En abril, Trend Micro publicó un documento de investigación sobre la sextorsión: el medio mediante el cual los ciberdelincuentes obtienen imágenes o vídeos personales comprometedores de usuarios de Internet, que después retienen como rehenes hasta que se cumplen sus exigencias. Avanzando hasta julio, hemos presenciado el hackeo del polémico sitio de adulterio y citas Ashley Madison. Los ciberdelincuentes sembraron el caos al amenazar con filtrar poco a poco los datos de los adúlteros que utilizaban el sitio, hasta que este y su sitio asociado, «Established Men», cerraron.
Un artículo de time.com denomina a esta táctica «hacking 2.0» y afirma que este nuevo método de hackeo no se centra en los datos, sino en el contexto. Obtener dinero de datos robados, como los números de tarjetas de crédito, requiere mucho trabajo, y los ciberdelincuentes han puesto el foco en que pueden obtener un pago mayor de quienes tienen más que perder que dinero. Por ello, un hackeo como el de Ashley Madison, que podría –y ya ha– destruido reputaciones y familias, es una mina de oro para el equipo responsable del ataque (The Impact Team).
Ahora bien, al margen de las opiniones morales sobre Ashley Madison, estoy seguro de que a nadie le agrada que su información personal sea secuestrada y retenida a cambio de un rescate. Pero los ciberdelincuentes son astutos y saben que, si mantienen las cantidades lo bastante bajas, las personas que tienen más que perder que dinero preferirán pagar. En este caso, los hackers de Ashley Madison ofrecieron a los usuarios el ultimátum de pagar 19 dólares para que toda su información fuera eliminada del sitio, o de lo contrario que se filtrara. Pero, por supuesto, no hay garantía alguna de que se pueda confiar en un ciberdelincuente.
¿Cómo afecta el secuestro de datos a mi empresa?
Según time.com, existe una nueva realidad que complica las cosas a los equipos de seguridad corporativa: en los últimos años se ha invertido mucho en proteger los datos financieros, es decir, se ha gastado dinero en blindar los datos más valiosos. Así, aunque las tarjetas de crédito puedan estar protegidas, los servidores de correo pueden haber quedado desatendidos; sin embargo, esta situación cambiará poco a poco a medida que los datos personales de distintos contextos se conviertan en una moneda de cambio para los ciberdelincuentes.
Ashley Madison es solo un ejemplo de empresa que ha sido objetivo de este tipo de ataques. Otro ejemplo es el malware Cryptolocker, que obligaba a las víctimas a pagar una suma para descifrar sus datos y que llegó a generar 27 millones de dólares solo en los dos primeros meses, a costa de pequeños propietarios de viviendas y empresas. Y luego llegó el hackeo de Sony de diciembre de 2014, en el que los ciberdelincuentes robaron correos electrónicos corporativos y avergonzaron a la compañía. En el hacking 2.0, los ciberdelincuentes no necesitan robarle el dinero; solo necesitan cualquier dato que le resulte valioso.
Esto significa que los directivos deben trabajar incansablemente para hacer una evaluación honesta sobre cuál es realmente el valor de los datos de su empresa. Después, deben realizarse inversiones acertadas para proteger datos que podrían parecer intrascendentes si se roban en un contexto, pero que serían un desastre si se roban en otro. ¿Y la conclusión? Todas las empresas tendrán que planificar escenarios de rescate y extorsión.
¿Y ahora qué?
Además de una política de seguridad sigilosa, las empresas necesitan ahora una política contra el secuestro de datos y la extorsión para protegerse adecuadamente. Esto se suma a soluciones de seguridad empresarial robustas. Los empleados y, a su vez, la empresa podrían beneficiarse, por ejemplo, de tener Trend Micro Security 10 en los dispositivos móviles de los empleados. Trend Micro Security 10 es una herramienta de seguridad y privacidad lanzada recientemente que es totalmente compatible con Windows 10.
Las funciones de seguridad de la nueva versión son sencillas de usar y, a la vez, ofrecen una protección de última generación para los datos de los empleados, con un rendimiento óptimo. Esto permite a los usuarios conectarse de forma segura e interactuar con seguridad en línea, dentro de la red de la empresa, mientras están protegidos frente al entorno de amenazas actual, en constante evolución. El software incluirá protección frente a la exposición de información privada o frente a la vulnerabilidad ante el robo de datos y otras amenazas maliciosas en línea, tanto en dispositivos personales como empresariales.
Trend Micro Deep Discovery también es una opción para las empresas, ya que detecta, analiza y responde en tiempo real a los ataques dirigidos y sigilosos de hoy; después, Deep Security ofrece seguridad en la nube automatizada y altamente escalable. Pero, en realidad, lo que debería hacer es hablar con un profesional de Trend Micro sobre una solución de seguridad personalizada para todas las necesidades de seguridad de su empresa. Como ocurre con cualquier forma de ciberdelincuencia, prevenir es mejor que curar, y no conviene esperar a haber sufrido un secuestro de datos para reaccionar ante el hacking 2.0.
Este artículo se publica en colaboración con Mail & Guardian. La publicación no implica que el Foro Económico Mundial respalde las opiniones expresadas.
Para estar al día de Agenda suscríbase a nuestro boletín semanal.
Autor: Ihab Moawad es vicepresidente de Trend Micro en la región de Oriente Medio, África y el Mediterráneo.
Imagen: Un hombre escribe en un teclado de ordenador en Varsovia. REUTERS/Kacper Pempel/Files
