Los organizadores de los Juegos Olímpicos se han estado preparando para hacer frente a posibles ciberataques en torno a los próximos Juegos de París, ya que los autores de estas amenazas pretenden sacar partido de este evento mundial de gran repercusión. En un mundo cada vez más conectado, y en un contexto de fuertes tensiones geopolíticas, los expertos en ciberseguridad advierten de un nivel de ataques «sin precedentes».
La Agencia Nacional Francesa de Seguridad de los Sistemas de Información, que opera desde una ubicación secreta durante los Juegos, se encuentra en estado de máxima alerta: «Nos estamos preparando para cualquier eventualidad», afirmó Vincent Strubel, director de la agencia , en declaraciones a .
Pero no solo los organizadores y los patrocinadores deben estar preparados.
Además de la ciudad anfitriona y de todas las entidades vinculadas a los Juegos, incluidas las empresas colaboradoras como Allianz, Deloitte, Intel, Omega, P&G, Samsung y Visa, entre otras, los ataques en línea también podrían afectar a empresas que no estén directamente relacionadas con el evento, según afirman los expertos en ciberseguridad.
En su nuevo informe sobre las amenazas a las que se enfrentan los 2024 .º Juegos Olímpicos, publicado este mes, la empresa de seguridad Recorded Future advierte de que los ataques podrían afectar a empresas que prestan apoyo indirecto al evento en sectores como el transporte y la logística, la sanidad, la hostelería y los servicios públicos. Advierte de que estas empresas se enfrentan a mayores presiones en el periodo previo a los Juegos.
Sin embargo, los autores de las amenazas pueden tener una amplia variedad de motivos para elegir a sus víctimas durante este periodo, por lo que incluso las empresas que no estén relacionadas, ni directa ni indirectamente, con los Juegos deberían mantenerse en alerta. A continuación se enumeran algunos de los riesgos.
¿Cuáles son las principales amenazas cibernéticas de los Juegos Olímpicos de París? Todo empieza con la política…
Los Juegos Olímpicos y Paralímpicos de París 2024 , que se celebrarán del July 26 al August 11, se presentan como el mayor evento jamás organizado en Francia. A lo largo de su historia, los Juegos Olímpicos han superado conflictos políticos y, según advierten los expertos, este año los disturbios en diversos puntos conflictivos del mundo y en Francia podrían suponer un problema. Los grupos de hacktivistas o los Estados-nación que tengan algún motivo de descontento con Francia podrían intentar perturbar el funcionamiento de las empresas con sede en ese país. Además, en todo el mundo, las tensiones geopolíticas se encuentran en máximos históricos, señala Jérôme Warot, vicepresidente de gestión técnica de cuentas de la empresa de soluciones de ciberseguridad Tanium, proveedor líder de gestión convergente de terminales (XEM) y editor de esta revista.
«Si los proveedores de servicios informáticos relacionados con los Juegos Olímpicos son objeto de ataques o quedan fuera de línea de alguna manera, es probable que el resto de sus clientes también se vean afectados en cierta medida.»Jonathan Ong, analista sénior de ciberseguridad de Omdia
«Tenemos el conflicto israelo-palestino, el conflicto entre Rusia y Ucrania y las elecciones presidenciales de Estados Unidos», afirma Warot, que reside en París. «Y además, en estos momentos se está produciendo una grave crisis política en Francia», después de que la extrema derecha arrollara al partido del presidente Macron en las elecciones al Parlamento Europeo. La inesperada convocatoria de Macron de unas elecciones anticipadas en julio ha agravado las tensiones en el país anfitrión.
Un malintencionado que intentara hacer una declaración política consideraría los Juegos Olímpicos como una oportunidad inmejorable. Esto incluye también a Estados-nación como Rusia. Microsoft afirma que el país sigue resentido por la decisión del Comité Olímpico Internacional —tras la invasión rusa de Ucrania— de no permitir que los deportistas rusos compitan bajo su bandera en los Juegos, y que lleva mucho tiempo participando en ciberataques y campañas de desinformación en torno a los eventos olímpicos. Esta primavera, unos actores rusos llevaron a cabo una campaña de desinformación en línea con el objetivo de provocar el miedo al terrorismo en los Juegos de París. En 2016, la Agencia Mundial Antidopaje atribuyó un ataque contra sus sistemas al grupo de piratas informáticos ruso APT 28 , después de que la agencia pidiera que se excluyera a Rusia de los Juegos que se celebrarían en Brasil ese año. Estados Unidos también culpó a Rusia —a la que aún se le prohibía competir bajo su propia bandera— del ataque 2018 contra los Juegos de Pyeongchang.
Las empresas de infraestructuras críticas deberían extremar la precaución durante el periodo en que se celebren los Juegos Olímpicos, advierte Jonathan Ong, analista sénior de ciberseguridad de la empresa de investigación Omdia. Las redes eléctricas y de suministro de agua, el transporte y las comunicaciones, así como las finanzas y la sanidad se verán todas en peligro. «La mayor dependencia de estos sistemas troncales durante este periodo los convierte en un objetivo prioritario», afirma.
Advierte de que un ataque contra una organización relacionada con los Juegos, o contra una organización francesa, podría tener repercusiones más amplias.
«Si se toma como objetivo a un proveedor concreto, esto puede repercutir en todos sus clientes, independientemente de que estén relacionados con él o no», añade. «Si los proveedores de servicios informáticos relacionados con los Juegos Olímpicos se convierten en blanco de un ataque o quedan fuera de servicio de alguna manera, es probable que el resto de sus clientes también se vean afectados en cierta medida».
Ong advierte de que este efecto sobre la cadena de suministro de podría ser más específico que incidental. «Es probable que se analicen las vulnerabilidades de la cadena de suministro de «n-ésimo grado» (4.º, 5th…) que da soporte a estos sectores», afirma.
Los expertos en phishing van a por el oro en los Juegos Olímpicos de París
Los Juegos Olímpicos también constituyen una oportunidad ideal para que los atacantes se cuelen en cualquier empresa cuyos empleados deseen informarse sobre los Juegos, señala Ong.
«Podríamos asistir a un aumento de los ataques de phishing dirigidos a la obtención de credenciales,... impulsados por el interés en los Juegos y potenciados por la democratización de las herramientas de IA.»Ong
«Una de las formas de obtener acceso no autorizado sería a través de vectores basados en la identidad. «Esto significa que podríamos asistir a un aumento de los ataques de phishing dirigidos a la obtención de credenciales», advierte. «Esto se ve impulsado aún más por el interés en los Juegos y potenciado por la democratización de herramientas de IA. «Los correos electrónicos de phishing son ahora más sofisticados y no contienen errores, y los deepfakes han puesto en entredicho métodos de verificación tradicionalmente más seguros, como el vídeo y la voz».
Dado que, según se ha informado, los ciberdelincuentes ya están registrando nombres de dominio que parecen estar relacionados con los Juegos Olímpicos, cabe esperar una avalancha de correos electrónicos que dirijan a los consumidores a sitios web fraudulentos supuestamente relacionados con el evento o que distribuyan archivos adjuntos maliciosos utilizando los Juegos Olímpicos como reclamo, tal y como ya hemos visto en otras ocasiones. Los autores de un ataque de phishing se hicieron con la información de los titulares de entradas durante los Juegos Olímpicos de Tokio 2020 mediante una página web falsa.
«Las autoridades deben ser muy claras a la hora de orientar a los ciudadanos hacia las páginas web oficiales para la venta de entradas, las indicaciones de cómo llegar y otra información», afirma Richard Absalom, analista principal del equipo de investigación del Foro de Seguridad de la Información de la Asociación de Empresas de Telecomunicaciones de Estados Unidos ( ,).
La actividad empresarial favorece los ataques de suplantación de identidad en el correo electrónico corporativo
La evolución natural de las estafas de spear-phishing es el « » (BEC, por sus siglas en inglés). La intensa actividad empresarial previa a los Juegos Olímpicos constituye el caldo de cultivo perfecto para estos ataques, en los que los delincuentes se hacen pasar por personas de alto rango dentro de las organizaciones objetivo, advierte Absalom. Incluso las empresas que no organizan directamente los Juegos pueden estar coordinando actividades relacionadas con los Juegos Olímpicos, que van desde iniciativas de marketing hasta viajes de ejecutivos a los Juegos, y no todas ellas se comunicarán adecuadamente a nivel interno. Esto da lugar a lagunas que los delincuentes pueden aprovechar mediante facturas falsas o incluso solicitudes fraudulentas de entradas.
«Habrá alguien que se encargue de organizar los viajes, alguien que se ocupe de la venta de entradas, alguien responsable del transporte y del orden público, y otros que se aseguren de que los VIP lleguen a sus asientos», explica. «¿Podría hacerse pasar por ellos o por las personas que los cuidan?»
Cuando se produce una interrupción del servicio en las fases posteriores
Los atacantes pueden lanzar diversos tipos de ataques contra las empresas, obteniendo acceso a sus redes mediante ataques de phishing o a través de credenciales obtenidas de los «brokers de acceso inicial» (grupos delictivos que piratean a sus víctimas y, posteriormente, venden el acceso al mejor postor). Entre estos ataques técnicos se incluyen el ransomware « », que puede tener consecuencias importantes para los clientes de los sectores posteriores.
«Esto ha provocado un desequilibrio entre la oferta y la demanda.»Jérôme Warot, vicepresidente de gestión técnica de cuentas de Tanium, analiza cómo las grandes empresas centradas en los riesgos relacionados con los Juegos Olímpicos están monopolizando el sector de las empresas de servicios de TI y ciberseguridad
Por ejemplo, un ataque de tipo « July 2021 » contra la empresa de gestión de redes con sede en EE. UU. Kaseya provocó que cientos de tiendas de alimentación en Suecia quedaran fuera de línea. No hay ejemplo más claro de cómo un ataque contra una empresa puede perjudicar a otras situadas al otro lado del mundo.
No es necesario tener acceso a la red de una víctima para causar estragos. Un simple ataque de denegación de servicio puede lanzarse a través de una red de bots (una red de ordenadores infectados con malware), o mediante la participación de múltiples «hacktivistas» de todo el mundo, o bien utilizando un ataque por reflexión que genera grandes cantidades de tráfico de Internet para colapsar un servicio en línea. Esto también podría afectar a los servicios prestados a los clientes en el extranjero. Durante los meses previos al evento, se produjeron ataques de denegación de servicio dirigidos contra los sitios web de organizaciones afiliadas a los Juegos de Río de Janeiro 2016 .
Una amenaza cibernética de la vieja escuela: el espionaje empresarial
Otro riesgo relacionado es el espionaje. Recorded Future plantea la posibilidad de que un Estado-nación recabe información de las redes de las víctimas sobre funcionarios sensibles o de alto rango que viajen a los Juegos. Dichos ataques podrían dirigirse contra las agencias de viajes que organizan viajes relacionados con los Juegos Olímpicos.
¿Cómo prepararse ante las amenazas cibernéticas de los Juegos Olímpicos de París?
¿Cómo pueden prepararse las empresas —tanto las situadas en las inmediaciones de los Juegos como las que se encuentran más lejos— para hacer frente a estos riesgos? Podría resultar difícil debido a la falta de recursos, advierte Warot. Las empresas de servicios de TI y ciberseguridad ya se encuentran desbordadas atendiendo a las grandes empresas que están preocupadas por los riesgos relacionados con los Juegos Olímpicos, afirma.
«Esto ha provocado un desequilibrio entre la oferta y la demanda», advierte Warot. En consecuencia, a las empresas más pequeñas les resulta más difícil recurrir a expertos externos que les ayuden a reforzar su propio nivel de seguridad.
«Investigue a fondo cuáles son sus principales proveedores clave (especialmente los que tienen su sede en Francia) y con quién más mantienen relaciones comerciales. ¿Corren algún tipo de riesgo en lo que respecta a los Juegos?”Richard Absalom, analista principal del Foro de Seguridad de la Información
No obstante, existen algunas prácticas recomendadas. Las empresas deberían abordar la amenaza que supone los Juegos Olímpicos como un ejercicio de gestión de riesgos , dando prioridad a los riesgos más importantes y centrando los recursos de que disponen en mitigarlos.
«Analice a fondo a sus principales proveedores clave (especialmente a los que tienen su sede en Francia) y con quién más mantienen relaciones comerciales», afirma Absalom. «¿Corren algún tipo de riesgo en lo que respecta a los Juegos?»
La gestión de riesgos a nivel técnico también implica dar prioridad a los parches de para las vulnerabilidades más graves de sus sistemas más valiosos, añade Ong. Asimismo, aconseja a las empresas que refuercen la seguridad de sus sistemas mediante medidas como la autenticación multifactorial, el control de acceso las revisiones y la subsanación de cualquier deficiencia en la gestión de contraseñas .
Asimismo, aconseja a las organizaciones que preparen a su personal en la medida de lo posible. Esto incluye sensibilizar sobre el aumento del riesgo y los métodos de ataque más habituales, como el phishing; actualizar sus manuales de respuesta ante incidentes de ; realizar ejercicios de simulación y, de hecho, llevar a cabo simulacros de violaciones de seguridad y ataques.
«La última capa defensiva interna es la detección», afirma el Sr. Ong. Esto incluye el uso de la información sobre amenazas de para identificar las herramientas, técnicas y procedimientos (TTP) utilizados en ataques deportivos anteriores, así como las últimas amenazas específicas del sector. Las empresas deberían colaborar con los proveedores de sus herramientas de seguridad para ajustar sus motores de detección en consecuencia.
Todos los expertos coinciden en que compartir información sobre inteligencia de amenazas e intentos de ataque es una práctica muy valiosa en el marco de grandes eventos como los Juegos Olímpicos, y Warot ya ha señalado un aumento de la transferencia de conocimientos —como, por ejemplo, los informes sobre un incremento de la actividad de los ataques— dentro de la comunidad de ciberseguridad en el periodo previo a los Juegos.
Los acontecimientos mundiales exigen, cada vez más, respuestas a escala mundial (o, al menos, colaborativas). Y eso será así tanto para quienes se encuentren más cerca del ambiente cargado que se vivirá este año en París como para quienes estén al otro lado del mundo.
