Databreach ¿Estás seguro que la empresa está libre?

La violación de datos – Databreach es uno de los ciber delitos más lucrativos, impunes y fáciles de cometer, en donde un atacante (actor de amenazas, individual o grupo), secuestra información confidencial sobre la cual se exige un rescate.

Antes de comenzar a analizar en profundidad este tipo de eventos, es necesario saber algunos conceptos generales:

Actor de amenazas: ¿Quién está detrás del evento?

Acción de amenazas: ¿qué tácticas fueron usadas en el evento?

Incidente:  Un evento de seguridad que compromete la integridad, confidencialidad o disponibilidad de la información.

Violación – breach: Un incidente que resulta en un “divulgación” confirmada de datos de una fuente no autorizada. También conocida como exfiltración.

Partner: Socios de negocios o proveedores de servicios y productos.

Estas violaciones generalmente pueden ser de 2 tipos, categorizadas en:

Externas: Producidas por fuentes fuera de la organización y sus partners. Como, por ejemplo, grupos criminales, hackers solitarios, exempleados y gobiernos.

Internas: Producidas por personal interno de la organización, conocidos como “insiders”.

En un reporte de Verizon (Data Breach Investigation report 2023 - https://www.verizon.com/about/news/2023-data-breach-investigations-report), se pudo determinar que las motivaciones principales para este tipo de violaciones son financieras (lucrar con los eventos) seguidas de motivos por espionaje.

Estos “breach” son ejecutadas en su mayoría por grupos de amenazas categorizados como “Crimen organizado”.

La mayoría de estos ataques son producidos por el uso de robo de credenciales, seguidos de otros ataques como explotación de vulnerabilidades y/o ataques ZeroDay, en tercer lugar “Ransomware” y, en cuarto lugar: Phishing. Es interesante como la mayoría de los ataques suceden de manera no convencional y que los vectores iniciales de ataques se han ido desplazando para acomodarse a técnicas más sofisticadas, pasivas y de muy baja detección.

Anatomía de una violación de datos (Data Breach):

Los ataques de violación generalmente suceden de la siguiente manera:

1. Investigación: Una vez que un cibercriminal elige su objetivo se procede a realizar una investigación exhaustiva de cualquier activo vulnerable, sus empleados, sus sistemas, sus redes y sus servicios cloud. El objetivo de esta fase es detectar potenciales vulnerabilidades.
2. Ataque: Una vez determinadas las vulnerabilidades del objetivo (activos) se procede a idear un ataque que podría ser de 2 maneras:
1. Directamente a las redes y/o servicios: Aprovechando vulnerabilidades técnicas o debilidades en la configuración de activos.
2. Ataque social: Usando técnicas de ingeniería social el actor de amenazas confecciona un ataque para infiltrar las redes del objetivo, para ello, se utilizando técnicas como: Phishings a correos electrónicos, redes sociales o interacciones humadas (Vishing).
3. Exfiltración: Una vez dentro de los activos del objetivo, el atacante procede a buscar, catalogar y extraer información confidencial de la empresa para posteriormente utilizarla con findes de extorsión, presión social o denigrar la imagen corporativa.
4. Publicación y negociación: Una vez exfiltrados los datos, el atacante procede a “asegurarlos” en servidores anónimos con el fin de establecer extorsión sobre ellos, esto es publicar la información confidencial si la empresa afectada no paga “un servicio” de aseguramiento de la información (extorsión/Blackmail). Para lo cual existe un tiempo límite para “pagar” estos servicios y así evitar que la información no sea pública.
5. Post-“Disclosure”(público): Cuando las negociaciones no son fructíferas entre los cibercriminales y las empresas afectadas, estos proceden a publicar libremente los datos confidenciales en foros públicos y/o “boards” de la Deep Web para que cualquier persona los pueda descargar libremente.

Estas publicaciones de datos son comúnmente conocidas como “Leaks” o filtraciones, y existen una serie de foros públicos (Markets) en los cuales diariamente se postea información de filtraciones, ataques y robos, los cuales comúnmente son negociados mediante intermediarios, como, por ejemplo: