¿Y si mi empresa está siendo vigilada por ciberdelincuentes?

Javier Junquera Sánchez, UNIR – Universidad Internacional de La Rioja

La industrialización de los ciberataques a lo largo del último lustro ha supuesto, además de un drástico incremento en el número de sistemas infectados, el desarrollo de técnicas y tácticas de ataque cada vez más sofisticadas.

Más allá del plano puramente técnico, los cibercriminales han evolucionado en cuanto a la forma de incrementar sus probabilidades de éxito. Frente al ya clásico ransomware (por el que se pide un rescate para el descifrado de los archivos secuestrados), las nuevas variantes sortean incluso contramedidas de resiliencia (como hacer copias de seguridad), extrayendo los archivos antes de borrarlos. Posteriormente, amenazan con su publicación si no se produce el pago.

Un incidente de ciberseguridad puede tener costes difíciles de cuantificar (como los reputacionales) pero en términos de cese de negocio el impacto es innegable. A esto habría que añadir las obligaciones legales y las sanciones económicas que puede llevar asociadas un incidente de hackeo (véase multas por incumplimiento en la protección de datos RGPD). Esta última variante de extorsión surge porque los ciberdelincuentes sí que han hecho los cálculos.

Los incidentes más graves ocurridos a lo largo del último año (SUNBURST y el reciente ataque a la empresa Kaseya), permiten sintetizar muy bien el panorama actual:

1. Cuando se descubre el ataque, siempre es tarde. REvil (el programa malicioso distribuido a través de Kaseya) no inicia comunicaciones con sus servidores de mando y control hasta que ha tomado completamente el sistema. En el caso de SUNBURST, los atacantes llevaban al menos 7 meses infiltrados en SolarWinds cuando se hizo pública la infección.
2. Cualquier organización puede ser un objetivo para los ciberdelincuentes. Cualquier organización, independientemente de su tamaño, puede estar involucrada en una cadena de suministro que la haga susceptible de ser objetivo de los cibercriminales. Los ataques basados en la cadena de suministro son una tendencia al alza que ha puesto en alerta a las principales agencias de seguridad.

Las pymes como objetivo

Pese a que pocas organizaciones perciben el riesgo de ser objetivo de los cibercriminales (apenas un 0,2%, según un informe de Google), el 81,8% de los incidentes registrados en 2020 se produjeron en pymes. El motivo de este aumento es su vulnerabilidad: atacar un objetivo débil suele conllevar menos esfuerzos y, por tanto, es más rentable.

Según un estudio de ENISA, un 57% de las pymes no sobreviviría más de medio año tras un incidente informático.

Detectar a tiempo

Una vez burladas las medidas de detección y prevención de las amenazas cibernéticas, son claves la monitorización y detección temprana de los incidentes para mitigar el desastre. De hecho, las empresas deberían trabajar bajo la premisa de que más de una vez las medidas de prevención no serán suficientes.

Lo ideal es contar con herramientas, sistemas y personal dedicado a la gestión de la ciberseguridad. Aunque hasta hace poco esto podía ser prohibitivo, los fabricantes han trabajado para dar acceso a herramientas profesionales asequibles, tanto para la prevención como para la detección de amenazas.

Sin embargo, hay indicadores fácilmente perceptibles que pueden alertar de que algo está pasando:

• Recepción de comunicaciones sospechosas con información muy específica. Un ciberataque suele ir precedido por una fase de reconocimiento del entorno. Si se reciben correos sospechosos que contienen información muy dirigida (nombres propios o que muestran el conocimiento de las estructuras de la organización) es porque alguien se ha fijado en la empresa o incluso ya tiene acceso a alguna parte de sus sistemas y busca escalar dentro de ellos.
• Envío de comunicaciones fraudulentas desde los sistemas de la empresa. A la hora de realizar esa escalada se parte desde algún punto interno. Por ejemplo, el programa malicioso Emotet contestaba a hilos de correo haciéndose pasar por el ordenador infectado para hacer más legítimas sus comunicaciones.
• Pérdida de eficiencia repentina en los sistemas. El uso del sistema por programas maliciosos tiene un impacto en su funcionamiento. Procesos como la recopilación o exfiltración de datos consume todo tipo de recursos: uso de disco, de procesador, de ancho de banda, de energía…
• Desaparición o interacción con sistemas de seguridad. Tras infectar los equipos, el programa malicioso puede desplegar todo un abanico de técnicas destinadas a aumentar su impacto: destruir procesos que impidan sus tareas (como los antivirus) y eliminar copias de seguridad.

No hay que olvidar los teléfonos móviles. Estos dispositivos inteligentes se han incorporado a casi todos los procesos de negocio y también pueden ser puerta de entrada para un ataque a la organización.

Si un proceso en segundo plano tiene un impacto perceptible en la eficiencia de un ordenador, en un teléfono móvil puede ser disruptivo. Como, además, en estos dispositivos la batería es un recurso limitado, puede ser fácil detectar que está pasando algo.

Capacitación en ciberseguridad

Responder a un incidente de ciberseguridad no es plato de buen gusto para nadie. Para evitarlos son indispensables las soluciones tecnológicas: desde productos antivirus a sistemas avanzados de monitorización.

Pero también es imprescindible la capacitación del personal, pues la gran mayoría de los ciberataques tienen éxito explotando el factor humano, incluso en entornos dotados de tecnología punta.

Cuando no se consigue contener un ataque, deben existir planes de contingencia correctamente implementados y el personal debe saber responder de forma adecuada. Puede ser la diferencia entre salir del ataque o quedarse en el camino.