Cuando Uber sufrió un ataque informático en septiembre, desde luego no era la primera vez que se producía una brecha de seguridad en los sistemas de esta empresa de transporte compartido, ni tampoco la más grave en cuanto a la pérdida de datos. Pero quizá haya sido la más humillante.
Entre otras cosas, el atacante obtuvo acceso administrativo completo a varias plataformas en la nube de Uber y accedió a los datos financieros de la empresa. Sin embargo, a diferencia de la mayoría de los hackers actuales, no se limitó a robar datos ni a retenerlos a cambio de un rescate. Inició sesión en el canal interno de Slack de Uber y se jactó de ello. A continuación, publicó enlaces a imágenes pornográficas en el canal y exigió que la empresa pagara mejores salarios a sus conductores.
A continuación, como prueba de la hazaña, el atacante compartió con los investigadores de seguridad unas capturas de pantalla de los paneles de control de los administradores del sistema a los que había accedido utilizando las credenciales sustraídas a un ingeniero sénior de Uber, y las publicó en un canal de Slack destinado a los hackers de sombrero blanco que colaboran con las empresas.
«Oiga, ¿ha hackeado Uber?», le preguntó un importante agregador de malware al hacker, en una supuesta conversación compartida en un hilo de Twitter.
Cuando las autoridades del Reino Unido detuvieron al presunto agresor, resultó ser un joven de 17 años del que también se sospecha que se hizo con el código fuente del próximo videojuego « » Grand Theft Auto 6. Se cree que este adolescente de Oxfordshire forma parte del infame grupo de extorsión Lapsus$, cuyos miembros tienen entre 16 y 21 años y que cuenta entre sus víctimas con Microsoft, Nvidia y Okta. La Junta de Revisión de Seguridad Cibernética, un organismo público-privado dependiente del Departamento de Seguridad Nacional de EE. UU., , anunció a principios de este mes que tiene previsto emitir recomendaciones prácticas —tal y como hizo por primera vez en 2022 con los ataques Log4j— sobre cómo pueden las organizaciones protegerse de las estrategias engañosas de los ataques informáticos al estilo de Lapsus$.
Para los CISO, sobrecargados de trabajo y con escasos recursos, los ataques informáticos perpetrados por personas que apenas tienen edad para conducir suponen una amenaza más de la que preocuparse: una nueva generación de delincuentes que actúan tanto para presumir ante sus amigos (al igual que el grupo de hackers «Lulz» en su día) como para obtener beneficios, y cuyos objetivos y vectores de ataque pueden resultar más difíciles de prever.
Perros nuevos, trucos viejos
Si todo esto le suena extrañamente familiar, hay una buena razón para ello.
Mucho antes de que la ciberdelincuencia se convirtiera en una industria de varios billones de dólares , la piratería informática era algo que los adolescentes hacían por diversión: para poner a prueba sus habilidades cibernéticas, demostrar su prestigio entre los aficionados a la tecnología o gastar bromas a sus amigos.
«A los adolescentes siempre les ha interesado meterse en líos en los que no deberían meterse. Además, suelen tener tanto una curiosidad desmesurada como una sensación de invencibilidad.»Chris Prewitt, director técnico y responsable de seguridad de la información, Inversion6
En 1982 , el primer malware que se difundió de forma masiva se denominaba «Elk Cloner». El virus fue creado ese año por un joven de 15 años llamado Rich Skrenta, quien difundió el código a través de un disquete. Mostraba un poema en las pantallas de los ordenadores Apple II y era totalmente inofensivo.
Tendrían que pasar casi dos décadas antes de que los piratas informáticos crearan malware destinado a robar datos de forma intencionada, y otra media docena de años antes de que desarrollaran el primer software de ransomware .
Ahora parece que las cosas han vuelto al punto de partida, señala Chris Prewitt, director técnico y responsable de seguridad de la información de Inversion6, una empresa dedicada a la gestión de riesgos de ciberseguridad. Al igual que muchos directores de seguridad de la información (CISO), Prewitt se inició en el mundo de la piratería informática utilizando «marcadores de guerra» para escanear todos los números de teléfono locales con el fin de identificar los módems a los que dirigirse.
«A los adolescentes siempre les ha interesado meterse en líos», afirma Prewitt. «Y suelen tener tanto una curiosidad desmesurada como una sensación de invencibilidad».
¿Cuál es la diferencia fundamental entre entonces y ahora? Las redes sociales, especialmente YouTube y TikTok. «En el pasado, los hackers podían alcanzar fama entre sus compañeros en un tablón de anuncios o en un grupo de chat de retransmisión por Internet (IRC) dedicado a la piratería informática», señala Prewitt. Ahora el público es el mundo entero.
Si busca «uber hacker» en TikTok, aparecerán más de 5,000 vídeos que suman, en total, millones de visualizaciones. (Los vídeos en línea también constituyen una rica fuente de tutoriales para los aspirantes a hackers, afirma Prewitt.)
«Lo que marca la diferencia es el nivel de exposición al que se puede ver sometido alguien por uno de estos "ataques de exhibicionismo"», añade David Maynor, director sénior de inteligencia sobre amenazas en Cybrary, una plataforma de formación en seguridad. «Hace diez o 20 años, quizá algunas comunidades minoritarias se hubieran fijado en ello, pero ahora forma parte del ciclo informativo de 24 horas con alcance mundial». «Para los hackers que buscan una prueba de sus habilidades, no hay un escenario más importante que ese».
¿Por amor o por dinero?
La idea de que los jóvenes hayan vuelto a dedicarse al hacking simplemente por diversión o por buscar notoriedad resulta casi reconfortante, afirma Sam Curry, un investigador de seguridad independiente de 23 años que comenzó su carrera detectando errores de software como cazador de errores cuando aún cursaba el bachillerato.
Curry se puso en contacto con el hacker de Uber, conocido como «TeaPot», a través de la aplicación de mensajería Telegram y confirmó los detalles del ataque.
«. ¿Ha hackeado Uber, amigo?»Un importante agregador de malware
«Ocuparse de cuestiones de seguridad es una forma muy sencilla de sentirse importante y alimentar el ego», afirma Curry. «Si esta persona forma parte de Lapsus$, entonces ya tiene acceso a millones de dólares». «Es posible que, sinceramente, esté cansado de ganar dinero y que simplemente quiera divertirse».
TeaPot utilizó las credenciales de inicio de sesión sustraídas a un colaborador de Uber y, a continuación, aprovechó las vulnerabilidades del proceso de autenticación multifactorial de la empresa , enviando repetidamente solicitudes al colaborador para que aprobara el acceso hasta que este finalmente accedió. A partir de ahí, logró desplazarse lateralmente por la red, accediendo a varios sistemas a lo largo del recorrido.
«El cansancio ante la autenticación multifactorial (MFA) es un problema real», afirma John Gunn, director ejecutivo de Token, empresa que está desarrollando un anillo que autentica a los usuarios a partir de sus huellas dactilares. Según Gunn, una buena forma de frustrar los intentos de piratear los sistemas de inicio de sesión único —que permiten a los usuarios acceder a múltiples plataformas— es utilizar métodos de autenticación que no puedan ser objeto de ataques remotos, como la biometría.
Cómo defenderse de los piratas informáticos de la Generación Z
Una de las diferencias entre los hackers más jóvenes y los de más edad es que los jóvenes suelen disponer de mucho más tiempo libre, añade Gunn. Es posible que estén dispuestos a dedicar entre cuatro y seis meses a trabajar en diferentes técnicas para encontrar la forma de entrar. Por lo demás, en realidad no están haciendo nada especial.
«La mejor manera de lidiar con los piratas informáticos es ponerlos a trabajar.»David Maynor, director sénior de inteligencia sobre amenazas de Cybrary
La solución para protegerse frente a los hackers adolescentes es la misma que se utiliza para defenderse de los ciberdelincuentes profesionales y de los actores estatales: una buena higiene cibernética.
Los CISO no pueden protegerlo todo por igual, por lo que deben establecer prioridades en función del riesgo, determinar qué datos y sistemas son más críticos para las operaciones empresariales y centrar sus recursos en ellos, añade Prewitt.
[Lea también: 5 pasos para proteger los datos más valiosos de su organización]
«¿A qué tipo de actividad se dedica, desde el punto de vista del riesgo?», pregunta. «¿Qué tipo de adversarios querrán atacarle?» «Según mi experiencia, no es que los CISO no gestionen bien la tecnología de seguridad, sino que no comprenden el negocio lo suficientemente bien como para saber cómo protegerlo».
Según Prewitt, la adopción de un marco de « » basado en el modelo «zero trust» también puede dificultar que los atacantes se desplacen lateralmente una vez que hayan obtenido acceso. Esto puede reducir la superficie de ataque y limitar el daño de forma significativa.
¿Otra forma de lidiar con los jóvenes agresores? «Contrátelos», afirma Maynor, de Cybrary.
«Creo sinceramente que la mejor manera de lidiar con los piratas informáticos es ponerlos a trabajar», afirma. «Los responsables de seguridad de la información (CISO) deben saber que, si el pirata informático no ha cometido delitos graves, podría ser un becario o un empleado de nivel inicial perfecto».
