Blog

Los compromisos del correo electrónico corporativo van en aumento, y los empleados siguen cayendo en la trampa de los ataques de phishing, lo que da acceso a los ciberdelincuentes a los sistemas de correo electrónico.

Los ciberdelincuentes bien organizados buscan dinero. La desviación de los sistemas comerciales para socavar la criptomonesa está, por tanto, en declive. En cuanto al compromiso de la mensajería corporativa, ha vuelto a la vanguardia.

Por supuesto, la minería furtiva sigue siendo posible y los piratas están abandonando gradualmente Bitcoin, que requiere procesadores específicos, para Monederos y otras criptomonedas que son más fáciles de extraer. Pero otras áreas de la ciberdelincuencia tienen mayores ganancias potenciales, según Chris Tappin, consultor de seguridad cibernética de Verizon.

Spear phishing, un método probado

"Si está a punto de cometer delitos cibernéticos y acceder al servidor web de alguien, ahora hay mucho más por hacer, lo que supone un mejor retorno de la inversión y compromete las cuentas de correo electrónico", dijo Tappin a ZDNet.

"Para comprometer un servidor web y ejecutar software en él, se necesita un acceso bastante bueno. Así que, hacer sólo un poco de minería de criptomonas es un poco decepcionante", dice.

"La criptografía hace cobertura mediática, pero según nuestros datos, este tema no es tan preocupante como el de comprometer los correos electrónicos profesionales".

Tappin se refiere al conjunto de datos en el que se basa el informe anual sobre violaciones de datos de Verizon, ahora en su duodécima edición. El informe de este año, muy respetado, analiza 41.686 incidentes de seguridad y se basa en la información proporcionada por 73 organizaciones.

Así pues, en este documento se observa en particular un aumento de los ataques patrocinados por el Estado. Los estados nacionales y sus actores afiliados representan actualmente el 23% de las brechas de datos. Ciertamente un asunto de preocupación.

Pero para el experto en seguridad de Verizon, las cifras para comprometer los correos electrónicos comerciales son una preocupación aún mayor.

En el caso de los incidentes de violación de datos, el uso de datos de identificación robados es, con mucho, el método más común para entrar en una aplicación web.

"El uso de credenciales válidas para abrir aplicaciones web no es totalmente previsor", señala Verizon. No se trata de una cumbre de tecnicismos, pero sí de un método probado.

"La razón para centrarse en ello es que el 60% de las veces, el vector de compromiso de una aplicación web era el front-end de los servidores de correo en nube".

El mes pasado, el FBI estimó que las pérdidas de las empresas afectadas por estas estafas se habían duplicado en 2018, en parte debido a la mayor sofisticación de los ataques. Los ciberdelincuentes han robado 1.300 millones de dólares sólo de las empresas estadounidenses.

El sistema de mensajería ideal para la puerta de entrada

Según el FBI, las pérdidas globales son de 12.500 millones de dólares, 3.000 millones más que las previsiones de Trend Micro. Para Tappin, sin embargo, la cifra real es probablemente mucho mayor, con "muchas" pérdidas no registradas.

"Muchos de ellos, obviamente, no se revelan, simplemente se dan por perdidos. Hemos trabajado en varios proyectos de gran envergadura para los que nunca se ha planteado la posibilidad de revelarlos a la policía", dice Tappin.

"Se consideraba una pérdida de negocio y todo el mundo seguía adelante, se negaba a hablar de ello y estaba muy avergonzado por lo que había pasado".

El phishing sigue siendo el método número uno para robar identificadores de conexión. "Estamos viendo más y más de estas campañas de phishing dirigidas - spear phishing -, donde individuos específicos son el objetivo", dijo el experto a ZDNet.

"Cosas como la autenticación de dos factores o la autenticación de múltiples factores siguen siendo las prioridades de las compañías globales". Y luego, como siempre, está el factor humano.

Sabemos desde hace años que el phishing funciona, y sigue funcionando, porque explota las debilidades de la psicología humana y la cultura organizacional, incluyendo a veces las particularidades de un país.

Cuando los empleados caen en la trampa del phishing, normalmente no están en la oficina y utilizan dispositivos móviles que no necesariamente muestran todo el correo electrónico.

Los ciberdelincuentes son ahora lo suficientemente inteligentes como para dirigirse a las personas adecuadas dentro de la organización: aquellos autorizados a realizar pagos y sus asistentes. Y son lo suficientemente inteligentes como para intentar alcanzar sus objetivos cuando es probable que estén en su dispositivo móvil.

"Para mí, en lo que la gente debería centrarse en sus gastos de seguridad es en cosas aburridas", dice Tappin.