Han vuelto , y con toda su fuerza: los ataques de denegación de servicio distribuida (DDoS), una de las formas más antiguas y sencillas de ciberataque, están experimentando un resurgimiento alarmante, que está afectando a bancos, instituciones gubernamentales, partidos políticos y otras entidades con una intensidad que no se había visto en décadas.
En los últimos meses, atacantes con motivaciones políticas o, en ocasiones, económicas han lanzado oleadas de botnets —redes de ordenadores comprometidos— con el fin de saturar y dejar fuera de servicio los servidores, dirigiendo sus ataques (por citar algunos ejemplos) contra , los sitios web del estado de Alabama; , el sistema judicial del estado de Pensilvania; , los aeropuertos internacionales de Los Ángeles y San Francisco; , la empresa de simulación de deportes de motor iRacing.com ; , el sitio web del videojuego Final Fantasy 14 ; , las aplicaciones de bancos rusos; , de bancos y bolsas de valores checos y polacos, así como del gobierno francés, del sueco, del canadiense y de Macao .
Si bien la mayor parte de la atención en materia de ciberseguridad se ha centrado en el ransomware y debido a las cuantiosas sumas que suelen exigirse, los ataques DDoS, de menor repercusión mediática, están resultando igualmente preocupantes debido al grave perjuicio que pueden causar a las operaciones y a la reputación de las empresas. No es casualidad que el aumento de los ataques DDoS se produzca en un momento de gran tensión política en todo el mundo y de una dependencia cada vez mayor del público respecto a determinados sitios web, aplicaciones y sistemas.
Los bancos y otras entidades financieras están siendo objeto de un ataque especialmente intenso, ya que los ataques contra ellos se dispararon un 154 % en 2023 en comparación con el año anterior, según un informe reciente del Centro de Intercambio y Análisis de Información sobre Servicios Financieros (FS-ISAC).
Entre los ataques dirigidos contra gobiernos, grupos de hacktivistas con sede en Rusia, como Anonymous Sudan, HackNeT y el People’s Cyber Army, han estado atacando a cualquier persona que tenga la más mínima relación con los conflictos de Ucrania y Gaza.
Y la red se está ampliando: los sectores de los videojuegos, las telecomunicaciones y las organizaciones humanitarias son ahora objetivos frecuentes, tal y como han señalado diversos informes; el sector minorista ha experimentado un reciente repunte; y los responsables de los Juegos Olímpicos de París mantuvieron un nivel de alerta elevado durante toda la celebración de los juegos, dados los anteriores ataques DDoS contra los Juegos Olímpicos en 2016 y 2018.
«Los ataques DDoS constituyen un método eficaz y económico para provocar perturbaciones, y los hacktivistas recurren cada vez más a este método como herramienta de ciberguerra», afirma Teresa Walsh, directora de inteligencia de FS-ISAC.
El modus operandi y las motivaciones que subyacen a los ataques DDoS
Un ataque DDoS intenta interrumpir el tráfico normal de una red inundándola con tráfico de Internet procedente de numerosas fuentes. Por lo general, lo hace infiltrándose en un gran número de ordenadores y, a continuación, aprovechando esa red de bots para saturar a un objetivo con datos, de forma muy similar a lo que ocurre cuando se lanzan tantos misiles contra los sistemas de defensa aérea que, al final, estos se ven desbordados.
«. Los ataques DDoS son un método eficaz y económico para provocar perturbaciones, y los hacktivistas recurren cada vez más a este método como herramienta de ciberguerra.»Teresa Walsh, directora de inteligencia de FS-ISAC
Entre las motivaciones habituales de los ataques DDoS se encuentran el deseo de inutilizar un sitio web o un servicio de acceso público y la extorsión, en la que un ciberdelincuente (al igual que un mafioso) demuestra su capacidad para inutilizar un sitio web y amenaza con llevarlo a cabo si la organización no abona una cuota periódica de protección, según explica Fernando Montenegro, analista principal sénior de Omdia en Toronto. Los ataques DDoS también pueden servir como señuelos para distraer la atención del personal de seguridad mientras un atacante se centra en objetivos más lucrativos, añade.
La buena noticia es que los ataques DDoS rara vez son muy sofisticados y pueden neutralizarse si se adoptan las medidas adecuadas. Un ejemplo claro: OVHcloud, una empresa francesa de computación en la nube, , afirmó que en abril logró repeler un ataque DDoS de 840 Mpps (millones de paquetes por segundo), una cifra récord. OVHcloud afirmó que el ataque fracasó porque la empresa disponía de suficiente capacidad de Internet para hacer frente a la avalancha digital que se le venía encima. En comparación, se estima que los servicios populares de streaming de contenidos gestionan alrededor de 100 Mpps durante las horas punta, cuando millones de usuarios ven vídeos al mismo tiempo. Las redes sociales pueden gestionar unos 200 Mpps en las horas punta, cuando los usuarios publican, dan «Me gusta» y comparten contenido de forma activa.
Por supuesto, no todas las organizaciones pueden prevenir los tres ataques DDoS más habituales:
- Basados en el volumen: , que saturan el ancho de banda de una red con grandes cantidades de tráfico.
- Basados en protocolos — —, que aprovechan las vulnerabilidades de los protocolos de red para consumir recursos del servidor.
- Basados en la capa de aplicación — — que se dirigen a aplicaciones web concretas con el fin de agotar dichos recursos.
Por ello, los expertos afirman que las empresas deben adoptar un enfoque en varias capas para prevenir y mitigar los ataques DDoS.
QUÉ HACER ANTES DE UN ATAQUE DDoS
Más vale prevenir que curar. Dado que los atacantes suelen buscar brechas en la seguridad de una organización, es fundamental aplicar las mejores prácticas para subsanar esas vulnerabilidades lo antes posible, con el fin de minimizar los daños causados por los ataques DDoS. Los expertos recomiendan varios enfoques para lograrlo, entre los que se incluyen:
1. Infórmese de lo que hay disponible
Walsh afirma que las organizaciones deben centrarse en el estudio y la comprensión de las tácticas de ataque en constante evolución, así como de las técnicas y procedimientos necesarios para defenderse de ellas.
2. Incluya los ataques DDoS en el modelo de amenazas
Según Montenegro, a la hora de diseñar un sistema, es importante tenerlo en cuenta y tener presentes las posibles amenazas específicas, incluidos los ataques DDoS. Esto pone de relieve la importancia de la modelización de amenazas, un proceso estructurado para identificar, evaluar y priorizar las posibles amenazas a la ciberseguridad. Los responsables de las empresas deben asegurarse de que este aspecto del proceso de desarrollo no se pase por alto ni se eluda.
3. Vigile cualquier actividad sospechosa
En un informe conjunto, el FBI, la Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA) y el Centro Multiestatal de Intercambio y Análisis de Información (MS-ISAC) recomiendan implementar un sistema sólido de supervisión de redes y herramientas de detección de intrusiones para identificar patrones de tráfico inusuales o sospechosos. Asimismo, recomiendan realizar análisis periódicos del tráfico para detectar anomalías.
4. Mantenga los activos y el tráfico en movimiento
Montenegro afirma que las organizaciones podrían beneficiarse de las películas
trasladar activos digitales críticos a servidores en la nube alojados en , como AWS o Snowflake, que cuentan con una amplia capacidad y una infraestructura de seguridad capaz de resistir numerosos tipos de intentos de ataque DDoS. «La pregunta que debería plantearse es: ¿Puedo ubicar la infraestructura crítica de mi empresa de tal forma que sea más resistente a los ataques DDoS?» dice él. «La mejor opción ante un ataque es no tener allí sus activos para que puedan ser atacados».
Las soluciones de equilibrio de carga también pueden resultar de ayuda, según el FBI, la CISA y el MS-ISAC. La distribución del tráfico entre varios servidores o centros de datos contribuye a dispersar las cargas, lo que evita que se produzcan puntos únicos de fallo durante los ataques.
Las agencias también sugieren que, si las organizaciones no están trasladando sus activos a un proveedor de servicios en la nube, deberían evaluar su capacidad de ancho de banda y plantearse aumentarla para poder hacer frente a los picos de tráfico que se producen durante un ataque.
5. Manténgase fiel a lo esencial
Walsh afirma que el cumplimiento de las medidas básicas de ciberseguridad puede minimizar la exposición de una organización a las amenazas. Afirma que los métodos más rentables consisten en mantenerse al día con todas las actualizaciones de seguridad críticas, aplicar requisitos complejos de contraseñas y adoptar la autenticación multifactorial.
También es fundamental mantener unas prácticas de control de acceso y de gestión de identidades y accesos de vanguardia, que deberían formar parte de cualquier programa de gestión de identidades y accesos . El FBI, la CISA y el MS-ISAC recomiendan el uso de pruebas CAPTCHA en sitios web y servicios en línea para determinar si quien solicita acceso a la red es una persona autorizada o un bot automatizado. Los expertos afirman que contar con un plan activo de copias de seguridad y recuperación, que incluya pruebas periódicas, también debería ser un elemento fundamental de la estrategia de ciberseguridad de toda empresa.
Y no olvide llevar a cabo una gestión adecuada de los puntos finales . Walsh insta a retirar de la red cualquier dispositivo terminal que no se utilice, a limitar el acceso de administrador a los dispositivos existentes y a restringir el uso del software a pequeños grupos de usuarios autorizados.
QUÉ HACER TRAS UN ATAQUE DDoS
Si una organización sufre de repente problemas relacionados con la indisponibilidad de los servicios web, un aumento de la congestión de la red, patrones de tráfico inusuales o fallos inexplicables de los servidores o las aplicaciones, es posible que esté sufriendo un ataque DDoS.
«La pregunta que debería plantearse es: ¿Puedo ubicar la infraestructura crítica de mi empresa de forma que sea más resistente a los ataques DDoS?»Fernando Montenegro, analista principal sénior de Omdia
Los expertos recomiendan seguir una serie de pasos en esas situaciones, entre los que se incluyen:
6. Confirme el ataque
Utilice herramientas de supervisión de la red y de análisis del tráfico para determinar la naturaleza del ataque. Si el causante es un ataque DDoS, active de inmediato el plan de respuesta ante incidentes de la organización, documentado y aprobado por el . Es de suponer que ya lo tiene; si no es así, consiga uno. (Los nuevos planes de respuesta autónoma ante incidentes de última generación de pueden acelerar los tiempos de corrección y respuesta.)
7. Aumentar el ancho de banda
El FBI, la CISA y el MS-ISAC recomiendan ampliar el ancho de banda de la red de la organización, si es posible, para ayudar a absorber el impacto del ataque. Esto podría implicar añadir servidores o aumentar temporalmente la capacidad de la red.
8. Informe a quien corresponda
Las agencias recomiendan informar de inmediato a los proveedores de servicios de Internet (ISP) sobre el ataque y averiguar si disponen de medidas de mitigación para redirigir el tráfico con el fin de ayudar a mitigar el ataque. Si cuenta con un seguro cibernético de , póngase también en contacto con la aseguradora para solicitar su ayuda, si fuera posible, y consulte qué aspectos cubre y cuáles no, con el fin de mitigar el impacto.
9. Anote y compare sus notas
Documente y recopile toda la información posible sobre el ataque, incluidas las marcas de tiempo, las direcciones IP, las capturas de paquetes y cualquier registro o alerta, según indican el FBI, la CISA y el MS-ISAC. Esto puede resultar útil a la hora de denunciar el incidente ante las fuerzas del orden. Además, considere la posibilidad de compartir la información sobre vulnerabilidades e inteligencia identificadas con otros profesionales del sector para ayudar a que otros se protejan frente a posibles ataques DDoS, afirma Walsh. «Compartir información de seguridad en todo el sector es fundamental para ayudar a las organizaciones a elaborar sus manuales de respuesta ante incidentes», añade.
10. Aprenda de este ataque
Dado que cada momento puede ser una oportunidad de aprendizaje, Walsh aconseja a los equipos de continuidad del negocio que realicen simulacros periódicos basados en ataques DDoS anteriores para «desarrollar la memoria muscular de la organización» y reducir los tiempos de respuesta ante futuros incidentes.
El FBI, la CISA y el MS-ISAC afirman que dichos ejercicios deben incluir un análisis exhaustivo posterior al incidente para comprender los vectores de ataque utilizados y las vulnerabilidades expuestas. Recomiendan que los planes de respuesta ante incidentes se actualicen en función de estas conclusiones.
Dado que las amenazas cibernéticas no dejan de evolucionar, las organizaciones deben reforzar sus defensas. El reciente aumento de los ataques DDoS pone de relieve la necesidad de mantenerse alerta y actuar de forma proactiva. Las empresas pueden proteger mejor sus activos digitales frente a estos ataques incesantes siguiendo las mejores prácticas, manteniéndose informadas sobre las nuevas amenazas y mejorando continuamente las medidas de seguridad.
