Carlos B Fernández. Los ataques a la ciberseguridad han seguido aumentando durante el período 2020 y 2021, no sólo en términos numéricos, sino también de su impacto.
La creciente presencia en línea de empresas y organizaciones, la transición de las infraestructuras tradicionales a soluciones en línea y en la nube, la interconectividad avanzada y la explotación de las nuevas características de las tecnologías emergentes, como la inteligencia artificial (IA), está determinando un aumento en el número de ataques, de su sofisticación y complejidad y de su impacto. En particular, la amenaza a las cadenas de suministro y su importancia debido a sus efectos en cascada potencialmente catastróficos ha alcanzado la posición más alta entre las principales amenazas.
Por otra parte, la pandemia de COVID-19 también ha favorecido un cambio duradero hacia un modelo de oficina híbrido en el que las amenazas de ciberseguridad relacionadas con la pandemia y la explotación de la "nueva normalidad" se están convirtiendo en la corriente principal, al aumentar el número de ciberataques dirigidos a organizaciones y empresas a través de las oficinas domésticas.
En paralelo, a lo largo de este período se han dado también algunos pasos notables por parte de los defensores de la comunidad cibernética, así como de los responsables políticos. La comunidad mundial ha empezado a darse cuenta de la importancia de la comunicación y la cooperación para examinar y rastrear a los ciberdelincuentes, y el ransomware (la amenaza más destacada) se ha convertido en un tema prioritario en las agendas de las reuniones de estrategia entre los líderes mundiales.
Estas son algunas de las principales conclusiones de la novena edición del informe
ENISA Threat Landscape
(ETL), elaborado por la Agencia de ciberseguridad de la Unión Europea, ENISA.
Principales amenazas
En esta edición, que cubre de abril de 2020 a julio de 2021, las principales amenazas identificadas se refieren al Ransomware; malware; criptojacking; amenazas relacionadas con el correo electrónico; amenazas contra los datos; amenazas contra la disponibilidad y la integridad; desinformación; amenazas no maliciosas y ataques a la cadena de suministro
- Ransomware
El ransomware es un tipo de ataque malicioso en el que los atacantes cifran los datos de una organización y exigen un pago para para restablecer el acceso. El ransomware ha sido la principal amenaza durante el periodo del informe, con varios incidentes de alto perfil y de alto perfil y muy publicitados. La importancia y el impacto de la amenaza del ransomware también se pone de manifiesto en una serie de de iniciativas políticas relacionadas en la Unión Europea (UE) y en todo el mundo.
- Malware
El malware es un software o firmware destinado a realizar un proceso no autorizado que tendrá un impacto adverso en la confidencialidad, la integridad o la disponibilidad de un sistema. La amenaza de los programas maliciosos se ha clasificado sistemáticamente como alta durante muchos años, aunque a un ritmo decreciente durante el periodo de información del ETL 2021. El uso de nuevas técnicas de fijación y algunas victorias importantes para la comunidad de las fuerzas de seguridad han repercutido en las operaciones de los actores de amenazas relevantes.
- Cryptojacking
El criptojacking o criptominería oculta es un tipo de ciberdelito en el que un delincuente utiliza secretamente la potencia de cálculo de una víctima de la víctima para generar criptodivisas. Con la proliferación de las criptomonedas y su creciente aceptación por parte del público se ha observado un aumento de los correspondientes incidentes de ciberseguridad.
- Amenazas relacionadas con el correo electrónico
Los ataques relacionados con el correo electrónico son un conjunto de amenazas que se aprovechan de las debilidades de la psique humana y de los hábitos cotidianos, más que de las vulnerabilidades técnicas de los sistemas de seguridad. y en los hábitos cotidianos, más que en las vulnerabilidades técnicas de los sistemas de información. Curiosamente, y a pesar de las numerosas campañas de sensibilización y educación contra este tipo de ataques, la amenaza persiste en un grado notable. En particular, el compromiso de los correos electrónicos de las empresas y las técnicas sofisticadas avanzadas en la extracción de ganancias monetarias están en aumento.
- Amenazas contra los datos
Esta categoría engloba las violaciones/filtraciones de datos. Una violación o fuga de datos es la divulgación de datos sensibles, confidenciales o protegidos a una persona que no es de confianza, confidenciales o protegidos a un entorno no fiable. Las violaciones de datos pueden producirse como resultado de un ciberataque, un trabajo interno, una pérdida no intencionada o la exposición de datos. La amenaza sigue siendo alta, ya que el acceso a los datos es un
El acceso a los datos es un objetivo primordial para los atacantes por numerosas razones, como la extorsión, el rescate, la difamación, la desinformación, etc.
- Amenazas contra la disponibilidad y la integridad
La disponibilidad y la integridad son el objetivo de una plétora de amenazas y ataques, entre los que destacan las familias de Denegación de Servicio (DoS) y Ataques Web. Estrictamente relacionado con los ataques basados en la web, el DDoS es una de las amenazas más críticas amenazas a los sistemas informáticos, que atacan su disponibilidad agotando los recursos, provocando disminuciones de rendimiento, pérdida de de datos y cortes de servicio. Esta amenaza ocupa sistemáticamente un lugar destacado en el panorama de amenazas de ENISA, tanto por su manifestación en incidentes reales y su potencial de alto impacto.
- Desinformación
Las campañas de desinformación y desinformación van en aumento, estimuladas por el mayor uso de las plataformas de los medios sociales sociales y los medios de comunicación en línea, así como por el aumento de la presencia en línea de las personas debido a la COVID-19 pandemia. Este grupo de amenazas hace su primera aparición en el ETL; sin embargo, su importancia en el ciber mundo cibernético es alta. Las campañas de desinformación y desinformación se utilizan con frecuencia en los ataques híbridos para reducir la percepción general de la confianza, uno de los principales factores de la ciberseguridad.
- Amenazas no maliciosas
Las amenazas son comúnmente consideradas como actividades voluntarias y maliciosas llevadas a cabo por adversarios que tienen algunos incentivos para atacar un objetivo específico. Con esta categoría, cubrimos las amenazas en las que la intención maliciosa no es evidente.
Se basan sobre todo en errores humanos y desconfiguraciones del sistema, pero también pueden referirse a desastres físicos que tienen como objetivo las infraestructuras informáticas. También por su naturaleza, estas amenazas tienen una presencia constante en el panorama anual de las amenazas y son una preocupación importante para las evaluaciones de riesgo.
Tendencias clave
En relación con estas amenazas, el informe observa las siguientes tendencias durante el periodo de referencia.
1. Han proliferado los ataques altamente sofisticados e impactantes a la cadena de suministros. En particular, los proveedores de servicios gestionados son objetivos de alto valor para los ciberdelincuentes.
2. La pandemia de COVID-19 ha creado nuevas oportunidades para los ciberdelincuentes e impulsado las actividades de ciberespionaje.
3. Las organizaciones gubernamentales han intensificado su actividad, tanto a nivel nacional como internacional. En particular, se han observado mayores esfuerzos por parte de los gobiernos para desbaratar y emprender acciones legales contra los actores de las amenazas impulsadas por determinados Estados.
4. Los ciberdelincuentes están cada vez más motivados por la monetización de sus actividades, por ejemplo, el ransomware.
5. Las criptomonedas siguen siendo el método de pago más común en caso de ciberataques.
6. Los ataques se dirigen cada vez más a las infraestructuras críticas.
7. Los ataques a través de correos electrónicos de phishing y de fuerza bruta contra los Servicios de Escritorio Remoto (Remote Desktop Services, RDP) siguen siendo los dos vectores de infección de ransomware más comunes.
8. A lo largo de 2021 ha aumentado la utilización de los modelos de negocio del tipo Ransomware as a Service (RaaS), lo que dificulta la atribución adecuada de los hechos a los actores individuales de la amenaza.
9. Ha aumentado fuertemente la aparición de esquemas de ransomware de triple extorsión (triple extortion ransomware schemes), en los que las peticiones de rescate pueden dirigirse no solo a la víctima del ataque, sino también a sus clientes o proveedores, en la medida en que sus datos se vean también comprometidos y, al mismo tiempo, se incorporan otros puntos de presión como los ataques de denegación de servicio (DDoS) o las filtraciones directas a los medios de comunicación.
10. Se aprecia que continúa el descenso del uso del malware que se observó en 2020. En paralelo, se aprecia también un aumento de los ataques que recurren a lenguajes de programación relativamente nuevos o poco comunes para portar su código.
11. El malware dirigido a entornos de contenedores se ha vuelto mucho más frecuente, con evoluciones novedosas como el malware sin archivos que se ejecuta desde la memoria.
12. Los desarrolladores de malware siguen encontrando formas de dificultar la ingeniería inversa y el análisis dinámico.
13. El volumen de infecciones por criptojacking alcanzó un récord en el primer trimestre de 2021, en comparación con los últimos años. La razón se encuentra en el beneficio asociado al cryptojacking.
14. El volumen de la minería de criptomonedas en 2021 y las actividades de cryptojacking se encuentran en un nivel récord.
15. Se aprecia un cambio en el criptojacking del tipo navegador a archivo (browser to file-based cryptojacking).
16. El COVID-19 sigue siendo el señuelo dominante en las campañas de ataques por correo electrónico.
17. Los ataques de correo electrónico corporativo (Business E-mail Compromise, BEC) ha aumentado, ha crecido en sofisticación y se ha vuelto más más selectivo.
18. El modelo de negocio Phishing-as-a-Service (PhaaS) está ganando prevalencia.
19. Los atacantes han dirigido su atención hacia la información sobre vacunas en el contexto de las amenazas a los datos y la información.
20. Se ha producido un aumento de las violaciones de datos relacionadas con el sector sanitario.
21. Los tradicionales ataques de denegación de servicio (Distributed Denial of Service, DDoS) se están desplazando hacia las redes móviles y el IoT (Internet de las cosas).
22. La denegación de servicio aleatorio (Random Denial of Service, RDoS) es la nueva frontera de los ataques de denegación de servicio.
23. La compartición de recursos en entornos virtualizados actúa como amplificador de los ataques DDoS.
24. Las campañas de DDoS en 2021 se han vuelto más específicas y mucho más persistentes y cada vez más multivectoriales.
25. La desinformación facilitada por la Inteligencia Artificial (IA) ayuda a los atacantes a llevar a cabo sus ataques.
26. La suplantación de identidad está en el centro de los ataques de desinformación y explota fuertemente las creencias de las personas.
27. La desinformación y la desinformación están en el centro de las actividades de la ciberdelincuencia y están aumentando a un ritmo sin precedentes. ritmo sin precedentes.
28. El modelo de negocio de la desinformación como servicio (DaaS) ha crecido significativamente, estimulado por el creciente impacto de la pandemia COVID-19 y la necesidad de disponer de más información.
29. En 2020 y 2021 se ha observado un pico de incidentes no maliciosos, ya que la pandemia de COVID-19 se ha convertido en un multiplicador de los errores humanos y de las desconfiguraciones del sistema, hasta el punto de que la mayoría de los ataques fueron causadas por errores.
30. Se ha producido un pico de incidentes no maliciosos de seguridad en la nube.
Los responsables de los ataques
El informe destaca que comprender las tendencias relacionadas con los actores de los ataques, sus motivaciones y sus objetivos ayuda enormemente a planificar las defensas de ciberseguridad y las estrategias de mitigación. Además, permite priorizar los controles de seguridad y diseñar una estrategia específica basada en el impacto potencial y la probabilidad de que se materialice la amenaza. Teniendo esto en cuenta, a efectos del ETL 2021, se consideran las siguientes cuatro categorías de actores de amenazas a la ciberseguridad:
- Ataques patrocinados por un Estado
La pandemia de COVID-19 impulsó el ciberespionaje. Durante el periodo del informe, se ha observado que grupos respaldados por determinados Estados realizaban operaciones de ciberespionaje relacionadas con COVID-19, así como que utilizaban señuelos relacionados con COVID-19 para la ingeniería social.
En cuanto al ciberespionaje relacionado con el COVID-19, los actores de la amenaza han recibido la tarea de buscar información relacionada con los esfuerzos de recuperación y desarrollo de vacunas. De acuerdo con los informes disponibles públicamente, se ha observado que los agentes de amenazas patrocinados por el Estado probablemente buscan datos relacionados con las tasas de infección, las respuestas a nivel de país y los tratamientos. Además, la recopilación de información científica relacionada con la vacuna COVID-19 era un requisito de alta prioridad, por lo que los sectores sanitario, farmacéutico y de investigación médica han sido fuertemente de la salud, la industria farmacéutica y la investigación médica.
- Ciberdelincuentes
La pandemia también creó nuevas oportunidades para los ciberdelincuentes. La ingeniería social sigue siendo la técnica de ataque más frecuente. La eficacia de una campaña de phishing depende de si se aprovecha de las emociones fuertes que impulsan la acción por parte del destinatario. Durante la pandemia, los ciberdelincuentes han explotado el interés, la preocupación, la curiosidad y el miedo de la gente utilizando señuelos de phishing relacionados con COVID-19 para obtener beneficios económicos. Los temas de los señuelos relacionados con COVID-19 coincidían con las diferentes etapas de la pandemia.
- Hackers por encargo
Se ha detectado un aumento de los servicios de hackers por encargo. Esta categoría se refiere a los actores dentro del mercado de "Acceso como Servicio" (AaaS) (AaaS) que se compone principalmente de empresas que ofrecen capacidades cibernéticas ofensivas. Sus clientes suelen ser gobiernos (pero también empresas y particulares) y las categorías de servicios que ofrecen, normalmente agrupados en un único servicio, son: Investigación y explotación de vulnerabilidades, desarrollo de cargas útiles de malware, mando y control técnico, gestión operativa, etc. Mando y control técnico, gestión operativa y formación y apoyo.
Las empresas de hackers por encargo operan legalmente en su país de actuación y el mercado en su conjunto está actualmente semirregulado. Los clientes de estas empresas les pagan sobre todo para llevar a cabo operaciones de ciberespionaje, obtener acceso a capacidades cibernéticas ofensivas avanzadas y disfrutar de una negación plausible. Estos actores de la amenaza de hackers por encargo complican el panorama de las amenazas e introducen los siguientes retos para los defensores:
- Su objetivo no puede predecirse, ya que depende de las tareas que les encarguen sus clientes; no se centran en sectores específicos y, por lo tanto, cualquier sector tiene el potencial de ser un objetivo.
- Estos actores de la amenaza actúan como apoderados y es muy difícil para los defensores identificar a sus patrocinadores así como sus objetivos.
- Hacktivistas
Las operaciones de los hacktivistas siguen siendo bajas en número, sofisticación e impacto. Después de 2016, observamos un descenso del hacktivismo tras su pico durante el periodo 2010-2015. En la actualidad, los hacktivistas actúan sobre todo en forma de pequeños grupos de individuos, que protestan contra eventos regionales y apuntan a organizaciones específicas. Sus objetivos siguen siendo los tradicionales: instituciones financieras y gobiernos.
No es un tipo de actividad que cuente con una participación masiva del público. Esto se debe probablemente a la persecución de varios hacktivistas en los últimos años, que ha actuado como elemento disuasorio.
En cuanto a las capacidades de los hacktivistas, sus tácticas siguen siendo de la "vieja escuela", centrándose principalmente en ataques DDoS, desfiguraciones
Durante el periodo del informe, la frecuencia de las operaciones de los hacktivistas fue baja y no tuvo el efecto deseado. Durante el periodo del informe, la frecuencia de las operaciones de los hacktivistas fue baja y no tuvo el impacto que tuvo en el pasado. Esto es algo que puede atribuirse a la sofisticación de sus operaciones y a sus limitados recursos, así como a la mejora de los controles de seguridad que sus organizaciones objetivo han desarrollado a lo largo de los años.