En el 2020, el sector de los servicios financieros fue el que experimentó el mayor volumen de ciberataques. Durante años, los atacantes se han dirigido a estas organizaciones porque son objetivos previsiblemente lucrativos.
Pero en el 2021, el sector de los servicios financieros dejó de ser el más atacado. En su lugar, el sector de las tecnologías de la información y las comunicaciones, incluidos los proveedores de telecomunicaciones, los desarrolladores de software y los proveedores de servicios de seguridad gestionados, entre otros, fueron los que más sufrieron intentos de ciberataques.
Este cambio en el objetivo principal de los hackers no es una sorpresa para los expertos de la industria, dados los numerosos ataques de alto perfil a la cadena de suministro de software ocurridos en el 2021, incluyendo los de SolarWinds, Kaseya y GitLab. Los cibercriminales ven cada vez más la infraestructura, las plataformas y los proveedores de software y desarrolladores como vectores de entrada a gobiernos, empresas e infraestructuras críticas.
Los analistas de Darktrace observaron que su inteligencia artificial (IA) interrumpió de forma autónoma alrededor de 150.000 amenazas cada semana contra este sector en el 2021. Estas conclusiones de investigación se elaboran a partir de los datos de Darktrace generados por el “análisis de indicadores tempranos”, que examina los rastros (también llamados “migajas”) de los posibles ciberataques en varias etapas antes de atribuirlos a cualquier actor y antes de que se conviertan en una verdadera crisis.
A partir de este análisis, Darktrace predice que, en el 2022, veremos a los actores de amenazas insertar software malicioso en toda la cadena de suministro de software, incluyendo el código fuente propietario, los repositorios de desarrolladores, las bibliotecas de código abierto y más. En consecuencia, es probable que veamos más ataques a la cadena de suministro contra plataformas de software y nuevas vulnerabilidades publicitadas.
Explicando el cambio
Es probable que el aumento de ataques a este sector se deba a que cada vez más empresas dependen de terceros proveedores de confianza para manejar sus datos mientras están en movimiento y en reposo. Este vector de ciberataques ha demostrado ser muy rentable para los atacantes que centraron sus esfuerzos en organizaciones relacionadas para llegar a las joyas de la corona de un objetivo. Este cambio significa que las pequeñas y medianas empresas tienen ahora más probabilidades de sufrir un ataque, aunque no sean el objetivo final.
Recientemente, la vulnerabilidad descubierta “Log4Shell”, insertada en una biblioteca de software muy utilizada, dejó expuestos miles de millones de dispositivos y llevó a la Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA) de los Estados Unidos a proporcionar una orientación formal.
Desafortunadamente, muchas de estas bibliotecas sólo se actualizan y reciben apoyo de voluntarios, lo que facilita que se cuelen vulnerabilidades y corrupciones intencionadas. El DevSecOps será un punto de debate importante en el 2022, ya que las organizaciones están empezando a comprender la importancia de incorporar la seguridad a las aplicaciones en una fase mucho más temprana del proceso de desarrollo. Los riesgos que presenta la dependencia del código abierto pondrán a los equipos de desarrollo en una posición clave.
El phishing por correo electrónico sigue siendo un método fiable para los atacantes
A pesar de este relevante cambio de objetivos, Darktrace descubrió que el método de ataque más utilizado en el sector informático sigue siendo el phishing. Darktrace observó que las organizaciones del sector se enfrentaron a una media de 600 campañas únicas de phishing por correo electrónico al mes en el 2021. Estas campañas también han madurado en sofisticación, ya que la mayoría ya no contienen un enlace o adjunto malicioso como en el típico correo electrónico malintencionado.
En el 2022, los atacantes seguirán avanzando en sus ataques por correo electrónico para secuestrar la cadena de comunicaciones de forma más directa. Veremos cómo los atacantes secuestran cuentas de proveedores de confianza para enviar correos electrónicos de spear-phishing desde cuentas genuinas y de confianza, así como vimos en la toma de cuentas del FBI en noviembre del 2021.
Los principales ciberdelincuentes utilizarán correos electrónicos “limpios” que contengan texto normal, con mensajes cuidadosamente elaborados para hacerse pasar por un tercero de confianza con el fin de inducir a los destinatarios a responder y revelar información sensible.
Haciendo frente al aumento de ataques
A medida que la cadena de suministro de software mundial se interconecta cada vez más, los gobiernos, las empresas y las organizaciones de infraestructuras críticas corren el riesgo de sufrir una irrupción, no sólo a través de sus proveedores de software y comunicaciones, sino a través de cualquier fallo de seguridad en la extensa cadena de suministro de software mundial.
Ante esta amenaza de ciberseguridad, las organizaciones deben no sólo centrarse en su propia resistencia cibernética, sino también asegurarse de que pueden hacer que sus proveedores de confianza adopten las mejores prácticas de ciberseguridad. No hay una solución mágica para encontrar ataques insertados en sus proveedores de software, por lo que el verdadero desafío para las organizaciones será operar mientras aceptan este riesgo. Este año, al igual que en el 2021, es cada vez más irreal que estas empresas esperen evitar las amenazas a través de sus cadenas de suministro. En su lugar, deben tener la capacidad de detectar la presencia de atacantes después de una irrupción y detener esta actividad maliciosa en las primeras etapas.
Si los atacantes pueden insertarse al principio del proceso de desarrollo, las organizaciones tendrán que detectar y detener al atacante después de que se haya filtrado. Este problema exige una tecnología de ciberdefensa que pueda detectar vulnerabilidades a medida que los actores de la amenaza las explotan.
Esta amenaza refuerza la necesidad de integrar la seguridad en una fase más temprana del proceso de desarrollo y la importancia de contener rápidamente los ataques para evitar una interrupción del negocio. Como estos ataques tienen varias fases, las organizaciones pueden utilizar la IA en cada paso para contener y remediar la amenaza.
Justin Fier, Director de Ciberinteligencia & Análisis de Darktrace
