En el mundo actual, la realidad es que todas las personas y organizaciones conectadas a internet son vulnerables a los ciberataques. El número, el tipo y la sofisticación de los ataques sigue creciendo, como señala el informe sobre amenazas publicado el mes pasado por el Centro Australiano de Ciberseguridad (ACSC).
No solo las grandes organizaciones están amenazadas. Incluso las personas u organizaciones que no creen tener mucho que ofrecer a los hackers pueden ser objetivo. Así que, aunque considere que es un objetivo pequeño, aun así podría estar en riesgo.
Ilusión de confianza
Las personas y los grupos malintencionados prosperan recopilando información que puede utilizarse para mejorar sus estrategias de ataque. Los hackers se centran cada vez más en los ataques de spear-phishing , personalizados para cada individuo, y cualquier dato sobre usted puede resultarles útil.
La clave para el hacker es la cuestión de la confianza. La información recopilada se utiliza para elaborar un perfil del objetivo, con el fin de reunir datos suficientes que permitan al hacker parecer digno de confianza para usted.
En la mayoría de los casos, el hacker intentará suplantar a una entidad en la que usted confía. Cuanta más información tenga el hacker sobre usted, más probable será que pueda mantener la ilusión el tiempo suficiente para alcanzar sus objetivos.
Los efectos de un ataque exitoso varían considerablemente, dependiendo en gran medida de la motivación del hacker.
Para la mayoría de nosotros, el robo de identidad es probablemente lo que más daño causa, ya que afecta gravemente a nuestra capacidad para llevar a cabo la vida cotidiana normal. Por ejemplo, nuestra calificación crediticia podría verse gravemente comprometida. Para empeorar las cosas, el proceso de subsanar los daños de un ataque puede ser costoso, lento y emocionalmente agotador.
En otros casos, el daño podría adoptar la forma de información confidencial, como historiales médicos, que acaba en manos de partes malintencionadas y, de este modo, hace que usted sea susceptible a distintos tipos de chantaje.
La reciente filtración de datos del sitio web Ashley Madison es un ejemplo típico de información confidencial sobre personas que podría ser explotada por partes malintencionadas.
Su acceso es importante para los hackers
Pero la información personal específica no es el único factor que impulsa los ciberataques. A menudo, el objetivo general son los recursos o el acceso que usted tiene a otros sistemas.
Una idea errónea muy extendida entre muchas personas y organizaciones es que, si no tienen nada de valor en sus sistemas, es poco probable que sean atacadas. O que los hackers no tienen nada que ganar copiando toda su información.
El valor de la información puede ser nulo, pero los recursos son bienes muy preciados que pueden utilizarse fácilmente de dos maneras:
para lanzar ataques más intensivos y distribuidos contra el objetivo principal del hacker
pueden “alquilarse” en forma de botnets a otras partes.
Desde el punto de vista de la autorización de usuario, los hackers pueden volver a aprovechar el conocimiento sobre el objetivo para intentar acceder a sistemas de difícil alcance.
Alimento para la reflexión sobre el hacking
Me contaron un caso en Estados Unidos en el que hackers extranjeros utilizaron los hábitos alimenticios del personal de una organización gubernamental (obtenidos a partir de cargos con tarjeta de crédito) para lanzar un ataque de “watering hole” ataque.
Los hackers lograron comprometer con facilidad el servidor que alojaba el sitio web del restaurante que frecuentaban los empleados gubernamentales, y sustituyeron los menús en PDF originales por un nuevo conjunto que contenía malware incrustado. Así, cuando los empleados gubernamentales consultaban los menús desde sus equipos seguros, también descargaban el malware.
Estos son solo algunos de los modos en que los hackers pueden aprovechar la información obtenida de los ataques. Por desgracia, el único factor limitante es la creatividad de la parte malintencionada. Y, lamentablemente, los hackers son muy creativos.
Cómo combatir los ciberataques
La actitud de las personas y organizaciones debe cambiar para prevenir los ciberataques. Debe existir una comprensión fundamental de que, en línea, todos somos un objetivo y de que ninguno somos demasiado pequeños o insignificantes.
También es fundamental cambiar la actitud hacia la detección y la gestión de incidentes. Solo podremos mejorar en la parte defensiva si aprendemos de experiencias previas, por dolorosas y costosas que sean. La razón por la que conocemos algunos de los ataques mencionados anteriormente es que fueron detectados e investigados.
La mayoría de las organizaciones no considera la gestión de incidentes un componente esencial de la ciberdefensa. Mientras eso siga ocurriendo, la mejora de las ciberdefensas será lenta.
Es necesario un esfuerzo concertado para tomar en serio la ciberseguridad, en lugar de tratarla como un costoso ejercicio de auditoría. La gran mayoría de las organizaciones considera la ciberseguridad una tarea de cumplimiento normativo y, por tanto, hace el mínimo posible para lograrlo.
Las Data Security Standards de la industria de tarjetas de pago para las principales tarjetas de crédito son un ejemplo clásico. Es positivo que exista una norma, pero lo lamentable es que todas las organizaciones se limitan a hacer el mínimo posible para superar la verificación de la norma, en lugar de mejorar realmente su seguridad.
En cambio, el enfoque debería ser utilizar los requisitos de ciberseguridad como un medio para mejorar la seguridad general y, así, evitar incidentes costosos y perjudiciales en el futuro.
Este artículo se publica en colaboración con The Conversation. La publicación no implica que el Foro Económico Mundial respalde las opiniones expresadas.
Para estar al día de la Agenda, suscríbase a nuestro boletín semanal.
Autor: Mihai Lazarescu es profesor asociado y jefe del Departamento de Informática de la Universidad Curtin.
Imagen: Un hombre escribe en un teclado de ordenador en Varsovia en esta ilustración de archivo fechada el 28 de febrero de 2013. REUTERS/Kacper Pempel/Files.
