Las amenazas cibernéticas persistentes suponen un reto crítico para la red eléctrica de Estados Unidos.
Esa es una de las principales advertencias del organismo regulador de la red eléctrica del país, la North American Electric Reliability Corporation (NERC), que publicó dicha evaluación en un informe reciente titulado « » ().
El año pasado, las empresas de servicios públicos registraron miles de incidentes cibernéticos sospechosos cada día, según el informe « August 2021 ».
Los ataques de ransomware se dispararon un 170 %, los problemas relacionados con la cadena de suministro aumentaron un 118 %, los problemas de vulnerabilidad se incrementaron un 156 % y la actividad sospechosa creció un 111 %, según la NERC, que supervisa las normas obligatorias de fiabilidad para los proveedores de sistemas eléctricos a gran escala en Estados Unidos y Canadá. Los proveedores también informaron de que el número de vulnerabilidades y problemas de ciberseguridad registrados en el portal « » ( ) del E-ISAC (Centro de Intercambio y Análisis de Información sobre la Electricidad) se disparó un 96 %.
«Los tipos de amenazas que estamos observando, la persistencia de las mismas, el número de vectores de ataque y la naturaleza cada vez más distribuida del sistema, que aumenta los vectores de ataque: todos estos factores han aumentado», declaró John Moura, director de evaluación de fiabilidad y análisis de rendimiento de la NERC, a los periodistas en una rueda de prensa celebrada la semana pasada. «A diferencia de otros riesgos, estos resultan más difíciles de gestionar, ya que nos referimos a agentes maliciosos».
El auge del teletrabajo provocado por la pandemia amplió el ámbito de ataque de los piratas informáticos durante 2020 y sentó las bases para el aumento tanto de los incidentes cibernéticos como de la inquietud en el sector. Además, aunque los piratas informáticos utilizaron estrategias ya conocidas, como el phishing , el malware y el ransomware, se centraron cada vez más en las cadenas de suministro , según afirmó la NERC, que citó la brecha de seguridad en la cadena de suministro de SolarWinds como ejemplo de la «extraordinaria capacidad y persistencia de los adversarios».
Las conclusiones del organismo regulador son inquietantes para el futuro del sector de los servicios públicos. En abril, los piratas informáticos demostraron ampliamente su destreza a la hora de infiltrarse en empresas del sector energético con el ataque de ransomware perpetrado contra Colonial Pipeline . Y, cuando ya solo quedan unos meses para que finalice el año 2021, el ámbito de ataque de las empresas de servicios públicos sigue siendo amplio y no da señales de reducirse, debido a la continuidad del teletrabajo.
Seis de la mañana
Entre los incidentes cibernéticos registrados por las empresas de servicios públicos en 2020, algunas tendencias y tipos de ataque llamaron la atención de la NERC. Según el informe, el ransomware está pasando de las campañas genéricas de phishing a la búsqueda de «objetivos de mayor valor», como organizaciones externas, por ejemplo, los proveedores de servicios gestionados. Si desea un ejemplo de este tipo de ciberataque, no tiene más que fijarse en el ataque a la cadena de suministro de « » perpetrado en julio contra la empresa de software con sede en EE. UU. Kaseya .
Los ataques de denegación de servicio distribuido con rescate (RDDoS) también han hecho saltar las alarmas. Según la NERC, el año pasado los piratas informáticos atacaron a miles de organizaciones de todo el mundo, exigiendo pagos en bitcoins para evitar un ataque DDoS. Aunque las empresas de servicios públicos lograron mitigar los efectos del ataque, su «alcance y su posible impacto» constituían motivo de preocupación, según la NERC.
Las vulnerabilidades críticas constituían otro motivo de preocupación. Las empresas dependen cada vez más de productos de seguridad de red, como los cortafuegos perimetrales y los dispositivos de red privada virtual, para gestionar el teletrabajo. A medida que estos dispositivos se han ido generalizando, también lo han hecho las vulnerabilidades que podrían permitir a los atacantes acceder a los sistemas.
«A diferencia de otros riesgos, estos son más difíciles de gestionar porque estamos hablando de actores maliciosos.»John Moura, director de evaluación de la fiabilidad y análisis del rendimiento de la NERC
Aunque es fácil alarmarse ante los avances que han logrado los piratas informáticos en el sector de los servicios públicos, las vulnerabilidades que los ciberdelincuentes intentan aprovechar —como las deficiencias en la higiene cibernética y la falta de visibilidad sobre las cadenas de suministro— son bien conocidas y pueden subsanarse.
Planificación estratégica
La NERC hace hincapié en la necesidad de revisar y mejorar las estrategias de higiene cibernética. Lo ideal es garantizar que el software esté actualizado, que las operaciones de gestión de parches sean ágiles y puntuales, que los dispositivos conectados a Internet estén correctamente configurados, que los derechos de administrador se controlen de forma estricta, que las contraseñas sean seguras y se actualicen periódicamente, y que se aplique una política de «cero confianza» para el acceso a la red. Plataformas como la de Tanium pueden ayudar a las empresas de servicios públicos de cualquier tamaño a supervisar los terminales y a mantenerse al día con los dispositivos y el software que han proliferado en un entorno de trabajo a distancia.
La NERC hace hincapié en la necesidad constante de que los empleados se mantengan alerta ante los ataques de spear phishing. El organismo de control señala asimismo que los equipos de seguridad deben estar atentos a la posibilidad de que los piratas informáticos intenten reclutar a sus empleados y proveedores. Las empresas de servicios públicos deberían evaluar minuciosamente los contratos «llave en mano», que son habituales en el sector y pueden suponer un riesgo de seguridad duradero a lo largo de todo el ciclo de vida de una infraestructura.
Una medida de defensa fundamental para el sector de los servicios públicos en su conjunto consiste en compartir información en tiempo real para alertar a los posibles objetivos sobre las amenazas. Afortunadamente, el sector está reaccionando, incluso las empresas de servicios públicos más pequeñas, que quedan fuera del ámbito de competencia del organismo regulador. A la luz de los comentarios que está recibiendo, E-ISAC está poniendo en marcha proyectos piloto destinados a mejorar la visibilidad en los sistemas clave de tecnología operativa, así como en las redes informáticas.
Una buena noticia que se desprende del informe del NERC es que ninguno de los incidentes cibernéticos del año pasado provocó una pérdida de carga en la red eléctrica nacional. Sin embargo, el aumento de los ataques de piratas informáticos contra los perímetros de seguridad, junto con la ampliación de las redes remotas que las empresas de servicios públicos gestionarán en un futuro próximo, hace que las conclusiones de la NERC constituyan una llamada de atención que el sector no puede ignorar.
