Claro, una filtración de datos puede salir más cara (al menos por ahora) y, desde luego, pone tu fallo en el punto de mira (hay que notificarlo), pero la seguridad no puede limitarse únicamente a la exposición de datos.
Hoy en día, solo se oye hablar de una brecha de seguridad si ha implicado la exposición de datos. Por cómo hablan (y escriben) algunos, parece que las brechas solo importan si se exponen datos. De hecho, un informe reciente de Netwrix sobre seguridad y riesgos de TI señalaba que «las organizaciones tienen previsto centrar sus inversiones en proteger los datos confidenciales, ya que no pueden prever todas las amenazas posibles». (Informe de riesgos de TI de 2017)
Dado que el coste medio de una filtración de datos supera los 3 millones de dólares, según un estudio de Ponemon (patrocinado por IBM), parece sin duda una estrategia acertada. Hay que proteger los datos. Al fin y al cabo, no solo supone un coste económico, sino que también perjudica la marca y la reputación de la empresa y, a menudo, hace que algunas personas pierdan su empleo.
El problema de una estrategia de seguridad tan miope es que ignora por completo que otras vulneraciones conllevan costes igual de elevados. Nadie ataca tus defensas con la intención de marcharse sin más una vez que logra traspasarlas. Los atacantes no lo hacen por la satisfacción personal de acceder a tu red o a tus sistemas. La comunidad hacker dejó atrás hace mucho la época en la que la simple «alteración de sitios web» se consideraba un rito de iniciación. En la mayoría de los casos, los atacantes actuales lo hacen por dinero.
Y aunque sabemos que las credenciales y los datos personales alcanzan un buen precio en la web oscura, hoy en día los datos no son la única forma de ganar dinero. El lucrativo mercado de la criptominería lo ha demostrado recientemente. Una entrada muy detallada y extensa (cuya lectura merece la pena) del blog de Talos calcula que una sola campaña de cryptojacking podría generar desde 182.500 $ al año hasta la asombrosa cifra de 100 millones de dólares anuales:
«Para poner en perspectiva los beneficios económicos, un sistema medio probablemente generaría unos 0,25 dólares en Monero al día, lo que significa que un atacante que haya reclutado a 2.000 víctimas (algo no muy difícil de conseguir) podría generar 500 dólares al día o 182.500 dólares al año. Talos ha observado redes de bots formadas por millones de sistemas infectados, lo que, siguiendo nuestro razonamiento anterior, significa que, en teoría, estos sistemas podrían aprovecharse para generar más de 100 millones de dólares al año».
En teoría, por supuesto.
Estas cifras son alarmantes, pero los beneficios que generan para los mineros no son necesariamente lo más relevante para la publicación de hoy. Son simplemente el principal motivo de los ataques. Al fin y al cabo, un par de cientos de miles de dólares son una buena razón para buscar recursos gratuitos. Y, dado que resulta tan lucrativo, conviene ser más consciente de los costes asociados a las brechas de seguridad que dejan mineros y secuaces en su infraestructura.
El coste del consumo ilícito de recursos
Los costes de una filtración de datos están bien documentados y abarcan desde los costes de subsanación hasta los gastos de notificación e indemnización. Los costes de otras brechas de seguridad no están tan bien documentados, pero existen igualmente en forma de gastos operativos innecesarios y costes de oportunidad. Tanto si hablamos de mineros como de minions, de procesos tradicionales basados en Linux o de código en contenedores, lo cierto es que, una vez implantados, estos bots externos y no deseados consumen ilícitamente recursos que suponen un coste real a final de mes (o de trimestre, según la frecuencia con la que pague su factura de servicios en la nube).
Algunos podrían pensar que estos bots quizá estén consumiendo recursos por los que habrías pagado de todos modos. A primera vista, podría parecer cierto: de media, solo utilizas el 20 % de esa instancia o servidor, pero pagas el 100 % independientemente del uso. Entonces, ¿realmente te están ocasionando estos bots una pérdida de ingresos?
Claro que sí.
Recordemos por un momento la premisa del escalado automático, una de las razones por las que muchas organizaciones adoptan la nube pública. Cuando la carga o el rendimiento superan un umbral, queremos que se inicie una nueva instancia para satisfacer la demanda. Si tenemos una instancia que solo utiliza el 20 % de su capacidad para atender a clientes legítimos y, de repente, un bot consume el 80 % restante, tendremos que pagar por una segunda instancia, después por una tercera, una cuarta y, finalmente, una quinta para satisfacer una demanda que podría haberse cubierto con una sola instancia si no se estuviera utilizando de forma ilícita.
Así que ese es otro coste.
Para quienes se preocupan por el medio ambiente, también está el aumento de las emisiones de carbono derivado de un mayor consumo eléctrico. Un dato curioso: cuando los recursos informáticos están inactivos, consumen menos vatios que cuando funcionan a pleno rendimiento (especialmente al realizar cálculos criptográficos de gran complejidad). Por tanto, si un minero o un equipo zombi está trabajando sin parar, le supondrá un coste en kilovatios-hora (si se encuentra en sus propias instalaciones) y en horas de instancia (si está en la nube pública), lo que incrementará su huella de carbono.
Consumir más energía genera más calor, que debe compensarse con refrigeración adicional. Por tanto, se consume aún más electricidad. Y luego están los sistemas que supervisan la temperatura e informan sobre ella… en fin, ya se hace una idea. Para mantener en funcionamiento un centro de datos —ya sea en la nube o en las propias instalaciones— se utiliza una gran cantidad de recursos informáticos auxiliares, lo que incrementa cada vez más los costes operativos debido al consumo ilícito de recursos.
Como se señala en el mencionado blog de Talos, algunos de estos scripts de criptominería son inteligentes. Son difíciles de detectar y pueden impedir que sus equipos entren en modo de espera, se reinicien, cierren sesión o realicen cualquier otra actividad que pueda interrumpir su funcionamiento. Mantienen sus equipos funcionando las 24 horas del día, los 7 días de la semana, y exprimen hasta el último bit digital antes de que usted llame al exterminador.
Esos son los costes tangibles: los que se reflejan en el aumento desorbitado de las facturas de suministros y servicios en la nube. Pero ¿qué ocurre con los costes intangibles? Por ejemplo, la pérdida de un cliente (o cliente potencial) debido a un rendimiento deficiente.
Bien, recordemos el axioma operativo n.º 2: a medida que aumenta la carga, disminuye el rendimiento.
Si un minero o un esbirro está consumiendo recursos, aumenta la carga total de un servidor, lo que va a reducir el rendimiento de la aplicación. Al igual que la gravedad, es una ley. El impacto de un rendimiento deficiente está ampliamente documentado. Por ejemplo, sabemos por un estudio de AppDynamics que 8 de cada 10 usuarios han eliminado una aplicación porque su rendimiento era deficiente. También sabemos que Amazon, Google y Walmart han documentado el impacto que pueden tener incluso unos pocos microsegundos en los ingresos, las conversiones y las compras. Dependiendo del sector, la pérdida de esa aplicación o una ligera degradación del rendimiento pueden traducirse rápidamente en pérdidas cuantificables.
Aunque no quiera hacer los cálculos exactos (y desde luego yo tampoco), la idea general habla por sí sola: los mineros y los minions suponen costes reales para las organizaciones de diversas formas. Si bien es cierto que la exposición de datos constituye un grave riesgo para la seguridad y el negocio frente al que es fundamental protegerse, no debemos olvidar que cualquier brecha puede tener graves consecuencias.
Un alarmante 25 % de las organizaciones, según RedLock Cloud Security Trends May 2018, sufren actualmente actividades de criptojacking en sus entornos. Tripwire señaló asimismo que 15 millones de personas se vieron afectadas por una única operación de minería de Monero. eWeek informó sobre una empresa de servicios públicos cuyos recursos informáticos estaban siendo consumidos de forma drástica por operaciones ilícitas de criptominería.
Estos informes son cada vez más frecuentes, probablemente con la esperanza de poner de manifiesto la gravedad de estas actividades. Lo importante que hay que tener en cuenta sobre los mineros —y los equipos que forman parte de ejércitos de botnets— es que constituyen una prueba de que se ha producido una brecha en sus defensas, aunque no necesariamente relacionada con datos confidenciales.
Centrarse de forma demasiado limitada en proteger los datos es una buena manera de acabar engrosando la creciente lista de empresas que, con sus pagos, han contribuido a que el cryptojacking sea un negocio tan lucrativo. La incertidumbre sobre qué explotarán los atacantes a continuación no es una buena razón para dejar de lado una estrategia de seguridad integral y dedicar todos nuestros esfuerzos a proteger los datos. Protejamos el negocio, incluidas las partidas operativas que pueden mermar los beneficios de la empresa.
Sobre el autor
Lori MacVittie es ingeniera distinguida y evangelista jefe en la Oficina del CTO de F5, y cuenta con una amplia experiencia en entrega de aplicaciones, estrategia de automatización e infraestructura. Es conocida por convertir la complejidad en claridad, ya sea definiendo mecanismos de protección para agentes de IA, analizando arquitecturas multinube frágiles o explorando los límites de los sistemas escalables. Aporta más de treinta años de experiencia en el sector en desarrollo de aplicaciones, arquitectura de TI y operaciones de redes y sistemas. Antes de incorporarse a F5, fue una galardonada editora de tecnología. MacVittie posee un máster en Informática y es una autora prolífica cuyas publicaciones abarcan la seguridad, la nube y la arquitectura empresarial. También es una apasionada de los juegos de mesa y los videojuegos, y expresa sin complejos sus firmes opiniones sobre el queso.
Más artículos de Lori Mac VittieArtículos relacionados del blog
Cree servicios públicos seguros, resilientes y preparados para la IA con F5 y AWS
Descubre cómo las organizaciones del sector público pueden modernizar de forma segura sus aplicaciones y soluciones de IA, al tiempo que gestionan los sistemas heredados, el cumplimiento normativo y el riesgo operativo.
Protección de los sistemas de IA: por qué la seguridad debe avanzar al ritmo de la innovación
Desde acelerar avances revolucionarios en medicina y educación hasta transformar la vida cotidiana, la IA está cambiando nuestra forma de vivir y trabajar. Pero también ofrece grandes oportunidades a los ciberdelincuentes.
Avanzar hacia la optimización digital tras la transformación
Descubre estrategias de optimización digital para garantizar políticas de seguridad coherentes, impulsar la madurez de la transformación digital y superar los retos de la transformación.
Proyecto de código abierto destacado: mayor observabilidad con F5 Cloud Logger iApp
En el punto de mira del código abierto: cómo aumentar la observabilidad. Lee el blog de F5 para descubrir cómo exportar fácilmente la telemetría de BIG-IP a plataformas modernas de análisis en la nube.
El estado de la entrega de aplicaciones en 2018: la transformación digital impulsa la automatización y la multinube pese a las preocupaciones de seguridad
Descubre las principales conclusiones del cuarto informe anual de F5 sobre el estado de la entrega de aplicaciones.
Estado de la entrega de aplicaciones en 2017: automatización, API y DevOps
Descubre el informe sobre el estado de la entrega de aplicaciones de 2017. Lee el blog retrospectivo de F5 sobre los inicios del auge de las redes declarativas y los flujos de DevOps.