Mitos comunes sobre la concienciación en ciberseguridad

Al adentrarnos en el Mes de la Concienciación sobre la Ciberseguridad, debemos prepararnos para la oleada de mitos y conceptos erróneos habituales sobre seguridad, que a menudo se difunden con buenas intenciones, pero con efectos perjudiciales. Estos temas pueden resultar controvertidos incluso entre profesionales experimentados, por lo que adoptaremos un enfoque basado en datos y nos dirigiremos al conjunto más amplio posible de empresas.

Esa amplitud suele ser motivo de desacuerdo. Cada empresa debe debatir internamente sobre los riesgos y las pérdidas aceptables, los modelos de amenazas aplicables y los posibles agentes de amenazas, así como sobre las particularidades de su entorno. Sin embargo, el denominador común deben ser los datos, la experiencia y la objetividad, no el conocimiento tribal, la imitación sin comprensión ni los sesgos de confirmación y de supervivencia.

Abordaremos «los tres grandes»: hacer clic en enlaces de correos electrónicos, usar redes Wi-Fi públicas y el «juice jacking», es decir, los peligros de cargar el teléfono gratis mediante USB.

N.º 1: Hacer clic en enlaces de correos electrónicos

Conclusión: Enseña a identificar señales claras de phishing y estafas, pero los consejos poco realistas como «no hagas clic en enlaces» son contraproducentes e incluso perjudiciales.

La concienciación sobre el «uso seguro» es una herramienta poderosa que ayuda a los empleados a utilizar mejor la tecnología y a abordar problemas habituales, pero pedirles durante años que cambien comportamientos básicos con consejos como «no hagas clic en enlaces» no parece estar funcionando. El Informe de investigaciones sobre filtraciones de datos de 2023 de Verizon señala que el factor humano interviene en el 74 % de todas las filtraciones (no solo a través del correo electrónico), y el Estudio de 2022 sobre riesgos de la información del Instituto Cyentia sitúa el phishing entre las tres principales técnicas de acceso inicial en 18 de los 20 sectores (ocupa el cuarto puesto en los sectores de información y otros servicios).

Los accidentes ocurren, e incluso un empleado bienintencionado y formado acabará haciendo clic en un enlace malicioso tarde o temprano. Esta es una de las razones por las que los programas de seguridad siguen invirtiendo en la protección del correo electrónico y de los dispositivos tras años intentando convencer a los usuarios de que utilicen el correo electrónico de otra manera. Más preocupante aún es el tiempo que se dedica a este tema en las valiosas sesiones de formación sobre concienciación en materia de seguridad, lo que resulta contraproducente al hacer que la audiencia pierda el interés debido a su falta de utilidad práctica.

Las empresas deben ser capaces de resistir el impacto de que un empleado haga clic en un enlace. Los empleados pueden ayudar, especialmente informando de lo que ocurre realmente («si ves algo, dilo»), pero mitigar este riesgo es responsabilidad de los equipos de seguridad.

#2 Uso de redes Wi-Fi públicas

Conclusión: Las redes Wi-Fi públicas son seguras incluso en contextos empresariales.

Persiste la creencia de que las redes Wi-Fi públicas son menos fiables o más peligrosas que las redes domésticas o de oficina. Sin embargo, no se han registrado casos de explotación masiva de redes Wi-Fi públicas, ni siquiera entre 2020 y 2022, cuando se produjo un auge del teletrabajo. La Comisión Federal de Comercio (FTC) de Estados Unidos advirtió en 2011 de los riesgos de usar redes Wi-Fi públicas, pero en 2023 actualizó sus recomendaciones para reflejar los avances técnicos que hacen que su uso sea seguro.

En cambio, sí se producen robos de portátiles y dispositivos, como delitos de oportunidad en espacios públicos, un riesgo más probable que puede mitigarse invirtiendo en el cifrado del almacenamiento, la gestión de dispositivos móviles (MDM) y las políticas de bloqueo. Un ejemplo de subpoblación es la lista archivada de vulneraciones notificadas de información sanitaria protegida no segura que afectan a 500 personas o más de la Oficina de Derechos Civiles (OCR) del Departamento de Salud y Servicios Humanos, que recoge más de 4.600 incidentes de robo o pérdida de un portátil u otro dispositivo electrónico portátil desde 2009, los cuales han afectado a más de 345 millones de personas.

Mientras tanto, el tráfico de la red local mantiene su tendencia hacia una mayor seguridad:

• El Informe de Transparencia de Google «Cifrado HTTPS en la Web» muestra que más del 90 % del tráfico de Google está cifrado y que sistemas operativos como Windows y Mac han adoptado ampliamente el tráfico cifrado.
• Las estadísticas de Let's Encrypt sobre el porcentaje de páginas web cargadas por Firefox mediante HTTPS de la telemetría de Firefox de Mozilla muestran que aproximadamente el 80 % del tráfico de los usuarios de todo el mundo está cifrado, al igual que cerca del 90 % del tráfico de los usuarios de Estados Unidos y Japón.
• El Informe de Transparencia sobre «Cifrado del correo electrónico en tránsito» de Google muestra que más del 90 % de los correos electrónicos enviados a Google (Gmail) y desde este servicio están cifrados.
• La adopción de las funciones de seguridad de DNS sigue planteando dificultades, aunque estas se ven mitigadas en cierta medida por la amplia compatibilidad con el cifrado del tráfico de las aplicaciones y el uso generalizado de las VPN y soluciones equivalentes para el tráfico gestionado por las empresas. La adopción de DNSSEC es baja (aproximadamente el 5 % de los dominios .com están protegidos, según el panel de DNSSEC de Verisign); sin embargo, despegó en 2020 y ha mantenido un crecimiento sostenido. Del mismo modo, los sistemas operativos y los navegadores son compatibles con DNS sobre HTTPS (DoH).

A menos que el dispositivo tenga servicios expuestos a la red, algo que debería ser sumamente excepcional en los dispositivos de usuario, las redes Wi-Fi públicas presentan pocos o ningún riesgo específico en comparación con cualquier otra red Wi-Fi. Para quienes adopten un enfoque de confianza cero, las redes Wi-Fi públicas son un excelente ejemplo de por qué nunca se debe confiar en la red, ya sea pública o privada.

#3 «Juice jacking» o los peligros de cargar gratis el móvil por USB

Conclusión: Se ha demostrado que este ataque funciona en distintos modelos de teléfono, pero no hay datos confirmados que indiquen que se esté utilizando y las medidas de protección para el usuario son económicas, por lo que, en caso de apuro, suele ser seguro utilizar un cargador USB gratuito.

Aunque hay ocasiones en las que quizá convenga evitar las estaciones de carga USB, como cuando dejarías el teléfono desatendido y podrían robártelo o cuando estás en una conferencia de seguridad donde es más probable que se hagan «demostraciones» de estos ataques, no hay datos confirmados que justifiquen la repercusión que recibe el «juice jacking».

• La Comisión Federal de Comunicaciones (FCC) afirma no tener constancia de ningún caso confirmado en el que se haya producido este ataque.
• Snopes verificó las advertencias sobre el «juice jacking» emitidas por la Fiscalía del Condado de Los Ángeles en 2019 y por la FCC y la Oficina Federal de Investigación (FBI) en 2023, y no encontró pruebas de que esta práctica estuviera extendida. Esto fue citado por KrebsOnSecurity al informar sobre las advertencias de 2023 de la FCC y el FBI.

Para quienes estén preocupados por este riesgo, mitigarlo supone un coste reducido tanto para la empresa como para el empleado:

1. Utilice adaptadores de carga de enchufe eléctrico a USB y pequeñas baterías externas portátiles, que se han convertido en elementos habituales del equipaje de mano, especialmente para quienes viajan por negocios.
   
2. Selecciona «solo carga» si, al conectarlo por USB, el teléfono te pregunta si quieres «compartir datos», «confiar en este ordenador» o algo similar.
   
3. Si se considera que el riesgo de un usuario es significativamente mayor, plantéate invertir en cargadores y cables especiales que bloqueen o no transmitan datos.

El mayor riesgo de las estaciones de carga USB gratuitas es dejar el dispositivo desatendido y que alguien se lo lleve. Una vez más, la inversión de la empresa en la gestión de dispositivos y la aplicación de medidas de higiene suele ser una forma razonable de mitigar este riesgo.

¿Por qué es malo aumentar la concienciación sobre estos temas? ¿Acaso una mayor concienciación no es siempre algo positivo?

La seguridad no suele recibir apenas atención positiva por parte de los compañeros, y la formación obligatoria de la empresa no despierta entusiasmo. Estos valiosos momentos y primeras impresiones son algunos de los recursos más costosos de los que disponen los equipos de seguridad.

En el mejor de los casos, dedicar tiempo a material que no sea esencial ni pertinente, o que sea inexacto o poco realista, supone una pérdida de tiempo. En el peor de los casos, los equipos de seguridad pierden la atención de su público y no se les prestará atención la próxima vez, por muy importante que sea su mensaje.

La cuestión de fondo es por qué persisten mitos y conceptos erróneos como estos. Parte del problema radica en el factor humano, como se mencionó al principio del artículo.

La otra parte del problema es estructural: ideas erróneas como estas quedan plasmadas en marcos de cumplimiento normativo y acuerdos comerciales. Este tipo de prescripciones rara vez resiste bien el paso del tiempo, sobre todo cuando se formulan con un nivel de detalle que no se actualiza al ritmo de la tecnología. Como consecuencia, los programas de seguridad acaban aplicando requisitos obsoletos o basados en mitos, que sus equipos asimilan y trasladan a sus siguientes empresas. Este conocimiento contaminado es peor que el malware.