Los terribles peligros a los que se enfrentarán las firmas de ciberseguridad en 2018

Este año, la importancia de tener un buen plan de contingencia contra cibercriminales se sirvió en bandeja. No porque no se alertara previamente de lo que iba a venir, pues muchos informes anticiparon que a lo largo del año se sufriría muchos ataques con «ransomware» o secuestro de datos , sino por falta de conocimiento de lo que podía desencadenar. Recapitulando su grado de incidencia, este tipo de ciberataque despliega un virus en la red que bloquea equipos a cambio de un rescate, peligrando la seguridad de muchísimos clientes.

WannaCry , NotPetya o Bad Rabbit han sido algunos de los nombres más mediatizados, pero no han sido los primeros ni, por supuesto, serán los últimos. Los analistas en seguridad tienen claro que se seguirán acometiendo nuevos ciberataques . Los ciberdelincuentes, además, perfeccionarán sus acciones con nuevos métodos y técnicas basadas, por ejemplo, en el aprovechamiento de los avances en Inteligencia Artificial. Algunas de ellas, aunque ya conocidas, seguirán provocando el caos, como se ha demostrado este año.

Así, en 2018 se espera que el «ransomware» vuelva a ser uno de los protagonistas. Entre otras cosas, debido al robo de «herramientas» a la Agencia de Seguridad Nacional (NSA) de la mano del grupo de ciberdelincuentes conocido como Shadow Brokers. Entre sus adquisiciones se encontraba el «exploit» Eternal Blue -para entendernos, una llave que aprovecha una vulnerabilidad informática y lo esparce a través de la red- que fue aprovechado para extender el «malware» WannaCry, si no el virus habría tenido que atacar uno por uno. Asimismo, seguirán siendo una preocupación los virus adjuntados a un correo, sin necesidad de venir incluido en un documento adjunto, puesto que «como se pudo ver con WannaCry, no es necesario», indica a ABC Enrique Domínguez , director estratégico de la firma InnoTec .

Esta forma de infección hace más complicado establecer unos protocolos de seguridad. «Los antivirus no funcionan tan bien en este tipo de escenarios», recalca el director estratégico de InnoTec, y los fabricantes están sacando soluciones para trabajar con los antivirus de forma diferente, incluso algunos están implantando « nuevas técnicas utilizando la inteligencia artificial ». Los informes indican que hasta la fecha se ha visto y se verá un especial interés por el cibersecuestro de servicios bancarios o sanitarios, pero también habrá una tendencia añadida por atacar a proveedores en la nube, como señalan las predicciones de los investigadores de Fortinet FortiGuard Labs .

Por otro lado, las llamadas puertas traseras o brechas de seguridad de ciertos programas se han convertido en uno de los caminos principales de ataque. Su actividad protagonista seguirá también ligada a las vulnerabilidades de las redes de protección. « Las vulnerabilidades que usan generan muchos incidentes también » a posteriori, señala Domínguez. Incidentes que luego prácticamente no tienen forma de resolverse.

«Como ya habíamos anticipado, los ataques a la cadena de suministro han demostrado ser una auténtica pesadilla. A medida que los actores de amenazas dirigidas continúen accediendo a empresas vulnerables, el uso de 'backdoors' en programas populares va a ser un vector de ataque cada vez más utilizado . Los ataques a la cadena de suministro permitirán a los ciberatacantes, mientras están bajo el radar de los administradores de sistemas y soluciones de seguridad, acceder a empresas de sectores objetivos», afirma Juan Andrés Guerrero-Saade , analista principal de seguridad de Kaspersky Lab en el último informe de la firma de ciberseguridad.

Otro de los retos a los que hay que seguir prestando atención es el «phishing »–la técnica que se utiliza para suplantar a una entidad fidedigna con el fin de robar sus datos personales y bancarios–. No es ninguna novedad, pero sí es una de las técnicas que los ciberdelincuentes utilizan directamente para timar a los usuarios o suplantarles –en algunos casos– la identidad para fines delictivos , como pudiera ser el realizar adquisiciones con los datos de esa persona.

En este sentido, los expertos vaticinan que el año que viene quedará manifiestamente probado el retorno de dos viejos conocidos que parecían superados en materia de ciberdelincuencia: «están volviendo los troyanos bancarios» y los gusanos. Domínguez explica que hay una familia de troyano bancario que desde junio está causando bastantes quebraderos de cabeza, «TrickBot», cuyo fin es el robo masivo de las credenciales bancarias de los clientes de las entidades financieras. Este ataque «se apoya en alguno de los avances o técnicas similares a los que ha tenido WannaCry en su expansión o en los que ha podido tener 'Mirai' en el uso de dispositivos conectados de todo tipo».

A este respecto, debido a una tendencia en aumento de un mayor uso de dispositivos conectados tanto en coches, hogares y oficinas, e incluso en sistemas de «smart cities» o ciudades inteligentes, el crimen organizado en internet también se está volcando en el IoT, como según recoge un documento de la firma Fortinet . Por lo tanto, se entiende que también afectará al entorno empresarial, «con todo el tema de la hiperconectividad, la industria 4.0 cada vez está más conectada», apunta Domínguez , «no me extrañaría que aparecieran y se vieran incidentes que tuvieran que ver con el coche conectado y la ciberseguridad».

Otro de los dispositivos en el que también se están concentrando los esfuerzos de los cibercriminales por su cada vez mayor uso frecuente son los «smartphones». Según el análisis de Kaspersky , en los últimos años se ha observado el aumento de virus informáticos de cara a los móviles, mucho más fuertes y que que se combinan con exploits –las herramientas de dispersión automática por la red–, por lo que «constituye un arma poderosa contra la que cabe poca protección» .

Los expertos insisten en que tomar conciencia acerca de los posibles daños reales que supone sufrir un ciberataque está provocando una puesta al día de los programas de contingencia contra ciberdelincuentes a una velocidad estrepitosa. «La adopción de la tecnología en cuanto a temas de la ciberseguridad va a ser mayor de lo que estamos viendo hasta ahora», analiza Víctor Escudero , responsable de implantación de soluciones de ciberseguridad en S21sec .

Este año, en efecto, ha quedado claro que incluso las técnicas de ciberdelincuencia clásicas siguen teniendo efectos. Telefónica vivió en sus propias carnes una realidad que muchas empresas vivirán el año que viene, la responsabilidad de notificar a sus clientes que un criminal de la red ha sabido sortear sus barreras. La compañía comunicó su situación pese a no estar obligada por ley y bajo el riesgo de perder su reputación, pero lo cierto es que a partir del año que viene las empresas estarán obligadas a avisar de que tienen una brecha de seguridad bajo la pena de una imposición de multa de una alta cuantía. Así está recogido en el Reglamento General de Protección de Datos de la Unión Europea ( GDPR ) que entrará en vigor el año que viene.

En cierto modo, aunque las empresas han hecho los deberes y entienden los riesgos que supone un ciberataque se está generando dos respuestas diferentes. Por un lado, aquellas que quieren ponerse al día de un día para otro, cuando es una puesta a punto que para que sea efectiva requiere tiempo. «Es un camino de un nivel de maduración de la organización grande» , puesto que «en temas de seguridad te puedes gastar mucho dinero, pero no vas a obtener una respuesta efectiva cuando tienes sistemas antiguos», añade Escudero .

Por otro lado, el perjuicio que supone para una compañía admitir un fallo de seguridad ante la pérdida de confianza de sus clientes puede llevar a algunas organizaciones a no querer admitir públicamente que tienen una brecha en su «escudo» . Los investigadores que trabajan en este campo, muchas veces son analistas independientes que prueban como infiltrarse en la red de una empresa, una vez encuentran un fallo reportan a la compañía que tienen un fallo de seguridad y que puede haber sido aprovechado en otras ocasiones por delincuentes, estos expertos ostentan distintos nombres entre ellos: «white hacks» o cazadores de bugs .

Sin embargo, en ocasiones se observa que «a los investigadores se les está acallando», señala Escudero, ya que una vez que ese investigador alerta de una vulnerabilidad en el sistema debería recibir una recompensa a cambio y en vez de eso se les amenaza con llevarles a los tribunales. En Estados Unidos esto puede ser interpretado como un acto ilegal, puesto que la manera de averiguar si existen brechas de seguridad es indagar por las mismas vías por las que entraría un cibercriminal. Y, ante la duda, ya se sabe: no hay nada 100% seguro si se conecta a internet.