Estas son algunas de las causas más comunes de una violación de datos y, sobre todo, cómo prevenirlas.
En 2021 se vulneraron 22.000 millones de registros de datos. Estos registros de datos incluían credenciales de acceso, datos personales, información sensible de la empresa e información financiera. Los datos probablemente acabaron en los mercados de la web oscura para su venta a la comunidad de ciberdelincuentes en general.
Un hacker puede utilizar los datos robados para llevar a cabo ciberataques, como el robo de identidad, el Business Email Compromise (BEC) y la infección por ransomware. Los datos son la piedra angular del tsunami de ciberdelincuencia al que asiste el mundo; sin acceso a los datos personales, los ciberdelincuentes se verían privados de los 1,5 billones de dólares de ingresos que obtuvieron en 2019.
Estas son algunas de las causas más comunes de una violación de datos y, sobre todo, cómo prevenirlas.
Las cuatro causas más comunes de una filtración de datos
El Data Breach Investigations Report (DBIR) es una revisión anual del estado del panorama de la ciberseguridad. El DBIR de 2022 identifica cuatro formas clave en las que los ciberdelincuentes "entran en su propiedad": Credenciales, suplantación de identidad, explotación de vulnerabilidades y redes de bots.
Credenciales
Según el DBIR de 2022, ha habido un aumento del 30% de credenciales robadas desde 2017. Si un ciberdelincuente se hace con un conjunto de credenciales de acceso, por ejemplo, el nombre de usuario y la contraseña, es igual que entregar los datos de la empresa y la cuenta bancaria.
Incluso las credenciales de acceso de empleados sin privilegios a servidores y áreas sensibles de la red pueden abrir la puerta de su castillo. Estas credenciales se utilizan para escalar privilegios y obtener acceso a áreas y aplicaciones sensibles de la red: esto se conoce como movimiento lateral.
Comportamientos como compartir y reutilizar las contraseñas en varias cuentas también ponen en peligro las credenciales de acceso: una encuesta de Google reveló que el 52% de las personas reutilizan las contraseñas de varias cuentas.
El phishing es un área de alto riesgo que conduce al robo de credenciales y, en última instancia, a una violación de datos:
Phishing
La mejor manera de robar datos personales es mediante el phishing. En todas sus formas, incluyendo el phishing por correo electrónico, el spear-phishing, el smishing y el vishing, este mecanismo de ingeniería social es la mejor manera de que un ciberdelincuente comience el proceso que lleva a una violación de datos.
El DBIR de 2022 muestra que el phishing sigue siendo la principal variedad de ingeniería social. Esto se debe a que el phishing por correo electrónico es una forma directa de entrar en una organización; si un correo electrónico de phishing llega a la bandeja de entrada de un empleado, a menos que sepa a qué se enfrenta, el siguiente paso es el robo de credenciales y/o la infección de malware. Incluso el ransomware, que solía ser exclusivamente una extorsión financiera, se utiliza ahora para robar datos. Todo gira en torno a los datos.
Además, el uso de múltiples factores de autenticación (MFA/2FA) ya no es una protección contra el robo de credenciales y datos a través del phishing. Los ciberdelincuentes, siempre ingeniosos, están encontrando nuevas formas de eludir la autenticación de segundo factor.
Explotar las vulnerabilidades
El phishing y el robo de credenciales suelen aprovechar las vulnerabilidades que conducen al robo de datos. Las vulnerabilidades del software son comunes. CVE Details mantiene un registro y una base de datos de vulnerabilidades: en 2021, CVE Details registró más de 20.000 vulnerabilidades; cada una de ellas tiene el potencial de permitir a un pirata informático explotar el fallo y hacerse con una aplicación. El objetivo es utilizar este exploit para acceder a partes de la red que permitan al hacker instalar malware o exfiltrar datos.
Botnets
SpamHaus registró un aumento del 23% en la actividad de las redes de bots en el cuarto trimestre de 2021. La palabra botnet describe un conjunto de dispositivos infectados con malware que se utilizan como grupo para realizar ataques. Un actor malicioso, un Botherder, controla estos ordenadores/portátiles.
El agresor utiliza estos dispositivos para llevar a cabo ciberataques contra un objetivo, incluyendo el envío de correos electrónicos de suplantación de identidad, malware y/o la realización de un ataque de denegación de servicio. Todo ello puede formar parte de un objetivo más amplio de robo de datos.
Estas son las mejores formas de prevenir una filtración de datos
Una de las principales conclusiones del DBIR de 2022 es que el 82% de las infracciones están relacionadas con el elemento humano. Además, según el informe, "las personas siguen desempeñando un papel muy importante tanto en los incidentes como en las violaciones". Centrar sus esfuerzos en cambiar esta métrica es la mejor manera de combatir las violaciones de datos.
He aquí algunas de las mejores maneras de hacerlo:
Forme a sus empleados sobre las tácticas de seguridad de la información
La formación para la concienciación sobre la seguridad sigue siendo la mejor manera de prevenir un ciberataque que se basa en la manipulación del comportamiento humano. Sin embargo, esta forma de educación de los empleados no es sólo para formar a los empleados sobre el elemento cibercriminal de las violaciones de datos.
La concienciación sobre la seguridad también consiste en mejorar los comportamientos generales de seguridad, como compartir y reutilizar las contraseñas. Los paquetes de formación eficaces incluirán todos los aspectos de las cuestiones de seguridad en una organización y educarán a los empleados regularmente para mejorar su comportamiento general en materia de seguridad.
Realización de simulacros de phishing
Los simulacros de phishing son una buena manera de que los empleados sepan cómo funciona el phishing. El uso de ejercicios de simulación de phishing es vital, ya que los ciberdelincuentes utilizan cada vez más métodos sofisticados de phishing por correo electrónico y apuntan a funciones específicas en una organización.
Los proveedores de simulación de phishing ofrecen plantillas para crear sus simulaciones de phishing basadas en el tipo de phishing por correo electrónico que pone en riesgo a su empresa. Además, las plataformas avanzadas de simulación de phishing proporcionarán una consola central para gestionar la formación y ofrecer métricas que ayuden a adaptar los ejercicios.
Fomentar la notificación de incidentes de violación de datos
Hay que animar a los empleados a que informen de los incidentes de seguridad. Al hacerlo, las organizaciones fomentan una cultura de seguridad que facilita la colaboración contra la ciberdelincuencia. Una cultura de seguridad que haga hincapié en la notificación abierta y que facilite la notificación de incidentes permite a su equipo de TI ayudar a evitar que un incidente se convierta en un evento de seguridad en toda regla.
Utilice un gestor de contraseñas
El robo de credenciales es común porque las contraseñas se utilizan habitualmente para iniciar sesión en las aplicaciones. Como la gente debe recordar tantas contraseñas, acaba utilizando la misma una y otra vez. La contraseña más común es 123456. El uso de un gestor de contr aseñas es una forma eficaz de evitar la fatiga de contraseñas y fomentar una buena higiene de las mismas.
Parchee sus sistemas
Las vulnerabilidades sólo son explotables si existen. Por lo tanto, asegúrese de actualizar y aplicar los parches de seguridad a medida que estén disponibles. Si esto le parece una tarea gigantesca, busque un mecanismo centralizado que pueda automatizar la aplicación de parches.
Como noticia positiva, en 2020 se violaron 37.000 millones de registros de datos. Por lo tanto, los 22.000 millones de registros violados en 2021 muestran un progreso. Es poco probable que este descenso se deba a que los ciberdelincuentes se tomen unos días de descanso. Es más probable que se deba a que las organizaciones están tomando nota e implementando medidas para prevenir las violaciones.
De hecho, el DBIR de 2022 lo reiteró: "ninguna organización está segura sin un plan para manejarlos todos". Una empresa puede crear un entorno más seguro y prevenir las violaciones de datos trabajando en colaboración y utilizando la educación en seguridad.
