El viejo dicho «nada es seguro salvo la muerte y los impuestos» debería ampliarse para incluir los cambios que se producen en el panorama de la ciberseguridad. Los profesionales de la ciberseguridad y los directivos empresariales pueden contribuir a reducir las amenazas a las que se enfrentan sus organizaciones si conocen lo que está sucediendo en ese panorama en constante evolución.
Dado que las amenazas cibernéticas siguen poniendo a prueba incluso a las empresas más experimentadas, mirar hacia el 2023 puede ayudarnos a todos a poner en orden nuestras medidas de seguridad cibernética.
A continuación, le ofrecemos un resumen de cinco tendencias en materia de ciberseguridad a medida que avanza el año 2023.
Los seres humanos siguen siendo un objetivo en materia de ciberseguridad
El factor humano en la ciberseguridad ha supuesto un reto en todos los sectores desde hace muchos años. Los seres humanos constituyen el eslabón débil de una cadena compleja que da lugar a filtraciones de datos, infecciones por ransomware y otros incidentes graves. Los ciberdelincuentes se aprovechan de los empleados; esta táctica ha contribuido en gran medida al éxito de las estafas y los ciberataques debido a la falibilidad del operador humano.
La pandemia de la COVID-19 ha despertado el interés de los ciberdelincuentes por los ciberataques que se centran en tácticas como las estafas y el phishing. Como prueba de ello, un análisis realizado por ISACA ha revelado que la mitad de todas las filtraciones de datos están relacionadas con las acciones de los empleados. Para los ciberdelincuentes, atacar a un empleado se considera un objetivo fácil, ya que esto puede proporcionar un punto de entrada a la red corporativa en su conjunto. Una vez dentro de la red, pueden producirse ciberataques, entre los que se incluyen la infección por ransomware, el «Business Email Compromise» (BEC) y otros ataques de malware.
Tendencia en materia de ciberseguridad: el Informe de Investigaciones sobre Fugas de Datos (DBIR) de Verizon correspondiente a 2021 y 2022 revela que el error humano fue la causa del 85 % y el 82 % de las fugas de datos, respectivamente. Es probable que el factor humano en los ciberataques se mantenga en este nivel en 2023.
Cómo mitigar esta tendencia en materia de ciberseguridad: contribuyaa minimizar el riesgo humano en el entorno cibernético mediante la realización de simulacros periódicos de phishing y la formación en concienciación sobre seguridad.
Los «deepfakes» y la extorsión
La tecnología deepfake se utiliza con muchos fines legítimos, como la creación de avatares para videojuegos o la impartición de clases. Sin embargo, esta misma tecnología constituye una herramienta ideal para engañar a las personas y hacerles creer o hacer algo que beneficie a un ciberdelincuente. El problema es que los vídeos y los archivos de audio deepfake pueden resultar difíciles de distinguir de los auténticos. En una encuesta realizada por iProov, el 43 % de los encuestados afirmó que no podía distinguir entre un vídeo real y uno deepfake.
Tendencia en ciberseguridad: los «deepfakes» ya se han utilizado en estafas de tipo BEC. El ejemplo clásico es el de un director general al que le estafaron 243 000 dólares ( 210 000 libras esterlinas) mediante un «deepfake» de voz (Deepfake Vishing). Otro ámbito en el que los deepfakes podrían convertirse en un grave problema es el de las estafas por extorsión.
Por ejemplo, imagine un «deepfake» que consista en un vídeo convincente en el que aparezca un director general o un miembro del consejo de administración en una situación comprometedora o profiriendo discursos de incitación al odio. Este escenario lo destaca Europol, que prevé que la tecnología «deepfake» se utilice en ataques contra ejecutivos de alto nivel, así como para la manipulación de pruebas y la producción de pornografía sin consentimiento.
Cómo mitigar esta tendencia en materia de ciberseguridad: una combinación de tecnología y vigilancia centrada en las personas puede ayudar a paliar esta tendencia al alza. Es necesario concienciar a los empleados sobre el problema inminente de la extorsión mediante deepfakes. Los altos directivos y el consejo de administración deben participar en la sensibilización sobre la seguridad frente a las estafas con deepfakes. Asimismo, deben establecerse controles y contrapesos para las transferencias de dinero que superen una determinada cantidad. Las soluciones de ciberseguridad basadas en la inteligencia artificial también pueden contribuir a la prevención de los deepfakes.
Fraude continuado por suplantación de identidad
El robo de identidad es un problema cada vez mayor en todo el mundo. Según un informe de Experian de 2022, la mitad de los consumidores ha sido víctima de un fraude o conoce a alguien que se ha visto afectado.
Es probable que estas identidades fraudulentas formen parte de las pérdidas por fraude en el comercio electrónico, que se prevén en más de 48 000 millones de dólares para 2023: para crear una identidad sintética, los estafadores utilizan una combinación de datos personales robados y datos falsificados; cada vez es más frecuente el uso de «deep fakes» para complementar dichos datos. A continuación, estas identidades sintéticas se utilizan para crear cuentas bancarias, perfiles en redes sociales y otras cuentas de identidad aparentemente legítimas.
Tendencia en ciberseguridad: las cuentas con identidad sintética necesitan datos. Estos datos se adquieren en mercados de la dark web o se roban por encargo a personas concretas. Las cuentas con identidad sintética se utilizan para engañar a las empresas con el fin de que concedan crédito o creen nuevas cuentas en sus sistemas. El resultado es una pérdida de confianza de los consumidores en las empresas y una merma de los ingresos. Aunque la identidad sintética no es un delito cibernético nuevo, resulta muy lucrativa, por lo que se prevé que siga encontrando nuevas vías para lanzar ataques.
Cómo mitigar esta tendencia en materia de ciberseguridad: los datos robados o expuestos constituyen el punto de partida para el fraude de identidad sintética. Reduzca el riesgo de filtraciones de datos tomando medidas enérgicas contra el phishing mediante ejercicios de simulación de phishing.
Aumento de las estafas relacionadas con la ciberseguridad a causa de la recesión mundial
Según el Banco Mundial,«el mundo podría estar abocándose a una recesión global en 2023 y auna serie de crisis financieras en los mercados emergentes y las economías en desarrollo que les causarían un daño duradero». La historia nos enseña que los fraudes y las estafas aumentan cuando se producen acontecimientos adversos de gran envergadura.
Por ejemplo, durante y tras la crisis bancaria de finales de la década de 2000, una encuesta realizada a expertos en fraude reveló que el 55 % de los encuestados había sufrido un nivel de fraude leve o significativo. La pandemia de la COVID-19 trajo consigo un aumento similar de las estafas y los fraudes; un informe de TransUnion reveló un incremento del 149 % en los intentos de fraude durante el primer trimestre de 2021.
Tendencia en materia de ciberseguridad: a medida que el mundo entra en recesión, cabe esperar que los estafadores intensifiquen la presión sobre su organización. Esta presión se manifestará en forma de un aumento de los ataques de phishing, las estafas de tipo BEC, las infecciones por ransomware y otros ciberataques de carácter financiero.
Cómo hacer frente a esta tendencia en materia de ciberseguridad: para contrarrestar el aumento de los casos de estafa es necesario adoptar un enfoque en varias frentes. Elabore una estrategia sólida de ciberseguridad que abarque tanto medidas tecnológicas como medidas centradas en las personas.
Una red de malware
La guerra de desgaste entre los ciberdelincuentes y las organizaciones ha dado lugar a tácticas de evasión que se basan en complejos ecosistemas de malware. La cadena de ataque suele incluir múltiples puntos de ataque y métodos cada vez más ingeniosos para sustraer credenciales de acceso.
Este ecosistema cada vez más complejo, utilizado para facilitar un ciberataque, se describió en una reciente entrada del blog de Microsoft sobre el gusano Raspberry Robin: Microsoft sospecha que se recurre a la ingeniería social para incitar a los usuarios a hacer clic en un archivo .LNK o a insertar una memoria USB infectada. Pero la historia no termina aquí. Según los investigadores de Microsoft, Raspberry Robin forma parte de un enorme ecosistema de malware, que facilita la instalación de otro malware, incluido el ransomware.
Microsoft llega a la conclusión de que «El malware utilizado por los ciberdelincuentes constituye una amenaza constante para la mayoría de las organizaciones en la actualidad, ya que se aprovecha de las vulnerabilidades habituales en las estrategias de seguridad y recurre a la ingeniería social para engañar a los usuarios. Prácticamente todas las organizaciones corren el riesgo de enfrentarse a estas amenazas.
Tendencia en ciberseguridad: Raspberry Robin es un ejemplo de cómo los ciberdelincuentes y los ecosistemas de tácticas plantean graves dificultades a la hora de detectar ciberataques. Cabe esperar que en 2023 continúe esta tendencia de ciberataques integrados y con múltiples componentes, que incluyen diversas amenazas y sitúan a las personas en el centro de una red de malware.
Cómo mitigar esta tendencia en materia de ciberseguridad: una estrategia de seguridad sólida debe responder a este ecosistema de ciberataques de múltiples capas con medidas igualmente integradas en varios frentes. Dichas medidas deben incluir aspectos tecnológicos, como una autenticación sólida, la seguridad de «confianza cero», el cifrado y el filtrado inteligente de contenidos. Sin embargo, el factor humano seguirá abriendo vías que los ciberdelincuentes aprovechan, por lo que las medidas tecnológicas deben complementarse con una formación en concienciación sobre seguridad centrada en las personas.
No cabe duda de que los ciberdelincuentes seguirán aprovechándose de nuestros empleados a lo largo de 2023 y en los años venideros. La única forma de mitigar los complejos ecosistemas de amenazas que se basan en la ingeniería social es dotar a nuestro personal de las herramientas necesarias para protegerse a sí mismos y a la empresa.
La formación en concienciación sobre seguridad, complementada con ejercicios simulados de phishing, debería formar parte de un enfoque global de la seguridad. A medida que se acerca el año 2023, resulta urgente poner en marcha estas medidas. No obstante, un esfuerzo coordinado proporcionará la protección necesaria para detener a los ciberdelincuentes.