Al igual que en años anteriores, el mundo de la seguridad tuvo sus altibajos en 2015. Existe una delgada línea entre las amenazas que enfrentamos y las soluciones que tenemos a nuestra disposición; cualquier error que cometan los encargados de proteger nuestra seguridad puede provocar que un problema existente sólo empeore.
El próximo año no será distinto. En 2016, a los extorsionistas cibernéticos se les ocurrirán nuevas maneras de atacar la psique de sus víctimas para “personalizar” cada ataque – ya sea un usuario final o una empresa. Las amenazas evolucionarán para depender más del dominio de la psicología que del dominio de los aspectos técnicos de la operación. La reputación lo es todo, y las amenazas que puedan arruinar la reputación de una persona o de una empresa demostrarán ser efectivas y, lo más importante, lucrativas. Los proveedores de soluciones de seguridad tendrán que trabajar junto con las fuerzas de seguridad y las víctimas potenciales para ayudar a combatir a estas amenazas que evolucionan constantemente.
La extorción en línea seguirá creciendo en 2016.
De una forma u otra, la extorsión ha sido una parte importante de la actividad cibercriminal durante muchos años. Para los consumidores, ha tomado diferentes formas que van desde los antivirus falsos y troyanos policiacos hasta el cripto-ransomware. En esencia, la amenaza sigue siendo la misma: tenemos sus datos, le estamos negando el acceso a ellos, denos dinero.
El objetivo de estos grupos criminales es lucrar al máximo. Se estima que sus “ganancias” ascienden a millones de dólares. Esta es esencialmente una actividad “libre de riesgos” para muchos grupos cibercriminales que les produce enormes ganancias, y no nos sorprendería que se haya convertido actualmente en una de las mayores amenazas para los usuarios ordinarios.
Se prevé que en el futuro haya aún más amenazas que intenten extorsionar a los usuarios. Además de los datos, otras cosas que los usuarios consideren valiosas y que esté en línea podrían también ser el blanco de un ataque. Tomemos el caso de lo que le sucedió a algunos de los usuarios de Ashley Madison, quienes enfrentaron amenazas por (supuestamente) ser miembros de este sitio de citas. En el futuro, podrían reportarse ataques similares a la reputación de los usuarios.
La reputación de las empresas estará en riesgo debido a las brechas de seguridad.
Hay pocas cosas que podrían provocar más daños a una organización que una brecha de seguridad que exponga sus secretos más íntimos. Compañías como Sony y el Hacking Team lo han sufrido en carne propia, muy a su pesar.
Los hacktivistas responden a los incentivos al igual que todos. En lugar de sólo alterar sitios web y/o perpetrar ataques de negación de servicio (DoS), los hacktivistas con más capacidades podrían intentar hurtar los secretos más valiosos de una compañía y hacerlos públicos.
Esto constituye un nuevo tipo de amenaza en lo que respecta a las brechas de datos. Tradicionalmente estos son ataques que los criminales cibernéticos lanzan para lucrar, o los estados naciones, para robar información. Los ataques de los hacktivistas podrían ser distintas a estas amenazas previas, y necesitan tratarse como corresponde.
A pesar de los riesgos de las brechas de seguridad, las organizaciones no lograrán adoptar políticas que los ayuden a protegerse, como designar Directores de Protección de Datos.
Como podemos ver, proteger los datos de una organización se está volviendo una tarea cada vez más complicada. Las recientes regulaciones impuestas por los gobiernos como la directriz para la Protección de Datos de la Unión Europea sólo dificultan más esta tarea: además de los riesgos “normales” asociados con las amenazas, las normativas impuestas por los reguladores también deben considerarse en la planeación de la postura de seguridad de una organización.
Lo ideal sería que una organización tuviera a un ejecutivo que estuviera a cargo de manejar específicamente estos problemas; uno que pudiera hacer el trabajo de un Director de Protección de Datos (DPO). Este puesto requiere no sólo conocer los riesgos técnicos para los datos de una organización, sino también cómo manejar los requerimientos legales que ahora se están imponiendo.
Muchas organizaciones aún ignoran sus responsabilidades de proteger sus propios datos y los datos de sus usuarios. Aunque son cada vez más las compañías que lo saben, no cuentan con los planes para revisar sus políticas actuales para cumplir con estas nuevas regulaciones.
Los ataques a los dispositivos inteligentes de los usuarios serán fatales – directa o indirectamente.
El número de dispositivos y productos que se conectan a Internet aumenta cada vez más, y se prevé que los embarques crezcan 67% anualmente durante los próximos cinco años. A medida que estos dispositivos forman parte de la vida diaria de los usuarios, sus limitaciones en materia de seguridad se vuelven más evidentes y problemáticas. Es más que sabido que existen vulnerabilidades en dispositivos como los monitores para bebé, los automóviles y las bombas de gasolina, por ejemplo.
Parchar estos dispositivos es un proceso muy lento. Es por ello que las vulnerabilidades conocidas circulan durante periodos más largos en comparación a las que tienen que ver con las computadoras personales, para las que los proveedores de software liberan parches con regularidad. Esta combinación tóxica de la importancia cotidiana y la falta de seguridad puede provocar perjuicios, o peor aún, fatalidades, a los usuarios debido a las fallas de los dispositivos inteligentes.
Puede consultar más detalles sobre estas predicciones en La Delgada Línea: Predicciones de Seguridad de Trend Micro para 2016.
Leave a Reply