Atrás 
Aunque los directivos son cada vez más conscientes de las amenazas que plantean los perpetradores de ciberataques, muchos siguen teniendo una imagen anticuada de los ciberdelincuentes. Nos imaginamos a "hackers" encapuchados, trabajando solos en un sótano, y por supuesto, la imagen de archivo que acompaña a la gran mayoría de los artículos de los medios de comunicación sobre los ciberataques representa precisamente esto.
La realidad actual es que muchos de los perpetradores de ciberamenazas no son operadores clandestinos; trabajan como parte de grupos sofisticados y organizados, colaborando con otros grupos dentro de un ecosistema más amplio de especialistas. Estos grupos acumulan importantes recursos financieros a lo largo del tiempo, derivados de las ganancias de los ataques con fines comerciales, o reunidos como pago de los estados que patrocinan o encargan directamente sus actividades. Utilizan estos recursos para mejorar sus ataques posteriores, pagando por la infraestructura o incluso sobornando a los empleados de sus objetivos para ayudar a conseguir la entrada inicial.
Conocer el funcionamiento de estos grupos de ataque no sólo es interesante, sino que también proporciona una inteligencia muy valiosa que puede ayudar a las organizaciones a reforzar su postura de seguridad. Saber lo que motiva a los atacantes, cómo piensan y trabajan, y lo que buscan conseguir en última instancia, proporciona una ventaja en la defensa de primera línea, en la planificación de la estrategia y—cuando ocurre lo peor—en la gestión de incidentes.
1) Los ciberdelincuentes trabajan en colaboración, lo que les permite convertirse en especialistas.
Una salida de compras en la internet oscura hará que aparezcan individuos o equipos que pregonan su habilidad en elementos específicos de la cadena de ataque. Hay equipos que se dedican a probar las contraseñas habituales que tienen en listas, otros que son especialistas en entrar y otros que gestionan un ataque de ransomware para cualquier "cliente" que pague. Se reúnen en grupos de ataque que evolucionan con regularidad (de ahí la evolución de esos extraños nombres), ajustando cada vez la ética y el enfoque del grupo acordados para reflejar el debate interno y las luchas de poder. ¿Qué podemos aprender de esto? Aparte de la importancia de la inteligencia sobre amenazas para estar al tanto de las tendencias y las amenazas vivas, podemos aprender que la colaboración es poderosa. Si los departamentos de seguridad se interconectan y comparten información—y están dispuestos a trabajar con la competencia en beneficio de todos—nosotros también podemos ser ágiles, estar bien informados y preparados. Y esta colaboración también es esencial dentro de la organización. Con demasiada frecuencia, las herramientas de seguridad están desconectadas unas de otras y no proporcionan al departamento de seguridad la visión holística necesaria para detectar una cadena de ataques multivectoriales. Para desbaratar los ataques muy organizados, los departamentos de seguridad deben asegurarse de que sus herramientas de seguridad están estrechamente integradas y pueden compartir la información pertinente, como los indicadores de compromiso, en tiempo real.
2) Los actores maliciosos utilizan la infraestructura de la nube para sus ataques.
Lo hacen por un par de razones diferentes. La infraestructura en la nube es intrínsecamente ágil; los atacantes pueden poner en marcha su infraestructura de forma rápida y económica—y luego desmantelarla y volver a empezar si su operación se ve comprometida. También les atrae el hecho de que, al utilizar los mismos servicios en la nube que las organizaciones a las que se dirigen—pueden camuflarse ante las tecnologías de seguridad más antiguas. La seguridad tradicional ni siquiera puede diferenciar entre los componentes vitales de Microsoft Office 365, como las instancias de Microsoft Teams que la organización ha autorizado, y las cuentas de terceros... así que si atacan desde la nube son "lobos con piel de cordero" y a menudo pueden atravesar fácilmente los puertos abiertos. ¿Nuestro aprendizaje aquí? Adoptar la seguridad en la nube tanto por su escalabilidad como por la ventaja de los costos, y porque así su seguridad está mucho mejor situada para detectar un ataque. Aplique un enfoque de confianza cero no sólo al acceso a la red, sino también a la seguridad en la nube y a la protección de los datos.
3) Los actores maliciosos innovan.
Muchas organizaciones consideran que la innovación es intrínsecamente arriesgada —y no cabe duda de que hay nuevas exposiciones al riesgo cuando se prueban cosas nuevas—pero lo contrario también es cierto. Si sus sistemas, herramientas y prácticas no están actualizados, los ciberdelincuentes que le atacan harán un recorrido por su defensa. Los actores maliciosos siempre están cambiando su enfoque y su modelo de negocio; el ransomware no existía hace unos años y, aunque ahora domina los debates sobre seguridad, los atacantes ya están evolucionando desde el enfoque original de "pagar para desbloquear los datos" hacia nuevas formas de molestar, como las amenazas de exposición pública. Si tomamos distancia y evaluamos la primera mitad de 2022 de forma retrospectiva, es muy probable que encontremos un cambio completo del ransomware a los ataques que dan prioridad a la disrupción, lo que refleja el cambio de motivaciones en consonancia con la geopolítica. Ante esta innovación, no podemos quedarnos quietos en materia de defensa. Manténgase al día sobre las tendencias en la metodología de los ataques y trate de anticiparse e identificar la oportunidad antes de que lo haga su atacante para poder cortarla. Esto puede significar simplemente mejorar la higiene en torno a la gestión de parches, o podría ser la construcción proactiva de una mejor visibilidad sobre los "rincones misteriosos" de su infraestructura de TI (y aquí me refiero definitivamente al uso no autorizado de la nube). Además, sustituya sus anticuados dispositivos de seguridad locales (con sus largos ciclos de actualización y mejora) por modernos servicios de seguridad en la nube que evolucionen constantemente las técnicas de detección y mitigación de ataques utilizando tecnologías modernas, como la IA impulsada por el aprendizaje automático.
4) Los atacantes están bien financiados.
Ya he mencionado que los ciberdelincuentes tienen diferentes fuentes de ingresos. Algunos atacantes se financian tácticamente a través de las ganancias del ransomware, o con tiendas en la internet oscura que venden fondos de datos para la guerra o servicios de ataque especializados. Otros realizan trabajos normales "asalariados" para estados nacion, pero todos los que están detrás de las líneas enemigas tienen claro el vínculo entre el dinero y los r