El ataque informático que supuso el robo de 780 gigabytes de código fuente de videojuegos del gigante del sector, Electronic Arts (EA), comenzó, de forma bastante inocente, en Slack. Según los hackers entrevistados por Motherboard —información que, al parecer, EA ha confirmado—, un grupo de hackers compró cookies robadas que contenían credenciales de inicio de sesión por 10 dólares cada una y las utilizó para acceder a los canales de Slack de la empresa.
Una vez dentro, los atacantes se hicieron pasar por un empleado de EA —una táctica cada vez más habitual entre los ciberdelincuentes— y enviaron un mensaje al departamento de TI indicando que habían perdido su teléfono en una fiesta y que no podían introducir la información necesaria para la autenticación multifactorial que se requiere para acceder a la red corporativa. Un administrador de sistemas cayó en la trampa, concedió el acceso y los piratas informáticos pudieron acceder a los directorios de archivos de los desarrolladores. Desde allí, se llevaron un valioso código fuente y herramientas relacionadas con los videojuegos: las joyas de la corona del reino de una empresa de videojuegos.
A estas alturas, todo el mundo conoce ya las brechas de seguridad de otra popular plataforma de colaboración, Zoom. En abril, Zoom acordó pagar 85 millones de dólares a los demandantes que habían sido víctimas de «Zoombombers» racistas, sexistas y, en general, de comportamiento grosero. Estos malhechores han acosado, en diversas ocasiones, a niños que estudian desde casa en la «escuela por Zoom» en plena pandemia, a los fieles de una clase de estudio bíblico en línea y a estadounidenses de origen asiático que se reunían de forma virtual para hacer frente a la violencia y la discriminación.
Este tipo de acoso se ha generalizado tanto que el «zoombombing» constituye ahora un delito federal . Sin embargo, no es el único problema de ciberseguridad que debería preocupar a quienes utilizan plataformas de colaboración populares. Según el FBI, los piratas informáticos están utilizando vídeos «deepfake» y otros métodos para suplantar la identidad de directivos de empresas a través de herramientas de colaboración, con el fin de sustraer fondos y datos de las empresas.
De hecho, a pesar de los importantes avances en materia de seguridad logrados durante la pandemia, siguen surgiendo vulnerabilidades que podrían permitir a los piratas informáticos comprometer de forma encubierta los dispositivos finales y lanzar ataques de «día cero» potencialmente devastadores. El año pasado, por ejemplo, el equipo Project Zero de Google identificó dos vulnerabilidades que afectaban a los clientes de Zoom y a los servidores de enrutamiento multimedia (MMR), las cuales podrían permitir a los piratas informáticos obtener acceso no autorizado a ordenadores y otras plataformas y dispositivos sin que el usuario tuviera que hacer clic en ningún enlace de phishing. Según se ha informado, también se han detectado múltiples vulnerabilidades en , Microsoft Teams, , Cisco Webex y Slack.
Cómo Slack, Zoom, Teams y otras aplicaciones de colaboración inspiran el «video hacking»
Las vulnerabilidades afectan, en mayor o menor medida, a todas las plataformas de comunicación y colaboración virtuales. Y estas herramientas se están convirtiendo en una de las próximas grandes fronteras de la ciberdelincuencia.
«. En 2022, los empleados que utilicen herramientas de colaboración en múltiples ubicaciones se verán en apuros.»Oliver Cronk, arquitecto jefe de TI para la región de EMEA en Tanium
«Los piratas informáticos seguirán buscando vulnerabilidades relacionadas con el nuevo modelo de plantilla híbrida, y prevemos que, en 2022 , los empleados que utilicen herramientas de colaboración en múltiples ubicaciones se verán sometidos a un asedio», predijo Oliver Cronk, arquitecto jefe de TI para la región EMEA de Tanium, en un artículo reciente de :.
Los motivos por los que se eligen estas herramientas como objetivo varían, aunque presentan similitudes con los ataques dirigidos a dispositivos finales. En muchos casos, los ciberdelincuentes, los Estados-nación o los espías corporativos utilizan las herramientas de colaboración como vías rápidas para acceder a datos corporativos, personales y financieros, y, potencialmente, para sustraerlos. En otras situaciones, estas herramientas sirven como una vía más para lanzar ataques de ransomware. Los investigadores también han descubierto pruebas de que los «criptojackers» utilizan estos dispositivos para sustraer potencia de cálculo con el fin de generar bitcoins y otras monedas digitales.
Las herramientas de colaboración ofrecen numerosas vías de acceso
Las formas en que los piratas informáticos se aprovechan de las herramientas de colaboración suelen parecer sencillas a simple vista, aunque en realidad sean sofisticadas en su funcionamiento interno. En la mayoría de los casos, el objetivo es ocultar algún tipo de malware en el código HTML, JavaScript o del navegador para comprometer un terminal y sustraer las credenciales de los usuarios. A partir de ahí, los piratas informáticos pueden desplazarse lateralmente por las redes para robar datos y lanzar nuevos ataques.
Resulta que no es tan difícil difundir código malicioso mediante herramientas de colaboración. Los piratas informáticos pueden adquirir fácilmente credenciales de Zoom por tan solo 0.002 dólares cada una, según la empresa de ciberseguridad Cyble, que, al parecer, compró medio millón de estas credenciales solo para comprobar si eran auténticas. Es probable que los piratas informáticos hayan sustraído nombres de usuario, contraseñas, direcciones de correo electrónico registradas, claves de host y enlaces personales a reuniones mediante el «credential stuffing», una técnica en la que los ciberdelincuentes adquieren nombres de usuario y contraseñas en la dark web y, a continuación, utilizan bots para probarlos uno por uno en una pantalla de inicio de sesión hasta que alguno funciona.
Como era de esperar, las credenciales comprometidas constituyen el método más habitual de ciberataque, ya que representan el 20 % de las filtraciones, con un coste medio de 4.37 millones de dólares, según el informe «El coste de una filtración de datos» de IBM 2021.
«Debido al teletrabajo, estas herramientas se han convertido ahora en un vector de ataque más accesible que el correo electrónico», afirma Chuck Everette, director de promoción de la ciberseguridad de Deep Instinct, una empresa de software de ciberseguridad basada en inteligencia artificial. «Aproximadamente el 80 % de los ataques que hemos observado consistían en suplantar la identidad de alguien en Teams o Slack, lo cual resulta muy fácil de hacer».
La seguridad del software de colaboración comienza con un poco de prevención
Según los expertos, es imposible detener los ataques contra las herramientas de colaboración, al igual que ocurre con cualquier dispositivo conectado. Sin embargo, aplicar el sentido común puede reducir su frecuencia y gravedad.
Zac Warren, director sénior de ciberseguridad para la región EMEA de Tanium, afirma que las medidas más importantes que puede adoptar una organización son el uso de la autenticación multifactorial —una práctica que las compañías de seguros cibernéticos exigen cada vez más a sus clientes— y el uso de hardware y software de última generación y siempre actualizados.
«. Debido al teletrabajo, estas herramientas se han convertido en un vector de ataque más fácil que el correo electrónico.»Chuck Everette, director de promoción de la ciberseguridad de Deep Instinct
La Agencia de Ciberseguridad y Seguridad de las Infraestructuras ha añadido
, , la autenticación de un solo usoy a su lista de «prácticas inadecuadas» en August 2021. Las empresas que dependen únicamente de contraseñas en lugar de la autenticación multifactorial, afirma Warren, corren un riesgo mucho mayor de que sus herramientas de colaboración se vean comprometidas.
«Y los ordenadores portátiles sin parches, desactualizados o “defectuosos”», añade, «se encuentran entre los objetivos más atractivos para los piratas informáticos». Si una empresa utiliza versiones obsoletas de esas herramientas de colaboración, se pierde las últimas mejoras de seguridad fundamentales. Es esencial llevar a cabo una gestión eficaz de los parches de , sobre todo teniendo en cuenta la oleada reciente de ataques de ransomware y de ataques perpetrados por Estados que han aprovechado vulnerabilidades conocidas.
Las organizaciones también deben prestar especial atención a las políticas de ciberseguridad predeterminadas de las herramientas de videoconferencia y colaboración que hayan elegido. A menudo, desde el principio son totalmente de código abierto y menos seguras.
Warren también recomienda adoptar un enfoque de «confianza cero» ( ) para la gestión de identidades y accesos, en el que no se confíe automáticamente en los usuarios por el mero hecho de que hayan logrado acceder a una red corporativa. Afirma que las organizaciones deberían configurar sus sistemas de videoconferencia y colaboración de tal forma que «se distinga claramente entre las partes internas y externas», de modo que los empleados sepan qué proviene del exterior y que las personas externas no puedan desplazarse lateralmente por la organización.
[Lea también: El futuro no tendrá contraseñas]
Everette, de Deep Instinct, también insta a las organizaciones a mejorar la formación de sus empleados sobre los aspectos a los que deben prestar atención en las videoconferencias y en las salas de colaboración virtual. Como señala, en muchas ocasiones las personas que están atentas a los indicios de phishing en el correo electrónico bajan la guardia en Teams, Slack, Zoom o Webex, porque creen que allí están a salvo.
En realidad, señala, los intentos de phishing son tan habituales en las herramientas de colaboración como en cualquier otro entorno digital, aunque en ocasiones pueden presentar algunas diferencias. En algunos casos, los piratas informáticos logran introducir malware a través de imágenes GIF en las videoconferencias. Basta con que los usuarios vean la imagen para que sus datos de acceso queden expuestos en el mundo digital.
«La gente no espera tener que hacer frente a ataques de phishing durante las videoconferencias, ya que no ha recibido formación sobre cómo detectarlos», afirma Everette. «El error humano es el punto débil número uno en todas las estrategias de seguridad, y los autores de las amenazas están preparados y son capaces de aprovechar cualquier error que las personas puedan cometer».
