El panorama de las ciberamenazas continúa evolucionando a un ritmo acelerado, y los actores maliciosos emplean tácticas cada vez más sofisticadas para atacar a las organizaciones. El reciente informe de amenazas SASE de Cato CTRL, basado en el análisis de 1,38 billones de flujos de red, revela las principales tendencias y amenazas que enfrentaron las empresas durante el segundo trimestre de 2024.

IntelBroker: Un Actor de Amenazas Persistente

Uno de los hallazgos más destacados del informe es la identificación de IntelBroker, un actor de amenazas muy activo en la dark web. Este individuo ha estado involucrado en la venta de datos robados y código fuente de grandes empresas, lo que representa una amenaza significativa para la seguridad de las organizaciones.

¿Qué hace IntelBroker?

• Compra y venta de datos: IntelBroker actúa como un intermediario en la adquisición y venta de datos robados, como credenciales de acceso, información personal, código fuente y propiedad intelectual.
• Desarrollo de herramientas: Se cree que IntelBroker también desarrolla y vende herramientas de hacking y exploits, lo que amplía su capacidad para comprometer sistemas y obtener datos.
• Participación en foros de hacking: IntelBroker es un miembro activo de comunidades en línea donde los ciberdelincuentes comparten información, técnicas y herramientas.

¿Por qué es tan peligroso IntelBroker?

• Acceso a información confidencial: Al tener acceso a una amplia variedad de datos robados, IntelBroker puede comprometer la seguridad de cualquier organización.
• Conocimientos técnicos: Sus habilidades técnicas le permiten desarrollar nuevas herramientas y exploits, lo que lo convierte en una amenaza en constante evolución.
• Redes de contactos: IntelBroker cuenta con una amplia red de contactos en la dark web, lo que le permite acceder a información y recursos que otros actores no tienen.

¿Cómo opera IntelBroker?

• Brechas de datos: IntelBroker aprovecha las vulnerabilidades en los sistemas de las organizaciones para obtener acceso a datos confidenciales.
• Ingeniería social: Utiliza técnicas de ingeniería social para engañar a los usuarios y obtener sus credenciales.
• Mercados de la dark web: Opera en mercados especializados de la dark web donde se compran y venden datos robados y herramientas de hacking.

Ciberocupación: Amazon en el punto de mira

La ciberocupación, o la creación de sitios web falsos que imitan a marcas legítimas, ha experimentado un aumento significativo durante el segundo trimestre de 2024. Según el informe de Cato CTRL, Amazon fue el objetivo principal de estos ataques, con un 66% de los dominios falsos dirigidos contra el gigante del comercio electrónico.

¿Por qué Amazon?

• Gran base de clientes: Amazon cuenta con millones de usuarios en todo el mundo, lo que la convierte en un objetivo atractivo para los ciberdelincuentes.
• Confianza de la marca: La fuerte reputación de Amazon facilita que los ciberdelincuentes engañen a los usuarios para que revelen información personal o financiera.
• Amplia gama de productos: La variedad de productos ofrecidos por Amazon permite a los ciberdelincuentes crear páginas falsas para una amplia variedad de productos.

¿Cómo funciona la ciberocupación?

Los ciberdelincuentes registran dominios que son muy similares a los de las marcas legítimas, como Amazon.com. Estos sitios falsos se utilizan para:

• Phishing: Engañar a los usuarios para que revelen información confidencial, como contraseñas y números de tarjetas de crédito.  
• Malware: Infectar los dispositivos de los usuarios con malware.
• Venta de productos falsificados: Vender productos falsificados a precios inferiores a los del mercado.

Vulnerabilidades Persistentes: Log4j y Oracle WebLogic

A pesar de los esfuerzos de la comunidad de seguridad para parchear vulnerabilidades críticas, algunas siguen siendo explotadas activamente por los ciberdelincuentes. Dos ejemplos destacados son Log4j y Oracle WebLogic.

• Log4j: Descubierta en 2021, esta vulnerabilidad en la biblioteca de Java Log4j permitió a los atacantes ejecutar código arbitrario en servidores vulnerables. A pesar de las múltiples actualizaciones de seguridad, Log4j sigue siendo una de las vulnerabilidades más explotadas. El informe de Cato CTRL revela un aumento del 61% en los intentos de explotación de Log4j en el tráfico entrante durante el segundo trimestre de 2024.
• Oracle WebLogic: Identificada por primera vez en 2020, esta vulnerabilidad en el servidor de aplicaciones de Java Oracle WebLogic también ha sido explotada activamente por los ciberdelincuentes. El informe de Cato CTRL registra un aumento del 114% en los intentos de explotación de Oracle WebLogic en el tráfico con destino a la WAN durante el mismo período.

¿Por qué estas vulnerabilidades siguen siendo explotadas?

• Dificultad para parchear: Algunas organizaciones tardan en aplicar parches de seguridad, lo que deja sus sistemas vulnerables a los ataques.
• Complejidad de los entornos: Los entornos de TI modernos son cada vez más complejos, lo que dificulta la identificación y remediación de todas las vulnerabilidades.
• Desarrollo de nuevas exploits: Los ciberdelincuentes continúan desarrollando nuevas formas de explotar estas vulnerabilidades.

Recomendaciones de Seguridad para Protegerse contra las Ciberamenazas

Basándose en los hallazgos del informe de Cato CTRL, se recomienda a las organizaciones implementar las siguientes medidas de seguridad:

• Monitoreo continuo de la dark web: Realizar un seguimiento constante de los foros y mercados de la dark web para detectar cualquier mención de su organización o de sus datos.
• Detección y mitigación del phishing: Implementar soluciones de seguridad que sean capaces de detectar y bloquear los ataques de phishing, como la capacitación de los empleados y el uso de herramientas de filtrado de correo electrónico.
• Gestión proactiva de parches: Establecer un programa de gestión de parches que garantice la aplicación oportuna de las actualizaciones de seguridad para sistemas y aplicaciones.
• Segmentación de redes: Dividir la red en segmentos más pequeños para limitar el impacto de una posible brecha de seguridad.
• Adopción de una arquitectura de confianza cero: Implementar una arquitectura de confianza cero que verifique la identidad y la autorización de cada usuario y dispositivo antes de conceder acceso a los recursos.
• Uso de soluciones de detección y respuesta a incidentes (XDR): Implementar soluciones XDR que correlacionen datos de diferentes fuentes para detectar amenazas de forma más eficaz y responder a los incidentes de manera más rápida.
• Realización de pruebas de penetración: Contrat a expertos en seguridad para realizar pruebas de penetración periódicas y identificar vulnerabilidades en los sistemas y aplicaciones.
• Desarrollo de un plan de respuesta a incidentes: Crear un plan detallado para responder a incidentes de seguridad de manera rápida y eficaz.
• Concientización de los empleados: Implementar programas de concientización de la seguridad para educar a los empleados sobre las últimas amenazas y cómo protegerse contra ellas.

Tendencias y Desafíos en Ciberseguridad

Fortalecimiento del factor humano en ciberseguridad: El ser humano sigue siendo el eslabón más débil en la ciberseguridad, una realidad acentuada por el auge del teletrabajo y la creciente adopción de servicios en la nube. Por ello, es fundamental intensificar la formación en ciberseguridad para los empleados, centrando los esfuerzos en concienciación sobre phishing, ingeniería social y la implementación de autenticación multifactor (MFA), herramientas clave para blindar los sistemas contra accesos no autorizados.

Ciberseguridad en el teletrabajo y la nube: El teletrabajo y el uso masivo de infraestructuras en la nube, como IaaS, PaaS y SaaS, han incrementado las superficies de ataque, lo que requiere estrategias de seguridad más robustas. Soluciones como SD-WAN, Zero Trust y Seguridad como Servicio (SASE) permiten una gestión de riesgos más detallada y flexible, asegurando que únicamente los usuarios y dispositivos autorizados puedan acceder a los recursos críticos de la organización.

Protección de endpoints y redes móviles: Con la proliferación del trabajo remoto, garantizar la seguridad de los dispositivos finales (endpoints) se ha vuelto imprescindible. Los empleados utilizan múltiples dispositivos para acceder a los sistemas corporativos, lo que exige implementar soluciones avanzadas de Prevención de Pérdida de Datos (DLP), cifrado y seguridad móvil. Combinadas con un monitoreo continuo, estas medidas reducen significativamente el riesgo de fugas de información y fortalece la infraestructura.

Copias de seguridad y respuesta ante ransomware: El ransomware sigue siendo una de las amenazas más graves. Para contrarrestarlo, contar con copias de seguridad robustas es esencial, junto con planes de respuesta a incidentes (IR) que minimicen el impacto en caso de un ataque exitoso, reduciendo la pérdida de datos y daños operativos.

Cumplimiento normativo y privacidad de datos: La creciente complejidad de regulaciones como NIS 2 y GDPR obliga a las empresas a adherirse a normativas más rigurosas en cuanto a privacidad y seguridad de los datos. Para garantizar el cumplimiento, es crucial llevar a cabo auditorías periódicas y adoptar prácticas de desarrollo seguro (DevSecOps), asegurando que la seguridad esté integrada en cada fase del ciclo de vida del software.

Inteligencia Artificial para la defensa cibernética: Aunque la Inteligencia Artificial (IA) presenta ciertos riesgos, también es una poderosa herramienta para mejorar la ciberseguridad. Soluciones basadas en IA permiten detectar comportamientos anómalos en la red, anticipar amenazas antes de que se materialicen y automatizar respuestas a incidentes. No obstante, es necesario mitigar los riesgos asociados a la IA, como los ataques adversariales, que pueden comprometer su precisión.

Nuevas Tecnologías y Metodologías Emergentes

Zero Trust y SDN (Software-Defined Networking): El enfoque de Zero Trust ha ganado terreno en el ámbito empresarial, basándose en la premisa de no confiar automáticamente en ningún usuario, sea interno o externo, y controlar el acceso a los recursos mediante políticas estrictas de seguridad. El uso de SDN facilita una gestión centralizada y automatizada de la red, lo que refuerza la seguridad y reduce los tiempos de respuesta ante posibles amenazas.

Seguridad en la nube y SASE: Cada vez más empresas optan por modelos de seguridad basados en la nube como SASE, que combina funciones de red y seguridad en un único servicio. Este enfoque simplifica la protección y facilita el acceso seguro a las aplicaciones y datos corporativos, independientemente de la ubicación de los usuarios.

Autenticación robusta y gestión de identidad (IAM): La implementación de soluciones de Gestión de Identidades y Accesos (IAM) es esencial para asegurar el control sobre quién accede a los recursos y cuándo. Tecnologías como la autenticación multifactor (MFA) y la firma digital añaden capas adicionales de seguridad, reduciendo la probabilidad de robo de credenciales y accesos no autorizados.

Defensa contra ataques DDoS y cifrado avanzado: Los ataques de denegación de servicio distribuido (DDoS) siguen siendo un reto constante. Implementar soluciones específicas para mitigar este tipo de amenazas, junto con el uso de cifrado avanzado, tanto en tránsito como en reposo, ayuda a proteger la confidencialidad y la integridad de los datos.

Análisis forense y pruebas de penetración: Las pruebas de penetración y el análisis forense digital son cruciales para identificar y corregir vulnerabilidades antes de que puedan ser explotadas. Estas prácticas permiten a las organizaciones fortalecer sus defensas y preparar respuestas más efectivas ante incidentes de seguridad.