Tras un breve paréntesis en 2022, los ataques del ransomware « » ( ) han vuelto con fuerza y están afectando gravemente a las entidades financieras.
El año pasado, a medida que las organizaciones implementaban más controles de seguridad y aplicaban un mayor rigor en su forma de actuar frente a los piratas informáticos que buscaban obtener rescates, los ataques exitosos se redujeron en un 61 % en comparación con los 2021 registrados, según un informe de Delinea, una empresa de software de gestión de accesos. Aunque ningún profesional de la seguridad en su sano juicio habría cantado victoria en la lucha contra estas amenazas, las cifras sí que generaron una sensación generalizada de optimismo de que el sector estaba por fin logrando controlar la costosa plaga del ransomware.
No tan rápido.
En marzo, por diversas razones, todo se fue al traste. Corvus Insurance, que realiza un seguimiento de las publicaciones de los piratas informáticos en la dark web, informó de un aumento del 60 % en los ataques de ransomware que tuvieron éxito a principios de 2023 , en comparación con el mismo periodo del año anterior. Lo que resulta aún más preocupante es que la empresa ha observado un aumento del 300 % en los ataques contra empresas de servicios financieros.
Ryan Bell, responsable de inteligencia sobre amenazas de Corvus, considera que la amenaza de los ataques informáticos ha resurgido y podría causar todo tipo de estragos en los bancos y otras entidades financieras.
«Dado el descenso de los ataques registrado el año pasado, creo que quizá mucha gente se ha confiado demasiado», afirma. «Pero, atención, spoiler: a cinco meses de que haya comenzado este año, volvemos a observar aumentos. «Por lo tanto, a estas alturas, lo calificamos de tendencia, no de anomalía».
Causas desconocidas
¿A qué se debe esta tendencia? Bell y otros expertos en seguridad solo pueden hacer conjeturas. Hay quien sugiere que, el año pasado, los piratas informáticos no fueron realmente derrotados, sino que simplemente se les distrajo la atención con otras vulnerabilidades llamativas y brillantes relacionadas con la guerra de Rusia contra Ucrania. Hay quienes sostienen que las mejoras introducidas en el ransomware como servicio « », que se comercializa en la dark web, facilitaron a los grupos de piratas informáticos la realización de ataques. Hay quienes señalan, además, que bandas de piratas informáticos como y la rusa CL0P se aprovechan de las vulnerabilidades de los programas de software más comunes.
«. Alerta de spoiler: a cinco meses de que haya comenzado este año, estamos observando un nuevo repunte del [ransomware].» Por lo tanto, a estas alturas, lo calificamos de tendencia, no de anomalía.»Ryan Bell, responsable de inteligencia sobre amenazas, Corvus Insurance
Aunque estas teorías podrían explicar el resurgimiento del ransomware, este último punto —relativo a las bandas que se aprovechan de vulnerabilidades conocidas— podría ser el más relevante.
En junio, apenas una semana después de que el FBI y la Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA) advirtieran de que CL0P había detectado una grave vulnerabilidad en el software de transferencia de archivos MOVEit, ampliamente utilizado, la banda lanzó un ataque global a gran escala contra organismos del Gobierno de EE. UU., colegios y universidades, medios de comunicación como la BBC, , millones de ciudadanos en Luisiana, Oregón e Illinois, y miles de empresas. [Desde que se cerró la edición de este artículo, el número de víctimas no ha dejado de aumentar. Según a principios de julio, más de 200 organizaciones (entre las que se incluyen el Departamento de Salud y Servicios Humanos de EE. UU., la UCLA y el bufete de abogados multinacional Kirkland & Ellis) están, según se informa, haciendo frente a esta filtración, que ha afectado a los datos de unos 17.5 millones de personas.]
En el sector de los servicios financieros, según se ha informado, entre las primeras víctimas se encontraban importantes instituciones financieras estadounidenses ,, entre las que se encontraban 1st Source, First National Bankers Bank, Putnam Investments y Umpqua Bank. En febrero, CL0P también afirmó haber aprovechado una vulnerabilidad de tipo «zero-day» de en la herramienta de transferencia segura de archivos GoAnywhere MFT, lo que afectó a más de 130 organizaciones. La plataforma bancaria fintech , Hatch Bank , ha reconocido que ha sido víctima de dicho ataque.
Pasar a la acción
Bell señala que el tiempo medio que transcurre entre la revelación de una vulnerabilidad de seguridad y el momento en que los piratas informáticos la aprovechan se ha reducido ahora a dos semanas, lo que no deja mucho tiempo para que el responsable de seguridad de la información (CISO) de un banco, , pueda reaccionar. De hecho, en ocasiones, los piratas informáticos ya están aprovechando una vulnerabilidad antes de que los responsables de seguridad de la información (CISO) hayan tenido tiempo de corregirla, afirma.
«[Existen varias] teorías que podrían explicar el resurgimiento del ransomware, pero las bandas que se aprovechan de vulnerabilidades conocidas podrían ser la causa más importante.»
Independientemente de la rapidez o de las causas de dichos ataques, los expertos en seguridad afirman que las entidades financieras pueden minimizar sin duda alguna los posibles daños causados por el ransomware tomando estas cinco medidas de precaución de sentido común:
1. Conozca sus puntos débiles
Es fundamental conocer los sistemas y el software que tiene implementados y mantenerse al día sobre las vulnerabilidades y los exploits conocidos, sobre todo teniendo en cuenta la creciente rapidez de estos ataques. Las aseguradoras cibernéticas pueden ayudar en este sentido, afirma Bell. De hecho, Corvus realizará análisis periódicos de los sistemas de los clientes (siempre que esté permitido) para comprobar si los asegurados podrían verse afectados por vulnerabilidades conocidas y les avisará en caso de que así sea.
2. Utilice herramientas de gestión de la configuración
Jeff Farinich, director de seguridad de la información (CISO) de la entidad hipotecaria New American Funding, recomienda mantener configuraciones seguras mediante el uso de diversas herramientas de gestión de configuraciones en los servidores y, sobre todo, en los terminales. Aunque siempre existe el riesgo de una proliferación excesiva de herramientas de , el uso de dos o tres de ellas puede ofrecer una visión más completa de su situación de seguridad.
[Lea también: ¿Qué es la gestión de la configuración?]
3. Esté atento a las actualizaciones y a las instrucciones
No siempre habrá un parche de seguridad disponible cuando necesite corregir una vulnerabilidad de «día cero» en esas pocas semanas posteriores a que la falla se haga pública. Sin embargo, expertos como Farinich afirman que seguir una cadencia de aplicación de parches rigurosa, tal y como se indica en , puede evitar muchos problemas.
Y, en el caso de las vulnerabilidades críticas, se sabe que los proveedores publican actualizaciones. Incluso cuando no pueden hacerlo, suelen publicar avisos sobre cómo actuar ante una amenaza. Por ejemplo, en el caso de la vulnerabilidad de MOVEit, su desarrollador, Progress Software Corp., , recomendó inicialmente que se desactivara todo el tráfico HTTP y HTTPS hacia los entornos de MOVEit hasta que las organizaciones pudieran aplicar el parche que había desarrollado.
4. Preste atención al correo electrónico
Los piratas informáticos suelen llevar a cabo con éxito ataques de ransomware al conseguir que empleados desprevenidos hagan clic en enlaces falsos de correo electrónico, lo que les allana el camino para sus actividades digitales ilícitas. De hecho, se calcula que las pérdidas empresariales relacionadas con los ataques de suplantación de identidad en el correo electrónico empresarial (BEC) el año pasado ascendieron a más de 10 000 millones de dólares, por lo que resulta fundamental contar con sistemas antiphishing.
También es importante invertir en la formación de los empleados y en la sensibilización, ya que el 82 % de las filtraciones de datos implican el «factor humano», según el Informe de Investigaciones sobre Filtraciones de Datos de Verizon 2022 .
5. No confíe únicamente en la autenticación de dos factores (MFA)
Bell también advierte de que no se debe dar por sentado que la autenticación multifactorial (MFA) de le protegerá de los ataques de ransomware. Aunque son infinitamente mejores que las contraseñas para la gestión de identidades y accesos, las herramientas de «phishing como servicio», como EvilProxy y Greatness, cuentan ahora con potentes capacidades para eludir la autenticación multifactorial (MFA). En resumen, los hackers de han adaptado.
«Si es usted responsable de seguridad de la información (CISO) en el sector bancario, debe redoblar sus esfuerzos, ya que el umbral de acceso para los piratas informáticos es cada vez más bajo, hasta el punto de que pueden eludir incluso las contramedidas más básicas, como la autenticación multifactorial (MFA)», afirma Bell.
