Verizon encuentra c-suite, smbs bajo amenaza en informe anual de seguridad

Un factor motivador importante para desencadenar violaciones de datos es el dinero, simple y llanamente. Los hackers quieren ganar dinero con las infracciones, y este fue un hallazgo clave en el Informe de investigaciones de violación de datos de 2019 de Verizon, publicado ayer. La compañía estudió 41, 686 incidentes de seguridad y más de 2, 000 violaciones de datos, y descubrió que el 71 por ciento de las violaciones fueron motivadas financieramente. También reveló que una gran cantidad de estos ataques fueron intentos de ingeniería social en ejecutivos de C-suite. Tenían 12 veces más probabilidades de experimentar un incidente de ingeniería social ahora que durante el período cubierto en el informe de investigaciones de violación de datos de 2018 de Verizon. Una forma común de estos ataques es el phishing, en el que los piratas informáticos se disfrazan de individuos confiables y toman nombres de usuario, contraseñas y detalles de tarjetas de crédito.

Los atacantes buscan el "dinero rápido", según Gabriel Bassett, Científico de Datos de Seguridad de la Información de Verizon y autor del informe. Y estas amenazas deben ser lo más importante para las pequeñas y medianas empresas (PYMES), una de las muchas preocupaciones relacionadas con las PYMES que se abordan actualmente durante el evento de la Semana Nacional de la Pequeña Empresa (NSBW) de esta semana, patrocinado por la Administración de Pequeñas Empresas de EE. UU. Según el informe (ver la figura a continuación), estas amenazas deben seguir siendo importantes porque el 43 por ciento de las infracciones involucraron a las pequeñas empresas.

(Crédito de la imagen: Verizon)

Por qué las amenazas de ingeniería social son tendencia

El phishing es un intento de obtener información confidencial, como nombres de usuario, contraseñas y detalles de tarjetas de crédito, disfrazándose como una entidad confiable al enviar comunicaciones electrónicas. Estos ataques de phishing podrían incluir un mensaje de correo electrónico que contiene un enlace a un sitio web falso que se parece a una página de inicio de sesión de un proveedor de correo electrónico basado en la nube. "Realmente está diseñado para robar sus credenciales", explicó Bassett.

Los ataques de phishing fueron parte del 78 por ciento de los incidentes de ciberespionaje que estudiaron los investigadores de Verizon. En el correo electrónico, el ataque podría dirigirse a un Director Financiero (CFO) y parecer ser de una Oficina Ejecutiva (CEO) que le pide al ejecutivo que transfiera una cierta cantidad de dinero a una cuenta. El mensaje podría decir: "Es realmente importante. Por favor, hazlo muy rápido", dijo Bassett.

Estos ataques se denominan "compromisos de correo electrónico empresarial". Bassett explicó que Verizon se refirió a ellos en el informe como "ingeniería social motivada financieramente". Los atacantes se dirigen a los ejecutivos de C-suite porque tienen autoridad sobre grandes transferencias de dinero en una empresa y no pueden leer las comunicaciones por correo electrónico con cuidado.

Los ataques de suplantación de identidad (phishing) "engañan a mucha gente, por lo que deben ser conscientes de que suceden este tipo de cosas y deben tener controles secundarios para verificar cualquier transferencia de dinero o incluso el pago de facturas", dijo Bassett. "Puede ser solo un correo electrónico con una factura falsa. Si no está prestando atención, puede pagarlo sin darse cuenta de que no era una factura legítima real".

Los ataques motivados financieramente fueron un tema clave en varias industrias en el informe. De hecho, el informe señaló que el 68 por ciento de las violaciones de datos en la fabricación fueron motivadas financieramente, y el 49 por ciento de los 352 incidentes en la fabricación involucraron credenciales robadas.

Un hecho interesante es que no todo se pierde cuando tiene una violación de datos. El Centro de Quejas de Delitos por Internet (IC3) del FBI puede ayudarlo a recuperar los fondos robados durante este tipo de ataque. Según el informe, la mitad de los incidentes relacionados con el compromiso del correo electrónico comercial arrojaron una devolución o el congelamiento del 99 por ciento de los fondos robados. "Si eres víctima de uno de estos actos, todavía tienes tiempo para actuar", dijo Bassett. "Si se reporta rápidamente a IC3, pueden ayudarlo".

Los ataques por correo electrónico ocurren porque no requieren mucha habilidad técnica, según Bassett. "No tienes que entender cómo funcionan las computadoras para pedir dinero a alguien", dijo. "Y, por lo tanto, abre el delito cibernético a las personas que tal vez no sean técnicas pero sean muy persuasivas".

Otras conclusiones clave

Los ataques por correo electrónico no fueron los únicos datos interesantes del informe de Verizon. Aquí hay otros cuatro hallazgos clave:

1) Junto con los ataques de ingeniería social motivados financieramente, existen amenazas a las transacciones de comercio electrónico, también conocidas como ataques de "tarjeta no presente". El aumento de los ataques de comercio electrónico viene con una disminución de las amenazas a las transacciones en puntos de venta (POS) en persona. Las infracciones de POS han disminuido en un factor de 10 desde 2015, y las infracciones de aplicaciones web ahora tienen una probabilidad 13 veces mayor de ocurrir. Los atacantes pueden ser disuadidos por el uso de tarjetas con chip EMV, según el informe. Los ataques a puntos de venta en las industrias de alojamiento (hostelería) y servicios de alimentos en particular disminuyeron de 307 en el informe Verizon 2018 a 40 en la versión de este año (ver la figura a continuación).

2) Más de 60 millones de registros de datos se vieron afectados por infracciones que afectan el almacenamiento de archivos basado en la nube para las empresas. Las configuraciones incorrectas por parte de los administradores del sistema causan estas infracciones y exponen accidentalmente información confidencial. "Está sucediendo cada vez más a menudo, y es una de esas brechas fáciles y rápidas", dijo Bassett. "No se necesitan muchos pasos para ir desde encontrar una base de datos hasta que se viola".

Este tipo de incumplimiento también podría ocurrir cuando se produce una transferencia de personal. El siguiente administrador que trabaje en un sitio web puede no darse cuenta de que la persona que vino anteriormente dejó una base de datos pública.

3) El informe de Verizon también reveló que el 69 por ciento de los ataques fueron llevados a cabo por personas ajenas en comparación con el 34 por ciento de los ataques realizados por personas de adentro. Una excepción a esta tendencia fue en la atención médica, donde las amenazas internas eran más frecuentes en comparación con otras industrias. Esto se debe a que a menudo hay una curiosidad al mirar los registros médicos electrónicos (EMR) de celebridades o personas que los profesionales médicos conocen.

"En la atención médica, tienen empleados inescrupulosos que pueden ver esa información y darse cuenta de que hay un valor para el fraude en la atención médica", dijo Bassett. Describió una tendencia común en la que los atacantes entregan los datos comprometidos a alguien para presentar reclamos de seguro de salud fraudulentos.

4) Verizon también descubrió que seis veces menos profesionales de recursos humanos (RR. HH.) Estaban experimentando violaciones de datos. El informe afirma que no tiene una razón para esta caída además de la mejor conciencia en las empresas sobre las amenazas a los datos. Los ataques a recursos humanos pueden incluir un intento de recuperar información fiscal de los empleados para que los piratas informáticos puedan presentar declaraciones de impuestos falsas y dejar que los empleados paguen la factura, dijo Bassett.

(Crédito de la imagen: Verizon)

Protección contra violaciones de datos

Para protegerse contra las violaciones de datos, especialmente los ataques de phishing, las PYMES deben usar administradores de contraseñas para fortalecer sus prácticas de gestión de identidad. Otra práctica recomendada es utilizar la autenticación multifactor (MFA) para proteger las cuentas de las infracciones. Esta práctica implica el uso de dos o más formas de autenticación para obtener acceso a un sistema. Pueden incluir contraseñas, datos biométricos como huellas digitales o tokens de un teléfono móvil.

Para protegerse contra ataques como el phishing, Bassett también recomienda que los usuarios que abran archivos no solicitados de entidades externas usen un sistema operativo (SO) de espacio aislado de solo una tableta y un teclado para evitar la propagación de malware. Un entorno limitado es un entorno restringido en el que las aplicaciones están aisladas y en las que se puede impedir que los usuarios eliminen archivos y cambien la información del sistema.

• Los piratas informáticos de Marriott robaron más de 5 millones de números de pasaporte sin cifrar Los piratas informáticos de Marriott robaron más de 5 millones de números de pasaporte sin cifrar
• Sitio de citas 'Coffee Meets Bagel' afectado por violación de datos 'Sitio de citas' Coffee Meets Bagel 'afectado por violación de datos
• SecurityWatch: hacer corporaciones, no clientes, sufrir por violaciones de datos SecurityWatch: hacer corporaciones, no clientes, sufrir por violaciones de datos

Puede ser de sentido común, pero un paso clave es proporcionar una forma para que los empleados denuncien correos electrónicos de phishing y violaciones de datos cuando se detectan. Moverse rápido es esencial porque a veces hay una ola de clics en un correo electrónico de phishing dentro de una empresa que ocurre una semana después de que se envían.

"Los informes y los clics ocurren a tasas similares durante la primera hora, pero los informes disminuyen mientras los clics continúan durante la próxima semana", dijo Bassett. "Utilice los informes que reciba en la primera hora para eliminar los correos electrónicos de phishing de las bandejas de entrada para que la gente no haga clic en ellos un día o una semana más tarde y reinicie el incidente".

La conclusión: manténgase alerta, sospeche de su correo electrónico y tenga una línea de defensa sólida para detectar intentos de fraude socialmente diseñado en su negocio.