Intel ha aprovechado el quinto aniversario de su compra de la empresa de seguridad McAfee para publicar un análisis de cómo ha cambiado el panorama de la ciberseguridad en ese período.
Hay una serie de observaciones sorprendentes en el informe y algunas que eran de esperar. Poco sorprendente ha sido la continua falta de importancia que un gran número de empresas e individuos han otorgado a la aplicación de prácticas básicas de seguridad, como instalar actualizaciones de software y establecer políticas sobre contraseñas. Las razones de ello podrían ser que las personas están “jugando a las probabilidades” al creer que el riesgo de sufrir un ciberdelito es relativamente pequeño. También podría ser que simplemente no quieran esforzarse ni pagar por el soporte o el asesoramiento informático.
La ciberdelincuencia como industria
Más sorprendente, al menos para McAfee, ha sido el rápido desarrollo de la ciberdelincuencia hasta convertirse en una industria plenamente consolidada, con “proveedores, mercados, proveedores de servicios (“ciberdelincuencia como servicio”), financiación, sistemas de negociación y una proliferación de modelos de negocio”. El crecimiento de esta industria se ha visto impulsado por el uso de criptomonedas como Bitcoin y por la capa de protección que tecnologías como Tor).
La sofisticación de la industria de la ciberdelincuencia ha provocado un cambio en el enfoque de los delincuentes, que han pasado de robar simplemente tarjetas de crédito a la implementación a gran escala, quizás más lucrativa, de “ransomware”. Esto ha abarcado desde el cifrado del contenido del equipo de un usuario y la posterior exigencia de un pago para desbloquearlo, hasta la reciente explotación de usuarios implicados en la publicación de información personal de carácter sexual del sitio de citas Ashley Madison.
Los teléfonos móviles siguen “relativamente” libres de ciberdelincuencia
Lo que aún no se ha producido es la intrusión generalizada en los teléfonos móviles. Parte de la razón ha sido el enfoque de Apple y, cada vez más, de Google, de controlar el software que puede instalarse en los dispositivos. La otra razón es quizás el hecho de que estos dispositivos se respaldan con más frecuencia y de forma automática, lo que facilita mucho más la recuperación. También es posible que haya menos interés para los ciberdelincuentes en un teléfono móvil, ya que la mayor parte del contenido personal realmente importante y valioso se almacena en la nube.
La excepción reciente a la relativa seguridad de los dispositivos móviles fue el informe que indicaba que hasta 225.000 cuentas de Apple habían quedado comprometidas en teléfonos Apple. En este caso, el compromiso solo afectó a los teléfonos que habían sido “jailbroken”, un proceso que permite al usuario eludir las restricciones de Apple sobre las aplicaciones que pueden ejecutarse en los teléfonos. Por supuesto, esto ha demostrado que las restricciones sobre el software que puede ejecutarse en los teléfonos Apple y Android son en realidad una función de seguridad importante, de modo que eludirlas aumenta de forma significativa el riesgo de ser comprometido.
La amenaza para el Internet de las cosas
Junto con los teléfonos móviles, los dispositivos inteligentes que componen el Internet de las cosas también han estado en gran medida libres de ataques a gran escala. Los investigadores han demostrado que es posible hackear cosas como los automóviles, incluida la capacidad de accionar los frenos de un coche enviando al sistema de control del vehículo un SMS. En el caso de este tipo de vulnerabilidades, los fabricantes de automóviles han actuado rápidamente para cerrar los agujeros de seguridad. El hecho de que los delincuentes no hayan puesto su atención en los dispositivos inteligentes se debe probablemente a la falta de medios para comercializar este tipo de vulneraciones.
Las personas siguen siendo el problema
Las organizaciones como McAfee libran una batalla en gran medida perdida mientras las empresas sigan sin tomarse en serio la seguridad. De hecho, las empresas estadounidenses están destinando menos recursos y esfuerzos a la seguridad que en años anteriores. Esto ha llevado a organizaciones como la OCDE a recomendar estrategias nacionales en torno al desarrollo de seguros de ciberseguridad. Una ventaja de este tipo de seguro sería que las aseguradoras exigirían la implementación de un nivel básico de buenas prácticas de seguridad.
Este artículo se publica en colaboración con The Conversation. La publicación no implica que el Foro Económico Mundial respalde las opiniones expresadas.
Para mantenerse al día con la Agenda suscríbase a nuestro boletín semanal.
Autor: David Glance es director del UWA Centre for Software Practice de la Universidad de Australia Occidental
Imagen: Un analista examina código en el laboratorio de malware de un laboratorio de defensa en ciberseguridad del Idaho National Laboratory, en Idaho Falls, Idaho. REUTERS/Jim Urquhart
