De entre las numerosas amenazas que afectan a las empresas de servicios financieros —como los 2022—distributed ataques de denegación de servicio (DDoS), el ransomware, el fraude por suplantación de correo electrónico empresarial (BEC) y otras—, la inseguridad de la cadena de suministro encabeza la lista de los riesgos más acuciantes para el próximo año, según un análisis reciente sobre la ciberdelincuencia que afecta al sector de los servicios financieros.
That’s a key finding from Navigating Cyber 2023, an annual report from the Financial Services Sharing and Analysis Center (FS-ISAC), a cyber intelligence-sharing nonprofit with some 5,200 member institutions, including banks, brokers, insurance companies, and credit unions, representing $100 trillion in assets in 75 countries.
Las empresas de servicios financieros, aunque por lo general cuentan con una sólida financiación y pueden implementar las mejores herramientas de seguridad, siguen siendo un objetivo habitual para los ciberdelincuentes.
Según el FS-ISAC, sus miembros notificaron un aumento del 300 % en los ataques de tipo « » (BEC) en 2022 con respecto al año anterior. Los ataques de denegación de servicio distribuida (DDoS) contra entidades financieras en Europa aumentaron un 73 % en ese mismo periodo, lo que supuso la mitad del total de ataques DDoS en la región. Y aunque los pagos en criptomonedas a los autores de ataques de ransomware pueden haber disminuido en 2022—likely debido a las sanciones impuestas contra dichos pagos, según señala el informe, los miembros del FS-ISAC siguieron observando un «flujo continuo» de ataques.
«Estamos observando, año tras año, un gran número de ataques del mismo tipo en todo el sector, tal y como se recoge en el informe», afirma Chris Blow, director de seguridad ofensiva de Liberty Mutual Insurance.
El informe aborda las amenazas más importantes que afectaron a las empresas de servicios financieros en 2022 y ofrece una visión de lo que, en opinión de los analistas del FS-ISAC, serán los riesgos más importantes durante el resto de 2023. Advertencia: Gracias a los avances tecnológicos, es probable que la mayoría de las amenazas que observamos el año pasado cobren mayor relevancia.
Los conflictos geopolíticos y los ataques de elusión de MFA pasan a primer plano
En 2022, el factor que más influyó en el riesgo cibernético de los servicios financieros fue, sin duda, la intensificación de los conflictos geopolíticos. «Las tensiones existentes, agravadas por la invasión de Ucrania por parte de Rusia , desencadenaron una avalancha de actividad hacktivista que continúa sin cesar», señala el informe. «China y su objetivo de unificar Taiwán, así como los ataques de Irán contra instituciones financieras occidentales, motivados por razones ideológicas, contribuyen a configurar el panorama de las amenazas cibernéticas geopolíticas».
«. Me sorprendió que las amenazas a la cadena de suministro de software no encabezaran la lista del 2022. No me sorprende que encabece la lista de amenazas de 2023.»Chris Blow, director de seguridad ofensiva de Liberty Mutual Insurance
Los equipos de seguridad del sector de los servicios financieros seguirán atentos a las tensiones geopolíticas durante el próximo año, especialmente en zonas conflictivas como Rusia y Ucrania, China y Taiwán, e Irán, donde pueden actuar hacktivistas con motivaciones políticas. Las grandes empresas de servicios financieros que mantengan vínculos estrechos con cualquier país involucrado en un conflicto pueden dar por hecho que serán objeto de ataques.
Los ataques contra la autenticación multifactorial (MFA) de también mantuvieron ocupados a los equipos de seguridad del sector financiero el año pasado. A mediados de 2022, los miembros del FS-ISAC registraron un aumento de los ataques de suplantación de identidad y de phishing dirigidos a clientes de Office 365 . Este tipo de ataque contra la autenticación MFA suele ser un ataque de tipo «adversario en el medio» (AitM), que consiste en interponer un sistema entre el usuario y el servicio al que intenta acceder, con el fin de sustraer credenciales como las cookies de sesión.
[Lea también: ¿Está la autenticación multifactorial (MFA) a la altura de las expectativas?]
Los atacantes utilizan las credenciales robadas para acceder a recursos protegidos. Dichos enfoques de AitM se aplicaron contra instituciones financieras de Estados Unidos, el Reino Unido, Nueva Zelanda y Australia.
El ransomware acapara los titulares, pero las estafas de tipo BEC resultan (mucho) más costosas
Los ataques de ransomware siguen siendo una amenaza formidable y, según señala el informe, están demostrando ser un «modelo de negocio mejor que nunca».
Según los analistas de FS-ISAC, los dos sectores más afectados por los ataques de ransomware en 2022 fueron el sector manufacturero y el de los servicios profesionales, científicos y técnicos, mientras que las entidades financieras y las aseguradoras ocuparon el tercer lugar. Lamentablemente, el tercer puesto no supone un gran consuelo, dado que la mayoría de los proveedores y distribuidores externos del sector de los servicios financieros proceden del sector de los servicios profesionales, científicos y técnicos.
Esto supone un riesgo para las entidades financieras, incluso cuando no son objeto de un ataque directo. Entre los ataques de ransomware sufridos el año pasado por proveedores externos del sector financiero se encuentran la empresa irlandesa de software bancario CR2, la empresa de software de seguridad digital Entrust y el proveedor de soluciones financieras y contables Exela.
Si bien las bandas cibernéticas siguen recurriendo a proveedores de «ransomware como servicio» para propagar sus ataques, el fraude BEC también es muy frecuente. «El BEC se ha convertido en uno de los fraudes más habituales y costosos que afectan a las empresas de todo el mundo», afirma el informe. El BEC puede adoptar diversas formas, pero las más notificadas al FS-ISAC son las solicitudes de desvío de nóminas o las solicitudes de pago fraudulentas, como parte de una estafa de suplantación de identidad o de un fraude de proveedores.
Y estos ataques se van sumando. Según el Centro de Denuncias de Delitos en Internet del FBI, este organismo recibió denuncias relacionadas con el fraude BEC por un importe total de 2.4 000 millones de dólares. Esa cifra supera con creces los 49.2 millones de dólares en daños y perjuicios declarados en las denuncias relacionadas con el ransomware.
Los riesgos relacionados con la cadena de suministro de software y la inteligencia artificial podrían marcar el curso del próximo año
Las amenazas de « » en la cadena de suministro de software se dirigieron el año pasado a un entorno empresarial cada vez más digitalizado, y esa digitalización no da señales de remitir. En 2022, los ataques a la cadena de suministro de tipo « » más frecuentes notificados por los miembros del FS-ISAC fueron el secuestro de actualizaciones de software, la firma fraudulenta de código y la vulneración del código de fuente abierta.
«. Las nuevas herramientas, como la IA, están facilitando que los atacantes menos cualificados puedan actuar con eficacia.»Golpe
Se prevé que estas estrategias no hagan más que aumentar, dada la creciente disponibilidad del «malware como servicio» y el auge vertiginoso de la popularidad de las aplicaciones de banca móvil y la banca abierta. El «open banking», que se ha implantado ampliamente en 2018, se basa en interfaces de programación de aplicaciones (API) que ofrecen un acceso rápido a los datos financieros, de modo que los consumidores puedan evaluar fácilmente los servicios bancarios de la competencia. Según un informe de , los ataques a las API se dispararon un 681 % el año pasado.
«Me sorprendió que las amenazas a la cadena de suministro de software no encabezaran la lista del informe 2022», afirma Blow. «No me sorprende que encabece la lista de amenazas en 2023», añade.
Tanto los hacktivistas como los ciberdelincuentes en general y los aficionados con intereses particulares contarán con el apoyo de los avances en la tecnología de la inteligencia artificial (IA), lo que podría suponer un punto de inflexión no solo este año, sino también en las próximas décadas.
[Lea también: ¿Es realmente posible detener la IA? 1,100 expertos —y, sí, Elon Musk— afirman que sí]
El chatbot de texto generativo basado en inteligencia artificial ChatGPT se lanzó en noviembre y ya se ha utilizado esta herramienta para crear código malicioso y correos electrónicos de phishing muy convincentes. Los modelos de lenguaje generativo también han creado malware para el robo de información, herramientas de cifrado y otras aplicaciones. Amenazas como esta mantendrán a los profesionales de la seguridad en primera línea en constante estado de alerta.
«Me preocupa el crimen organizado y los hackers que están dando sus primeros pasos», afirma Blow. «Las nuevas herramientas, como la inteligencia artificial, están facilitando que los atacantes con menos conocimientos puedan actuar con eficacia».
A pesar de la avalancha prevista de ataques basados en la inteligencia artificial, los analistas del FS-ISAC se muestran optimistas respecto a la eficacia de las defensas basadas en la inteligencia artificial. Asimismo, prevén una mayor inversión en enfoques automatizados para la gestión de vulnerabilidades y la gestión de parches . Aun así, depositan toda su confianza en los hombres y mujeres que forman parte de los equipos de seguridad de los servicios financieros.
«La automatización», concluye el informe, «no sustituirá el criterio y la experiencia de los profesionales cualificados en un futuro previsible».
