CONOCE LOS RIESGOS
El cibercrimen es hoy en día uno de los sectores en auge en el mundo. Mueve según los expertos más de 500 mil millones de € y el crecimiento año a año de su negocio es próximo al 100%… Existen mercados ilegales en los que pueden contratar profesionales muy cualificados para hacer el “mal”, el desarrollo de herramientas de malware avanzado, comprar información para el envío de campañas masivas de SPAM, etc.
Esto sirve para hacerse una idea de la magnitud del enemigo contra el que debemos enfrentarnos.Por ello, para poder hacerle frente y lograr minimizar el impacto en nuestras empresas es importante conocer mejor algunos de los tipos de ataques o riesgos accidentales más habituales contra los que debemos lidiar con el fin de proteger nuestro negocio.
RIESGOS PROVOCADOS
El atacante envía correos urgentes notificando algún suceso crítico que requiere ser comprobado o validado por el usuario. Normalmente estos correos incluyen algún enlace que debe ser clickado o algún documento adjunto que requiere ser ejecutado.
Una vez realizada la acción solicitada. Los datos del usuario o su máquina pasan a estar comprometidos y bajo el control del atacante.
Existen además distintas variantes en función del canal utilizado por los cibercriminales:
VISHING: El canal utilizado es la Voz. El usuario recibe llamadas en las que se le alerta de alguna anomalía y se le requiere de cierta información sensible para poder “solucionarla”.
SMSHING: En este caso el canal mediante el que se recibe el ataque es un SMS en el móvil.
RECOMENDACIÓN
1. No pinchar en ningún enlace que solicite información personal o confidencial.
2. Revisar que, en el caso de pinchar en algún enlace del correo, la URL a la que se accede es la original del destinatario de nuestra confianza.
3. Desconfiar de cualquier notificación que nos emplace a actuar con urgencia y sin tiempo para comprobar su autenticidad.
4. Ponernos en contacto directo con el remitente (legítimo) del mensaje.
Existen aplicaciones móviles que aprovechan la popularidad de una APP de pago o la reputación de una compañía para ofrecerse de manera gratuita en mercados secundarios. Estas aplicaciones, una vez instaladas, pueden robar información como las contraseñas de acceso, agendas de contacto, grabar nuestras conversaciones, etc.
Falsas promociones
Son promociones o concursos en los que no tenemos constancia de haber participado y sin embargo nos indican que somos los “elegidos para ganar un teléfono de última generación”. Para ello en muchas ocasiones piden rellenar datos personales que posteriormente son vendidos en el mercado del ciberfraude.
Cartas Nigerianas (419 SCAM)
Así denominadas por su relación con el artículo 419 de la legislación Nigeriana. Suelen incluir mensajes de grandes herencias de familiares desconocidos o loterías pendientes de cobro en algún país remoto. Para poder “liberar el premio” solicitan el envío de dinero que permita pagar unos trámites administrativos ficticios.
RECOMENDACIÓN
Instalar solamente APPs de los market oficiales (Google Play, APP Store).
Revisar los permisos que la aplicación solicita al instalarse, y garantizar que estos permisos son los imprescindibles para su funcionamiento. Ejemplo: una linterna no necesita acceso a los SMS.
El malware (malicious software del inglés) es un tipo de programa diseñado para realizar algún tipo de acción maliciosa contra los sistemas informáticos en los que se ejecuta. Durante mucho tiempo han sido los denominados VIRUS pero la realidad es que estos son solo un subconjunto de todas las amenazas que existen.
Troyanos
Malware que se instala de manera silenciosa en los equipos de las víctimas. Tiene la posibilidad de tomar el control de la máquina para robar información, documentos, lanzar ataques de DDOS, etc. Una de sus variantes, el troyano bancario es habitualmente utilizado para lograr comprometer información financiera: tarjetas de crédito, números de cuenta, credenciales de acceso bancario, realizar transferencias automáticas fraudulentas, etc.
Drive by dowload
Se refiere a hecho de descargarse software malicioso sin el consentimiento del usuario mientras se navega por una web o recurso de Internet. De este modo, podremos ser infectados sin aparentemente haber ejecutado ninguna aplicación simplemente pinchando en un mensaje emergente, navegando una web, viendo un correo electrónico, etc.
Ransomware
Ransomware, como su propio nombre indica es un malware que “secuestra” ficheros de nuestro ordenador. Una vez instalado cifra todos los ficheros que se encuentra y muestra un mensaje solicitando una recompensa económica para enviarnos la vacuna que permita volver al estado original.
RECOMENDACIÓN
No ejecutar ningún software de fuentes desconocidas
No abrir adjuntos en el correo de ficheros que no esperemos. Ni siquiera, aunque parezca provenir de personas de nuestra confianza.
Llevar a cabo las buenas prácticas para proteger tu endpoint (enlace a tarjeta 7- protección endpoint)
En el caso de Ramsonware, no pagar nunca el rescate. Es importante seguir una buena política de gestión de la información (enlace a tarjeta 4) y realizar una desinfección del sistema.
Robo de información en sitios públicos
En la sociedad actual los empleados de nuestra PYME viajan para poder atender a nuestros clientes y proveedores. Esto implica que en muchas ocasiones pueden necesitar conectividad en lugares públicos. Existen numerosas redes WIFI públicas que son el vivero predilecto de los atacantes para lograr robar información de los usuarios que buscan desesperados un punto de acceso a Internet gratuito.
Desde estos puntos de acceso peligrosos un atacante puede llegar a ver, interceptar y modificar todas las comunicaciones que un usuario realiza. Este tipo de ataques se conocen como MITM (Man-in-the-middle u hombre en el medio).
RECOMENDACIÓN
Seguir un plan de movilidad que permita proteger a nuestros empleados cuando accedan a redes no controladas por la empresa. (Link a tarjeta3)
La web es el punto de contacto que nuestros clientes tienen de nosotros. Y es por eso por lo que muchas veces es el elemento más atacado por los ciberdelincuentes. Un ataque exitoso sobre ella podría provocar que un atacante tuviera acceso a la base de datos de nuestros clientes, o podría hacer inaccesible la red provocando que todos nuestros clientes se fueran a “comprar” a la competencia.
Ataques dos
Un ataque de denegación de servicio (Denial of Service-DOS) se da cuando uno varios atacantes inundan de peticiones nuestros sistemas para lograr que sean sobrepasados y dejen de dar servicio. También, los atacantes aprovechan vulnerabilidades en software de servicios que hace que los programas dejen de responder o se termine su ejecución. De este modo se puede lograr que una página web deje de estar accesible, por ejemplo.
Ataques defacement
Desfiguraciones de la web que se realizan para buscar notoriedad por parte de grupos hacktivistas o para lograr que la imagen de nuestro negocio se vea comprometida y por lo tanto provoque la pérdida de confianza de nuestros clientes.
Acceso no autorizado
Los atacantes en ocasiones utilizan webs de terceros para alojar contenido no autorizado (exploits de malware, phishing, etc). Para ello primeramente logran hacerse con el control de la web explotando alguna vulnerabilidad. Una vez tienen el control utilizan la web para sus fines fraudulentos.
RECOMENDACIÓN
La web es el elemento más expuesto que como PYME o Autónomo tenemos. Es lo que nos da a conocer al mundo y desde donde podemos captar clientes o fidelizar a los existentes. Por ello es importante tener un plan de protección que permita protegerla.
RIESGOS ACCIDENTALES
En ocasiones, los riesgos no son provocados y provienen de accidentes naturales. Que se vaya la luz en tu edificio, que haya una inundación, etc.
RECOMENDACIÓN: Es importante contemplar estos escenarios en tu plan de contingencia.
La pérdida de un CD o USB con información de la compañía puede suponer la exfiltración de información sensible que puede incluso acabar en manos de la competencia.
RECOMENDACIÓN: Llevar a cabo una política para proteger nuestra información.
Los atacantes aprovechan la desinformación de los empleados para lograr, mediante técnicas de ingeniería social, llevar a cabo ataques que permitan poner en peligro la información o los sistemas de tu empresa. Abrir un adjunto en un correo puede ser el vector de entrada por el que todos los ordenadores de la empresa sean infectados, etc.
Además, malas prácticas como apuntar las contraseñas en un post-it a la vista de todo el mundo, compartir información en redes sociales o instalar aplicaciones descargadas de Internet pueden comprometer también los activos de tu PYME.
Por eso, es muy importante invertir tiempo y recursos en planes de formación que permitan concienciar a los empleados de los riesgos cibernéticos.
Las redes sociales han permitido un nivel de interacción entre humanos nunca vista. La utilización de plataformas como Twitter, Facebook u otros ofrece a nuestro negocio la posibilidad de conocer a nuestros clientes, lanzar promociones para captar nuevos o simplemente comunicar las novedades de nuestra empresa de manera viral y sencilla.
Sin embargo, las redes sociales también pueden ser un elemento de riesgo que ponga en peligro a nuestros empleados y PYME.
Exposición de información
Las redes sociales pueden ser utilizadas por los ciberdelincuentes para buscar información privada de nuestros empleados: fechas de nacimiento, familiares, aficiones, etc. Todos estos datos pueden ser analizados para llevar a cabo ataques de ingeniería social a medida que permitan engañar incluso al empleado más concienzudo. Por ejemplo, un atacante podría deducir las contraseñas de acceso a los sistemas corporativos analizando la información personal de los empleados.
Privacidad
Las redes sociales pueden ser utilizadas por los ciberdelincuentes para buscar información privada de nuestros empleados: fechas de nacimiento, familiares, aficiones, etc. Todos estos datos pueden ser analizados para llevar a cabo ataques de ingeniería social a medida que permitan engañar incluso al empleado más concienzudo. Por ejemplo, un atacante podría deducir las contraseñas de acceso a los sistemas corporativos analizando la información personal de los empleados.
Aplicaciones peligrosas
Las redes sociales son un canal de distribución de ataques muy potente. Dada su viralidad es un medio económico a disposición de los atacantes mediante el cual pueden lograr una propagación masiva. Además, el hecho de que en muchos casos contactos “conocidos” hayan confiado en las aplicaciones “recomendadas” hace que nuestros empleados confíen en la legitimidad del contenido. Un buen ejemplo podrían ser los enlaces a encuestas, falsas promociones, o cualquier noticia morbosa (por ejemplo, una foto de famosas desnudas). Estos contenidos son utilizados por los ciberdelincuentes para introducir virus en los sistemas de los empleados.
Suplantación de identidad
En las redes sociales no todo es lo que parece. En muchas ocasiones los atacantes pueden crearse perfiles falsos que suplanten la identidad de nuestros contactos con el fin de lograr llevar a cabo ataques de ingeniería social (phishing, SCAM, etc) aprovechando la confianza que nos genera el interlocutor. Es importante asegurarse de que la persona al otro lado de la pantalla es verdaderamente quien dice ser.