El ataque de ransomware WannaCry que tuvo lugar el viernes 12 de mayo de 2017, había alcanzado más de 200,000 equipos en 150 países para el lunes siguiente.

Aunque aún no se conocen todos los detalles del impacto, está claro que algunas organizaciones se han visto mucho más afectadas que otras.

En una publicación del sitio Strategy-Business, se destaca que la protección efectiva contra los ciberataques no solo tiene que ver con cuestiones tecnológicas concretas, sino también con una gestión proactiva de los riesgos.

En el futuro habrá más ataques de este tipo debido a la filtración de las técnicas y vulnerabilidades usadas para distribuir WannaCry.

En este momento, todas las compañías y organizaciones deben hacerse la misma pregunta, tanto si les afectó el WannaCry como si no: ¿Cómo podemos protegernos de ataques similares en el futuro?

WannaCry ha puesto de relieve la importancia de mantenerse al día con los avances tecnológicos. Microsoft lanzó en marzo de 2017 el parche de seguridad para la vulnerabilidad de Windows que explota WannaCry.

Las compañías que lo instalaron estuvieron protegidas, pero muchas de las más afectadas empleaban software sin actualizar en sus sistemas operativos.

Una buena ‘higiene’ digital también incluye prácticas de seguridad rigurosas. Por ejemplo, no limitarse a solo hacer la copia de seguridad de los datos de la compañía, sino comprobarla regularmente.

Además hay que garantizar su seguridad, separándola de otros sistemas o redes. De lo contrario, también se corromperá.

El error humano sigue siendo la principal forma de acceder a información privada.

A menudo, los empleados exponen datos de manera involuntaria. A través de un mail fraudulento u otras técnicas, dando así acceso a los atacantes a contraseñas y otras vías de entrada.

Las empresas con prácticas eficaces en gestión de riesgos raramente filtran información delicada sin darse cuenta.

Son especialmente cuidadosas y hacen que sea extremadamente difícil obtener los datos necesarios para tomar el control de un sistema. También trabajan en la detección. Es decir, en aprender a reconocer el comportamiento de los intrusos y a aislarlos en tiempo real.

Lo único que comparten abiertamente son los datos sobre los intrusos detectados. La colaboración entre profesionales de la seguridad de distintas compañías y organizaciones, es una de las mejores defensas contra el cibercrimen.

Todas las empresas tienen activos de información especialmente valiosos: propiedad intelectual crítica, datos relacionados con el consumidor, datos financieros y otros recursos con valor estratégico.

Estos deben ser protegidos de forma diferente al resto. ¿Cómo?

Diseñando los sistemas TI en consonancia, y prestando especial atención a la cadena de suministro de información.

¿Cuáles son los vendedores, proveedores y socios con acceso a esos datos, y qué van a hacer para que estén a salvo?

Una forma de hacerlo es replantear los controles de autenticación y seguridad. Por ejemplo, en determinados escenarios puede resultar necesario introducir una autenticación doble. En la cual la contraseña debe combinarse con datos biométricos, pruebas de identificación o algún otro factor de autenticación.

Del mismo modo que se desarrollan planes para inundaciones, incendios y otras emergencias, hay que prepararse para los ciberataques con antelación.

Los planes deberían concretar cómo se responderá en caso de ataque, y quién será responsable de cada práctica.

Por ejemplo, quién notificará a los clientes si la información de sus tarjetas de crédito es robada, ¿el director de riesgos, el responsable de seguridad de la información, otro responsable?

Para prepararse ante los ataques de ransomware hay que establecer una matriz de decisión. ¿Quién recuperará la información de la copia de seguridad? ¿Quién se comunicará con los secuestradores? ¿En qué circunstancias extremas (como amenaza de muerte) se puede estar obligado a pagar el rescate?

Pensar en todo esto con antelación y practicar la respuesta es vital para saber qué hacer cuando estalla una crisis.

Los sistemas basados en la Nube se actualizan fácilmente y de manera automática, acumulan datos en tiempo real sobre los ataques, e incorporan restricciones internas que separan los niveles de software y bloquean las intrusiones para que no alcancen su objetivo.

Esto les proporciona una ventaja sobre los sistemas de equipos en las propias instalaciones. También puede ser relativamente difícil para los intrusos aprovechar agujeros en la seguridad de una arquitectura basada en la Nube.

Por ejemplo, a finales de abril de 2017, Google bloqueó un ataque de spear phishing (un intento de utilizar el correo electrónico dirigido a un público concreto para que estos envíen información comprometida). Las características de Gmail, basadas en la Nube, permitieron identificarlo rápidamente y aislar el malware.

Incluso al poner en práctica estas cinco recomendaciones, se debe mantener la búsqueda de una administración de seguridad adecuada para el perfil de riesgo tecnológico en cada negocio.

Pero de cualquier forma, cuando dichas actividades se convierten en algo intrínseco en la compañía, la capacidad de resolver riesgos cibernéticos se volverá un activo estratégico y una ventaja competitiva para la empresa.

Noticias recientes alertaron sobre los ciberataques a bancos polacos. Posteriormente se revelaba que las instituciones afectadas eran de diversas nacionalidades, en el caso de Latinoamérica, se incluye a México.

Con base en el informe Lazarus & Watering-Hole Attacks de BEA Systems, se revela que las herramientas utilizadas fueron las mismas del grupo Lazarus. Implicado en el robo de 81 millones de dólares al Banco Central de Bangladesh, así como en el ataque a Sony Pictures.

En el caso de los ciberataques a bancos polacos, el punto de partida fue el sitio oficial de Komisja Nadzoru Finansowego (Autoridad de Supervisión Financiera de Polonia).

En México, se trató del sitio de la autoridad equivalente, la Comisión Nacional Bancaria y de Valores (CNBV), que realizaba redirecciones maliciosas idénticas.

Existen aspectos interesantes en dichos ataques, los objetivos, el vector de compromiso y las funcionalidades específicas de los ejecutables maliciosos utilizados.

Los delincuentes emplearon una táctica conocida como Watering-Hole. Consiste en comprometer un sitio web de confianza para que redireccione a los usuarios a una página fraudulenta. Dicha página, en realidad esconde un exploit.

Al examinar el código del exploit, se encontró una lista de 255 direcciones IP. Utilizadas para filtrar el tráfico de manera que solo en las subredes de dichas direcciones, se entregara el exploit y su carga útil.

A continuación, una lista de los principales países con instituciones bancarias afectadas por este grupo de ciberatacantes:

Específicamente en el caso de México, la investigación continúa y aún no se puede determinar el impacto total del ataque.