Robo de identidad: una amenaza más grave de lo que crees

Kuna Nallappan

El sector de los servicios financieros en Asia es uno de los más regulados, y el cumplimiento normativo suele presentarse como una garantía de seguridad. Sin embargo, el cumplimiento normativo es solo uno de los aspectos de la seguridad. Las distintas normativas abarcan una amplia variedad de cuestiones, pero no basta con limitarse a implementar soluciones o dispositivos para cumplirlas.

La creciente omnipresencia de los dispositivos móviles en Asia-Pacífico y el consiguiente auge de la banca por Internet han dado lugar a amenazas de ciberseguridad cada vez más sofisticadas. Sin embargo, según el Estudio sobre identidad móvil de Telstra, el 62 % de los directivos del sector de los servicios financieros señaló que no había invertido lo suficiente en identidad y seguridad. Asimismo, menos de la mitad de los consumidores se mostró satisfecha con el desempeño de su entidad financiera en materia de seguridad, ya que más de un tercio había sufrido un robo de identidad.

Ante casos de robo de identidad como la filtración de datos de JP Morgan y los bancos surcoreanos afectados por filtraciones masivas de datos de tarjetas de crédito el año pasado, y tras el robo de 16.000 millones de dólares estadounidenses a las víctimas de fraudes de identidad en 2014, el robo de identidad se está convirtiendo rápidamente en una amenaza cada vez mayor, aunque todavía subestimada, para el sector de los servicios financieros.

Aumento de la superficie de ataque y de la sofisticación

El robo de identidad se ha convertido en una práctica habitual entre los ciberdelincuentes debido al aumento de la superficie de ataque y a la sofisticación de las herramientas utilizadas. Hoy en día, los ciberataques se producen a través de una mayor variedad de vectores. Por ejemplo, dado que muchas organizaciones de servicios financieros permiten que los dispositivos personales de sus empleados accedan a las redes corporativas, la política «Trae tu propio dispositivo» (BYOD) convierte los dispositivos móviles en un canal que los ciberdelincuentes pueden utilizar para ocultarse, propagarse y robar información aprovechando las credenciales de un empleado de la organización.

Otro vector pueden ser las aplicaciones web públicas no seguras, que permiten robar identidades rápidamente. Entre ellas se incluyen vulnerabilidades de día cero que acapararon titulares el año pasado, como Shellshock y Heartbleed. Basta con que una organización tarde en corregir una vulnerabilidad o carezca de la tecnología adecuada para proteger sus aplicaciones web. Una vez que los ciberdelincuentes toman el control, pueden hacer lo que quieran: desde robar datos hasta utilizar los servidores para lanzar ataques de botnets.

Este «campo de juego» ampliado ofrece a los ciberdelincuentes más opciones para robar credenciales de inicio de sesión, por lo que ya no necesitan recurrir a programas de registro de pulsaciones de teclas ni a filtraciones de bases de datos, sino que les basta con utilizar inyecciones web.

Por ejemplo, cuando un usuario inicia sesión en su cuenta de banca por Internet, los ciberdelincuentes pueden insertar en la página web un campo adicional aparentemente legítimo en el que se solicita el PIN de su tarjeta (número de identificación personal), con el fin de engañar tanto a los usuarios expertos en tecnología como a los menos familiarizados con ella. Mientras esto sucede, un programa malicioso puede ejecutar en segundo plano un ataque de «intermediario en el navegador», invisible para la aplicación web anfitriona.

Además de aumentar los vectores de ataque, el malware y los troyanos actuales pueden robar credenciales de inicio de sesión a través de aplicaciones de banca móvil para acceder a fondos depositados en bancos y otras entidades de servicios financieros. Los ciberdelincuentes pueden crear fácilmente una aplicación móvil que se parezca a una aplicación bancaria y utilizar técnicas de phishing dirigido para robar las credenciales de inicio de sesión. Algunos programas maliciosos, como Dyre o Dyreza, atacan directamente las cuentas bancarias de empresas y han logrado robar más de un millón de dólares a compañías desprevenidas.

Aborde las amenazas con una defensa por capas, proactividad y políticas sólidas para dispositivos móviles

Dado que las amenazas internas fueron responsables de la mayoría de las brechas de seguridad durante el primer semestre de 2015, es más importante que nunca que las organizaciones sigan el ritmo de los ciberdelincuentes actuales, que actúan con gran rapidez. Las empresas deben adoptar las medidas necesarias para proteger sus aplicaciones expuestas a Internet. Esto debe encabezar su lista de prioridades, ya que constituye una vía natural para los ciberdelincuentes, que siempre buscan oportunidades para infiltrarse en una red. Asimismo, debe desaconsejarse el desbloqueo de dispositivos, pues suele ofrecer a los ciberdelincuentes otra vía de acceso a las redes.

En primer lugar, es imprescindible contar con una estrategia de defensa en profundidad que emplee las tecnologías adecuadas. Muchas personas creen erróneamente que basta con utilizar una tecnología como un cortafuegos para proteger las redes de una organización, pero hoy en día esto ya no es así. Las organizaciones deben recurrir a otras tecnologías, como los cortafuegos de aplicaciones web. Los ataques contra aplicaciones web suelen estar diseñados y adaptados para una aplicación concreta, por lo que las medidas de seguridad tradicionales no los detectan.

Aunque la remediación —solucionar los problemas después de una brecha de seguridad— cumple su función, resulta aún más beneficioso adoptar un enfoque proactivo para proteger sus redes. Un escenario de remediación es de naturaleza reactiva: el equipo forense rastrea la causa de la brecha, elabora un informe y aplica las medidas correctivas tras el incidente. Por otro lado, proteger su organización de forma proactiva quizá no permita detener el 100 % de los ataques, pero lograr reducir ese porcentaje debería seguir considerándose un éxito.

Por último, también es necesario combatir la complacencia y abandonar la actitud de «a mí no me va a pasar», por la que ven cómo atacan a sus vecinos y, aun así, confían en seguir teniendo suerte.

Las organizaciones deben establecer políticas de seguridad para dispositivos móviles que definan las directrices, los principios y las prácticas aplicables a su gestión, independientemente de si los proporciona la empresa o son propiedad de particulares. Estas políticas deben abarcar aspectos como las funciones y responsabilidades, la seguridad de la infraestructura, la seguridad de los dispositivos y las evaluaciones de seguridad.

Al establecer políticas de seguridad, las organizaciones pueden crear un marco para aplicar prácticas, herramientas y formación que contribuyan a proteger las redes inalámbricas. Formar a los empleados en sus políticas de seguridad móvil también puede ayudar a las organizaciones a garantizar que los dispositivos móviles se configuren, gestionen y utilicen de forma segura y adecuada.

Sobre el autor

Kuna Nallappan

Más artículos de Kuna Nallappan