Los detalles técnicos de lo que podría acabar siendo el mayor ataque informático contra criptomonedas hasta la fecha deberían hacer saltar las alarmas entre las empresas que estén planteándose establecerse en el mundo digital emergente conocido como el metaverso.
A finales de marzo, unos piratas informáticos norcoreanos habrían aprovechado una vulnerabilidad en un método utilizado para validar transacciones en el metaverso con el fin de sustraer más de 615 millones de dólares en criptoactivos de tipo ether y en la moneda estable USDC del juego «play-to-earn» Axie Infinity. The game is built on a blockchain, a Web3 technology powering the metaverse that relies on a decentralized digital ledger to record transactions widely across the internet.
Dada la caída de los precios de las criptomonedas y la dificultad que tienen los piratas informáticos para dar salida a las monedas sustraídas, es posible que el robo no resulte tan rentable como parecía en un principio. Sin embargo, el hecho de que los piratas informáticos hayan atacado a una empresa del metaverso en una fase tan temprana del desarrollo del ecosistema sugiere que se avecinan delitos cibernéticos más graves. Y eso debería ser motivo de preocupación para cualquier directivo que desee realizar transacciones o celebrar reuniones de forma segura utilizando el metaverso.
«Probablemente esto no sea más que el comienzo de una serie de ataques exitosos al metaverso que están por venir», afirma Caroline Wong, directora de estrategia de Cobalt, una empresa proveedora de servicios de pruebas de penetración. «A medida que el metaverso gana popularidad y se generaliza, también aumentan los beneficios potenciales para los piratas informáticos malintencionados
».
Aumentan las inversiones en el metaverso
Aunque las definiciones varían, el metaverso suele considerarse un espacio virtual compartido que fusiona los mundos físico y digital. Often, it uses virtual reality (VR), augmented reality (AR), cameras, sensors, and other technologies to enable immersive 3D experiences shared with others. Una vez dentro de este mundo digital, las personas adoptan avatares con los que se reúnen para jugar, socializar y hacer negocios.
Esa descripción podría parecer sacada de « » , «The Matrix»o «». Pero es una realidad, y hay quien sostiene que tanto los consumidores como las empresas ya están utilizando el metaverso, lo sepan o no. Los videojuegos de realidad mixta, como «Fortnite», «Roblox» y «Minecraft», están marcando el camino. Empresas como Accenture, Microsoft y el Foro Económico Mundial, así como agencias de marketing como Starr Conspiracy, se comunican, colaboran y se reúnen en el metaverso. Marcas de ropa como Ralph Lauren y Nike ya ofrecen experiencias de compra virtuales, y el fabricante de automóviles BMW está creando gemelos digitales de sus fábricas en los que puede llevar a cabo experimentos.
De hecho, el metaverso tiene el potencial de convertirse en un gran negocio. Citi prevé, según , que las transacciones digitales, los dispositivos y otras actividades económicas relacionadas con el metaverso podrían alcanzar un valor de 13 billones de dólares en el año 2030, con una población de unos 5 000 millones de usuarios. Y los gigantes tecnológicos —desde Meta, que ha cambiado acertadamente su nombre, hasta Microsoft, Google, Adobe Systems, Snap y Nvidia— están realizando importantes inversiones en las plataformas, herramientas y servicios tecnológicos necesarios para hacer que todo esto funcione.
«El metaverso ofrece un enorme potencial positivo para crear nuevas economías de escala y conectar con personas de todo el mundo de forma significativa», afirma Wong.
Abundan los objetivos lucrativos
Por supuesto, cuando el dinero se dirige hacia cualquier ámbito digital, los ciberdelincuentes
no tardan en aparecer. Y en el metaverso, abundan los objetivos apetecibles
y su número no deja de crecer.
«La cantidad de información personal que vamos a generar... en el metaverso se convierte en un objetivo increíblemente atractivo para los delincuentes.»Sean Spradling, analista sénior de Wainhouse Research
El comercio, por ejemplo, se lleva a cabo cada vez más mediante monedas digitales. Existen numerosas páginas web dedicadas a los videojuegos, el entretenimiento y el comercio minorista que se dedican a crear, intercambiar y vender tokens no fungibles (NFT, por sus siglas en inglés: ), que son certificados que acreditan la propiedad de artículos digitales únicos, tales como obras de arte de , objetos de colección deportivos, canciones, videojuegos o películas. Las carteras digitales que se utilizan para realizar compras en el metaverso también pueden convertirse en objetivos.
«La cantidad de datos personales que vamos a generar y que tendremos que gestionar en el metaverso se convierte en un objetivo increíblemente atractivo para los delincuentes», afirma Sean Spradling, analista sénior de Wainhouse Research. «Alguien tendrá que dar un gran paso adelante y liderar los esfuerzos para garantizar todo esto».
Los métodos que emplean los ciberdelincuentes para infiltrarse en el metaverso, hacerse con el control del mismo y sustraer datos y riqueza no tienen por qué ser necesariamente sofisticados. Al menos no al principio.
[Lea también: Los Supersónicos ya están aquí, y con ellos la disrupción tecnológica del futuro]
Hermes Frangoudis, director de relaciones con los desarrolladores de Agora, un proveedor de plataformas del metaverso, afirma que los piratas informáticos utilizarán muchas de las mismas técnicas que emplean hoy en día en Internet. Se centrarán en aquellas personas que no presten la debida atención y lanzarán estafas de phishing o de ingeniería social para conseguir acceso.
«Atacar a personas será pan comido, al igual que la mayoría de los bandidos del Salvaje Oeste se dedicaban a asaltar a la gente en lugar de robar bancos». Afirma Frangoudis. «Por supuesto, los bancos y las bolsas serán objeto de ataques». «Pero esos ataques no se producirán con tanta frecuencia y en ellos participarán ciberdelincuentes más sofisticados».
Wong, de Cobalt, afirma que los «ataques de superposición de pantalla» podrían convertirse en un método habitual de piratería informática. Son similares a los dispositivos de lectura digital que los ciberdelincuentes instalan en los cajeros automáticos para robar datos de tarjetas de crédito. Solo en el metaverso, un atacante crea una réplica de una pantalla de inicio de sesión que se superpone a la auténtica e intenta engañar a un usuario de móvil o de ordenador para que revele datos privados o confidenciales. Peor aún, si un usuario llevara puesto un casco de realidad virtual o de realidad aumentada en ese momento, esta técnica podría convertirse en un arma virtual con consecuencias físicas en el mundo real.
«Los ciberdelincuentes podrían utilizar un ataque de superposición para llevar a un usuario a bajar una escalera real, hacer que se adentre en plena calle o mostrarle imágenes o sonidos perturbadores», advierte.
[Lea también: Criptojacking: cómo evitar que los mineros de criptomonedas afecten a su red]
Otro vector de ataque nuevo y problemático podría ser el propio hardware del metaverso. Equipos de realidad aumentada (RA) y realidad virtual (RV), cámaras, sensores, cables, dispositivos terminales… Cualquier elemento que se utilice para conectarse a mundos virtuales podría poner en riesgo la seguridad y la privacidad de los usuarios, exponiéndolos a la apropiación de cuentas, a ataques de «hombre en el medio» y a otras vulnerabilidades.
Las investigaciones han demostrado, por ejemplo, que si un pirata informático realizara un seguimiento digital de una persona que llevara unas gafas de realidad virtual, todas sus características físicas específicas —sus movimientos oculares, los gestos con las manos, los movimientos de la cabeza y otras características conductuales— permitirían a identificar correctamente al 95 % de las personas en cinco minutos o menos. En teoría, un pirata informático podría utilizar esos datos biométricos para acceder a carteras digitales de teléfonos inteligentes o a sitios web.
Tomar precauciones
Frangoudis considera que los fabricantes de hardware podrían diseñar interruptores u otros mecanismos de desactivación para inhabilitar o limitar la funcionalidad de los dispositivos susceptibles de ser pirateados, de forma similar a como funcionan los botones de silencio de los teléfonos móviles. Sin embargo, señala que llevará tiempo desarrollar estas herramientas y técnicas. Y hasta que se generalicen, los usuarios deben actuar con precaución.
«Como consumidor, debe comprender que estos dispositivos permiten recopilar una gran cantidad de datos sobre usted», afirma. «Antes de utilizarlos, debe saber qué tipo de datos recopilan sobre usted y sobre el entorno que le rodea». «Debe saber cómo se almacenan esos datos y si están cifrados de forma segura».
Más allá de los ataques habituales, el mayor temor es que los ciberdelincuentes acaben encontrando formas nuevas e imprevistas de aprovecharse de los participantes desprevenidos del metaverso. Existe el riesgo de que se produzcan situaciones caóticas en Internet, que van desde «deep fakes» de sus amigos y compañeros de trabajo hasta bots que le engañan para que revele sus datos personales y financieros. El robo de identidad podría llegar a ser tan sencillo como replicar su avatar.
Hacer de la seguridad del metaverso una prioridad
El metaverso es una arquitectura en constante evolución, distribuida y abierta. Carece de supervisión reguladora y aún no se han establecido las normas sectoriales pertinentes. No obstante, tanto las empresas como los usuarios pueden prepararse para el metaverso tomando algunas precauciones, como las que se indican a continuación.
- Adopte buenas prácticas de ciberseguridad en . Las empresas que operan en el extenso metaverso necesitan aplicar las estrategias habituales de , como aplicar parches con regularidad, instalar actualizaciones de antivirus y aplicar la autenticación multifactorial (MFA), además de las contraseñas. Asimismo, deberían realizar periódicamente pruebas de penetración y auditorías para evaluar la resiliencia de las defensas digitales y minimizar el riesgo de puertas traseras en el código y otras vulnerabilidades.
- Garantice una protección sólida de los dispositivos finales. Los ordenadores portátiles, las tabletas y los teléfonos inteligentes se utilizan a menudo para acceder al metaverso, por lo que será fundamental que las empresas puedan supervisar, gestionar y proteger todos los dispositivos finales. Las plataformas de protección de terminales (EPP) pueden ayudar a muchas organizaciones a controlar este mundo virtual en rápida expansión.
- Cifre los datos de las claves. Frangoudis, de Agora, afirma que los proveedores de tecnología tienen la responsabilidad de incorporar medidas de seguridad en sus plataformas y productos para garantizar que los datos de se transmitan de forma segura. Sin embargo, para lograr una defensa aún más sólida, aconseja a las organizaciones de seguridad informática que cifren todos los datos y las comunicaciones antes de que accedan a los mundos virtuales. «Debe asegurarse de que la conexión entre el dispositivo final y su servidor sea válida y de que nadie esté interceptando sus direcciones URL ni actuando como intermediario [en la transferencia de datos]», afirma. Otros expertos recomiendan que, en particular, los metaversos empresariales almacenen los datos en el dispositivo y restrinjan el acceso y el flujo de datos a plataformas no autorizadas.
- Implemente el modelo «zero trust». No confiar en nadie, ya sea dentro o fuera de una red, hasta que demuestre su identidad es relevante en el mundo centralizado actual Web2 , y limitar el acceso mediante políticas de «confianza cero» y procedimientos es aún más crucial en el mundo descentralizado emergente Web3 del metaverso.
- Fomentar la educación y la sensibilización. «Los principios rectores de lo que sabemos que es cierto en materia de seguridad deberían ser nuestros puntos de referencia en el metaverso», afirma Wong, de Cobalt. «La concienciación, la formación y la actitud proactiva en materia de ciberseguridad son los primeros pasos para prevenir los ataques informáticos». Los empleados y los consumidores necesitan orientación constante sobre cómo detectar actividades sospechosas y denunciarlas.
«Al fin y al cabo, tanto las personas como las organizaciones deben protegerse en el metaverso», afirma Frangoudis. «Realmente es como el Salvaje Oeste, y va a tener que ser su propio sheriff».
Obtenga más información en nuestra serie «Descubriendo el metaverso»
Parte 1: ¿Son las reuniones en el metaverso la clave para mejorar el compromiso de los empleados?
