Aprender de los atacantes

Aunque los directivos son cada vez más conscientes de las amenazas que plantean los perpetradores de ciberataques, muchos siguen teniendo una imagen anticuada de los ciberdelincuentes. Nos imaginamos a "hackers" encapuchados, trabajando solos en un sótano, y por supuesto, la imagen de archivo que acompaña a la gran mayoría de los artículos de los medios de comunicación sobre los ciberataques representa precisamente esto.

La realidad actual es que muchos de los perpetradores de ciberamenazas no son operadores clandestinos; trabajan como parte de grupos sofisticados y organizados, colaborando con otros grupos dentro de un ecosistema más amplio de especialistas. Estos grupos acumulan importantes recursos financieros a lo largo del tiempo, derivados de las ganancias de los ataques con fines comerciales, o reunidos como pago de los estados que patrocinan o encargan directamente sus actividades. Utilizan estos recursos para mejorar sus ataques posteriores, pagando por la infraestructura o incluso sobornando a los empleados de sus objetivos para ayudar a conseguir la entrada inicial.

Conocer el funcionamiento de estos grupos de ataque no sólo es interesante, sino que también proporciona una inteligencia muy valiosa que puede ayudar a las organizaciones a reforzar su postura de seguridad. Saber lo que motiva a los atacantes, cómo piensan y trabajan, y lo que buscan conseguir en última instancia, proporciona una ventaja en la defensa de primera línea, en la planificación de la estrategia y—cuando ocurre lo peor—en la gestión de incidentes.

1) Los ciberdelincuentes trabajan en colaboración, lo que les permite convertirse en especialistas.

Una salida de compras en la internet oscura hará que aparezcan individuos o equipos que pregonan su habilidad en elementos específicos de la cadena de ataque. Hay equipos que se dedican a probar las contraseñas habituales que tienen en listas, otros que son especialistas en entrar y otros que gestionan un ataque de ransomware para cualquier "cliente" que pague. Se reúnen en grupos de ataque que evolucionan con regularidad (de ahí la evolución de esos extraños nombres), ajustando cada vez la ética y el enfoque del grupo acordados para reflejar el debate interno y las luchas de poder. ¿Qué podemos aprender de esto? Aparte de la importancia de la inteligencia sobre amenazas para estar al tanto de las tendencias y las amenazas vivas, podemos aprender que la colaboración es poderosa. Si los departamentos de seguridad se interconectan y comparten información—y están dispuestos a trabajar con la competencia en beneficio de todos—nosotros también podemos ser ágiles, estar bien informados y preparados. Y esta colaboración también es esencial dentro de la organización. Con demasiada frecuencia, las herramientas de seguridad están desconectadas unas de otras y no proporcionan al departamento de seguridad la visión holística necesaria para detectar una cadena de ataques multivectoriales. Para desbaratar los ataques muy organizados, los departamentos de seguridad deben asegurarse de que sus herramientas de seguridad están estrechamente integradas y pueden compartir la información pertinente, como los indicadores de compromiso, en tiempo real.

2) Los actores maliciosos utilizan la infraestructura de la nube para sus ataques.

Lo hacen por un par de razones diferentes. La infraestructura en la nube es intrínsecamente ágil; los atacantes pueden poner en marcha su infraestructura de forma rápida y económica—y luego desmantelarla y volver a empezar si su operación se ve comprometida. También les atrae el hecho de que, al utilizar los mismos servicios en la nube que las organizaciones a las que se dirigen—pueden camuflarse ante las tecnologías de seguridad más antiguas. La seguridad tradicional ni siquiera puede diferenciar entre los componentes vitales de Microsoft Office 365, como las instancias de Microsoft Teams que la organización ha autorizado, y las cuentas de terceros... así que si atacan desde la nube son "lobos con piel de cordero" y a menudo pueden atravesar fácilmente los puertos abiertos. ¿Nuestro aprendizaje aquí? Adoptar la seguridad en la nube tanto por su escalabilidad como por la ventaja de los costos, y porque así su seguridad está mucho mejor situada para detectar un ataque. Aplique un enfoque de confianza cero no sólo al acceso a la red, sino también a la seguridad en la nube y a la protección de los datos.

3) Los actores maliciosos innovan.

Muchas organizaciones consideran que la innovación es intrínsecamente arriesgada —y no cabe duda de que hay nuevas exposiciones al riesgo cuando se prueban cosas nuevas—pero lo contrario también es cierto. Si sus sistemas, herramientas y prácticas no están actualizados, los ciberdelincuentes que le atacan harán un recorrido por su defensa. Los actores maliciosos siempre están cambiando su enfoque y su modelo de negocio; el ransomware no existía hace unos años y, aunque ahora domina los debates sobre seguridad, los atacantes ya están evolucionando desde el enfoque original de "pagar para desbloquear los datos" hacia nuevas formas de molestar, como las amenazas de exposición pública. Si tomamos distancia y evaluamos la primera mitad de 2022 de forma retrospectiva, es muy probable que encontremos un cambio completo del ransomware a los ataques que dan prioridad a la disrupción, lo que refleja el cambio de motivaciones en consonancia con la geopolítica. Ante esta innovación, no podemos quedarnos quietos en materia de defensa. Manténgase al día sobre las tendencias en la metodología de los ataques y trate de anticiparse e identificar la oportunidad antes de que lo haga su atacante para poder cortarla. Esto puede significar simplemente mejorar la higiene en torno a la gestión de parches, o podría ser la construcción proactiva de una mejor visibilidad sobre los "rincones misteriosos" de su infraestructura de TI (y aquí me refiero definitivamente al uso no autorizado de la nube). Además, sustituya sus anticuados dispositivos de seguridad locales (con sus largos ciclos de actualización y mejora) por modernos servicios de seguridad en la nube que evolucionen constantemente las técnicas de detección y mitigación de ataques utilizando tecnologías modernas, como la IA impulsada por el aprendizaje automático.

4) Los atacantes están bien financiados.

Ya he mencionado que los ciberdelincuentes tienen diferentes fuentes de ingresos. Algunos atacantes se financian tácticamente a través de las ganancias del ransomware, o con tiendas en la internet oscura que venden fondos de datos para la guerra o servicios de ataque especializados. Otros realizan trabajos normales "asalariados" para estados nacion, pero todos los que están detrás de las líneas enemigas tienen claro el vínculo entre el dinero y los resultados. Recomendación: merece la pena ayudar a todas las personas de su organización involucradas en este asunto a entender la financiación que hay detrás de los ciberatacantes frente a los que nos defendemos. Ni siquiera un adolescente que realiza ataques desde su garaje está trabajando en vano. Los ataques son un gran negocio (de hecho, Cybersecurity Ventures predice que los daños causados por la ciberdelincuencia a nivel mundial alcanzarán los 10,5 billones de dólares anuales en 2025, lo que supone más que los beneficios derivados del comercio mundial de TODAS las principales drogas ilegales juntas). Defienda su presupuesto de seguridad demostrando a su organización el costo de escatimar en seguridad (y hay algunos consejos útiles en este libro electrónico sobre el cálculo del impacto de un evento de fuga de datos). Tampoco tiene por qué ser un ejercicio de mendicidad constante, ya que gastar dinero en seguridad puede reportar ganancias significativas en otros centros de costes. Haga lo que haga, no vaya a la batalla sin los recursos adecuados.

5) La mayoría de los atacantes son oportunistas.

Todo lo que he dicho hasta ahora pinta una imagen de atacantes altamente calculadores y muy focalizados, pero la realidad es que la mayoría son increíblemente oportunistas. A menudo encuentran a sus víctimas simplemente buscando oportunidades fáciles. El aprendizaje aquí es: no seas el golpe fácil. Mantenga sus ventanas y puertas cerradas y, con toda probabilidad, los atacantes encontrarán un objetivo más fácil al que dirigirse. La gran mayoría no va a por su organización, sino a por su dinero. Para evitar ser atacado por éstos, sólo hay que evitar ser el blanco más fácil, por lo que una buena higiene de seguridad es la clave. Realmente no tiene sentido gastar una fortuna en costosos firewalls y VPNs si tus empleados dejan abiertos los documentos de Google y los buckets de AWS en la nube.

"Hacker" es un término que siempre evito cuando se habla de actores de amenazas. Es una denominación errónea que hace un flaco favor tanto a los muchos que se identifican con el término a pesar de la falta de actividad maliciosa como a las organizaciones maliciosas que existen para provocar disrupciones. Al igual que la figura misteriosa con capucha que aparece en estas imágenes sobre utilizadas, "hacker" crea una visión anticuada y poco útil de a lo que nos enfrentamos exactamente como profesionales de la seguridad. 

La próxima vez que una de sus partes interesadas hable de "hackers", y sepa que se están imaginando a unos solitarios aficionados que operan desde su sótano, aproveche la oportunidad para contarles un poco sobre quiénes son realmente estos delincuentes, y ayúdeles a aprender algunas lecciones de los malos actores para proteger mejor su organización.