Se ha calificado como el peor ataque informático de la historia.
El 9 de diciembre salió a la luz una vulnerabilidad crítica en una herramienta de registro de software en línea muy utilizada, después de que unos piratas informáticos la utilizaran para acceder a los servidores que alojan Minecraft, la popular plataforma de videojuegos. La vulnerabilidad, conocida como Log4Shell (CVE-2021-44228), supone una amenaza a escala mundial, ya que permite a los piratas informáticos acceder a sistemas informáticos y servidores sin necesidad de contraseña.
Desde que salió a la luz, los equipos de ciberseguridad se han apresurado a corregir la vulnerabilidad, mientras que los ciberdelincuentes se han apresurado a desarrollar y distribuir herramientas para aprovecharla. A menos que se solucione, los delincuentes, los espías y los Estados pueden aprovechar esta vulnerabilidad para acceder a redes empresariales y gubernamentales, introducir malware y sustraer datos valiosos.
La vulnerabilidad se encuentra en una biblioteca de registro de Java de código abierto que, tal y como afirma Jim Kelly, vicepresidente de seguridad de puntos finales de Tanium , «está integrada en numerosas aplicaciones empresariales y en software de código abierto, y podría constituir una dependencia en muchos otros servicios». Kelly, especialista en arquitectura de seguridad, añade: «La gran variedad de variables de configuración e instalación hace que esta vulnerabilidad resulte extremadamente difícil de identificar y de abordar para su corrección».
A solo unos días de que termine el año 2021, resulta difícil incluso para los profesionales más experimentados en ciberseguridad asimilar la magnitud de este ataque informático, así como el enorme número de ataques que los ciberdelincuentes y los Estados-nación han llevado a cabo este año.
[Lea también: ¿Qué es Log4J y cómo puedo proteger a mi organización?]
La lista de las principales empresas atacadas resume a la perfección la epidemia cibernética actual: Kaseya. Colonial Pipeline. JBS Meatpacking. Twitch. Y, por supuesto, SolarWinds. (Técnicamente, se trata de un caso clásico de «hack 2020 »: SolarWinds se descubrió hace exactamente un año, acaparó gran parte del debate sobre ciberseguridad del año 2021’s e inspiró un decreto presidencial.)
La variedad de objetivos contra los que atacaron los ciberdelincuentes era tan amplia (entre ellos, una empresa de envasado de carne, un proveedor de energía, una cervecera y varias agencias federales) que resultaría difícil afirmar que alguien estuviera a salvo. «Literalmente, todas las industrias y sectores se vieron afectados», afirma Brenda R. Sharton, socia y copresidenta del departamento global de privacidad y ciberseguridad de Dechert LLP, así como experta reconocida a nivel nacional en este ámbito. El “2021 fue un acontecimiento que afectó a todos por igual. «Los ciberataques se han incrementado de forma exponencial en todos los ámbitos, tanto en frecuencia como en nivel de sofisticación y, sin duda, en las demandas de rescate».
Los sectores más afectados
Es difícil determinar con exactitud el número de ataques de ransomware. Sin embargo, los sectores que se vieron más afectados fueron aquellos que cuentan con los datos más sensibles (la banca y otros servicios financieros) y aquellos que han tenido dificultades para garantizar la ciberseguridad (la sanidad y la educación).
«2021 fue un evento que promovió la igualdad de oportunidades». Los ciberataques aumentaron de forma exponencial en todos los ámbitos.»Barbara R. Sharton, socia y copresidenta de Dechert LLP
Por ejemplo, en marzo, unos delincuentes atacaron a CNA Financial, la séptima aseguradora comercial más grande de EE. UU., y cifraron unos 15,000 dispositivos, entre ellos los ordenadores que utilizaba su plantilla que teletrabaja. Según se ha informado, la aseguradora « » pagó a « » más de 40 millones de dólares en concepto de rescate. Dos meses después, unos piratas informáticos atacaron la división de asistencia en Asia de la aseguradora francesa Axa, probablemente utilizando el ransomware Avaddon.
En mayo, unos piratas informáticos lanzaron un ataque de ransomware contra el Ministerio de Sanidad irlandés y su Organismo de Servicios Sanitarios. Además de filtrar datos confidenciales de pacientes en Internet, el software de los atacantes provocó la cancelación de los servicios de hospitalización y un retraso en la expedición de certificados de nacimiento y defunción, así como en la tramitación de las pruebas de COVID-19. El Centro Médico Universitario del Sur de Nevada ( ) fue víctima de un ataque durante el verano que afectó a los datos personales de 1.3 millones de personas. Parte de los datos sustraídos se localizó en la página de la dark web del grupo de ransomware REvil.
[Lea también: «Ransomware 101—what »: ¿qué es y cómo puedo prevenir un ataque?]
Paul Bischoff, editor y defensor de la privacidad en la empresa de seguridad para consumidores Comparitech, señala que «el sector sanitario es especialmente vulnerable a los ataques de ransomware». Esto se debe a que los centros sanitarios de presentan numerosos puntos vulnerables en materia de ciberseguridad, entre los que se incluye un personal sobrecargado de trabajo que no cuenta con formación profesional en tecnologías de la información y que se ve obligado a utilizar ordenadores conectados a Internet y redes Wi-Fi sin medidas de seguridad. Además, estos centros, fundamentales para la atención sanitaria de sus comunidades, se han visto sometidos a una gran presión para garantizar un funcionamiento fluido durante la pandemia. «Esto hace que sean más propensos a pagar las demandas de los programas de rescate y, por lo tanto, se convierten en objetivos más lucrativos para los piratas informáticos», afirma Bischoff.
Dinero fácil y anónimo
While no one has yet tallied 2021’s overall cost for rectifying a ransomware attack on healthcare, Bischoff and others say it will probably top last year’s. En 2020, el coste medio de los ciberataques —por tiempo de inactividad, rescates pagados, reparaciones y sustitución de dispositivos y redes— en el sector sanitario de EE. UU. ascendió a 1.27 millones de dólares, según las cifras del Departamento de Salud y Servicios Humanos. En comparación, la media en el sector de los servicios financieros fue de 2.1 millones de dólares. Por su parte, el sector educativo registró el gasto medio más elevado, con 2.73 millones de dólares.
«El sector sanitario es especialmente vulnerable a los ataques de ransomware.»Paul Bischoff, defensor de la privacidad, Comparitech
Este año, se prevé que la factura sea mucho más elevada. «Observamos que las demandas de rescate pasaron de una cifra de siete dígitos a mediados del 2020 a decenas de millones de dólares en el 2021», afirma Sharton.
Los expertos del sector temen que el uso cada vez mayor de las criptomonedas —que son imposibles de rastrear— para pagar las demandas de los programas de ransomware pueda fomentar los ataques. Dado que la normativa sobre las criptomonedas varía de un país a otro, Jon Brandt, director de prácticas profesionales e innovación de la asociación de tecnologías de la información ISACA, considera que la «ambigüedad global» de esta moneda «probablemente anima a los ciberdelincuentes». Sin embargo, eso no significa que las criptomonedas sean, en sí mismas, las culpables de los ataques. «Eso sería como decir que los atracos a bancos aumentaron porque se inventaron los automóviles y facilitaron la huida», afirma Brandt.
El aumento de los ataques a la cadena de suministro
La COVID-19 ha puesto de manifiesto uno de los aspectos más vulnerables de cualquier organización: el recurso a proveedores externos que carecen de medidas de seguridad sofisticadas. Los ataques a la cadena de suministro podrían haberse multiplicado por cuatro este año, según , la Agencia de Ciberseguridad de la Unión Europea. Según señala la ENISA, en dos tercios de este tipo de ataques, los piratas informáticos se centraron primero en el código fuente de un proveedor para poder avanzar hacia su objetivo principal.
«Las cadenas de suministro son complejas, ya que los bienes y servicios proceden de todo el mundo, y todos ellos son vulnerables en mayor o menor medida», afirma Brandt. «La pandemia ha llevado a muchos a recurrir a los servicios en la nube, lo que aumenta exponencialmente el riesgo».
Un ejemplo destacado de una brecha en la cadena de suministro tuvo lugar a principios de julio, cuando Kaseya Ltd., un proveedor de software de gestión de TI y antivirus , fue objeto de un ataque por parte de piratas informáticos de Europa del Este que utilizaron un ransomware creado por el grupo REvil. Kaseya comercializa sus productos a proveedores de servicios externos, que se encargan de la gestión de las tecnologías de la información de otras empresas, a menudo pequeñas y medianas. Al atacar el software de Kaseya, los ciberdelincuentes consiguieron acceder a diversas redes, lo que afectó a un total de 1,500 empresas. Los piratas informáticos exigieron un rescate de 70 millones de dólares.
[Lea también: ¿Deberían ser ilegales los pagos de rescate?]
Según Sharton, los proveedores y los vendedores son cada vez más objeto de ataques, ya que pueden «ofrecer una vía de acceso indirecta al entorno de una organización que quizá no resulte tan evidente para el equipo de seguridad de la información».
El phishing se vuelve cada vez más sofisticado
Con el aumento de la transición al teletrabajo durante la pandemia, surgieron ingeniosos ataques de phishing por correo electrónico , así como ataques informáticos contra dispositivos de red no protegidos.
«. Son demasiados los ciberataques que se producen o se agravan porque las organizaciones no están haciendo bien las cosas sencillas, si es que las hacen».»Jon Brandt, director de prácticas profesionales e innovación de ISACA
«Factores como la red Wi-Fi doméstica, el desconocimiento de los nuevos compañeros de trabajo, las vulnerabilidades que supone que los empleados accedan a los sistemas desde ubicaciones dispares y, sencillamente, el miedo y la incertidumbre en torno a todo lo relacionado con la COVID-19 crearon la tormenta perfecta para que los piratas informáticos intentaran sacar partido de la situación», afirma Sharton. «He llevado a cabo unas 1,000 investigaciones sobre filtraciones de datos desde finales de 1990s. «Cada año observo cómo aumenta el nivel de sofisticación de los ataques de phishing».
De hecho, según el consorcio internacional Anti-Phishing Working Group, los ataques de phishing relacionados con « » se duplicaron en 2020 a raíz de la pandemia, y se mantuvieron a un nivel elevado en 2021. En junio de este año, el APWG registró 222,127 ataques.
Un tipo de ataque muy habitual era el «compromiso del correo electrónico empresarial», en el que el estafador se hace pasar por un compañero de trabajo u otra persona de confianza e intenta engañar a un empleado para que envíe dinero o información financiera, normalmente enviando a la víctima correos electrónicos desde cuentas falsas o que han sido pirateadas. Dada la gran cantidad de datos personales que se comparten en las redes sociales, a los estafadores les resulta bastante fácil analizar en profundidad los intereses y gustos de sus víctimas y crear campañas de phishing que se adaptan con una precisión alarmante a las vulnerabilidades de los usuarios.
[Lea también: El seguro cibernético no es su mejor protección frente a los ciberataques]
Los estafadores que practican el phishing también se han vuelto más codiciosos este año. Según ha informado la APWG, el importe medio de las solicitudes de transferencia bancaria en un ataque de tipo BEC aumentó hasta los 106,000 dólares, frente a los 48,000 dólares del año anterior.
La solución milagrosa para la seguridad: las prácticas básicas de ciberseguridad
La mejor defensa de una organización para evitar convertirse en víctima de un ataque informático es seguir unas prácticas básicas de ciberseguridad . Para ello, lo primero es que detecte y realice un inventario de todo el hardware y el software de su red. El principio que se aplicará a continuación es el de « » (confianza cero), según el cual cada dispositivo que intente conectarse a la red se considera una amenaza potencial. La autenticación multifactorial, el cifrado de datos y las copias de seguridad que se comprueban periódicamente son fundamentales, al igual que la concesión de permisos siguiendo los principios del «privilegio mínimo» y de la «necesidad de conocer».
«Muchas organizaciones tienen grandes dificultades para restringir el acceso a los sistemas y a los datos. «Hay demasiados empleados que disponen de más derechos de acceso de los que necesitan para realizar su trabajo», afirma Brandt. En pocas palabras, añade: «Se producen o se agravan demasiados ciberataques porque las organizaciones no están haciendo bien las cosas sencillas, si es que las hacen».
[Lea también: 6 consejos para proteger a su organización frente al aumento de la ciberdelincuencia]
Sharton afirma que una de las sorpresas de este año ha sido «ver cómo las demandas de rescate alcanzaban decenas de millones de dólares», en comparación con los ataques de hace muchos años, que partían de unos pocos miles de dólares.
La buena noticia, afirma, es que «los autores de las amenazas finalmente se han vuelto demasiado codiciosos, y ahora estamos asistiendo a intentos de una respuesta coordinada a nivel gubernamental, mientras que antes lograban pasar desapercibidos».
