Especialistas en ciberseguridad revelan la crudeza de los crecientes ataques a las empresas

No hay mejor forma de saber lo que amenaza nuestra existencia digital que vernos a nosotros mismos desde el lado oscuro. En una simplificación todavía más cinematográfica, se podría decir que para saber cómo actúan los malos, necesitamos que nos lo muestren algunos buenos que saben moverse en ese mundo. El Instituto Nacional de Ciberseguridad (Incibe) los llama "hackers éticos o de sombrero blanco, por oposición a los hackers de sombrero negro o crackers, que son los ciberdelincuentes". En ese lado bueno, Mónica Salas, fundadora y directora de GuardedBox y DinoSec, lo simplifica: "los que están en el lado bueno son los hackers, y los demás son piratas y ciberdelincuentes".

Salas, que llegó al mundo hacker cuando "era joven y tenía la cabeza algo alocada", admite que se metió "en algún lío" en esa etapa temprana, como enviar un correo a un compañero de una gran compañía haciéndose pasar por el consejero delegado. Con el tiempo, abandonó ese tipo de prácticas y transformó sus habilidades en una ayuda para quienes están expuestos a la ciberdelincuencia. Junto con Raúl Siles, fundador y analista en esas dos compañías, muestran los peligros que corren las empresas. Lejos de la imagen tópica de jóvenes encerrados en sus habitaciones, la ciberdelicuencia es un negocio que explotan organizaciones bien coordinadas y que mueve miles de millones de euros al año.

Hace unos días, Mónica Salas y Raúl Siles, participaron en una clase online ( webinar ) titulada Hackers vs Empresas , organizada por Vodafone Empresas para mostrar a las pymes con ejemplos muy claros algunos de los principales peligros a los que están expuestas. Varios de ellos están entre la ciencia ficción y la prestidigitación, como uno en el que los atacantes entraron en la red de una empresa a través del wifi de otra empresa geográficamente cercana, a cuya red accedieron a su vez los ciberdelincuentes mediante del wifi de una tercera empresa, sin que la atacada tenga nada que ver con las que, involuntariamente, sirvieron de puente de paso de los malos. De wifi a wifi y hackeo porque me toca.

La ciberdelincuencia afecta a todo el mundo. Mónica Salas asegura que "las empresas se dividen en dos: las que han sido atacadas y las que no saben que han sido atacadas". Recuerda que, muchas veces, "los atacantes no tienen un objetivo inmediato. Permanecen en la sombra hasta el momento que les resulta más propicio".

Las cifras que presentó Vodafone apuntan que el 90% de las empresas han sufrido ataques de ciberseguridad y que sólo el 7% tienen desarrolladas soluciones para evitar que el ataque tenga éxito. El resto, sufre sus consecuencias. Unas veces, estafa, otras, chantajes como los del ransomware , con el dilema de pagar y recuperar los datos necesarios para el funcionamiento de la empresa o no hacerlo y tener que cerrar. El 60% de las empresas atacadas con éxito, cierra a los seis meses, según explicó Fran Vallejo, director de soluciones y productos de Vodafone Business.

Los hackers éticos muestran un arsenal de ataques distintos. Uno de ellos es el que sufrió un empresario que explicó en LinkedIn cómo le estafaron 42.000 euros. Los ciberdelincuentes tomaron el control del correo electrónico -piedra angular de la ciberseguridad- de un proveedor, y le pasaron una factura perfecta, salvo en el hecho de que la cuenta corriente para la transferencia no era la del proveedor, sino otra.

Uno de los momentos más inquietantes de la clase fue la demostración de una aplicación gratuita y de código abierto llamada Gophish. Se trata de una herramienta diseñada para que las propias empresas puedan simular ataques de phishing (suplantación) y descubrir sus puntos vulnerables, que suele ser la psicología humana.

Con Gophish se puede seguir paso a paso, como si uno fuera un ciberdelincuente, la creación de una campaña de phishing , desde los envíos de los correos, a la suplantación en dominios web y la creación de páginas y documentos que imitan a la perfección los mensajes legítimos.

Otro de los momentos inquietantes de la demostración de los hackers éticos fue la exposición de correos electrónicos de la misma (teórica) procedencia con la invitación a los asistentes a adivinar cuál había sido creado por ciberdelincuentes y cuál no.

La sofisticación de los ataques está muy lejos de aquellas cartas nigerianas redactadas con un lenguaje imposible. Hoy es posible encontrarse con documentos difíciles de identificar como fraudulentos. Casi lo mismo ocurre con los mensajes SMS. Como medida preventiva primaria, explicaron, nunca hay que cliquear en un enlace que nos ofrecen.

¿Por qué mostrar esa galería de los horrores de las ciberestafas? "Porque una imagen vale más que mil palabras", indica Siles. "La gente tiene que verlo gráficamente. Eso lo aprendimos haciendo auditorías y pruebas de intrusión hace 20 años. Nuestros informes eran mucho más técnicos con mucho más texto y han ido progresando a tener imágenes con capturas de los ataques. Han ido progresando a tener demos y vídeos en los que la gente ve no sólo el ataque en sí, sino el impacto que tiene y lo fácil que puede llegar", concluye.

El evento de Vodafone se enmarca en su plan director para actuar como Agente Digital Adherido y gestionar la subvención del Kit Consulting (el programa de ayudas que el Gobierno de España que ofrece a pymes de entre 10 y 250 empleados para diseñar su transformación digital).

Carlos Becker, director de marketing y desarrollo de negocio de Vodafone Business, explica que el motivo de organizar este tipo de eventos es la convicción de que las operadoras de telecomunicaciones, "como guardianes de las infraestructuras, deben proteger a los clientes". Enseñarles los colmillos de la fiera puede ser un primer paso en el camino.

Source: LaVanguardia

Author: