Tener una plantilla de empleados formados en materia de ciberseguridad es la mejor protección que pueden tomar las empresas para evitar ciberataques como el del oleoducto de EE.UU. de la semana pasada, puesto que los piratas informáticos siempre intentan aprovecharse del factor humano.
De entre todas las técnicas usadas para ganar acceso ilícito a los sistemas informáticos de una organización, una de las más comunes es el «phishing», término inglés usado para referirse al envío de correos electrónicos a trabajadores de una empresa haciéndose pasar por un emisor de confianza.
El hacker logra así bajar la guardia del receptor, incapaz de distinguir el correo falso de uno verdadero -se trata de suplantaciones muy elaboradas, que copian casi a la perfección logotipos y estéticas corporativas-, el empleado hace clic sobre un enlace o se descarga un archivo adjunto del correo y el sistema informático pasa a estar infectado con malware.
Todavía no se ha revelado si fue con este método con el que los piratas informáticos de Darkside lograron acceso al sistema de Colonial, forzando a la compañía a detener sus operaciones durante cinco días y generando escasez en el suministro de combustibles en EE.UU., pero la mayoría de expertos consultados por Efe coinciden en que es una de las principales posibilidades.
EL FACTOR HUMANO, EL MÁS DÉBIL
«La tecnología va mejorando, pero el factor humano siempre es el más débil», cuenta en una entrevista con Efe Raheem A. Beyah, decano del Colegio de Ingeniería de la Universidad Georgia Tech y cofundador de la empresa de ciberseguridad Fortiphyd Logic.
Beyah explica que otro gran problema en relación al factor humano de la ciberseguridad es que la gente repite las mismas contraseñas en varios portales, por ejemplo en su cuenta profesional y en una red social.
Así, si los hackers logran acceder a los datos de la red social -un objetivo habitual por parte de los piratas informáticos-, inmediatamente ganan acceso también a la cuenta profesional.
De acuerdo con datos facilitados por Microsoft, se producen ataques de hackers a sistemas informáticos una media de 579 veces por segundo (la inmensa mayoría de ellos infructuosos) y cada día se registran en todo el mundo 50 millones de intentos de acceder a contraseñas de usuarios.
«No puedo destacarlo lo suficiente: hay que tener confianza cero. Vivimos en un entorno complejo y los fallos del sistema son inevitables, pero el impacto de estos fallos no tiene por qué serlo. Hay que verificarlo todo, limitar accesos, etc.», apunta a Efe la vicepresidenta de Microsoft para Seguridad, Vasu Jakkal.
Como Beyah, Jakkal recalca la importancia de dotar a los trabajadores de las capacidades y conocimientos necesarios para que sean conscientes de las técnicas que los hackers pueden usar para ganarse su confianza de forma fraudulenta, puesto que un empleado que sabe distinguir entre un intento de «phishing» y un correo legítimo puede prevenir por sí solo un ciberataque.
TODO LO QUE ESTÁ ONLINE PUEDE SER ATACADO
«A veces pensamos que esto es algo que solo les ocurre a los demás, pero es algo que nos puede pasar a cualquiera», asegura la ejecutiva de Microsoft.
Tal y como demostró el reciente ataque al oleoducto, es importante recordar que cualquier equipo, objeto o infraestructura que esté conectado a la red es susceptible de ser hackeado, desde un sistema de alarmas a una tostadora inteligente.
«Este ataque podría haber sido mucho peor. Se cerraron los sistemas operativos por precaución, pero el siguiente paso será poner en jaque las propias operaciones», apunta el decano del Colegio de Ingeniería en referencia al caso de Colonial, en que los cibercriminales se limitaron a «secuestrar» los datos del sistema, pero no llegaron a controlar las operaciones.
Sin embargo, este extremo es algo absolutamente factible a nivel técnico, es decir, que piratas accedan a una gran infraestructura y, a distancia, manipulen sus operaciones mediante válvulas, controles de temperatura y presión, cierre y apertura de compuertas, etc.
Para prevenir escenarios de este tipo y las fatídicas consecuencias que podrían tener (los piratas podrían amenazar la integridad física de las personas), los expertos recuerdan que la ciberseguridad es un «deporte de equipo» que requiere compartir inteligencia, experiencias y formación entre empresas, Gobiernos y particulares.
