El viejo dicho "nada es seguro, excepto la muerte y los impuestos" debería ampliarse para incluir los cambios en el panorama de la ciberseguridad. Los profesionales de la ciberseguridad y los líderes empresariales pueden ayudar a reducir las amenazas contra sus organizaciones si conocen lo que está ocurriendo en ese panorama en constante cambio.
Dado que las ciberamenazas siguen poniendo a prueba incluso a las empresas más aguerridas, mirar hacia 2023 puede ayudarnos a poner en orden nuestros patos cibernéticos.
He aquí un vistazo a cinco tendencias en ciberseguridad de cara a 2023.
El ser humano sigue siendo un objetivo de ciberseguridad
El factor humano en la ciberseguridad ha sido un reto en todos los sectores durante muchos años. Los seres humanos son un eslabón débil en una compleja cadena que conduce a las violaciones de datos, infecciones de ransomware y otros desastres. Los ciberdelincuentes se aprovechan de los empleados; esta táctica ha experimentado grandes avances en el éxito de las estafas y los ciberataques debido a la falibilidad del operador humano.
La pandemia de Covid-19 dio a los ciberdelincuentes un gusto por los ciberataques centrados en tácticas como las estafas y el phishing. Como prueba, un análisis de ISACA ha descubierto que la mitad de las violaciones de datos están relacionadas con acciones de los empleados. Los ciberdelincuentes consideran que atacar a un empleado es una fruta fácil de conseguir, ya que puede proporcionar un punto de entrada a la red corporativa más amplia. Una vez dentro de la red, pueden producirse ciberataques, como la infección por ransomware, el Business Email Compromise (BEC) y otros ataques de malware.
Tendencia de la ciberseguridad: el informe de Verizon Data Breach Investigations Report (DBIR) para 2021 y 2022 muestra que el error humano estuvo detrás del 85% y el 82% de las violaciones de datos, respectivamente. Es probable que el factor humano en un ciberataque se mantenga en este nivel en 2023.
Cómo mitigar esta tendencia de ciberseguridad: ayudar a minimizar el riesgo humano en la máquina cibernética llevando a cabo simulacros regulares de phishing y formación de concienciación sobre seguridad.
Deepfakes y extorsión
La tecnología Deepfake se utiliza para muchos fines legítimos, como la creación de avatares de juegos o la impartición de clases. Sin embargo, esta misma tecnología es una herramienta ideal para engañar a la gente para que crea o haga algo que beneficie a un ciberdelincuente. El problema es que los vídeos y audios deepfake pueden ser difíciles de distinguir de los reales. En una encuesta realizada por iProov, el 43% de los encuestados dijo que no podía distinguir entre un vídeo real y un deepfake.
Tendencia de ciberseguridad: Los deepfakes ya se han utilizado en estafas BEC. El ejemplo clásico es el del director general al que se le estafó 243.000 dólares (210.000 libras) mediante un deepfake de voz (Deepfake Vishing). Otro ámbito en el que los deepfakes podrían convertirse en un grave problema es el de las estafas de extorsión.
Por ejemplo, imaginemos un deepfake que incluya un vídeo convincente de un director general o un miembro del consejo de administración en una posición comprometida o expresando un discurso de odio. Este escenario lo destaca Europol, que espera que la tecnología deepfake se utilice en ataques a ejecutivos de alto nivel, y para la manipulación de pruebas, y la producción de pornografía no consentida.
Cómo mitigar esta tendencia de ciberseguridad: una mezcla de tecnología y vigilancia centrada en el ser humano puede ayudar a paliar esta tendencia creciente. Los empleados deben ser conscientes del problema inminente de la extorsión de deepfake. Los CXO y la junta directiva deben ser incluidos en la concienciación de seguridad sobre las estafas de deepfake. Además, hay que añadir controles para las transferencias de dinero que superen una determinada cantidad. Las soluciones de ciberseguridad basadas en la inteligencia artificial también pueden ayudar a prevenir las falsificaciones.
Continuación del fraude de identidad sintética
El robo de identidad es un problema creciente en todo el mundo. Según un informe de 2022 de Experian, la mitad de los consumidores ha sido víctima de un fraude o conoce a alguien que lo ha sufrido.
Estas identidades fraudulentas probablemente formarán parte de los más de 48.000 millones de dólares en pérdidas por fraude en el comercio electrónico que se prevén en 2023: para crear una identidad sintética, los estafadores utilizan una mezcla de datos personales robados y falsos; cada vez más, se utilizan falsificaciones profundas para aumentar los datos. Estas identidades sintéticas se utilizan luego para crear cuentas bancarias, cuentas de redes sociales y otras cuentas de identidad aparentemente legítimas.
Tendencia de ciberseguridad: las cuentas de identidad sintética necesitan datos. Estos datos se compran en los mercados de la web oscura o se roban para pedirlos a personas concretas. Una cuenta de identidad sintética se utiliza para engañar a las empresas para que concedan créditos o creen nuevas cuentas en su sistema. El resultado es una pérdida de confianza de los consumidores en las empresas y de los ingresos. Aunque la identidad sintética no es un ciberdelito nuevo, sí es lucrativo, por lo que se espera que siga encontrando nuevas vías para dirigir los ataques.
Cómo mitigar esta tendencia de ciberseguridad: los datos robados o expuestos son el punto de partida para el fraude de identidad sintético. Reduzca el riesgo de filtración de datos reprimiendo la suplantación de identidad mediante ejercicios de simulación de phishing.
Aumento de las estafas de ciberseguridad debido a la recesión mundial
Según el Banco Mundial, "el mundo puede estar acercándose a una recesión global en 2023 y a una serie de crisis financieras en los mercados emergentes y las economías en desarrollo que les causarían un daño duradero".La historia nos dice que los fraudes y las estafas aumentan cuando se producen acontecimientos adversos importantes.
Por ejemplo, durante y después del crack bancario de finales de la década de 2000, una encuesta de expertos en fraude descubrió que el 55% de los encuestados experimentó un nivel de fraude leve o significativo. En la pandemia de Covid-19 se produjo un aumento similar de estafas y fraudes; un informe de TransUnion descubrió un aumento del 149% en los intentos de fraude en el primer trimestre de 2021.
Tendencia de ciberseguridad: a medida que el mundo entra en recesión, espere que los estafadores aumenten la presión sobre su organización. Esta presión vendrá en forma de un aumento de los ataques de phishing, estafas BEC, infecciones de ransomware y otros ciberataques relacionados con las finanzas.
Cómo mitigar esta tendencia de ciberseguridad: la mitigación de los niveles crecientes de estafas requiere un enfoque de varios niveles. Construya una estrategia de ciberseguridad sólida que abarque medidas de ciberseguridad tanto tecnológicas como centradas en el ser humano.
Una red de malware
La guerra de desgaste entre los ciberdelincuentes y las organizaciones ha dado lugar a tácticas de evasión que dependen de complejos ecosistemas de malware. La cadena de ataque suele contener múltiples puntos de ataque y métodos cada vez más retorcidos para robar las credenciales de acceso.
Este ecosistema cada vez más complejo, utilizado para facilitar un ciberataque, fue descrito en una reciente publicación del blog de Microsoft sobre el gusano Raspberry Robin: Microsoft sospecha que se utiliza la ingeniería social para animar a los usuarios a hacer clic en un archivo .LNK o a insertar una llave USB infectada. Pero este no es el final de la historia. Según los investigadores de Microsoft, Raspberry Robin forma parte de un enorme ecosistema de malware, que facilita la instalación de otros programas maliciosos, incluido el ransomware.
Microsoft concluye que "elmalware de los ciberdelincuentes es una amenaza siempre presente para la mayoría de las organizaciones hoy en día, que se aprovecha de las debilidades comunes en las estrategias de seguridad y utiliza la ingeniería social para engañar a los usuarios. Casi todas las organizaciones corren el riesgo de encontrarse con estas amenazas".
Tendencia en ciberseguridad: Raspberry Robin es un ejemplo de cómo los ciberdelincuentes y los ecosistemas de tácticas crean graves problemas para detectar los ciberataques. Se espera que en 2023 continúe esta tendencia de ciberataques integrados y multipartitos que incluyan múltiples amenazas y sitúen al ser humano en el centro de una red de malware.
Cómo mitigar esta tendencia de ciberseguridad: una estrategia de seguridad sólida debería responder a este ecosistema de ciberataques de múltiples capas con medidas similares de múltiples partes. Estas medidas deben incluir medidas tecnológicas como la autenticación robusta, la seguridad de confianza cero, el cifrado y el filtrado inteligente de contenidos. Sin embargo, el factor humano seguirá abriendo puertas que los ciberdelincuentes explotan, por lo que las medidas tecnológicas deben complementarse con una formación de concienciación sobre la seguridad centrada en el ser humano.
No hay duda de que los ciberdelincuentes seguirán explotando a nuestros empleados a lo largo de 2023 y más allá. La única manera de mitigar los complejos ecosistemas de amenazas que se basan en la ingeniería social, es proporcionar a nuestro personal las herramientas para protegerse a sí mismos y a la empresa.
La formación para la concienciación sobre la seguridad, aumentada con ejercicios de simulación de phishing, debería formar parte de un enfoque amplio de la seguridad. A medida que se acerca el año 2023, es urgente poner en práctica estas medidas. Sin embargo, un esfuerzo coordinado proporcionará la protección necesaria para detener a los ciberdelincuentes en su camino.
