Los mayores problemas y desafíos de ciberseguridad en 2024
El panorama de las amenazas a la ciberseguridad cambia constantemente a medida que los ciberdelincuentes perfeccionan sus técnicas y aprovechan las nuevas vulnerabilidades, tecnologías y vectores de ataque. Algunas de las amenazas más importantes para la ciberseguridad corporativa en 2024 son las siguientes:
Los días cero del ransomware y los megaataques
El ransomware fue una de las amenazas más importantes para la seguridad de los datos corporativos y la ciberseguridad durante varios años. Sin embargo, la evolución de esta amenaza a lo largo del tiempo exacerbó el impacto que estos ataques tienen en las organizaciones objetivo.
En 2023 se produjo un gran número de ataques de ransomware de alto perfil y a gran escala, como la violación de MGM Resorts International. Algunos de los factores clave que contribuyeron al éxito del ransomware son:
- Capacidades en evolución: Los operadores de ransomware trabajan constantemente para optimizar y mejorar sus ataques. La introducción del cifrado intermitente, los ataques de sólo brecha y las técnicas avanzadas de evasión hacen que estos ataques sean más difíciles de detectar y desactivar antes de que se produzcan daños.
- Explotación de día cero: En 2023, CL0P destacó por su uso de la vulnerabilidad de día cero para realizar campañas de ataque a gran escala en ransomware. El grupo suele dirigir a las herramientas de transferencia de archivos (GoAnywhere, MOVEit y File Transfer Appliance de Accellion) para realizar ataques que afectan a cientos o miles de organizaciones a la vez. Otros grupos que emplean los días cero para los ataques de ransomware son Akira, Lockbit, DarkCasino y Nokoyawa.
- Objetivos selectivos: Los grupos de ransomware seleccionan cada vez más sus objetivos para obtener el máximo impacto. Las compañías con un gran número de clientes o con potencial para propagar el ransomware a otras organizaciones son objetivos prioritarios porque maximizan los beneficios potenciales del ataque.
Hacktivismo y limpiaparabrisas convertidos en miembro al Estado
El uso abierto de ataques cibernéticos para la guerra y para lograr fines políticos solía ser relativamente raro. Sin embargo, en los últimos años, se convirtió en algo habitual, especialmente en el contexto de la guerra ruso-ucraniana.
Ya estén convertidos en miembro directamente al gobierno o actúen como hacktivistas independientes, los grupos de ciberdelincuentes emplean cada vez más la denegación de servicio distribuida (DDoS), los wipers y otros ataques disruptivos en apoyo de sus causas. Por ejemplo, Anonymous Sudan, sospechoso de tener afiliaciones rusas, realizó numerosos ataques DDoS de alto perfil contra Microsoft, Telegram, Twitter (X) y Scandinavian Airlines. Por otro lado, KarMa and Agrius, convertida en miembro a Irán, se especializa en violar datos confidenciales de organizaciones israelíes y, ocasionalmente, también en desplegar limpiaparabrisas.
El uso de la IA en la ciberseguridad
El rápido auge de la inteligencia artificial (IA) en los últimos años tiene participaciones tanto positivas como negativas para la ciberseguridad de las compañías. Mientras que las compañías pueden emplear la IA para mejorar sus capacidades de detección y respuesta a las amenazas, los ciberdelincuentes también pueden hacerlo para mejorar la eficacia de sus ataques.
Un uso común de la IA para la ciberseguridad ofensiva es el desarrollo de emails de phishing y malware. Con la IA generativa (GenAI), los ciberdelincuentes pueden crear mensajes de phishing que carecen de muchas de las erratas y otros errores que definían estas amenazas en el pasado. Además, aunque muchas herramientas GenAI disponen de guardarraíles contra el desarrollo de malware, éstos pueden ser burlados fácilmente por los atacantes, lo que les permite desarrollar malware sofisticado más rápidamente de lo que podrían hacerlo de otro modo.
Filtraciones de datos
Las filtraciones de datos siempre fueron una de las principales preocupaciones de ciberseguridad para las organizaciones. La exposición de datos confidenciales de clientes o corporativos puede dañar la reputación de una marca, reducir la rentabilidad o dar lugar a acciones legales o regulatorias.
Si bien, en el pasado, las compañías podían salir con la suya con un tirón de orejas luego de una infracción, este ya no es el caso. En los últimos años, se volvió cada vez más común que las violaciones de datos resulten en litigios y multas y acuerdos significativos para las organizaciones violadas. En el caso de Uber, el Director de Seguridad de la Información (CISO) incluso fue declarado culpable de intentar ocultar una violación de datos a la Comisión Federal de Comercio (FTC).
Las leyes de privacidad de datos son cada vez más numerosas y estrictas en la protección de los datos personales de los clientes. A medida que los reguladores investigan activamente los incidentes y hacen cumplir los requisitos, es probable que las organizaciones que no cumplen o experimentan una infracción debido a negligencia incurran en sanciones significativas.
Credenciales y tokens de usuario comprometidos
El cambio a acuerdos de trabajo remotos e híbridos impulsó nuevos enfoques de seguridad. A medida que los trabajadores remotos necesitaban acceder a los entornos on-prem y cloud, las compañías adoptaron el inicio de sesión único (SSO) (SSO ) y la autenticación de múltiples factores (MFA) para cerciorar el acceso a la aplicación y los datos corporativos.
Esta transición inspiró a los actores de las ciberamenazas a apuntar a los tokens de acceso que conceden acceso a los recursos basados en la nube. A menudo, esto se consigue robando tokens almacenados de forma insegura con terceros o proveedores de servicios en la nube.
Por ejemplo, Microsoft experimentó varios incidentes de seguridad relacionados con tokens. Uno de los sucesos incluyó la exposición inadvertida de datos sensibles debido a un token Azure SAS mal configurado destinado únicamente a compartir datos de entrenamiento de IA de código abierto. Otro incidente involucró el robo de una clave de firma de consumidor de la cuenta de Microsoft (MSA) que se almacenó de forma insegura dentro de la cuenta comprometida de un ingeniero de Microsoft. Con esta clave, el atacante podría generar y firmar digitalmente tokens de autenticación para varios servicios de Microsoft.
Otro incidente notable de ciberseguridad relacionado con tokens fue la violación de Okta en octubre de 2023. Las credenciales robadas permitieron a los atacantes acceder al sistema de gestión de atención al cliente de Okta. Esto permitió al atacante robar archivos sensibles que incluían cookies y tokens de sesión que podían emplear para secuestrar las sesiones de los clientes y obtener acceso no autorizado a sus entornos.
Instalación PIP malware
El uso generalizado de software de código abierto (OSS) genera importantes preocupaciones en materia de seguridad de las aplicaciones (AppSec). La gran mayoría de las aplicaciones emplean al menos algunas bibliotecas y dependencias de código abierto. Sin embargo, estos componentes de código abierto pueden ser mantenidos por individuos, pueden ser abandonados y es probable que no cumplan con los estándares de codificación segura de nivel empresarial.
Los actores de ciberamenazas se dirigen cada vez más a los repositorios de OSS como método para comprometer entornos corporativos e introducir vulnerabilidad o código malicioso en nuevas aplicaciones. Algunos métodos comunes incluyen:
- Typosquatting: En los ataques de typosquatting, los ciberdelincuentes crean bibliotecas y paquetes que imitan los nombres de los legítimos más empleados. Si un desarrollador escribe mal el nombre al instalar una dependencia desde PyPI, NuGet u otros repos de OSS, entonces se incrusta código malicioso dentro de su aplicación.
- Brandjacking: El brandjacking aprovecha el hecho de que algunos paquetes ampliamente empleados se distribuyen solo a través de GitHub, en lugar de repositorios de paquetes. Esto permite a los atacantes crear versiones maliciosas de bibliotecas legítimas que se importarán si un desarrollador intenta descargar el paquete en cuestión.
- Confusión de dependencias: Los ataques de confusión de dependencias se aprovechan del hecho de que algunas bibliotecas están alojadas en repositorios privados. Si un atacante crea un repositorio público con el mismo nombre, el administrador de paquetes lo descargará en lugar de la versión privada.
- Apropiación de cuentas: Los ataques de apropiación de cuentas intentan apoderar de cuentas de GitHub abandonadas, lo que permite al atacante agregar código malicioso a paquetes legítimos. Por ejemplo, un atacante puede reclamar un nombre de dominio caducado y, a continuación, restablecer las contraseñas de GitHub asociadas a ese dominio.
A menudo, los desarrolladores no realizan pruebas de seguridad en las dependencias de terceros que importan a sus proyectos. Esto lo convierte en un vector de ataque eficaz para los actores de amenazas cibernéticas, especialmente si pueden engañar a los usuarios de un repositorio ampliamente empleado.
Comentarios