «Asume la brecha»

Empieza evaluando tu primera línea de defensa: las credenciales y cuentas de los usuarios. Alguna planificación y prevención ahora puede dificultar la labor de los cibercriminales atacar tus sistemas más adelante.

Todas las medidas que tienes posiblemente van a ser insuficientes. La mejor manera de defenderte de un ciberataque va a ser asumir que tu empresa va a ser atacada y prepararte para ese momento. «Asumir la brecha» no se trata de asumir una actitud derrotista pero si empezar a tomar primeros pasos como lo son implementar: buenas prácticas digitales y formación para nuestros equipos.

Defender la puerta de entrada: credenciales y cuentas

• Emplea la autenticación multifactor, que exige a los usuarios proporcionar verificación adicional
• Examina tu nivel de control sobre el acceso de los usuarios.
• Todos los empleados a usar contraseñas únicas seguras; así como cambiarlas periódicamente
• Protege las credenciales de usuario
• Considera la posibilidad de utilizar el reconocimiento facial, las huellas dactilares o los PIN

Evita que el ciberdelincuente pueda expandir su territorio

Una vez que un atacante tiene acceso generalizado a la red, se infiltrará en tantos sistemas como sea posible. Por lo que recomiendo:

• Conoce dónde residen tus datos, ya sea en un servidor, teléfonos personales u ordenadores, en el cloud o en cualquier otra combinación.
• Clasifica los datos por nivel de confidencialidad y después céntrate en la información más confidencial y crítica con iniciativas defensivas como el cifrado y las restricciones de acceso.
• Supervisa los datos periódicamente, realizando un seguimiento de quién accede y comparte información
• Haz una copia de seguridad de los datos críticos, preferiblemente en el cloud, y dispón de un sistema para realizar estas copias periódicamente.