La cascada de acontecimientos que desembocan en el fraude digital y que está muy relacionado con fenómenos como el phishing, vishing o smishing, ha comenzado sin embargo mucho antes de que aparezcan estos fenómenos cada vez más conocidos.
Podemos agrupar en fase 0, todos los preparativos que van a desembocar en un ataque y su posterior monetización. Las fases previas a un ciberataque suelen seguir una metodología estructurada para maximizar el éxito y minimizar el riesgo de detección. A título orientativo, estas fases suelen incluir:
-
- Propósito: Recopilar información sobre el objetivo para planificar el ataque.
- Actividades: Investigación en redes sociales, búsqueda de información en fuentes abiertas, escaneo de puertos y servicios, mapeo de la infraestructura de red y recolección de datos sobre empleados y tecnologías utilizadas.
Escaneo (Scanning):
- Propósito: Identificar vulnerabilidades específicas en los sistemas del objetivo.
- Actividades: Escaneo de puertos y servicios, análisis de vulnerabilidades, identificación de sistemas operativos y versiones de software, y mapeo detallado de la red.
Enumeración (Enumeration):
- Propósito: Obtener información detallada sobre los sistemas, cuentas de usuario y configuraciones específicas.
- Actividades: Enumeración de nombres de usuario, listas de recursos compartidos, servicios activos y configuración de seguridad. Este proceso puede involucrar técnicas como el acceso a servidores de directorio e intrusión en bases de datos.
Explotación (Exploitation):
- Propósito: Aprovechar las vulnerabilidades descubiertas para obtener acceso no autorizado.
- Actividades: Ejecución de exploits contra servicios vulnerables, instalación de malware para obtener credenciales. Se suman y entremezclan con actividades de phishing, smishing y vishing.
Escalada de Privilegios (Privilege Escalation):
- Propósito: Obtener mayores niveles de acceso dentro del sistema objetivo.
- Actividades: Uso de exploits locales para obtener privilegios de administrador, acceso a cuentas de mayor nivel y explotación de configuraciones erróneas de seguridad.
Movimiento Lateral (Lateral Movement):
- Propósito: Propagarse a través de la red del objetivo para comprometer más sistemas.
- Actividades: Uso de credenciales robadas, aprovechamiento de conexiones de confianza y uso de herramientas de administración remota para acceder a otros sistemas.
Mantenimiento del Acceso (Maintaining Access):
- Propósito: Asegurar el acceso continuado al sistema objetivo.
- Actividades: Instalación de backdoors, creación de cuentas de usuario ocultas, modificación de configuraciones de seguridad y uso de rootkits o malware persistente.
Exfiltración (Exfiltration):
- Propósito: Robo y transferencia de datos valiosos del sistema objetivo.
- Actividades: Transferencia de archivos a servidores controlados por el atacante y uso de canales de comunicación, generalmente cifrados, para enviar datos fuera de la red.
Impacto (Impact):
- Propósito: Ejecución del objetivo final del ataque, que puede variar según el atacante.
- Actividades:
- Robo de información confidencial.
- Sabotaje de sistemas.
- Solicitud de rescates (ransomware).
- Destrucción de datos.
Evasión (Covering Tracks):
- Propósito: Ocultar la presencia del atacante y sus actividades.
- Actividades: Borrado de logs, uso de técnicas de camuflaje, cifrado de comunicaciones y eliminación de herramientas utilizadas durante el ataque.
Y mientras que las actividades de las fases 0 y 1 suelen involucrar a grandes empresas y no son muy conocidas por los usuarios de los servicios, las siguientes actividades, fases 2 y 3, nos afectan más directamente y el nivel de participantes aumenta, llegando incluso a personas que no pertenecen a grupos organizados, pero que se suman mediante la obtención en la red de procedimientos maliciosos, en lo que se ha denominado democratización del fraude.
"Mayo ha sido un mes terrible para la ciberseguridad española. En cuestión de días han caído víctimas de ciberataque, o están investigando supuestas brechas de seguridad, el Banco Santander, Telefónica, Iberdrola, la DGT y la Universidad Complutense. A ellos se suma una brecha internacional que también habría afectado a clientes españoles: la sufrida por Ticketmaster, que incluiría los registros de más de 500 millones de usuarios de su plataforma de entradas en todo el mundo." Carlos del Castillo. 31/05/2024. Eldiario.es.
Y cuando tus credenciales han caído desafortunadamente en manos de los malos, es crucial tomar medidas:
- En nuestro día a día, estar alerta y seguir recomendaciones como la de evitar urgencias, desconfiar de procedimientos en donde intervienen datos sensibles (PII), contraseñas o números privados de acceso y mantener abierto un canal fiable con entidades bancarias o el comercio digital
- En cuanto a nuestras actividades de comercio digital, queda esperar que quien gestiona nuestra cuenta, el comercio o una página web donde vendemos y compramos o el sitio de juego online o cualquier otro espacio digital, disponga de algunas medidas para evitar o minimizar el que nadie que no seamos nosotros pueda usar fácilmente nuestra cuenta
En fase 3, existen sin duda amenazas que afectarán a nuestra actividad digital, especialmente en aquellas operaciones en las que se intercambia valor. Una vez las brechas se han producido y la maquinaria global está en marcha, hay que ser proactivo en la protección frente al fraude, porque únicamente hay dos tipos de negocio digital, aquel que es consciente de haber sufrido fraude y aquel que no.
Incorporar sistemas que identifiquen alteraciones de comportamiento, que gestionen la aplicación selectiva de factores de autenticación y que se anticipen con respuesta inmediata a la intrusión y el quebranto económico, no es una opción sino una necesidad y los costes para llevarlo a cabo, están lejos de ser lo que impide adoptarlos (ver más).
Por último, en la línea de evitar tasas de denegación que mermen el crecimiento del negocio digital, en un entorno donde el fraude no solo es posible sino inevitable, es muy importante reaccionar antes que este sea masivo, dado que un comportamiento reactivo, drástico y en el último momento, provocará aún mayor impacto económico que el propio fraude, al incidir muy negativamente en indicadores tan importantes como el coste de adquisición (CAC) o las tas tasas de fidelidad (LTV)… (ver más)
