Amenazas de ciberseguridad modernas: todo lo que necesitas saber

Las organizaciones de todos los tamaños pueden ser víctimas de las amenazas cibernéticas modernas. Un actor malintencionado puede tener varios motivos para llevar a cabo un ataque, el más común es la ganancia financiera. Dependiendo de la política de recuperación ante desastres de la empresa, un ciberataque puede afectar significativamente la continuidad del negocio, el flujo de ingresos y la confianza de los clientes.

El seguimiento y el estudio de la evolución de las amenazas cibernéticas es fundamental para una mejor estrategia de ciberseguridad. Este artículo analizará los tipos más comunes de amenazas cibernéticas, las técnicas de los actores de amenazas para infiltrarse en las redes de la empresa y las mejores prácticas para mejorar las defensas de la empresa.

Las amenazas cibernéticas se refieren a cualquier ataque potencialmente malicioso que tenga como objetivo obtener acceso no autorizado a una red para robar datos confidenciales, interrumpir las operaciones comerciales o dañar la infraestructura y la información críticas.

Las amenazas cibernéticas pueden provenir de numerosos actores: piratas informáticos, hacktivistas, estados-nación hostiles, espías corporativos, organizaciones criminales, grupos terroristas o personas con información privilegiada descontentas.

Un ciberatacante puede utilizar los datos confidenciales de un empleado o de una empresa para obtener acceso a cuentas financieras o eliminar, corromper o robar datos para beneficio personal. Si no se atienden, las amenazas cibernéticas pueden corromper la red informática de la empresa, detener los procesos comerciales y causar un tiempo de inactividad indefinido.

Las amenazas a la ciberseguridad pueden presentarse de muchas formas. Es por eso que estudiar los posibles peligros cibernéticos y prepararse para combatirlos es crucial.

El malware (abreviatura de "software malicioso") es un software diseñado específicamente para inyectar código malicioso en un dispositivo o red de destino y permitir otras acciones dañinas, como corromper datos confidenciales o adelantarse a un sistema.

Los ataques de ransomware son un tipo de ataque de malware que bloquea el acceso a los sistemas informáticos o a los datos hasta que se pague un rescate. Estos ataques suelen desencadenarse mediante la descarga de malware en el sistema de destino. Algunos ataques tienen como objetivo robar datos antes de cifrar el sistema de destino, lo que los clasificaría como violaciones de datos.

Los ataques de phishing son correos electrónicos, llamadas telefónicas, mensajes de texto o sitios web malintencionados diseñados para engañar a los usuarios para que descarguen malware (ataque de descarga no autorizada), compartan información confidencial o datos de identificación personal (números de Seguro Social, información de tarjetas de crédito, credenciales de inicio de sesión) o atraigan otras acciones que expongan a las víctimas o a su empresa a amenazas cibernéticas.

Un ataque de phishing exitoso puede provocar robo de identidad, ataques de ransomware, violaciones de datos, fraude con tarjetas de crédito y pérdidas financieras para la organización.

Los cinco tipos más comunes de ataques de phishing son el phishing por correo electrónico, el phishing por spear, el phishing SMiShing, el whaling y el phishing por angler.

Una amenaza persistente avanzada (APT) es un ciberataque cada vez más sofisticado en el que los ciberdelincuentes establecen una presencia no detectada en un sistema o red para robar información durante un período prolongado. Los ataques APT se planifican y diseñan meticulosamente para dirigirse a una organización específica, eludir los medios de seguridad existentes y pasar desapercibidos durante el mayor tiempo posible.

Los ataques APT suelen requerir una personalización más completa que los ciberataques tradicionales. Los atacantes suelen ser equipos experimentados de ciberdelincuentes con una financiación significativa para perseguir objetivos de alto valor. Para explotar las vulnerabilidades dentro del sistema de destino, han invertido un tiempo y un esfuerzo considerables en la investigación de todos los posibles puntos de entrada dentro de la organización.

Las cuatro razones generales de las APT son el ciberespionaje (incluidos los secretos de Estado o el robo de propiedad intelectual), el hacktivismo, la delincuencia electrónica con fines de lucro y la destrucción de datos e infraestructura.

El ataque de ingeniería social tiene como objetivo engañar a los usuarios para que hagan algo jugando con sus emociones y su proceso de toma de decisiones. La mayoría de los ataques de ingeniería social suelen implicar una forma de manipulación psicológica para engañar a los empleados desprevenidos para que entreguen información confidencial. Por lo general, la ingeniería social utiliza el correo electrónico, las redes sociales u otros canales de comunicación para invocar la urgencia o el miedo en el usuario para que la víctima revele datos críticos, haga clic en un enlace malicioso o ejecute código malicioso de alguna forma.

Los ataques al Sistema de Nombres de Dominio (DNS) se producen cuando los ciberdelincuentes explotan las vulnerabilidades del DNS de un servidor. El propósito de DNS es utilizar un solucionador de DNS para traducir nombres de dominio fáciles de usar en direcciones IP legibles por una máquina.

En primer lugar, el solucionador de DNS consultará su caché local para obtener el nombre de dominio y la dirección IP. Si no localiza los registros requeridos, consultará a otros servidores DNS. Si ese paso del proceso también falla, el solucionador buscará el servidor DNS que contiene la asignación canónica del dominio. Una vez que el solucionador localiza la dirección IP específica, la devolverá al programa solicitante y la almacenará en caché para su uso futuro.

Los ataques DNS suelen aprovechar la comunicación de texto sin formato entre los usuarios y los servidores DNS. Otro tipo de ataque común es iniciar sesión en el sitio web de un proveedor de DNS a través de credenciales robadas y redirigir los registros DNS.

Un ataque de denegación de servicio (DoS) tiene como objetivo apagar una máquina, sistema o red, volviéndolo inaccesible para los usuarios previstos. Los ataques DoS inundan el objetivo con tráfico o envían conjuntos de información específicamente diseñados para desencadenar un bloqueo. Ambos escenarios bloquearán el acceso a los usuarios legítimos del recurso o servicio.

Aunque los ataques DoS no suelen implicar el robo o la pérdida de datos, pueden costar a una empresa una cantidad significativa de tiempo y dinero restaurar los sistemas a su estado original.

Un ataque de denegación de servicio distribuido (DDoS) sigue un patrón similar al de los ataques DoS. Sin embargo, un ataque DDoS utilizará múltiples sistemas comprometidos para entregar tráfico de ataque. Las máquinas explotables pueden ser equipos, dispositivos IoT u otros recursos de red.

El robo de propiedad intelectual (PI) se refiere a la explotación no autorizada o el robo de ideas, obras creativas, secretos comerciales y otra información confidencial protegida por las leyes de PI. El robo de propiedad intelectual puede comprender varias violaciones de información confidencial, incluidas las infracciones de marcas comerciales, derechos de autor y patentes.

El robo de propiedad intelectual puede afectar a individuos, pymes y líderes empresariales globales y amenazar la seguridad nacional. El robo de propiedad intelectual puede socavar el crecimiento económico y la innovación, lo que hace que la seguridad de la red IP sea imprescindible para organizaciones de todos los tamaños.

Una violación de datos se refiere a un incidente de seguridad en el que partes no autorizadas obtienen el control de información sensible o confidencial: datos personales, como números de Seguro Social, detalles de cuentas bancarias, datos de atención médica o activos corporativos: registros de datos de clientes, información financiera, propiedad intelectual, etc.

Las "violaciones de datos" a menudo se usan indistintamente con "ataques cibernéticos". Sin embargo, no todas las violaciones de datos son ataques cibernéticos, y no todos los ataques cibernéticos son violaciones de datos. Un ataque puede considerarse una "violación" cuando conduce al compromiso de la confidencialidad de los datos. Por ejemplo, un ataque DDoS que bloquea el tráfico de red no se considera una "infracción". Por otro lado, los virus informáticos que tienen como objetivo robar o destruir datos en la red de la empresa son una "brecha". Lo mismo se aplica al robo físico de unidades de medios de almacenamiento: discos duros externos, unidades USB e incluso archivos en papel que contienen información esencial.

Numerosos exploits pueden permitir ataques cibernéticos en la red de una empresa. A continuación, analizaremos los enfoques más comunes que utilizan los ciberatacantes para penetrar las defensas del sistema.

Un man-in-the-middle (MiTM) se refiere a los ataques en los que los actores de amenazas interceptan y retransmiten mensajes en secreto entre dos partes autorizadas para hacerles creer que se están comunicando directamente entre sí. El ataque se puede clasificar como "espionaje", en el que los atacantes interceptan y controlan toda la conversación.

Los ataques MiTM brindan al actor malicioso la capacidad de capturar y manipular información personal confidencial (credenciales de inicio de sesión, números de tarjetas de crédito y detalles de cuentas) en tiempo real y, por lo tanto, representan una amenaza significativa para las redes de la empresa.

Las vulnerabilidades de terceros pueden ser introducidas en el ecosistema o la cadena de suministro de una organización por partes externas. Dichas partes pueden incluir proveedores, vendedores, contratistas, socios o proveedores de servicios, que pueden acceder a datos internos de la empresa o de los clientes, procesos, sistemas u otros datos de infraestructura crítica.

La inyección SQL (SQLi) es una vulnerabilidad que permite a los atacantes interferir con las consultas de una aplicación a su base de datos. Por lo general, estos ataques permitirán al actor de amenazas ver datos confidenciales: datos de cuentas de usuario u otra información confidencial a la que pueda acceder la aplicación. En la mayoría de los casos, los atacantes pueden modificar, corromper o eliminar dichos datos y provocar cambios persistentes en el comportamiento o el contenido de la aplicación.

En algunos escenarios, los atacantes pueden escalar un ataque de inyección SQL para poner en peligro el servidor de destino u otra infraestructura clave o realizar un ataque DoS.

A veces, los empleados pueden invocar amenazas internas sin darse cuenta. Las acciones accidentales que pueden conducir a una violación de datos incluyen:

• Escribir mal una dirección de correo electrónico y enviar accidentalmente datos comerciales críticos a un competidor.
• Abrir archivos adjuntos en correos electrónicos de phishing que contengan un virus o malware.
• Sin saberlo, hacer clic en un hipervínculo malicioso.
• Eliminación inadecuada de documentos confidenciales.

El software sin parches contiene vulnerabilidades conocidas que permiten a los atacantes explotar las debilidades e implementar código malicioso en el sistema. Los atacantes a menudo sondean el software de la empresa para buscar sistemas sin parches y atacarlos directa o indirectamente.

Una vulnerabilidad de día cero es una vulnerabilidad de software descubierta por actores maliciosos antes de que el proveedor de software se haya dado cuenta de ella. Debido a que los desarrolladores no conocen la vulnerabilidad, no han publicado un parche para solucionarla.

Un exploit de día cero aprovecha estas vulnerabilidades para atacar sistemas con debilidades previamente identificadas. Un ataque exitoso de día cero deja a los proveedores y empresas con "0 días" para reaccionar, de ahí el nombre del ataque. Estos ataques pueden causar estragos en un sistema de destino hasta que se corrija la vulnerabilidad.

Los atacantes pueden utilizar métodos de aprendizaje automático (ML) (redes generativas adversarias, aprendizaje por refuerzo, etc.) para crear nuevas amenazas cibernéticas altamente sofisticadas que puedan atravesar las defensas cibernéticas tradicionales con mayor facilidad.

A través de herramientas de IA generativa (por ejemplo, ChatGPT), los ciberdelincuentes pueden crear códigos maliciosos mejores y más sofisticados, escribir correos electrónicos de phishing personalizados impulsados por IA, generar datos falsos profundos, sabotear ML en la detección de amenazas cibernéticas, descifrar CAPTCHA y permitir la adivinación eficiente de contraseñas y los ataques de fuerza bruta.

Los ataques a la cadena de suministro se producen cuando los atacantes utilizan un proveedor externo con acceso a los sistemas o datos de destino para infiltrarse en la infraestructura crítica. Debido a que a la parte externa se le ha otorgado acceso a las aplicaciones, los datos confidenciales y las redes de la empresa, los atacantes pueden violar las defensas del tercero para infiltrarse en el sistema más fácilmente.

La manipulación de datos es una amenaza cibernética de próxima generación. En lugar de eludir bruscamente el software antivirus, los atacantes realizan ajustes sutiles y sigilosos en los datos objetivo para obtener algún efecto o ganancia. Algunos actores de amenazas pueden decidir manipular los datos para desencadenar eventos de forma intencionada y aprovecharlos. Cuanto más sofisticado sea el fraude, mayor será la posibilidad de que la manipulación comprometa la integridad de los datos.

Examinemos dos ejemplos de amenazas de ciberseguridad que se convirtieron en ataques en toda regla.

El servicio de videovigilancia basado en la nube, Verkada, fue hackeado en marzo de 2021. Tras el ataque, los actores de amenazas pudieron acceder a los datos privados de los clientes a través del software Verkada. Además, los atacantes tenían acceso a más de 150.000 cámaras en hospitales, escuelas, fábricas, prisiones y otras instituciones a través de credenciales de cuentas de administrador legítimas que encontraron en línea.

Más tarde, se identificó que más de 100 empleados de Verkada tenían privilegios de "superadministrador", lo que permitía el acceso a miles de cámaras de clientes, lo que definía el riesgo significativo asociado con un gran número de usuarios con demasiados privilegios.

Ubiquiti Networks Inc., una empresa estadounidense de tecnología de redes, fue víctima de un ataque de spear phishing. Los ciberdelincuentes se hicieron pasar por una entidad externa (junto con algunos empleados de alto nivel) para atacar al equipo financiero de Ubiquiti y engañarlos para que transfirieran un total de 46,7 millones de dólares.

Tras el ataque, los asesores externos y el comité de auditoría de la empresa informaron de importantes deficiencias en los controles internos de información financiera de la organización, lo que provocó la dimisión del director financiero.

Incluso si no amenazan la seguridad nacional, las amenazas de ciberseguridad pueden afectar gravemente a los procesos diarios, el flujo de ingresos y los hitos de continuidad del negocio de una organización.

Para combatir los riesgos de ciberseguridad desde el exterior, así como las amenazas internas, las empresas deben confiar en las mejores prácticas de seguridad de datos.

• Cifrado de datos y copias de seguridad periódicas

Guardar datos críticos en un formato de texto normal facilita el acceso a los atacantes. El cifrado de datos limita el acceso a los activos a los usuarios con una clave de cifrado. Incluso si los piratas informáticos logran acceder a los datos, no podrán leerlos a menos que los descifren. Además, algunas soluciones de encriptación le alertarán si otras partes intentan alterar o manipular los datos.

Otro aspecto crítico de la protección de datos son las copias de seguridad periódicas de toda la información importante. A veces, las amenazas de ciberseguridad pueden convertirse en violaciones de datos en toda regla, lo que lleva a la pérdida de datos. Después de tal escenario, no podrá recuperar los datos perdidos a menos que mantenga una copia de seguridad confiable y segura en el almacenamiento.

Si no se restauran los datos operativos, puede provocar tiempo de inactividad, pérdida de ingresos y desconfianza de los clientes. En este caso, el equipo de seguridad debe seguir unas directrices sólidas de copia de seguridad, como la regla de copia de seguridad 3-2-1. La regla sugiere que mantenga dos copias de sus datos localmente en diferentes medios, con una copia adicional almacenada en una ubicación externa.

• Capacitación periódica de los empleados

Los correos electrónicos de phishing son una de las principales formas en que los piratas informáticos se infiltran en las redes de la empresa. Si sus empleados interactúan con correos electrónicos fraudulentos, pueden instalar malware sin saberlo o conceder acceso a la red a los atacantes.

Los correos electrónicos de phishing son difíciles de detectar, ya que parecen legítimos a primera vista. Sin la capacitación adecuada, sus empleados pueden ser engañados y hacer clic en un enlace malicioso, abrir un archivo adjunto dañado o enviar información confidencial al atacante. Es por eso que realizar capacitaciones periódicas de concientización sobre ciberseguridad es crucial para educar a sus empleados sobre las principales formas de amenazas cibernéticas y las mejores formas de bloquearlas.

• Actualizaciones de sistemas y software

Los parches de software y sistema son vitales para su estrategia de ciberseguridad. Agregan nuevas características y funcionalidades y corrigen fallas de seguridad y vulnerabilidades de software que los actores maliciosos pueden explotar de otro modo.

La actualización rápida de sus sistemas es fundamental para contrarrestar el código malicioso que busca explotar las debilidades del software. Lo mejor es confiar en una solución de gestión de parches para automatizar el proceso e implementar todas las actualizaciones críticas tan pronto como se emitan.

• Evaluaciones y supervisión de proveedores

Como se mencionó, los actores de amenazas pueden explotar las vulnerabilidades en el entorno de su proveedor para romper las defensas de la empresa. Por eso es esencial contar con una gestión integral de los riesgos de los proveedores. Esto le ayudará a mitigar el riesgo de terceros en lugar de depender únicamente de la respuesta a incidentes.

• Contraseñas seguras

Un número asombroso de violaciones de datos son el resultado de contraseñas débiles. Dado que la tecnología de descifrado de contraseñas ha recorrido un largo camino en los últimos años, las contraseñas simples suelen quedar obsoletas cuando se lucha contra las amenazas de ciberseguridad.

Todos los miembros de su organización deben usar contraseñas complejas combinadas con autenticación multifactor para denegar el acceso a partes no autorizadas. También es mejor eliminar el uso compartido de contraseñas para aislar un ataque si un solo dispositivo se ve comprometido. Además, es mejor mantener todas las contraseñas en un formato cifrado.

• Minimizar la superficie de ataque

La superficie de ataque de una red comprende todos los puntos de entrada potenciales que los atacantes pueden explotar (software, sistemas de aplicaciones web, IoT, empleados, etc.) para penetrar las defensas de seguridad.

Los tres tipos principales de superficie de ataque son:

• Físico: incluye los activos de la empresa que un hacker puede utilizar si tiene acceso físico a sus oficinas.
• Digital: incluye activos a los que se puede acceder a través de Internet (y que no están protegidos por un cortafuegos). Estos incluyen servidores corporativos, sistemas operativos, activos obsoletos, como un sitio web antiguo pero aún activo, y más.
• Ingeniería social: en este tipo de superficie de ataque que a menudo se pasa por alto, los atacantes explotan la psicología humana y manipulan a los empleados para que compartan información confidencial.

• Mejorar la seguridad física

La mayoría de las estrategias de gestión de riesgos cibernéticos se centran en el aspecto digital de su entorno, descuidando las instalaciones físicas de la empresa. Sin embargo, las organizaciones deben realizar evaluaciones de seguridad periódicas para determinar el estado de seguridad de la infraestructura crítica y protegerla de los atacantes que intentan entrar en sus oficinas.

• Un interruptor de apagado

Un interruptor de apagado puede proteger a su organización contra ataques a gran escala. Esta forma de protección reactiva de la ciberseguridad permite a su equipo de seguridad de TI apagar todos los sistemas tan pronto como detecten un comportamiento sospechoso hasta que se resuelva el problema.

Además, puede implementar un análisis integral de amenazas para inspeccionar los registros del servidor con frecuencia y realizar auditorías del marco de ciberseguridad para garantizar la integridad del sistema. Por último, es beneficioso implementar herramientas de análisis forense de red para analizar el tráfico de red.

• Cortafuegos

Un sistema de firewall confiable protegerá su red de ataques de fuerza bruta y evitará que los incidentes de ciberseguridad causen daños significativos. Además, los firewalls monitorean el tráfico de red para detectar e identificar actividades sospechosas que podrían comprometer la integridad de sus datos.

• Una política de ciberseguridad robusta

Las políticas integrales de ciberseguridad son parte integral de la detección de amenazas y la prevención de violaciones de datos. A la hora de crear tus directrices de ciberseguridad, debes cubrir varios aspectos críticos:

• Recuperación ante desastres (DR): un plan de recuperación ante desastres garantiza que todo el personal sepa qué hacer durante o después de un ataque. También minimiza el tiempo de inactividad y garantiza procesos empresariales sin obstáculos.
• Pruebas de seguridad: una política de pruebas de seguridad describe la frecuencia de las pruebas de ciberseguridad, lo que le permite descubrir y corregir vulnerabilidades antes de que los atacantes puedan explotarlas.
• Control y gestión de acceso: esta política describe qué partes pueden acceder a información confidencial, reduciendo así el riesgo de acceso no autorizado.
• Respuesta a incidentes (IR): la planificación de IR documenta los pasos y procedimientos a implementar en caso de una violación de datos. También asigna niveles de responsabilidad a los diferentes miembros de la organización y reduce el tiempo de respuesta de su empresa.

El Marco de Gestión de Riesgos (RMF) del NIST proporciona a las empresas un proceso de gestión de riesgos de privacidad y seguridad de la información de 7 pasos completo, flexible y medible. Las directrices y normas del NIST respaldan la implementación de programas de gestión de riesgos para proteger los sistemas cada vez más vulnerables, prevenir las filtraciones de datos y diseñar una sólida estrategia de ciberseguridad en línea con los requisitos de la Ley Federal de Modernización de la Seguridad de la Información (FISMA).

• Preparación

Incluye actividades y procesos esenciales para preparar a la organización para la gestión de riesgos de seguridad y privacidad.

• Categorización

Se refiere a la categorización del sistema de destino y todos los datos procesados, almacenados y transmitidos en función de un análisis de impacto de amenazas.

• Selección

Incluye la selección de los controles NIST SP 800-53 necesarios para proteger el sistema informático en función de evaluaciones de riesgos exhaustivas.

• Implementación

Hace referencia a la implementación de los controles establecidos y a la documentación del proceso de implementación de controles.

• Evaluación

Se refiere a evaluar si los controles de seguridad están correctamente establecidos, funcionan como se espera y proporcionan los resultados deseados.

• Autorización

Se refiere a los altos funcionarios que autorizan el funcionamiento del sistema tras un análisis y una decisión basados en el riesgo.

• Monitorización

Se refiere a la supervisión continua, la implementación del control y la identificación de riesgos potenciales para el sistema protegido.

Acronis Cyber Protect ofrece una ciberprotección completa en una única solución: puede gestionar la detección de amenazas, la protección de datos y las funciones de copia de seguridad y recuperación a través de un único panel de control centralizado para optimizar su estrategia de ciberseguridad.

Acronis Cyber Protect puede proteger los equipos Windows, macOS, Linux, iOS y Android. Además, puede ejecutar Acronis Cyber Protect en Acronis Cloud para garantizar una ciberprotección avanzada en entornos de trabajo híbridos, móviles y remotos.

Las amplias opciones de copia de seguridad eliminan la necesidad de un equipo de copia de seguridad de datos dedicado en las instalaciones, con la recuperación ante desastres en la nube que garantiza un tiempo de inactividad mínimo y una continuidad empresarial inigualable. Enfréntese fácilmente a las amenazas de ciberseguridad con Acronis Cyber Protect. Pruébelo hoy para proporcionar un mañana mejor para sus datos.