Resumen de noticias al 20 de diciembre del 2020

Las brechas de seguridad más importantes del 2020

La pandemia trajo consigo un cambio radical en las estrategias de seguridad informática de todas las empresas. A inicio del año, el principal enfoque de organizaciones de todo el mundo era controlar, monitorear y proteger todo lo que pasaba al interior de la red corporativa, pero gracias al incremento del trabajo remoto en, los especialistas de seguridad informática tuvieron que cambiar su estrategia, donde el acceso a los sistemas de información y recursos informáticos se realizaba desde fuera de casa. Se habla mucho del impacto que la pandemia trajo en temas sanitarios y económicos, pero también es cierto que la contingencia sanitaria trajo consigo serios problemas para la seguridad informática de empresas de todo el mundo. Miles de empresas alrededor del mundo fueron afectadas por los ciber-delincuentes, pero en el podcast de hoy, hablaremos de las principales brechas de seguridad de este año. 

1. Twitter: La red social liderada por Jack Dorsey sufrió, durante el mes de julio, uno de los hackeos que más atención mediática recibió este año. Políticos, multimillonarios, figuras artísticas y empresarios fueron víctimas de un hackeo masivo a sus cuentas. El ciberataque estaba relacionado con un presunto esquema fraudulento que involucraba la moneda virtual bitcoin. 

2. Zoom: La plataforma de videoconferencias se volvió popular al inicio de la pandemia, cuando millones de personas empezaron a trabajar o estudiar desde casa. A pesar de todo, la plataforma fue cuestionada por su falta de mecanismos de seguridad y encriptación de datos. En el mes de abril, más de medio millón de cuentas de la plataforma fueron vendidas en la dark web.  

3. Marriot:  La empresa hotelera fue víctima de una fuga masiva de datos durante el mes de enero, comprometiendo la información personal de más de 5 millones de huéspedes. Los intrusos hicieron uso de las credenciales de acceso de dos empleados de la compañía para acceder a los datos de millones de clientes. No es la primera vez que Marriot es víctima de los ciber-crimales, ya que durante 2018 tuvieron un caso simular.  

4. Amazon AWS:  Durante este año, el gigante de los servicios en la nube sufrió el mayor ataque de denegación de servicio hasta ahora.  Para su ejecución, los atacantes emplearon múltiples servidores previamente secuestrados para lograr un ataque DDoS de más de 2.3 Tbps, algo nunca visto. La acción de los ciberdelincuentes impactó en muchos de los servicios que ofrecen a los usuarios.  

5. Easy Jet: Ciber-delincuentes robaron la información de 9 millones de clientes, incluyendo más de 2 mil números de tarjetas de crédito. Entre los datos comprometidos se encontraban no solo la dirección postal de los clientes, sino también el detalle de todos los viajes realizados en los últimos años. Una situación por demás complicada para la aerolínea, donde el número de vuelos disminuyó drásticamente.  

6. Nintendo: A finales del mes de abril, más de 300 mil dispositivos fueron hackeados por un problema de suplantación de identidad de los servicios de Nintendo. El problema afectó a cualquier usuario que vinculó el Nintendo Network ID (NNID) de las consolas Nintendo 3DS y Wii U, a Switch. El hackeo permitió extraer información personal de miles de suscriptores.  

7. Manchester United: El club de futbol soccer fue víctima de un ataque cibernético durante el mes de noviembre. De acuerdo con los informes preliminares, el hackeo tiene el sello de una operación con origen en Rusia o China. Los ciber-delincuentes amenazaron con hacer públicos secretos del club deportivo. 

8. Ataques para robar la investigación sobre la vacuna contra COVID-19: En los últimos meses y cuando los desarrollos de la vacuna más esperada de la historia, ofrece esperanza a nuestro mundo, varios centros de investigación a nivel global están siendo atacados con el objetivo de robar los avances en las investigaciones. Reino Unido, Estados Unidos y Canadá, han señalado a la inteligencia rusa, china y norcoreana como responsables de orquestar estos ataques.  

Estos son solo algunos de los hackeos que más han llamado la atención de los titulares, sin embargo, los principales afectados del ciber-crimen son los pequeños y medianos negocios.  Proteger los sistemas de información de todas las empresas será un verdadero reto para el 2021, porque lo que hemos visto hasta ahora, es solo el inicio ataques más sofisticados y frecuentes. 

Resumen de noticias 13 de diciembre

Como cada semana, te compartimos el resumen de noticias de lo más destacado de la semana.

1. Alguien “hackeó” a Foxconn en México y ya le exigen 34.7 millones de dólares en bitcoin como “rescate” de la información: El fabricante taiwanés de productos electrónicos resultó afectado por archivos robados, servidores eliminados y ataques a sus archivos encriptados.
2. Identifican una campaña de phishing que busca robar credenciales de acceso de Outlook: Se trata de un falso correo que alude a una supuesta actividad inusual en el inicio de sesión y se le solicita al usuario que ingrese a un link para reestablecer su contraseña
3. La Marina de México usó ataques SS7 para intervenir comunicaciones, según Citizen Lab: El centro de investigación que depende de la Universidad de Toronto, en Canadá, reveló cómo la empresa Circles, subsidiaria de la compañía de vigilancia israelí NSO Group, ha desplegado tecnología para intervenir las comunicaciones de las personas en al menos 25 países del mundo, incluido México.
4. Apple pone en la mira a apps que incumplan nuevas normas de privacidad: Apple amenazó este martes con eliminar aplicaciones de su App Store si no cumplen con una próxima función privada.
5. Francia multa a Google y Amazon por no respetar legislación sobre “cookies”: La Comisión Nacional de Informática y Libertades (CNIL) criticó en particular a Google.fr y Amazon.fr por la práctica de colocar “cookies” publicitarias en los ordenadores de los internautas “sin su consentimiento previo”.
6. Phishing roba credenciales de Facebook a través de mensaje que solicita poner “Me gusta” en una foto: Analizamos una reciente campaña de phishing que busca robar las credenciales de acceso de Facebook intentando engañar a los usuarios tras el envío de un mensaje solicitando poner “Me gusta” en fotos.
7. Advierten sobre el crecimiento de ciberataques a instituciones de educación inicial y primaria: Una alerta publicada por la Agencia de Ciberseguridad e Infraestructura de los Estados Unidos advierte sobre los ataques de ransomware y de robo de datos que apuntan a instituciones de kindergarten y de educación primaria.
8. Aprende a evitar los ataques de evil-maid: Una alerta publicada por la Agencia de Ciberseguridad e Infraestructura de los Estados Unidos advierte sobre los ataques de ransomware y de robo de datos que apuntan a instituciones de kindergarten y de educación primaria.
9. El 62% de las empresas ha sufrido más ciberataques desde el inicio de la COVID-19: Los efectos de la COVID-19 han golpeado todos los sectores, también el de la ciberseguridad. Así, según un estudio de Deloitte, el 62% de las compañías asegura haber recibido más ciberataques desde que se inició la pandemia.

El mayor riesgo para la seguridad informática: el usuario final

De inicio pensaríamos que el principal riesgo para la seguridad informática estaría fuera de nuestra organización pero no es así. La seguridad informática es tan fuerte como el eslabón más débil  y en prácticamente todos los casos este es el usuario final. Debido a una poca concientización de los problemas y  la falta de conocimiento, los empleados de tu organización son quieres abren la puerta a los ciberdelincuentes. Con un aumento en el cibercrimen, la integración de cada vez más plataformas digitales a lo largo de todos los niveles de las organizaciones y un incremento en el número de dispositivos que se utilizan para actividades empresariales, hoy más que nunca debemos educar a nuestros empleados sobre cómo protegerse ante ataques informáticos así como de concientizarlos de la importancia de mantener seguro el principal activo de las organizaciones, la información.    Los dispositivos móviles le han dado al usuario una mayor flexibilidad sin embargo, también a hecho que los actores de amenazas se dirijan más activamente a ellos como ruta para para vulnerar la seguridad empresarial, realizar algún fraude financiero u obtener acceso a la infraestructura de TI.  No solo tenemos que pensar en proteger a nuestros empleados mientras se encuentran trabajando en la infraestructura de la empresa, si no también en sus redes domesticas y dispositivos móviles personales.

Cada vez más, los criminales usan una técnica llamada “phishing”,  donde un atacante envía un correo electrónico altamente especifico y a menudo con detalles contextuales personales que engañan al usuario para que de clic en algún vínculo  que lo lleve a descargar un malware, donde posteriormente, proporciona acceso remoto a los atacantes quien lo utilizan como punto de inicio para recolectar información en la red y expandir el control dentro de la red y esto es tan solo un ejemplo.  De poco sirve las grandes inversiones en seguridad informática si los usuarios no están preparados para enfrentar estas amenazas.

Es muy importante educar a los empleados sobre la importancia de su rol al proteger a la organización de posibles amenazas informáticas,  cada uno de ellos debe:

1. Estar atento y ser capas de identificar posibles amenazas cibernéticas
2. Conocer y entender las políticas de seguridad informática
3. Identificar aquella información que es considerada sensible
4. Conocer los procedimientos correctos para acceder y proteger la información
5. Identificar algún ataque de ingeniería social y/o suplantación de identidad
6. Crear una contraseña segura y entender la importancia de cambiarla constantemente
7. Conocer el procedimiento a seguir en caso de ser víctima de algún ataque cibernético

Hoy más que nunca, todas las empresas deben contar con un plan de concientización de seguridad informática. Al no tener las medidas adecuadas, las empresas se arriesgan a asumir la pérdida de información  e incluso enfrentar repercusiones legales.   Si aún no has empezado ¿Qué esperas

Resumen de noticias 6 de diciembre

Como cada semana, el resumen de noticias de la seguridad informática.

1. Las empresas deben cuidarse del COVID-19, pero más de las fake news: De acuerdo con varios estudios, en México las compañías lidian con desinformación y noticias falsas que perjudican su prestigio.
2. Datos personales de más de 243 millones de brasileños quedaron expuestos: Un fallo de seguridad en un sitio oficial del Ministerio de Salud de Brasil expuso datos de inicio de sesión a una base de datos que contenía información personal de millones de brasileños, tanto vivos como fallecidos.
3. Materias de ciberseguridad, desde la primaria: Expertos en educación digital, a nivel básico y maestría, sugieren que la llave para reducir la exposición a ciberataques en empresas es educar en ciberseguridad desde la primaria.
4. Estas son las prácticas que más contribuyen a garantizar la ciberseguridad: Cisco ha presentado hoy su último estudio sobre el nivel de éxito actual de los programas de Ciberseguridad y las prácticas más efectivas para alcanzarlo y mejorarlo. 
5. Ciberdelincuentes atacan cadena de frío de vacunas contra COVID-19: Un reporte de IBM elevó alertas por ataques cibernéticos dirigidos a la cadena de suministro internacional de vacunas contra COVID-19.
6. El 26% de los emprendimientos de México sufrieron algún ciberataque en los últimos seis meses: En los últimos seis meses, el 26% de los emprendimientos de México sufrieron algún ciberataque, los cuales representan en promedio $279 mil pesos por ataque para las empresas afectadas.
7. Estrategia de ciberseguridad en México: retos para un futuro ciberseguro: La economía global se basa en la confianza y ya existen las herramientas tecnológicas que permiten anticipar los ciberataques. México necesita ahora un esquema regulatorio sólido.
8. Tendencias en ciberseguridad para el 2021: ¿qué esperar después de este año de incertidumbre?: Los expertos de ESET analizan algunos de los temas clave que definieron el panorama de la ciberseguridad este año para intentar explicar lo que podemos esperar a partir del 2021.

¿Qué es el Pentesting y por qué necesitas un hacker ético en tu empresa?

El pentesting o pruebas de penetración son ataques planeados y controlados hacia los sistemas de información, portales web y redes empresariales con la intención de encontrar sus debilidades y vulnerabilidades. Estas pruebas comprenden desde el análisis de dispositivos físicos y digitales, servicios lógicos hasta el factor humano utilizando Ingeniería Social. Estas pruebas son diseñadas para clasificar y determinar el alcance y repercusión de dichos fallos de seguridad y como resultado, las empresas pueden obtener una idea bastante clara de los peligros y riesgos a los que se enfrentan.  Los pentesters, como son llamados, utilizan software y métodos manuales para hacer un primer reconocimiento, recolectando información del negocio tal como lo haría algún criminal cibernético.  Después de esto, identifican puntos de entrada vulnerables y finalmente, abren una brecha en el sistema y reporta como lo hicieron.

Algo que debe quedar muy claro es que, durante una prueba de penetración, los sistemas o la información no es afectada, simplemente se intenta ingresa a los sistemas para probar las defensas de la organización. El punto clave es que, si el pentester hackea las defensas actuales o encuentra vulnerabilidades, te da la oportunidad de cerrar el agujero de seguridad o corregir el problema antes de que un ciberdelincuente lo descubra y tome ventaja.

De manera general, las fases al realizar un pentesting son:

• Fase de definición de alcance:En esta etapa, se define en qué va a consistir esta prueba de penetración, se describen cuales son los servicios críticos de la empresa y qué escenario supondría un mayor riesgo para su operación. Para algunos puede ser más crítico que el sitio web estuviera abajo y para otros que se roben información de sus sistemas.
• Fase de recolección de información:En esta etapa se utilizan arañas y scanners para obtener toda la información posible de la empresa, de cierta manera se utilizan las mismas herramientas que un ciberdelincuente usaría para obtener información de tus sistemas de información y redes.
• Fase de modelado de la amenaza:A partir de la información recolectada, se debe pensar como si uno fuera un ciberdelincuente y definir cual sería nuestra estrategia de penetración con base en los puntos débiles identificados en nuestro análisis inicial.
• Fase de análisis de vulnerabilidades:Con base en el modelado de la amenaza, se identifican proactivamente las vulnerabilidades que pudieran ser más fácil de explotar.   El 90% de los ataques a redes empresariales son muy similares así que se analiza de que forma otros ataques han sido exitosos y de cómo estos escenarios podrían ser utilizados en nuestra contra.
• Fase de explotación:En esta etapa, se intenta conseguir acceso a los sistemas ejecutando exploits contra las vulnerabilidades identificadas en las etapas anteriores, en este punto en realidad estamos simulando un ataque de un ciber delincuente estableciendo límites para no causar daño alguno a nuestros sistemas o información. 
• Fase de post-explotación:En esta fase tratamos de conseguir el máximo nivel de privilegios, información de la red y acceso al mayor número posible de sistemas identificando que datos y/o servicios tenemos a nuestro alcance. En todo momento, el atacante tiene claro que no debe realizar daño alguno y que se garantizará la confidencialidad de la información.
• Fase de informe:Al final de la prueba de penetración, se genera un reporte con todos los hallazgos encontrados, se muestran las vulnerabilidades, se priorizan y se dan recomendaciones de qué acciones tomar. Se debe generar un reporte tanto para la alta dirección de la empresa como uno más técnico para el personal especializado del área de tecnología de información.

En resumen, si quieres conocer que tan efectivos son tus sistemas de seguridad y qué tan preparado estas ante un ataque cibernético, sin lugar a duda debes realizar una prueba de penetración. Si quieres conocer más acerca de las vulnerabilidades y posibles riesgos que actualmente corre tu empresa, contáctanos a través del correo electrónico contacto@tbsek.mxy con gusto podemos ayudarte a realizar un pentesting para tu empresa

Consejos para crear un programa de concientización de seguridad informática para tu empresa

Una de las piezas claves de cualquier estrategia de ciber seguridad empresarial es crear una cultura de seguridad informática dentro de la empresa.   No importa cuanto inviertas en plataformas de seguridad informática, cuantas evaluaciones o pruebas de penetración realices, si tus empleados son los que le darán clic a ese archivo que pueda comprometer toda tu red, de nada sirve todo ese esfuerzo. La cultura de seguridad informática es uno de los mecanismos más importantes para influenciar el comportamiento de los empleados. Desgraciadamente en México y en el resto del mundo tiende a ser un aspecto al cual pocas organizaciones le ponen atención.  El día de hoy te daremos algunos consejos para que puedas implementar un programa de concientización de seguridad informática en tu empresa.

• Obtén el apoyo de la alta dirección: Sin lugar a duda, el primer paso es obtener el apoyo del presidente o director general de tu empresa.  Todos y cada uno de los empleados de tu organización deben participar en este programa, especialmente los puestos gerenciales o directivos ya que son ellos quienes generalmente manejan la información más sensible de tu organización.   La alta dirección debe estar consciente de las implicaciones para la empresa si esta fuera victima de un ciberataque.
• Crea contenido acorde a los perfiles:  Aunque la cultura de seguridad informática debe tocar todos los niveles de la organización, cada nivel debe entender el impacto que tiene su rol dentro de la organización.   Se debe crear material o contenido tanto para ejecutivos como personal operativo y sobre todo se debe hacer especial énfasis en aquellos roles que tienen un mayor contacto con el exterior ( por ejemplo atención a cliente o el departamento de compras).
• Asóciate con departamentos clave: Los programas de concientización más exitosos son aquellos que logran el apoyo de otros departamentos clave dentro de la organización, por ejemplo los departamentos de recursos humanos, el área legal e incluso el área de comunicación y mercadotecnia. Con frecuencia, estos departamentos pueden hacer que los esfuerzos de concientización de seguridad sean obligatorios. Para obtener este apoyo, es posible que tengas que incorporar las necesidades de los departamentos que te están apoyando.
• Usa los canales adecuados: Dependiendo de la cultura de tu organización, utiliza los canales que puedan tener un mayor impacto para transmitir tu mensaje. Para algunas empresas puede ser el boletín mensual, las reuniones semanales por departamento o cualquier otro medio de comunicación adecuado para la empresa. Usa el canal que mejor impacto tenga dependiendo del nivel organizacional donde te encuentres.  Ubica dentro de tu equipo de trabajo a un vocero que pueda ayudarte con estas tareas.
• Piensa en un programa a mediano o largo plazo: Cambiar o influir en la cultura organizacional no es una tarea fácil  y difícilmente veremos resultados a corto plazo. No se trata de hacer una única campaña en una semana en particular del año sino más bien debes realizar pequeñas campañas a lo largo de todo el año.  Busca diferentes formas de presentar
• Incentiva la participación: Crea un programa que incentive la participación de todos los empleados en este programa. Por ejemplo, de algún modo puedes recompensar a las personas por informar posibles incidentes de seguridad, dichos incidentes pueden incluir informar sobre mensajes de phishing o simplemente dar algún reconocimiento a aquella persona que ayude a difundir nuestro mensaje.
• Mide el impacto de la campaña: Uno de los factores claves dentro del programa es demostrar que estamos influyendo en la cultura organizacional.  Sin establecer una línea base es difícil demostrar que los esfuerzos han tenido éxito. Se puede examinar la cantidad de incidentes relacionados con la seguridad informática reportados en la mesa de ayuda, la cantidad de incidentes relacionados con virus entre muchas otras cosas.

Estas son tan solo algunas ideas para iniciar tu programa de concientización de seguridad informática. Recuerda, no hay tecnologías que compensen una cultura de seguridad deficiente.  Los programas de concientización, cuando se ejecutan adecuadamente, proporcionan grandes beneficios para las empresas

Consejos para hacer una auditoría de seguridad informática en tu empresa

Ninguna empresa está exenta de ser víctima de los ciber-delincuentes, incluso es posible que alguien ya haya robado información de tus sistemas y tú ni si quiera te has dado cuenta.   Los ecosistemas informáticos de las empresas son cada vez más complejos, realizan cada vez más tareas, son usados por cada vez más personas, y, por lo tanto, son cada vez más difíciles de controlar.  Para tratar de minimizar los riesgos informáticos, es necesario que las empresas realicen auditorías de seguridad informática regularmente; las cuales son estudios realizados por profesionales externos a las empresas y tienen la finalidad de descubrir posibles vulnerabilidades en el ecosistema informático, incluyendo: sistemas de información, red de cómputo tanto alámbrica como inalámbrica, enlaces de Internet, servidores y equipo de cómputo de los empleados; dispositivos móviles, hábitos digitales de los usuarios, así como la verificación de cumplimiento de normativas vigentes.

Existe un sinnúmero de auditorías de seguridad informática, pero las más populares en el mundo empresarial son las siguientes: 

• Auditorias forenses:  Este servicio se contrata tras haber sido víctima de un ciber-criminal y tiene como objetivo identificar y recopilar evidencias para establecer las causas del incidente.  
• Auditorías web:  Enfocadas en conocer la seguridad de aplicaciones y servicios web, de tal manera que se identifique cualquier tipo de falla en la implementación de las mismas. Esto aplica tanto a sitios web que están publicados en Internet como a aquellos que están disponibles exclusivamente dentro de la Intranet corporativa.  
• Hacking ético:   Se trata de una prueba de intrusión que intenta utilizar las mismas técnicas y herramientas que usan los ciber-delincuentes para poner a prueba la seguridad informática. No se realiza ningún daño en los sistemas o en la información, pero si se demuestra que nuestro ecosistema digital tiene fallos y vulnerabilidades.  Al mismo tiempo, también se pone a prueba la robustez de las contraseñas.  
• Auditorías físicas:   En este caso se pone a prueba el entorno físico, incluyendo cámaras de seguridad, controles físicos de entrada, sistemas de incendios, climatización, instalaciones de suministro eléctrico, entre muchas otras cosas. Imagínate, tus cámaras de seguridad podrían estar siendo monitoreadas, incluso por personas ajenas a tu organización.  

Muchas de estas auditorías se basan en estándares como: COBIT (Objetivos de Control de la Tecnológica de la Información),  ISO 17799 (Norma internacional que ofrece recomendaciones para realizar la gestión de la seguridad de la información), Norma ISO 27002 (Código de buenas prácticas), ISACA (Asociación de Auditoría y Control de Sistemas de Información), ITIL (Biblioteca/Guía de Infraestructura de Tecnologías de la Información), estándar mundial de facto en la Gestión de Servicios Informáticos, entre muchas otras más.  

Es muy importante que las auditorías informáticas las realicen personas fuera de tu organización. Por más objetiva que sea, una auditoría interna podría sesgar los resultados del estudio, y el objetivo NO es decir que todo está bien, sino encontrar los puntos débiles de tu ecosistema digital y actuar en consecuencia. Al mismo tiempo, es muy importante que las auditorías se realicen de manera periódica, pues los cambios en tus plataformas y las nuevas vulnerabilidades que aparecen todos los días podrían cambiar los resultados de esta.