Confianza de empresas y usuarios fortalece al cibercrimen

El exceso de confianza de las empresas y los usuarios es la fuente principal del éxito de los grupos criminales en internet, que no solo han aumentado el número de sistemas comprometidos, sino que también aprovechan a las mismas personas para vulnerar o distribuir sus códigos maliciosos.

“Hemos llegado un tope en el que nos vemos un crecimiento masivo en los ataques, pero sí una constante evolución y avance del cibercrimen. El número de ataques dirigidos creció más de 91% entre 2012 y 2013. Para 2014 (...) la tendencia se mantiene a la alza”, dijo Kevin Haley, director de Symantec Security Response.

El responsable del reporte Internet Security Threat Report de la firma explica que la situación en el mundo de seguridad no ha mejorado debido a que los criminales se han sofisticado, mientras las empresas y usuarios se mantienen escépticos ante la posibilidad de ser vulnerados.

"Siguen en una temática de 'a mí no me va a pasar, yo no soy una víctima de valor para cibercrimen'", dijo Haley.

El experto aseguró que los ataques dirigidos de robo de información se evitarían con simples controles básicos en seguridad.

"Más de un tercio de los ataques de spear phishing se lograron a través de archivos ejecutables o documentos. Es increíble que todavía haya empresas que no bloquean o vigilen en 2015 ese tipo de archivos", afirmó.

Cerca de 32% de los ataques dirigidos pudieron haberse prevenido con controles básicos de seguridad, ya que 38% iban ocultos como archivos de documentos y 22% eran programas ejecutables, según el informe de la empresa.

La industria más afectadas por este tipo de amenazas fue la de manufactura, que recibió uno de cada cinco ataques de spear phishing, seguidos del sector de servicios y el financiero.

Haley dijo que en muchos casos los cibercriminales eligen a empleados de rango medios de la organización, para posteriormente vulnerar a usuarios de mayor nivel y con acceso a datos más sensibles.

El experto estima la reducción de los ataques dirigidos entre 2013 y 2014 obedece a que las organizaciones criminales en internet son más efectivas al vulnerar blancos, por lo que requieren menos campañas de malware para comprometer o robar información.

Lo poco que me importa mi seguridad

Más que el descuido de las empresas, Haley explicó que el reporte marca una clara y preocupante tendencia en las sociedades modernas y entre las generaciones móviles: la falta de conciencia o interés por el resguardo de la información digital.

El ISTR de 2014 detectó que casi siete de cada diez usuarios están dispuestos a entregar datos de su ubicación, nombres personales, acceso a su perfiles de Facebook y otras redes sociales a cambio de tener una aplicación gratuita.

Peor aún 20% de los usuarios consultados reconoció desconocer por completo que existen aplicaciones capaces de obtener información en tiempo real de su ubicación.

“Como sociedad hemos trasladado muchas de las cosas que hacemos en el mundo físico a internet, incluido el crimen. Lo extraño es que la gente entiende los riesgos de salir de su casa y dejar las ventanas y puertas abiertas, pero no están cerrando esas puertas en su vida digital”, dijo.

En algunos casos, como en redes sociales, son los mismos usuarios los que hacen el trabajo de los cibercriminales.

Datos del reporte citan que durante 2014, 70% de los engaños de Social Media se ejecutaron gracias a que otros usuarios compartieron manualmente el fraude o publicaciones con enlaces a sitios maliciosos.

A través de noticias falsas, videos escandalosos, ofertas apócrifas o poco creíbles, los usuarios de redes como Facebook o Twitter hacen el trabajo de grupos criminales al compartir y exponer a sus conocidos a las amenazas.

El experto mencionó que contrario a prevenir, es probable que las reacciones al cambio sucedan luego de enfrentar problemas o “cosas malas”.

Un ejemplo concreto es la crecimiento del secuestro digital de máquinas o ransomware, el cual creció de 4.1 millones en 2013 a más de 8.8 millones para el año pasado. Symantec al día registró más de 24,000 ataques de este tipo.

Los criminales tiene la facultad de vulnerar y cifrar la PC del usuario para posteriormente amenazarlo con borraran fotos, videos, documentos o archivos personales de no recibir pagos entre los 100 a 500 dólares.

El engaño ha resultado, Haley explicó que tan sólo uno de los programas usados para secuatras máquinas, CryptoDefense, generó ganancias por arriba de los 34,000 dólares (cerca de 510,000 pesos mexicanos) por mes.

“No creo que las cosas vayan a mejorar pronto. Vivimos una época de mucha aceleración digital. En muchos casos pensamos y creamos servicios primero antes de verificar si son seguros. Algunas cosas malas tendrán que pasar primero, para que empresas y usuarios comiencen a corregir y ser más conscientes”, dijo.