Un reciente robo de criptomonedas —uno de los más lucrativos de la historia— pone de manifiesto una nueva y escalofriante tendencia en la ciberdelincuencia: la manipulación de datos.
El pasado mes de febrero, los empleados de Bybit, una de las mayores plataformas de intercambio de criptomonedas del mundo , observaron algo extraño: más de 400,000 tokens de Ethereum, con un valor aproximado de 1.5 000 millones de dólares, habían desaparecido sin que nadie se diera cuenta. No se encontraron notas del ransomware « », ni indicios de ataques de fuerza bruta, ni se activó ninguna alerta evidente.
La pista reveladora se encontraba en lo más profundo del código de un servicio de terceros que la empresa utilizaba para las transacciones con múltiples firmas. Se había modificado una línea: la dirección de la cartera de destino.
Se cree que esa sutil modificación permitió desviar casi 300 millones de dólares a cuentas vinculadas al Grupo Lazarus , una banda de piratas informáticos norcoreanos. (Aunque la infraestructura vulnerable puso en riesgo unos 1.5 000 millones de dólares en criptomonedas, solo una parte de esta cantidad se logró retirar con éxito ).
No se trató simplemente de un robo con allanamiento. Se trató de un sabotaje milimétrico, un claro ejemplo de manipulación de datos y de cómo esta puede socavar silenciosamente incluso los sistemas digitales más seguros. Y no se trata únicamente de un problema para las plataformas de intercambio de criptomonedas. La manipulación de datos puede perjudicar a cualquier empresa de cualquier sector de formas inimaginables. Los bancos, que están probando con cautela servicios de criptomonedas y servicios de cadena de bloques, son especialmente vulnerables a estos ataques. Y, según señalan los expertos, los responsables de seguridad de la información de harían bien en no subestimar la amenaza.
«Los CISO deberían prestar especial atención a la manipulación de datos, sobre todo porque estas amenazas suelen tener consecuencias visibles e inmediatas, como pérdidas económicas o daños a la reputación», advirtió Kevin Curran, profesor de ciberseguridad de la Universidad de Ulster, en Irlanda del Norte.
¿En qué consiste la manipulación de datos?
Lo que hace que la manipulación de datos resulte tan problemática es la discreción y el alcance con que puede llevarse a cabo.
«. Al alterar sutilmente los datos en lugar de robarlos o destruirlos, los atacantes pueden manipular decisiones, sembrar la desconfianza u ocultar su presencia, todo ello sin llamar la atención.»Kevin Curran, profesor de ciberseguridad de la Universidad de Ulster
Por definición, se trata de la modificación intencionada y no autorizada de datos con el fin de inducir a error a los sistemas, a los operadores o a las decisiones posteriores. El objetivo no es necesariamente robar o causar daños, como ocurre con la mayoría de los ciberataques; por el contrario, a menudo se trata de manipular de forma sigilosa registros como los de actividad, las lecturas de sensores o la información transaccional con fines económicos, de espionaje o de sabotaje.
[Lea también: ¿En qué consiste la detección y respuesta ante amenazas? [Una guía práctica]
«La manipulación de datos es un método muy eficaz y, a menudo, subestimado dentro del arsenal de los piratas informáticos, ya que atenta contra la integridad de la información, más que contra su disponibilidad o confidencialidad», afirmó Curran. «Al alterar sutilmente los datos, en lugar de robarlos o destruirlos, los atacantes pueden manipular las decisiones, sembrar la desconfianza u ocultar su presencia, todo ello sin llamar la atención».
La manipulación de datos es , no «contaminación de datos», aunque ambas merman la confianza.
Aunque a veces se confunde con el «envenenamiento de datos» ( ) —que consiste en introducir datos maliciosos o corruptos en un modelo durante su creación o entrenamiento—, la manipulación (tampering) se centra en la información ya existente. Altera los datos en los que se basan los sistemas y las soluciones —incluidos los agentes de inteligencia artificial— para tomar decisiones y actuar. Ambos tipos de ataques conducen, en última instancia, a la erosión de la confianza en la integridad de los datos. Cuando las organizaciones ya no pueden confiar en que sus datos reflejen la realidad, toda decisión, acción o auditoría basada en dichos datos se convierte en objeto de sospecha.
Una encuesta realizada por Protiviti y el Instituto de Auditores Internos ( ) , titulada «A 2024 », clasificó la gobernanza y la integridad de los datos entre los principales riesgos tecnológicos, lo que refuerza el creciente reconocimiento de que la manipulación supone una amenaza directa para la fiabilidad de los sistemas. Y a medida que las organizaciones avanzan hacia una toma de decisiones automatizada cada vez más , las consecuencias de actuar basándose en datos manipulados se multiplican.
Gartner prevé que, para el año 2028, el 33 % de las aplicaciones de software empresarial incluirán una IA de tipo agente, frente a apenas el 1 % en 2024, y el 80 % de los problemas habituales de atención al cliente podrían ser gestionados por agentes en lugar de por personas para el año 2029. Pero, ¿qué ocurre si los piratas informáticos manipulan los datos operativos que utilizan los agentes para tomar decisiones?
¿Y entonces qué?
Según Jennifer Glenn, directora de investigación en materia de seguridad de datos e información de IDC, la empresa global de análisis de mercado en el sector de las tecnologías de la información, las empresas que utilizan agentes de inteligencia artificial orientados al cliente deberían prestar especial atención a los datos corruptos que afectan a la experiencia de marca. Si un saboteador, un hacktivista, un espía corporativo o un Estado modifica los datos de tal forma que provoque una respuesta inadecuada de los agentes ante los clientes, esto podría tener repercusiones a largo plazo e es para la empresa, afirmó.
«Desde que GenAI irrumpió en escena y se generalizó, el ámbito de la seguridad de la información y los datos se ha vuelto una auténtica locura», afirmó Glenn. «En la actualidad, es imprescindible contar con un alto nivel de protección en torno a esos datos de inteligencia artificial». «Basta con una sola interrupción para que una empresa sufra pérdidas económicas y de reputación considerables».
Sin embargo, la IA general no solo es vulnerable a los datos manipulados. También puede servir como una potente herramienta para la manipulación de datos. Eso es lo que preocupa a Curran.
«El auge de la IA generativa aumenta considerablemente la importancia de abordar la manipulación de datos como un vector de amenaza para la ciberseguridad, ya que introduce nuevos métodos, una mayor escala y una mayor complejidad para que los actores malintencionados manipulen los datos», afirmó Curran. «Estas manipulaciones son más difíciles de detectar que los métodos tradicionales de falsificación, ya que las falsificaciones generadas por IA pueden eludir los controles básicos de integridad o el escrutinio humano».
Por ejemplo, un informe financiero manipulado mediante inteligencia artificial podría inducir a error a los auditores, o un vídeo «deepfake» de podría suplantar la identidad de un director ejecutivo para autorizar transacciones fraudulentas, añadió.
La sutil distinción de la manipulación de datos
La manipulación puede adoptar diversas formas: podría inutilizar por completo el modelo de IA o hacer que este genere resultados inexactos, sesgados u ofensivos que minen la confianza de los clientes. En algunos casos, los atacantes podrían utilizarlo como distracción para despistar a los equipos de seguridad, de forma similar a lo que ocurre en una película de atracos, en la que un grupo simula una crisis mientras otro ataca el objetivo real.
«Desde que GenAI entró en escena y se generalizó, el ámbito de la seguridad de la información y los datos se ha vuelto una locura.»Jennifer Glenn, directora de investigación en materia de seguridad de datos e información de IDC
«Los atacantes podrían hacer algo por aquí para impedir que usted se fije en lo que está ocurriendo por allí», dijo Glenn. «Quizás estén manipulando sus datos para generar respuestas realmente negativas que le metan en problemas». Pero mientras usted se ocupa de solucionar eso, ellos están sustrayendo datos a los que no deberían tener acceso desde otra ubicación. «Bueno, es decir, podría ser algo así como una portada».
Los piratas informáticos también podrían manipular los datos para alterar el código a medida que se desarrolla. Por ejemplo, alguien podría modificar ligeramente los datos para ralentizar los ciclos de desarrollo, introducir puertas traseras en el software o incluso paralizar un proyecto. Dado que tantos equipos de TI cuentan con una plantilla insuficiente, podría resultar complicado abordar este tipo de problemas, señaló Glenn.
Hasta el momento, este tipo de incidentes parecen ser poco frecuentes. Sin embargo, la manipulación de datos ha ido apareciendo cada vez con más frecuencia en los ataques de tipo « » contra infraestructuras críticas. Por ejemplo, en November 2023, una planta de tratamiento de agua situada cerca de Pittsburgh descubrió que su controlador lógico programable (PLC) había sido pirateado. En lugar de las lecturas habituales, los operadores vieron un mensaje contra Israel garabateado en la pantalla táctil. La avería no provocó el cierre de la planta. No obstante, esto obligó a la empresa de servicios públicos a recurrir a controles manuales y suscitó la preocupación de que los atacantes pudieran manipular con facilidad lo que ven los operadores (una forma visual de manipulación de datos).
Unas semanas más tarde, en Muleshoe (Texas), unos piratas informáticos prorrusos activaron de forma remota unas bombas de agua y manipularon las alarmas, lo que provocó que un depósito se desbordara. Los datos que aparecían en pantalla indicaban un funcionamiento normal, a pesar de que el depósito se estaba desbordando. No se trató de un ataque de fuerza bruta. Se trató de un sabotaje sutil mediante la manipulación del control.
Otras campañas han ido aún más allá. Según se ha informado, grupos vinculados a China, como BlackTech y UNC3886 , han manipulado el firmware y los registros de los routers —que controlan el comportamiento de los dispositivos y registran la actividad de la red— para mantener un acceso prolongado y no detectado a las redes de organizaciones de los sectores de la defensa, la administración pública, las telecomunicaciones, la alta tecnología y los medios de comunicación. En algunos casos, desactivaron por completo el registro de datos, lo que impidió a los responsables de la seguridad de la red detectar su presencia.
Glenn señala que los Estados-nación suelen favorecer la manipulación de datos porque, cuando se descubre, puede parecer una simple configuración errónea del sistema o un error de programación, en lugar de la obra de un intruso extranjero.
Es más, las medidas de seguridad tradicionales no están diseñadas para detectar infracciones sutiles de la integridad. Además, muchas organizaciones carecen de las herramientas necesarias para distinguir entre un cambio de configuración legítimo y uno malintencionado realizado con el fin de borrar rastros o sabotear los sistemas.
5 tácticas para frenar la manipulación de datos
Para impedir la manipulación de datos es necesario pasar de una defensa perimetral a una garantía de integridad en profundidad. A continuación le presentamos cinco estrategias respaldadas por expertos:
1. Esté atento a las anomalías
Conozca cuál es el comportamiento «normal» de los datos y las configuraciones clave. Implemente herramientas para puntos finales destinadas a la supervisión de datos confidenciales, la visibilidad y el control de los puntos finales, la detección de amenazas en tiempo real , la supervisión de la integridad y la prevención de la pérdida de datos (DLP).
2. Manténgase alerta
Hacer un seguimiento del origen de los datos y de su recorrido por el sistema facilita la detección de indicios de manipulación y permite exigir responsabilidades a las partes implicadas.
3. Utilice comprobaciones criptográficas de integridad
Proteja los registros y los archivos de configuración críticos mediante métodos que verifiquen su autenticidad. Estas comprobaciones garantizan que cualquier cambio no autorizado se detecte de inmediato, lo que contribuye a impedir la manipulación encubierta y a mantener la confianza en los datos del sistema.
4. Centralice los registros en un almacenamiento a prueba de manipulaciones
Envíe los registros a sistemas seguros y de solo apéndice (como el almacenamiento WORM [Write-Once-Read-Many o « »]), en los que los atacantes no puedan borrar discretamente sus huellas en caso de que comprometan un equipo.
5. Adopte los principios de «seguridad desde el diseño»
El concepto de «seguridad desde el diseño» consiste en integrar los aspectos relacionados con la seguridad en todas las fases del desarrollo del sistema, desde las etapas iniciales. Según Curran, las organizaciones pueden prevenir la manipulación de datos anticipándose a las amenazas mediante la elaboración de modelos, preparando planes de respuesta ante incidentes que incluyan las violaciones de la integridad de los datos, y protegiendo su cadena de suministro mediante la verificación de los componentes de terceros y la aplicación de prácticas de desarrollo seguras.
El mayor riesgo
La integridad de los datos siempre ha sido una prioridad tanto para las empresas como para el ámbito de las tecnologías de la información; sin embargo, el 67 % de los responsables de la toma de decisiones basadas en datos no confían plenamente en sus datos, según un estudio de Precisely titulado « »( A medida que más empresas exploran el uso de agentes de inteligencia artificial que dependen de datos fiables para funcionar, los CISO deben replantearse sus estrategias de datos, afirmó Curran.
«Aumentarán los casos de manipulación de datos», afirmó. «Si se ignora esta amenaza, se corre el riesgo de sufrir interrupciones operativas, sanciones normativas y una pérdida de confianza».
